Retour de balancier après le « tout sécuritaire» : le printemps annoncé de la protection des données à caractère personnel

 Crédit photo

 

Une co-responsabilité fructueuse entre Etats-Unis et UE et entre législateur et juge au sein de l'UE après l'arrêt Max Schrems


« Thank you Europe », a publié Edward Snowden dans un « tweet » quelques heures après que la Cour de justice de l’Union européenne eût rendu son arrêt dans la désormais célèbre affaire Max Schrems. Cet arrêt illustre et complète avec bonheur une démarche récente de la Cour de justice, qui a rendu coup sur coup des arrêts promis à la postérité jurisprudentielle et construit par là même un solide statut de protection pour les données à caractère personnel. Il est exemplatif également des
difficultés posées par le partage du contrôle de la protection des données entre l’Union européenne
et les États-Unis. Si cette « coresponsabilité » a été consentie par l’Union dès l’instant qu’elle a autorisé le transfert des données vers les États-Unis, encore faut-il que la protection assurée outre-Atlantique corresponde au standard exigé aujourd’hui par le droit primaire de l’Union, essentiellement la Charte des droits fondamentaux. La Cour de justice procède ici à une évaluation minutieuse de cette protection, à la conclusion sans appel.

Pour lire la suite :
Revue des Affaires Européennes 2015/4, pp. 699-712

La Cour de Justice de l’Union européenne, à l’avant-garde de la défense des droits numériques

Crédit photo

• Dans son arrêt Schrems, la Cour de justice a invalidé le système du Safe Harbor, ce qui entraîne la suspension des transferts de données à caractère personnel vers les États-Unis.

• La Cour condamne tout système de surveillance de masse des données à caractère personnel.

• Dans les arrêts Weltimmo et Smaranda Bara, elle renforce les pouvoirs des autorités nationales de protection des données et les garanties pour les transferts de données entre administrations d’un État membre.

Introduction

La Cour de justice (ci-après la « Cour »), depuis quelques années, a rendu un certain nombre de « grands » arrêts, qui contribuent à l’édification de solides garanties en faveur de la protection des données à caractère personnel, inscrite à l’article 8 de la Charte des droits fondamentaux de l’Union européenne (ci-après la « Charte »). Trois arrêts rendus récemment participent de cette démarche : l’arrêt Schrems du 6 octobre 2015, et dans une moindre mesure, les arrêts Smaranda Bara et Weltimmo, rendus le 1^er octobre 2015.

Pour lire la suite : JDE n° 224 - 10/2015, p.395-398

Protection des données et relations transatlantiques (suite)…L’arrêt Schrems de la CJUE : « Thank you Europe »

Crédit photo

« This is the second time in as many years the world has relied upon #CJUE to defend digital rights. Thank you Europe ». Le tweet d’Edward Snowden publié quelques heures après l’arrêt de la Cour de Justice du 6 octobre dans l’affaire Max Schrems (C-362/14) résume bien l’enjeu de cette affaire tout en rendant un hommage mérité à la juridiction européenne.

La Cour de justice ne s’est pas dérobée, et elle a rendu le 6 octobre un arrêt en tous points conforme aux conclusions de l’Avocat général Yves Bot (relatées ici-même), n’hésitant pas à faire usage de la véritable bombe que lui avait suggéré d’employer l’Avocat général.

Rappelons les faits : l’étudiant autrichien à l’origine du contentieux, Max Schrems, s’est plaint auprès de l’autorité irlandaise de protection, du transfert de ses données fournies à Facebook à des serveurs situés sur le territoire des Etats-Unis, via la filiale irlandaise de l’entreprise américaine. Il estime en effet, dans le contexte de l’affaire « Prism » révélée par Edward Snowden en 2013, que tant le droit que la pratique des Etats-Unis n’offrent aucune protection contre la surveillance par l’Etat américain des données transférées vers ce pays. Sa plainte toutefois a été rejetée au motif que la Commission européenne, par une décision du 26 juillet 2000 (2000/520/CE), a estimé que, dans le cadre du régime dit de la « sphère de sécurité (« Safe Harbor »), les Etats-Unis assurent un niveau adéquat de protection aux données personnelles transférées.
Lire la suite

Protection des données et relations transatlantiques : les conclusions de l'Avocat général dans l'affaire Schrems. Une fusée à plusieurs étages et une bombe à retardement...

