C.J.U.E. (gde ch.), 16 juillet 2020, aff. C-311/18

Zoek in bibliotheek

Zoek naar boeken en tijdschriften in de bibliotheek.

Zoek in full text

Zoek naar specifieke inhoud op basis van zoektermen en filters.

Full text
Tijdschrift
Nummer 2-3
Artikel
C.J.U.E. (gde ch.), 16 juillet 2020, aff. C-311/18

Jaar 2020 Volume 2020 Nummer 2-3 Pagina 703 Taal Frans Rechtscollege Hof van Justitie - Cour de Justice, 16/07/2020 Referentie “C.J.U.E. (gde ch.), 16 juillet 2020, aff. C-311/18”, IA 2020, nr. 2-3, 703-711 Samenvatting Un transfert de données à caractère personnel effectué à des fins commerciales par un opérateur économique établi dans un État membre vers un autre opérateur économique établi dans un pays tiers relève du champ d'application du RGPD3 nonobstant le fait que, au cours ou à la suite de ce transfert, ces données sont susceptibles d'être traitées par les autorités du pays tiers concerné à des fins de sécurité publique, de défense et de sûreté de l'État. En l'absence d'une décision d'adéquation adoptée par la Commission4, constatant qu'un pays tiers assure, en raison de sa législation interne ou de ses engagements internationaux, un niveau de protection adéquat, le responsable d'un traitement ou le sous-traitant ne peut transférer des données à caractère personnel vers un pays tiers que s'il a prévu des «garanties appropriées» et à la condition que les personnes concernées disposent «de droits opposables et de voies de droit effectives». Ces garanties appropriées peuvent être fournies, notamment, par des clauses contractuelles types de protection des données adoptées par la Commission, mais elles doivent « compenser l'insuffisance de la protection des données dans le pays tiers» et être de nature à assurer que les personnes dont les données à caractère personnel sont transférées vers un pays tiers sur le fondement de clauses types de protection des données bénéficient, comme dans le cadre d'un transfert fondé sur une décision d'adéquation, d'un niveau de protection substantiellement équivalent à celui garanti au sein de l'Union. Aux fins d'évaluer le caractère adéquat du niveau de protection à respecter dans le cadre d'un tel transfert, il faut prendre en considération tant les stipulations contractuelles convenues entre le responsable du traitement ou son sous-traitant établis dans l'Union et le destinataire du transfert établi dans le pays tiers concerné que, en ce qui concerne un éventuel accès des autorités publiques de ce pays tiers aux données à caractère personnel transférées, les éléments pertinents du système juridique de celui-ci, notamment ceux énoncés à l'article 45, § 2, du règlement. Une décision d'adéquation de la Commission a, dans tous ses éléments, un caractère contraignant pour tous les États membres destinataires et s'impose donc à tous leurs organes, en ce qu'elle constate que le pays tiers concerné garantit un niveau de protection adéquat et qu'elle a pour effet d'autoriser ces transferts de données. Ainsi, aussi longtemps que la décision d'adéquation n'a pas été déclarée invalide par la Cour, les États membres et leurs organes, au nombre desquels figurent leurs autorités de contrôle indépendantes, ne sauraient adopter des mesures contraires à cette décision, telles que des actes visant à constater avec effet contraignant que le pays tiers visé par ladite décision n'assure pas un niveau de protection adéquat et, en conséquence, à suspendre ou interdire des transferts de données à caractère personnel vers ce pays tiers. Toutefois, une décision d'adéquation de la Commission ne saurait empêcher les personnes dont les données à caractère personnel ont été ou pourraient être transférées vers un pays tiers de saisir l'autorité nationale de contrôle compétente d'une réclamation relative à la protection de leurs droits et de leurs libertés à l'égard du traitement de ces données. De même, une décision de cette nature ne saurait ni annihiler ni réduire les pouvoirs expressément reconnus aux autorités nationales de contrôle. Par ailleurs, en l'absence de décision d'adéquation valablement adoptée par la Commission, l'autorité de contrôle compétente est tenue de suspendre ou d'interdire un transfert de données vers un pays tiers fondé sur des clauses types de protection des données adoptées par la Commission, lorsque cette autorité de contrôle considère, à la