Comme l'a indiqué hier la DPC aux journalistes, elle a publié un projet de décision au titre de l'article 60 du RGPD concernant les transferts de données de Facebook entre l'UE et les États-Unis (Meta), à la lumière de la loi FISA 702 et des révélations de Snowden. Ce projet de décision s'inscrit dans le cadre de la procédure « volontaire » engagée par la DPC parallèlement à la plainte initiale de Max Schrems.
Les Européens risquent de voir les services de médias sociaux Facebook et Instagram fermés cet été, alors que le régulateur irlandais de la protection de la vie privée a doublé l'ordre d'arrêter les flux de données de l'entreprise vers les États-Unis.
La Commission irlandaise de protection des données a informé jeudi ses homologues européens qu'elle empêchera le propriétaire de Facebook, Meta, d'envoyer des données d'utilisateurs d'Europe au projet de décision du régulateur irlandais américain réprimant le dernier recours de Meta pour transférer de grandes quantités de données aux États-Unis, après des années d'âpres batailles judiciaires entre le géant américain de la technologie et les militants européens de la protection de la vie privée.
En 2020, la Cour de justice de l'Union européenne a invalidé le Privacy Shield, un accord de transfert de données entre l'UE et les États-Unis, en raison d'inquiétudes concernant les pratiques de surveillance américaines. Dans son arrêt, elle a également rendu plus difficile l'utilisation d'un autre outil juridique employé par Meta et de nombreuses autres entreprises américaines pour transférer des données personnelles vers les États-Unis : les clauses contractuelles types (CCT). La décision prise cette semaine de se retirer d'Irlande contraint Facebook à renoncer également à l'utilisation des CCT.
Meta a averti à plusieurs reprises qu'une telle décision entraînerait la fermeture de bon nombre de ses services en Europe, notamment Facebook et Instagram.
"Si un nouveau cadre pour le transfert de données transatlantique n'est pas adopté et que nous ne sommes pas en mesure de continuer à compter sur les SCC ou d'autres moyens alternatifs de transfert de données de l'Europe vers les États-Unis, nous ne serons probablement pas en mesure d'offrir certains de nos produits les plus importants. et services, dont Facebook et Instagram, en Europe "
Meta a déclaré dans un dossier auprès de la Securities and Exchange Commission des États-Unis en mars de cette année.
Si l'ordonnance de blocage irlandaise est confirmée par le panel européen des autorités nationales de protection des données , elle risque également de semer la panique dans le monde des affaires, qui se demande comment continuer à envoyer des données d'Europe vers les États-Unis après la décision de la Cour suprême de l'UE en 2020.
L'UE et les États-Unis négocient un nouveau texte de transfert de données qui permettrait à des entreprises comme Meta de continuer à expédier des données outre-Atlantique, quelle que soit la commande irlandaise. Bruxelles et Washington se sont mis d'accord sur un accord préliminaire au niveau politique en mars, mais les négociations dans la presse juridique sont au point mort et il est peu probable qu'un accord définitif soit trouvé avant la fin de l'année.
Un porte-parole du DPC irlandais a confirmé que le projet de décision avait été envoyé aux autres régulateurs européens de la protection de la vie privée, qui ont désormais un mois pour contribuer, mais ne discuteront pas des détails de la décision.
"Ce projet de décision, qui est soumis à l'examen des autorités européennes de protection des données, fait référence à un conflit entre le droit européen et américain qui est en train d'être résolu", a déclaré un porte-parole de Half. "Nous nous félicitons de l'accord UE-États-Unis pour un nouveau cadre juridique qui permettra le transfert continu de données à travers les frontières et nous espérons que ce cadre nous permettra de garder les familles, les communautés et les économies connectées."
Pas d'arrêt immédiat. Le projet de décision de la DPC n'entraînera pas d'arrêt immédiat des transferts de données. En réalité, ce projet de décision déclenchera la procédure prévue à l'article 60 du RGPD, accordant aux autres autorités de protection des données (APD) un mois pour formuler des observations. Les autres APD européennes se sont généralement opposées aux décisions importantes de la DPC. Ceci déclenche alors une procédure au titre de l'article 65 du RGPD, avec un vote sur la décision finale.
Max Schrems : « Nous nous attendons à ce que d’autres autorités de protection des données formulent des objections, car certains points importants ne sont pas abordés dans le projet de la DPC. Cela entraînera l’élaboration d’un nouveau projet, puis un vote. Dans d’autres cas, cela a pris une année supplémentaire au total, car la DPC n’a pas pris en compte les observations des autres autorités de protection des données, et il a fallu plus de six mois pour soumettre le dossier au vote . »
Deux ans se sont écoulés depuis l'arrêt de la CJUE, neuf ans depuis le début de la procédure. L'affaire initiale, introduite par Max Schrems en 2013, devait être menée en parallèle avec une affaire d'« autodétermination » récemment ouverte. Le projet de décision ne concerne que l'« autodétermination ». La procédure de plainte n'a pas été transmise au CEPD.
On ne sait pas ce qui est arrivé au cas initial à ce stade, car le DPC cache généralement les détails de ces cas.
Max Schrems : « Notre procédure de traitement des plaintes initiale a été scindée en deux : une procédure de traitement des plaintes et une seconde procédure d’office. Nous avons demandé à la DPC de s’expliquer sur le sort de la procédure de traitement des plaintes. Au total, cette procédure est en suspens depuis neuf ans, sans même un projet de décision à ce jour . »
Aucune amende – malgré neuf années de transferts de données illégaux ? Une question cruciale de la procédure sera de savoir si seules les futures interdictions de transferts de données doivent être prononcées, ce que Facebook/Meta défendra pendant des années devant les tribunaux irlandais, ou si la décision finale inclura également une amende pour les transferts de données illégaux des dernières années.
Max Schrems : « Facebook va instrumentaliser le système judiciaire irlandais pour retarder toute interdiction effective des transferts de données. L'Irlande devra dépêcher la police pour couper physiquement les câbles avant que ces transferts ne cessent réellement. En revanche, une simple amende pour les dernières années serait facile à mettre en œuvre, la CJUE ayant clairement statué que ces transferts étaient illégaux. Il est étrange que la DPC semble « oublier » la seule sanction efficace dans cette affaire. On pourrait croire que la DPC cherche simplement à faire traîner les choses . »
Serait-ce juste la pointe de l'iceberg ?
