Si la CJUE a ouvert la boîte de Pandore, aucun cataclysme n’est encore survenu. Les transferts transatlantiques de données personnelles continuent mais les entreprises sont à la merci des régulateurs. La DPC (Data Protection Commission), la Cnil irlandaise, a ouvert les hostilités en avertissant Facebook de son projet d’ordonnance préliminaire en vue de la suspension des flux de données entre l’Europe et les Etats-Unis. Sans surprise, le réseau social a contrattaqué devant la high court irlandaise qui l’a autorisé à déposer un recours contre la DPC et a gelé la procédure en cours. Par ailleurs, le Commission a ouvert une nouvelle enquête sur l’utilisation des clauses contractuelles types par Facebook. Et dans le même temps Facebook a annoncé qu’il s’appuyait désormais sur un autre fondement juridique pour ces transferts. Dans ce contexte incertain où aucun mécanisme sûr ne permet de garantir un transfert adéquat de données, les entreprises américaines et européennes sont inquiètes. Dans un communiqué commun, l’Asic, le Syntec Informatique et Tech In France ont appelé, le 25 septembre dernier, les autorités de contrôle nationales et la Commission européenne à trouver une solution pérenne. Les entreprises ont, en effet, horreur de l’incertitude.

Plus personne n’ignore la censure du Privacy Shield par l’arrêt du 16 juillet 2020 de la CJUE. On se souvient aussi que la Cour n’avait pas remis en cause la validité des clauses contractuelles types de la Commission européenne. La Cour avait toutefois jugé qu’« à moins qu’il existe une décision d’adéquation valablement adoptée par la Commission, l’autorité de contrôle compétente est tenue de suspendre ou d’interdire un transfert de données vers un pays tiers fondé sur des clauses types de protection des données adoptées par la Commission, lorsque cette autorité de contrôle considère, à la lumière de l’ensemble des circonstances propres à ce transfert, que ces clauses ne sont pas ou ne peuvent pas être respectées dans ce pays tiers et que la protection des données transférées requise par le droit de l’Union ». Facebook avait justement recouru à ce mécanisme contractuel pour fonder ces transferts. Et c’est fort logiquement que l’autorité de contrôle irlandaise a engagé un processus l’emmenant à ordonner la suspension des transferts entre l’Europe et les Etats-Unis puisque le réseau social est susceptible de communiquer aux autorités américaines des données de personnes se trouvant dans l’UE, en vertu de la section 702 de la loi Fisa ou d’un executive order 12 333. Le 28 août 2020, la DPC a envoyé à Facebook son projet d’ordonnance préliminaire lui signifiant ses griefs et lui laissant 21 jours pour justifier du caractère adéquat de ses clauses contractuelles types au droit communautaire.

Facebook a immédiatement réagi en se tournant vers la justice irlandaise pour un contrôle judiciaire avant que la décision finale ne soit rendue. Dans un affidavit, une déclaration sous serment de 22 pages transmise à la cour irlandaise le 10 septembre dernier, Yvonne Cunnane, responsable de la protection des données de Facebook Irlande, a listé les griefs contre l’autorité de contrôle. Elle a indiqué que les mesures correctives préconisées auraient un effet contraire significatif sur les affaires et les utilisateurs. Elle a indiqué qu’en cas d’interdiction de transfert de données, elle ne voyait pas comment poursuivre les activités de Facebook et d’Instagram en Europe. Elle a également soulevé le fait que le réseau social était la seule entreprise visée par la DPC alors que l’arrêt de la CJUE concerne toutes celles qui opèrent des flux de données entre l’UE et les Etats-Unis. Enfin, elle a dénoncé les trop courts délais de réponse accordés à Facebook par la DPC. En conséquence, le réseau estime avoir fait l’objet d’un traitement déloyal et disproportionné. La cour a entendu ces arguments et a « gelé » l’action de la DPC jusqu’à une décision attendue vers le mois de novembre.

Parallèlement, la Commission irlandaise a écrit à Max Schrems, l’auteur de la plainte contre Facebook, le 31 août 2020, le prévenant qu’elle ouvrait une enquête sur cette affaire sur le recours de Facebook aux clauses contractuelles types. Ce qui a énervé Max Schrems qui lui a répondu, le 7 septembre, qu’il ne voyait pas l’intérêt d’une nouvelle enquête qui ne pouvait que retarder d’autant la résolution du litige. La clôture de l’affaire risque d’être également retardée par la soumission du cas au mécanisme de contrôle de la cohérence entre les autorités figurant à l’article 63 du RGPD.

Entre temps, Facebook a annoncé qu’il n’utilisait plus la base légale des clauses contractuelles types pour ces flux transatlantiques. Il invoque désormais la nécessité d’externaliser le traitement des données aux Etats-Unis dans le cadre d’un contrat avec les utilisateurs, en vertu de l’article 49 du RGPD. Reste à savoir si cette exception peut constituer une base légale de manière permanente. La CJUE pourrait, une fois de plus, être amenée à se prononcer.

De son côté, Max Schrems a l’intention de déposer une « injonction interlocutoire » afin de s’assurer que la DPC prenne une décision sur toutes les bases légales du litige : les clauses contractuelles types et le présumé contrat entre le réseau social et les utilisateurs.

Autant dire qu’on n’a pas fini d’entendre parler de ce contentieux fleuve. Et Max Schrems n’est pas près de changer de carrière professionnelle, comme il nous avait dit le souhaiter dans une interview qu’il nous avait accordée en janvier 2018 (voir Exp. n° 432, p. 58).