Aujourd'hui, vers 15h00 BST (16h00 CET), la Haute Cour irlandaise a autorisé Facebook à déposer un recours judiciaire contre le DPC (affaire n° 2020/617 JR) et a suspendu une nouvelle procédure "d'office" du DPC concernant les flux de données entre l'UE et les États-Unis.
Pour l'instant, Facebook a réussi à faire cesser l'enquête du CPD sur les flux de données entre l'UE et les États-Unis, qui ne sont pas légaux en vertu d'un instrument appelé "clauses contractuelles types" (SCC). Le 16 juin 2020, la Cour de justice de l'Union européenne (CJUE) a statué que les entreprises comme Facebook ne peuvent pas s'appuyer sur les SCC si elles relèvent des lois américaines de surveillance de masse telles que la FISA 702. La CJEU peut prendre des mesures contre la pause de l'enquête dans un délai de 72 heures.
La semaine dernière, le Wall Street Journal a rapporté que Facebook s'était vu signifier une "décision préliminaire" confidentielle par le DPC dans cette affaire.
Contrôle judiciaire
Le contrôle juridictionnel permet aux parties de faire examiner par les tribunaux une procédure en cours, avant même qu'une décision finale ne soit prise. Facebook a porté plainte devant les tribunaux dans les semaines qui ont suivi une nouvelle enquête "d'office" du DPC sur les flux de données entre l'UE et les États-Unis. Cette nouvelle affaire vise l'utilisation des CSC et se limite à ces flux de données - en ignorant complètement le fait que Facebook a déjà annoncé qu'il s'appuierait sur un autre instrument de transfert pour les transferts de données entre l'UE et les États-Unis. Le CPD a prévu de soumettre ce cas au mécanisme européen de cohérence des 27 autorités de protection des données des États membres dans un délai de 42 jours. Ce délai n'est désormais plus réalisable.
A l'appui de sa demande, Facebook a fait valoir qu'un "projet de décision" du 28 août 2020 qui se trouvait au début de la procédure en préjugeait l'issue et que trois semaines pour répondre ne suffisent pas au géant des médias sociaux. Facebook a déclaré qu'il avait été informé du calendrier, lors de l'examen des lettres du DPC à noyb, que noyb a publié sur son site web. Facebook a également fait valoir qu'il serait "injuste" que le DPC ne vise que Facebook et pas également d'autres sociétés informatiques qui externalisent des données de l'Irlande vers les États-Unis. Facebook s'est également appuyé sur une lettre de M. Schrems démontrant que la procédure de plainte existante devrait continuer et sur les 101 cas déposés par noyb auprès de différentes autorités de protection des données pour soutenir que l'approche du DPC d'ouvrir une nouvelle enquête "ex officio" est défectueuse.
Max Schrems (plaignant dans l'affaire initiale) : "Il n'est pas surprenant que le DPC ait une fois de plus échoué à mener une procédure correcte et ait été arrêté par les tribunaux irlandais pour l'instant. En même temps, il n'est pas certain que Facebook ait finalement gain de cause dans cette affaire. Aujourd'hui, Facebook a seulement été autorisé à déposer une plainte et à faire suspendre l'enquête du DPC pendant les prochains jours, voire les prochaines semaines"
Action indépendante de noyb contre la procédure DPC
Indépendamment du contrôle judiciaire de Facebook, Nib a annoncé qu'il contestera également cette nouvelle procédure "d'office" du DPC dans la mesure où le DPC a informé Nib que cette affaire remplacera en grande partie une procédure de plainte qui est en cours devant le DPC depuis plus de 7 ans, et ce malgré le fait que le DPC soit sous le coup d'une ordonnance du tribunal pour décider rapidement de cette affaire depuis 2015
La semaine dernière, le CPD a affirmé que le fond de cette affaire en cours sera décidé dans le cadre d'une enquête distincte, nouvellement lancée, "d'office" - sans que le plaignant initial soit entendu. La procédure de plainte, en cours depuis 7 ans et qui a déjà fait l'objet de cinq décisions de justice avant qu'une première décision du DPC ne soit rendue, serait à nouveau "mise en pause".
Max Schrems (plaignant dans l'affaire) : "Le CPD utilise une astuce très louche pour écarter les personnes concernées de ses affaires. Comme le CPD a d'abord qualifié cette affaire de "frivole", puis a échoué dans son évaluation des CSC - en prétendant qu'ils seraient invalides. Nous n'avons aucune confiance dans le fait que le CPD puisse mener à bien cette affaire sans qu'un plaignant externe ne représente les utilisateurs"
En un mois, le CPD a (à nouveau) pris des mesures tellement contestables dans ses procédures que même les opposants avant lui acceptent (pour différentes raisons) que la procédure soit arrêtée. Facebook a accepté que toute la documentation de l'enquête "ex officio" soit mise à la disposition de M. Schrems.
M. Schrems : "Le CPD est connu pour prendre de mauvaises décisions de procédure. Jusqu'à présent, il a perdu presque toutes les affaires et a même amené des opposants comme Facebook et moi à reconnaître que ses procédures sont douteuses - même si c'est pour des raisons différentes. L'affaire en cours n'a pas fait l'objet d'une décision formelle du CPD en sept ans - malgré cinq jugements rendus par différents tribunaux en cours de route"
