DATA PRIVACY FRAMEWORK – Le député et membre de la CNIL Phillipe Latombe dépose un recours à la CJUE pour obtenir l’annulation de la décision d’adéquation avec les États-Unis

Le député français, Philippe Latombe, a annoncé qu’un recours avait été déposé à la CJUE « afin d’obtenir l’annulation » de la décision d’adéquation avec les États-Unis (Data Privacy Framework), prise par la Commission européenne le 10 juillet 2023.

Le député, qui est également membre de la CNIL depuis août 2022, précise dans un communiqué que le recours est « déposé à titre personnel, en tant que simple citoyen de l’Union » et qu’il détaille des manquements du DPF :

• à la Charte des droits fondamentaux de l’Union, « en raison de l’insuffisance de garanties du respect de la vie privée et familiale au regard des collectes en vrac de données personnelles » ;
• au RGPD, « en raison de l’absence de garanties d’un droit à un recours effectif et d’un accès à un tribunal impartial, de l’absence d’encadrement des décisions automatisées ou de manques de garanties relatives à la sécurité des données traitées » ; et
• au Règlement de l’Union, car « aucune version autre que celle en langue anglaise ne semble avoir été rédigée et n’est à ce jour disponible ».

Le député note, par ailleurs, qu’« il est regrettable que la Commission ait fait fi des réserves du Parlement européen », que l’avis favorable de la France a été « décidé dans une discrétion totale » et que « l’absence de débat et de vote du DPF au Parlement européen ou dans les parlements nationaux […] n’ont laissé aucune place à l’expression d’une éventuelle contestation ».

Le communiqué complet du député Latombe du 8 septembre 2023 :

L’article 263, 4ème alinéa, du Traité sur le fonctionnement de l’Union européenne (TFUE) disposant que : « Toute personne physique ou morale peut former, dans les conditions prévues aux premier et deuxième alinéas, un recours (…) contre les actes réglementaires qui la concernent directement et qui ne comportent pas de mesures d’exécution », j’ai introduit hier une requête auprès du Tribunal, afin d’obtenir l’annulation de la Data Privacy Framework (DPF), Décision d’adéquation sur le cadre de protection des données UE-Etats-Unis du 10 juillet 2023, prise par la Commission en application du Règlement 2016/679 du Parlement européen et du Conseil du 27 avril 2016 « relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ».

Considérant que cette nouvelle décision d’adéquation porte atteinte à mes droits et qu’elle n’est conforme ni au RGPD, ni à la Charte des Droits Fondamentaux de l’Union, j’ai donc demandé au Tribunal d’en prononcer l’annulation.

J’interviens ici, il est important de le préciser, à titre personnel, en tant que simple citoyen de l’Union, et non comme député français, commissaire aux Lois et commissaire à la CNIL.

La conclusion d’un accord d’adéquation sur le transfert des données personnelles des Européens vers les États-Unis constitue depuis des années un interminable feuilleton, ponctué par les recours déposés et défendus avec succès par l’avocat autrichien Max Schrems. Son association, None Of Your Business (NOYB), souligne d’ailleurs que le récent cadre de protection est une copie du Privacy Shield, dont la décision d’adéquation a été invalidée en 2020, ce dernier étant lui-même la copie du Safe Harbor, lui-même invalidé en octobre 2015 par la CJUE. Un recours devant la Cour de Justice de l’Union européenne (CJUE) est d’ailleurs d’ores et déjà annoncé.

On s’achemine donc à terme vers une nouvelle procédure devant la CJUE et de nouveaux atermoiements, inévitablement chronophages, dont l’issue, même si prévisible, laisse perdurer un vide juridique laissant libre cours aux acteurs américains dominants de pérenniser leur suprématie, au détriment de leurs homologues européens et de la souveraineté européenne. « Time is money », a-t-on coutume de dire outre-Atlantique, « Time is data , pourrait-on dire de nos jours, and data is money ».

