Décision de la Haute Cour irlandaise : La DPC doit maintenant appliquer l'arrêt de la CJUE et mettre fin aux transferts de données de Facebook entre l'UE et les États-Unis.
La Haute Cour a jugé aujourd'hui que la Commission irlandaise de protection des données (DPC) avait le droit d'ouvrir une deuxième enquête "de son propre chef" contre Facebook. La tentative de Facebook d'empêcher cette deuxième enquête a échoué. Le juge a déclaré : "Je refuse toutes les réparations demandées par [Facebook Ireland] et rejette les demandes qu'il a formulées dans le cadre de la procédure."
Le CPD dispose désormais de deux procédures ouvertes pour mettre en œuvre l'arrêt dit "Schrems II", dans lequel la Cour de justice de l'Union européenne (CJUE) a précisé que Facebook ne peut pas transférer de données personnelles de l'UE vers les États-Unis. En vertu d'un accord distinct conclu entre M. Schrems et le CPD (publié pour la première fois aujourd'hui), le CPD doit désormais également enquêter sur une plainte initiale de 2013 qui a conduit à la décision de la CJUE. La procédure de plainte initiale se déroulera parallèlement à la nouvelle enquête "de plein gré"
Schrems :"Facebook a perdu sur tous les tableaux. Sa tentative de retarder à nouveau la décision irlandaise ne lui a rapporté que quelques mois. Après huit ans, le CPD est maintenant tenu d'arrêter les transferts de données de Facebook entre l'UE et les États-Unis, probablement avant l'été. Maintenant, nous avons simplement deux procédures au lieu d'une seule"
Troisième "branche" dans l'affaire Facebook qui dure depuis longtemps. La décision d'aujourd'hui met fin à la septième procédure judiciaire dans une bataille de longue date entre M. Schrems, le DPC et Facebook. En 2013, M. Schrems a déposé une plainte contre Facebook à la suite des révélations de Snowden, arguant que Facebook ne peut pas transférer ses données personnelles aux États-Unis, où les lois sur la surveillance exigent le partage des données personnelles avec le gouvernement américain. L'affaire a été renvoyée deux fois devant la Cour de justice de l'Union européenne (CJUE), qui a rendu les arrêts "Schrems I" et "Schrems II", dans lesquels la CJUE a décidé que le DPC devait enquêter sur Facebook et avait le devoir d'arrêter les transferts de données.
Au lieu de mettre rapidement en œuvre les décisions de la CJUE, le CPH a produit trois "branches" de la procédure de plainte principale (voir graphique ci-dessous). En 2020, il a entamé le troisième détour en ouvrant une procédure "d'office" portant exactement sur le même sujet que la procédure de plainte existante, tout en mettant indéfiniment en "pause" la procédure de plainte de M. Schrems. En fin de compte, M. Schrems aurait été dessaisi de sa propre affaire.
Facebook et Schrems ont déposé un recours judiciaire. M. Schrems et Facebook n'étaient pas d'accord avec l'approche du DPC et ont déposé deux contrôles judiciaires distincts, bien que pour des raisons différentes : Facebook a avancé d'innombrables arguments concernant le droit d'être entendu et un prétendu jugement "prématuré" du DPC (après sept ans).
Dans le même temps, M. Schrems a fait valoir que l'approche du CPH l'aurait exclu de sa propre affaire, puisque le sujet serait traité dans une affaire de "propre volonté" entre Facebook et le CPH uniquement. En outre, le CPH a violé un engagement pris en 2015 de prendre une décision rapide sur sa plainte, puisqu'il a maintenant "mis en pause" la plainte pour une durée indéterminée.
L'accord entre le DPC et M. Schrems garantit une décision rapide, indépendamment de la décision de la Haute Cour. Peu de temps avant que le contrôle judiciaire de M. Schrems ne soit entendu, le DPC a cédé et a réglé l'affaire. Dans cet accord, le DPC s'est engagé à mettre en œuvre la procédure de traitement des plaintes rapidement, une fois que la Haute Cour aura statué sur le contrôle judiciaire de Facebook. En outre, si la deuxième procédure "de son propre chef" est autorisée par la Haute Cour, M. Schrems pourra y participer.
En bref : le règlement garantit que le CPD se prononcera sur les transferts de données de Facebook dans le cadre d'une ou de deux procédures.
Prochaines étapes : Décision irlandaise et procédure EDPB. Après le jugement d'aujourd'hui, le CPD devra rapidement mettre en œuvre la décision de la CJUE et interdire les transferts UE-USA de Facebook. À l'automne 2020, le DPC prévoyait 21 jours pour entendre les parties et 21 jours supplémentaires pour finaliser sa décision, des délais similaires sont convenus dans l'accord avec M. Schrems. Toute décision nationale du CPD irlandais devra probablement être approuvée par le Comité européen de protection des données (CEPD), au sein duquel les autorités de protection des données des 28 États membres de l'UE peuvent examiner la décision et s'y opposer si elles ne sont pas d'accord avec les conclusions du CPD. Le délai d'objection est de quatre semaines et déclenche un vote au niveau européen.
Schrems :"Nous nous attendons maintenant à ce que le CPD rende une décision pour arrêter les transferts de données de Facebook avant l'été. Cela obligerait Facebook à stocker localement la plupart des données provenant d'Europe, afin de garantir que Facebook USA n'ait pas accès aux données européennes. L'autre option serait que les États-Unis modifient leurs lois sur la surveillance."
