Safe Harbor, la suite : l’analyse de la décision de la CJUE par le G29

Les 2 et 3 février dernier, le G29, groupe composé des différentes autorités de contrôle européennes (dont la CNIL en France), a évalué les conséquences de la décision de la Cour de justice ayant invalidé l’accord de Safe Harbor relatif aux transferts de données à caractère personnel depuis l’Union Européenne vers les États-Unis.

Le G29 a salué l’accord dit « EU-U.S. Privacy Shield », conclu entre les États-Unis et la Commission Européenne mais a néanmoins rappelé que cet accord devait être analysé par ses soins d’ici avril prochain afin de déterminer s’il respecte les garanties européennes essentielles identifiées par le G29 depuis l’arrêt du 6 octobre 2015, à savoir:

• « Les traitements doivent reposer sur des règles claires précises et compréhensibles » ;

• « La proportionnalité au regard de la finalité poursuivie doit être démontrée »;

• « Un mécanisme de contrôle indépendant doit exister »; et

• « Une possibilité de recours effectif doit être offerte aux citoyens ».

En attend l’analyse du G29, les BCR (Binding Corporate Rule) comme les clauses contractuelles type de la Commission Européenne restent les seuls outils disponibles pour les entreprises dans le cadre d’un transfert de données à caractère personnel en dehors de l’UE.

Pour en savoir plus

L’externalisation de la fonction de modérateur d’un site n’exonère pas le directeur de la publication de sa responsabilité pénale

Dans un arrêt du 3 novembre dernier, la Cour de cassation a considéré que le directeur de publication d’un espace de contributions personnelles ne pouvait se prévaloir

• ni de l’externalisation de la fonction de modérateur auprès d’un prestataire,
• ni des dispositions relatives à la responsabilité pénale des hébergeurs du site internet

pour dégager sa propre responsabilité pénale en cas de publication de propos diffamatoires sur ledit espace.

Voir l’arrêt

Critères d’application du droit national & protection des données à caractère personnel

Dans un arrêt du 1er octobre dernier, la Cour de justice de l’Union européenne s’est prononcée sur la loi applicable au responsable de traitement de données à caractère personnel en adoptant une conception élargie de la notion d’établissement.

Pour mémoire, le responsable de traitement est la personne physique ou morale qui décide de la finalité du traitement c’est-à-dire de l’objectif pour lequel les données à caractère personnel sont collectées et traitées. Être responsable de traitement dans un État membre de l’UE implique le respect des obligations légales mises en œuvre par le droit national de chaque État membre. Ces obligations peuvent notamment être relatives :

• aux droits des personnes concernées,
• aux formalités déclaratives auprès des autorités de contrôle nationales (en France la CNIL)
• au transfert hors UE des données traitées.

Comment déterminer le droit national applicable à un responsable de traitement ?

La directive 95/46/CE dispose que la loi applicable est celle :

• du territoire sur lequel est établi le responsable de traitement,
• si le responsable de traitement n’est pas établi sur le territoire d’un État membre, du territoire via lequel il a recours à des moyens de traitement de données à caractère personnel (sauf moyens à seule fin de transit sur le territoire).

Quels sont les critères qui permettent de déterminer qu’un responsable de traitement dispose d’un établissement sur le territoire d’un État membre ?

La notion d’établissement est déterminée en droit européen par l’exercice d’une activité effective et réelle, même minime, au moyen d’une installation stable sur le territoire d’un État membre.

Dans son arrêt du 1er octobre 2015, la Cour de justice, tout en précisant que la nationalité des personnes concernées par un traitement est « dénuée de pertinence » pour déterminer la loi applicable au responsable de traitement, a considéré que :

• l’activité effective et réelle du responsable dudit traitement peut être caractérisée par l’exploitation d’un site internet dans la langue d’un État membre « principalement, voire entièrement, tournée vers ledit État membre »
• l’installation stable sur le territoire de l’État membre peut être caractérisée par le fait que « ce responsable dispose d’un représentant dans ledit État membre, qui est chargé de recouvrer les créances résultant de cette activité ainsi que de le représenter dans des procédures administrative et judiciaire relatives au traitement des données concernées ».

Quelles sont les conséquences de l’inapplicabilité de la loi locale pour l’autorité de contrôle nationale ?

La Cour de justice s’est prononcée sur l’étendue des prérogatives de l’autorité de contrôle nationale (en France, la CNIL) dont la loi ne serait pas applicable :

• l’autorité de contrôle pourra procéder à des investigations mais sans pouvoir de sanction en dehors du territoire de son État
• l’autorité de contrôle devra coopérer avec son homologue de l’État membre dont la loi est applicable et lui demander « de constater une éventuelle infraction et d’imposer des sanctions […] en s’appuyant, le cas échéant, sur les informations […]».

Voir l’arrêt

Le blog, espace de contribution personnelle

Lire la suite →