La mise en application d’un système protecteur des données personnelles des Européens est donc au point mort, et ce au détriment de leurs droits, mais aussi de la souveraineté et de l’économie européennes.

L’absence de débat et de vote de la DPF au Parlement européen ou dans les parlements nationaux, l’avis favorable de la quasi-totalité des pays membres, (décidé en France dans une discrétion totale), n’ont laissé aucune place à l’expression d’une éventuelle contestation. N’ayant pas eu l’opportunité d’un débat éclairé dans le cadre de mon mandat politique et inquiet des conséquences induites par un tel texte, j’ai choisi une voie procédurale encore inutilisée, mais offerte aux citoyens européens depuis le Traité de Lisbonne. Elle présente, si elle aboutit, l’avantage considérable de la rapidité. Or, il y a urgence : plus vite, l’accord actuel sera suspendu, voire annulé, plus vite, il sera possible de travailler à la finalisation d’un texte satisfaisant, équilibré, ce qui n’est absolument pas le cas en l’état.

D’un point de vue purement formel, la DPF du 10 juillet 2023 viole le règlement n°1 portant fixation du régime linguistique de l’Union. En effet, alors que ce texte est entré en vigueur dès cette date, aucune version autre que celle en langue anglaise ne semble avoir été rédigée et n’est à ce jour disponible. L’article 4 dudit règlement dispose pourtant que « les règlements et autres textes de portée générale sont rédigés dans les langues officielles », et le 3 que « Les textes adressés par les institutions à un État membre (…) sont rédigés dans la langue de cet État ». Cet oubli, fâcheux, a toutes les caractéristiques d’un acte manqué qui à lui seul vaudrait toute une analyse.

Sur le fond, si les négociations étaient objectivement rendues difficiles en raison de conceptions fondamentalement différentes en matière de droit, et plus particulièrement de protection des données personnelles, l’arbitrage s’est opéré quasi systématiquement en faveur d’un tropisme américano-centré. Il ne pouvait en naître qu’un dispositif profondément déséquilibré, construit au détriment du droit européen, pourtant plus protecteur en matière de données personnelles, et in fine des citoyens de l’Union.

Le texte issu de ces négociations viole la Charte des droits fondamentaux de l’Union, en raison de l’insuffisance de garanties du respect de la vie privée et familiale au regard des collectes en vrac de données personnelles, et le Règlement Général sur la Protection des Données (RGPD), en raison de l’absence de garanties d’un droit à un recours effectif et d’un accès à un tribunal impartial, de l’absence d’encadrement des décisions automatisées ou de manques de garanties relatives à la sécurité des données traitées : autant de violations de notre droit que je développe dans le mémoire de 33 pages (+ 283 pages d’annexes) déposé hier auprès du TJUE.

Il est regrettable que la Commission ait fait fi des réserves du Parlement européen, qui soulignait notamment dans sa résolution « qu’une évaluation complète de la mise en œuvre [de principes en matière de protection des données tels que les principes de nécessité et de proportionnalité] dans l’ordre juridique américain pourrait être impossible en raison d’un manque de transparence dans les procédures de la Cour d’examen de la protection des données (Data Protection Review Court, DPRC) ».

Au-delà de la juste contestation d’un accord clairement élaboré au détriment de l’Europe et de ses citoyens, j’espère que cette requête auprès du Tribunal, qui est une première, sera validée, fera jurisprudence et permettra de rééquilibrer les pouvoirs au sein de l’Union, en donnant à chaque citoyen européen soucieux de défendre ses droits la possibilité de contester les décisions qui lui portent préjudice.

Je remercie les juristes, les avocats, les experts qui, en consortium, m’ont accompagné dans cette démarche, certains officiellement, d’autres en catimini. Toutes et tous se reconnaîtront ! La Commission européenne ayant publié la DPF en pleine trêve estivale, ils ont accepté de sacrifier une partie de leurs vacances pour collaborer à ce travail et je leur en suis d’autant plus reconnaissant.