La Cour de justice de l’Union européenne (CJUE) a tranché, ce mardi 15 juin, concernant l'exercice des pouvoirs des autorités nationales de contrôle pour le traitement transfrontalier de données (affaire C-645/19).
Ces autorités nationales, a estimé la Cour, peuvent porter, sous certaines conditions, toute prétendue violation du Règlement encadrant la protection des données personnelles (RGPD) devant une juridiction d’un État membre, même si elle n’est pas l’autorité 'chef de file' (EUROPE 12635/16).
Le RGPD désigne, via le mécanisme de 'guichet unique', l'autorité irlandaise de protection des données comme autorité 'chef de file' pour mener des actions en justice. L’arrêt rendu par la Cour mardi estime, lui, que l’action intentée par une autorité de contrôle nationale peut être maintenue lorsqu’elle est antérieure à l’entrée en vigueur du RGPD, fin mai 2018.
La CJUE a rappelé que, si le mécanisme du 'guichet unique' doit être l’objet d’une coopération étroite entre les autorités, toute objection d’une autorité nationale bloque - au moins temporairement - la prise de décision par l’autorité 'chef de file'.
La Cour a également jugé que l’exercice du pouvoir d’une autorité de contrôle nationale ne requiert pas que le responsable du traitement transfrontalier de données visé par cette action dispose d’un établissement sur le territoire de l’Etat membre concerné. Néanmoins, le responsable du traitement doit disposer d’un établissement sur le territoire de l’UE.
Enfin, la Cour a reconnu l’effet direct de la disposition du RGPD en vertu de laquelle chaque autorité nationale peut intenter une action en justice contre des particuliers, même si celle-ci n’a pas été mise en œuvre dans la législation de l’État membre concerné.
L’arrêt rendu par la CJUE intervient alors que celle-ci avait été interrogée par la cour d’appel de Bruxelles dans le cadre d’une action intentée en septembre 2015 par l'Autorité de protection des données contre Facebook. Celle-ci souhaitait que l'entreprise cesse de collecter et utiliser les informations des internautes à leur insu, via le recours aux cookies.
Voir l’arrêt de la Cour de justice de l’UE : https://bit.ly/3zrwgSA (Thomas Mangin)