La Cour de justice de l’Union européenne, par un arrêt de grande chambre du 6 octobre 2015, se prononce sur le contrôle des transferts de données. Un ressortissant autrichien conteste le transfert de ses données personnelles vers les États-Unis par une société de réseau social établie sur le territoire irlandais. Le requérant s’appuie sur les révélations publiques concernant les activités de surveillance pratiquées par les services de renseignement étrangers pour justifier son inquiétude légitime. L’autorité de contrôle nationale rejette la plainte au motif qu’elle est liée par une décision de l’institution européenne constatant un niveau de protection adéquat. La Haute Cour de justice d’Irlande décide de surseoir à statuer pour interroger la juridiction européenne sur la validité de cette décision d’adéquation.
La Cour doit déterminer si une décision de l’institution européenne fait obstacle à l’exercice des pouvoirs d’enquête des autorités indépendantes de chaque État membre. Elle répond qu’une telle décision ne peut limiter la compétence des autorités nationales pour examiner les demandes relatives à la protection des droits fondamentaux. L’arrêt consacre l’indépendance des autorités de contrôle (I) avant de prononcer l’invalidité de la décision constatant le niveau de protection adéquat des États-Unis (II).
I. La préservation de la mission de surveillance des autorités nationales de contrôle
A. Le maintien des pouvoirs d’investigation face aux actes de l’Union
L’article 28 de la directive 95/46 impose aux États membres d’instituer des autorités publiques chargées de surveiller l’application des règles de protection des données. Cette exigence résulte également du droit primaire de l’Union qui consacre l’indépendance de ces autorités comme un élément essentiel du respect des personnes physiques. La garantie d’indépendance vise à assurer l’efficacité du contrôle du traitement des données à caractère personnel à la lumière des droits fondamentaux de la Charte. Une décision de l’institution européenne constatant un niveau de protection adéquat ne saurait « annihiler ni réduire les pouvoirs expressément reconnus aux autorités nationales de contrôle ». Chaque autorité est donc investie de la compétence de vérifier si un transfert de données respecte les exigences posées par la législation européenne en vigueur. Cette mission de surveillance s’exerce en toute autonomie même lorsqu’un organe exécutif a déjà validé le régime juridique du pays tiers de destination.
B. Le monopole juridictionnel de la Cour en matière d’appréciation de validité
Les autorités nationales de contrôle doivent examiner les demandes individuelles avec diligence pour garantir la protection effective de la vie privée des citoyens européens. Cependant, ces instances administratives ne sont pas dotées de la compétence nécessaire pour constater elles-mêmes l’invalidité d’un acte juridique adopté par l’institution. La Cour de justice rappelle son monopole juridictionnel afin d’assurer une application uniforme du droit de l’Union et de préserver la sécurité juridique globale. Lorsqu’une autorité juge fondés les griefs d’un requérant, elle doit pouvoir ester en justice devant les juridictions nationales pour contester la validité de l’acte. Il appartient alors au juge national de saisir la Cour d’un renvoi préjudiciel en appréciation de validité pour obtenir l’annulation éventuelle de la décision européenne.
II. L’invalidation du régime de transfert de données vers les États-Unis
A. L’insuffisance structurelle de la protection face aux ingérences étatiques
Le niveau de protection adéquat exige qu’un pays tiers assure un degré de sauvegarde des libertés fondamentales substantiellement équivalent à celui garanti au sein de l’Union. Or, les principes de la sphère de sécurité sont « exclusivement destinés aux organisations américaines recevant des données à caractère personnel en provenance de l’Union européenne ». Ces règles d’autocertification ne s’imposent pas aux autorités publiques du pays tiers qui conservent un accès illimité aux informations transférées pour des motifs de sécurité. L’acte privilégie les « exigences relatives à la sécurité nationale, [à] l’intérêt public et [au] respect des lois des États-Unis » sur les principes. Cette dérogation autorise des ingérences massives et indifférenciées dans la vie privée des personnes sans prévoir de limites claires au pouvoir de surveillance des services secrets.
B. La méconnaissance du droit fondamental à une protection juridictionnelle effective
Une réglementation autorisant l’accès généralisé au contenu des communications électroniques porte atteinte au contenu essentiel du droit fondamental au respect de la vie privée. En outre, l’ordre juridique étranger ne prévoit aucune possibilité pour le justiciable d’exercer des voies de recours afin d’obtenir l’accès ou la rectification de ses données. Ce manque de recours méconnaît le « contenu essentiel du droit fondamental à une protection juridictionnelle effective » tel que consacré par l’article 47 de la Charte. L’institution européenne a également outrepassé ses compétences en restreignant indûment le pouvoir d’intervention des autorités nationales de contrôle dans l’article 3 de la décision litigieuse. L’invalidité des dispositions relatives au contrôle et à la protection substantielle entraîne nécessairement l’annulation complète de l’acte constatant l’adéquation du niveau de protection américain.
