Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Novembre 2015 - n°407 - 385

justifiant d'un intérêt légitime. Ces
exceptions sont par nature limitées à des cas exceptionnels, et
ne s'appliquent qu'à une infime
partie des transferts de données
transatlantiques.
Les deux dernières exceptions
à cette interdiction de transfert, concernant (i) les transferts
nécessaires à l'exécution d'un
contrat entre le responsable de
traitement et l'intéressé, ou de
mesures précontractuelles prises
à sa demande et (ii) les transferts
nécessaires à la conclusion ou
à l'exécution d'un contrat conclu
ou à conclure, dans l'intérêt de
la personne concernée, entre le
responsable de traitement et un
tiers, semblent applicables dans
certains cas aux entreprises et
pourraient être utilisées pour
justifier la continuation des transferts, même en l'absence de Safe
Harbour. Cependant, la Cnil et le
G29 (qui regroupe toutes les autorités européennes de protection des
données personnelles) considèrent
que ces exceptions ne peuvent être
utilisées que dans des cas ponctuels et exceptionnels et ne sont
pas applicables aux transferts de
données entre responsables de
traitements et sous-traitants.
Dans le cas de transferts de
données répétitifs, massifs ou
structurels, les entreprises doivent
donc désormais s'assurer que
ces transferts de données vers
les Etats-Unis sont encadrés par
des clauses contractuelles types
ou des règles internes d'entreprises adoptées au sein d'un
groupe. Cependant, il convient
de noter qu'au vu de l'arrêt du
6 octobre 2015, les clause-types
de la Commission européenne,
qui résultent tout comme le Safe
Harbour d'une décision de la
Commission, pourraient faire l'objet d'une enquête par les autorités
nationales, et être invalidées par
la CJUE de la même manière que
le Safe Harbour.
Ainsi, par exemple, l'article 5.d.i
des clauses contractuelles types

pour le transfert de données à
caractère personnel vers des
sous-traitants établis dans des
pays tiers7 dispose que l'importateur de données « communiquera sans retard à l'exportateur de données toute demande
contraignante de divulgation des
données à caractère personnel
émanant d'une autorité de maintien de l'ordre, sauf disposition
telle qu'une interdiction de caractère pénal visant à préserver le
secret d'une enquête policière ».
A la lecture de cette disposition,
il semble que la communication
par les entreprises américaines,
signataires de ces clauses types,
de données à caractère personnel de citoyens européens dans
le cadre du programme PRISM
ne violait pas les dispositions
de ces clauses-types. La CJUE
pourrait donc considérer que les
clauses-types de la Commission
européenne ne présentent pas plus
que le Safe Harbour de garanties
suffisantes au regard de la protection de la vie privée et des libertés et droits fondamentaux des
personnes que le Safe Harbour, et
par conséquent annuler les décisions de la Commission procédant
à leur adoption.
Il semble que les transferts de
données vers les Etats-Unis entrent
dans une phase de réelle incertitude juridique, où il est recommandé d'éviter de transférer au
maximum des données vers les
Etats-Unis mais aussi vers tout
autre pays tiers dont la législation n'a pas été reconnue par la
Commission comme offrant un
niveau de protection équivalent
à celui de l'Union européenne.
Quels qu'aient été les défauts
du Safe Harbour, ce mécanisme
permettait, en plus de la sécurité juridique qu'il offrait, d'assurer un réel contrôle par les
autorités américaines des importateurs de données, les sanctions
imposées par la Federal Trade
Commission, ainsi que ses moyens
de contrôle étant sans commune
mesure avec celles actuellement

EXPERTISES NOVEMBRE 2015

à la disposition des autorités nationales européennes de protection
des données.
En l'absence de solutions alternatives crédibles, cette annulation du Safe Harbour ne saurait
donc être considérée comme une
victoire pour la protection des
données personnelles des citoyens
européens.

Marc LEMPÉRIÈRE
Of Counsel
Avocat au Barreau de Paris
Member of the New York Bar
BIGNON LEBRAY

Notes
(1) CJUE, Maximillian Schrems c/
Protection Commissioner, 6 oct
C-362/14

Data
2015,

(2) Décision de la Commission du 26 juillet 2000
conformément à la directive 95/46/CE du
Parlement européen et du Conseil relative
à la pertinence de la protection assurée
par les principes de la « sphère de sécurité » et par les questions souvent posées y
afférentes, publiées par le ministère du
Commerce des Etats-Unis d'Amérique
(3) Directive 95/46/CE du Parlement européen
et du Conseil, du 24 octobre 1995 relative
à la protection des personnes physiques à
l'égard du traitement des données à caractère personnel et à la libre circulation de
ces données
(4) CJCE, 17 sept 1997, aff C-54/96 Dorsch
Consult
(5) CE, ord réf., 19 févr. 2008, n°311974, Jurisdata
n°2008-073370
(6) Commission Staff Working Paper, The application of Commission Decision 520/2000/EC
of 26 July 2000 pursuant to Directive 96/46 of
the European Parliament and the Council
on the adequate protection of personal
data provided b the Safe Harbour Privacy
Principle and related Frequently Asked
Questions issued by the US Department of
Commerce, 12 February 2002, SEC(2002) 196
(7) Commission Staff Working Document, The
implementation of Commission Decision
520/2000/EC on the adequate protection
of personal data provided b the Safe
Harbour Privacy Principle and related
Frequently Asked Questions issued by the
US Department of Commerce, 20 October
2004, SEC(2004) 1323
(8) Galexia Pty Ltd, "The US Safe Harbour
- Fact or Fiction ( 2008), Ga http://www.
europarl.europa.eu/meetdocs/2009_2014/
documents/libe/dv/08_galexia_safe_
harbor_/08_galexia_safe_harbor_en.pdf
(9) Communication de la Commission au
Parlement Européen et au Conseil relative
au fonctionnement de la sphère de sécurité
du point de vue des citoyens de l'Union et
des entreprises établies sur son territoire, 27
nov. 2013, COM(2013) 847
(10) Décision de la Commission du 5 février 2010

385
http://www.europarl.europa.eu/meetdocs/2009_2014/documents/libe/dv/08_galexia_safe_harbor_/08_galexia_safe_harbor_en.pdf http://www.europarl.europa.eu/meetdocs/2009_2014/documents/libe/dv/08_galexia_safe_harbor_/08_galexia_safe_harbor_en.pdf
Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Novembre 2015 - n°407