lumière de l'ensemble des circonstances propres à ce transfert, que ces clauses ne sont pas ou ne peuvent pas être respectées dans ce pays tiers et que la protection des données transférées requise par le droit de l'Union, en particulier par les articles 45 et 46 du RGPD et par la Charte des droits fondamentaux de l'Union européenne, ne peut pas être assurée par d'autres moyens, à défaut pour le responsable du traitement ou son sous-traitant établis dans l'Union d'avoir lui-même suspendu le transfert ou d'avoir mis fin à celui-ci. La décision 2010/87 de la Commission du 5 février 2010 relative aux clauses contractuelles types pour le transfert de données à caractère personnel vers des sous-traitants établis dans des pays tiers n'est pas invalide par le seul fait que les clauses types de protection des données qu'elle prévoit ne lient pas les autorités des pays tiers. En effet, en l'absence de décision d'adéquation de la Commission, il incombe au responsable du traitement ou au sous-traitant établis dans l'Union de prévoir des garanties appropriées et, au besoin, des mesures complémentaires pour compenser l'insuffisance de la protection des données dans le pays tiers. Il appartient, dès lors, avant tout, à ce responsable du traitement ou à son sous-traitant de vérifier, au cas par cas et, le cas échéant, en collaboration avec le destinataire du transfert, si le droit du pays tiers de destination assure une protection appropriée, au regard du droit de l'Union, des données à caractère personnel transférées sur le fondement de clauses types de protection des données, en fournissant, au besoin, des garanties supplémentaires à celles offertes par les clauses types. À défaut, pour le responsable du traitement ou son sous-traitant établis dans l'Union, de pouvoir prendre des mesures supplémentaires suffisantes pour garantir une telle protection, ceux-ci ou, à titre subsidiaire, l'autorité de contrôle compétente sont tenus de suspendre ou de mettre fin au transfert de données à caractère personnel vers le pays tiers concerné. Tel est notamment le cas lorsque le droit de ce pays tiers impose au destinataire d'un transfert de données à caractère personnel en provenance de l'Union des obligations qui sont contraires auxdites clauses et, partant, de nature à remettre en cause la garantie contractuelle d'un niveau de protection adéquat contre l'accès des autorités publiques dudit pays tiers à ces données. La décision 2016/1250 de la Commission du 12 juillet 2016 relative à l'adéquation de la protection assurée par le bouclier de protection des données UE-États-Unis (communément appelée «Privacy Shield») est incompatible avec l'article 45, § 1 er , du RGPD, lu à la lumière des articles 7, 8 et 47 de la Charte des droits fondamentaux de l'Union européenne, et est de ce fait invalide. En effet, les limitations de la protection des données à caractère personnel qui découlent de la réglementation interne des États-Unis portant sur l'accès et l'utilisation, par les autorités publiques américaines, de données personnelles transférées depuis l'Union vers les États-Unis ne sont pas encadrées d'une manière à répondre à des exigences substantiellement équivalentes à celles requises par le droit de l'Union. D'une part, le principe de proportionnalité n'est pas suffisamment respecté, de sorte qu'il n'est pas permis de considérer que les programmes de surveillance américains sont limités au strict nécessaire. D'autre part, la législation américaine ne confère pas aux personnes concernées des droits opposables aux autorités américaines devant les tribunaux, si bien que ces personnes ne disposent pas d'un droit de recours effectif. En effet, le mécanisme de médiation américain ne fournit pas de voie de recours devant un organe qui offre aux personnes dont les données sont transférées vers les États-Unis des garanties substantiellement équivalentes à celles requises à l'article 47 de la Charte des droits fondamentaux de l'Union européenne.

Geachte bezoeker

Deze pagina is gereserveerd voor de Jurisquare leden.

Bent u reeds lid van Jurisquare, gelieve u aan te melden via de knop 'Inloggen' hieronder. Bent u nog geen lid, klik dan op de knop 'Abonneren'. Vanaf € 422,57 (BTW excl.) per jaar bent u reeds lid van Jurisquare en heeft u toegang tot de grootste digitale bibliotheek van België!

Inloggen Registreren