Crédit photo

Les références imagées se pressent à l’esprit tant les conclusions de l’Avocat général Yves Bot s’avèrent riches – et lourdes de conséquences si la Cour de Justice s’avise de les suivre – dans cette affaire (C-362/14), où les mots « Facebook », « Prism », « NSA », protection des données, droit fondamental, qui émaillent le texte révèlent l’importance du contexte qui le sous-tend.

L’étudiant autrichien à l’origine du contentieux, Max Schrems, s’est plaint auprès de l’autorité irlandaise de protection des données de ce que ses données personnelles fournies à Facebook soient transférées, à partir de la filiale irlandaise de Facebook, sur des serveurs situés sur le territoire des Etats-Unis. Il estime en effet, eu égard aux révélations faites en 2013 par Edward Snowden dans le cadre de l’affaire « Prism », relative aux activités des services de renseignement des Etats-Unis (la NSA en particulier), que tant le droit que la pratique des Etats-Unis n’offrent aucune protection contre la surveillance par l’Etat américain des données transférées vers ce pays. Sa plainte toutefois a été rejetée au motif que la Commission européenne, par une décision du 26 juillet 2000 (2000/520/CE), a estimé que, dans le cadre du régime dit de la « sphère de sécurité (« Safe Harbor »), les Etats-Unis assurent un niveau adéquat de protection aux données personnelles transférées. La High Court of Ireland (Haute Cour de Justice irlandaise), saisie de l’affaire, a alors posé à la CJUE les questions de savoir si la décision « d’adéquation » de la Commission empêche nécessairement et obligatoirement une autorité nationale de contrôle d’enquêter sur une plainte alléguant qu’un pays tiers n’assure pas un niveau de protection adéquat, et éventuellement d’ordonner la suspension du transfert des données contestées.

Lire la suite

Le PNR européen à la croisée des chemins : protection des données et lutte contre le terrorisme

Crédit photo

Après l’immense émotion suscitée par les assassinats commis à Charlie Hebdo et le temps du recueillement, vient celui de la réaction et nombre de réflexions s’orientent aujourd’hui sur les indispensables réponses à apporter en matière de lutte contre le terrorisme.

Le Président de la Commission, Jean-Claude Juncker, qui a évoqué le 7 janvier « un acte intolérable, une barbarie qui nous interpelle tous en tant qu’êtres humains et Européens », a annoncé à Riga le 8 janvier « un nouveau programme de lutte contre le terrorisme » dans les semaines à venir. La lutte contre le terrorisme a été d’ailleurs le sujet prioritaire du Conseil des Affaires étrangères du 19 janvier, à l’initiative de la Haute représentante Federica Mogherini, et elle sera aussi l’une des priorités de la présidence lettone du premier semestre 2015, comme l’a affirmé Mme Straujuma, Première ministre lettone le 14 janvier, lors d’un débat avec les députés du Parlement européen.

Dans ce contexte, la mise en œuvre d’un « PNR » européen (Passenger Name Record) revient dans toutes les discussions en tant qu’instrument nécessaire à la lutte contre le terrorisme, qu’il conviendrait de déployer d’urgence. Ce système, qui vise l’utilisation des données des dossiers des passagers aériens pour la prévention et la détection des infractions terroristes, mais aussi des formes graves de criminalité, avait fait l’objet d’une proposition de directive, présentée par la Commission le 2 février 2011.

Lire la suite