La décision de la CJCE retirera une certaine autorité à la Commission irlandaise de la protection des données et accordera aux autres régulateurs plus de marge de manœuvre.
La Cour de justice européenne a statué aujourd’hui (15 juin) que les autorités nationales de protection des données peuvent engager des poursuites contre les géants de la technologie même lorsqu’elles ne sont pas le chien de garde principal de cette entreprise.
La décision stipule que les autorités nationales, dans les cas où un traitement de données transfrontalier est impliqué, peuvent traduire une entreprise en justice dans leur juridiction en vertu du RGPD plutôt que de se fier uniquement aux actions de l’autorité principale dans l’enquête.
Le RGPD a établi le mécanisme de guichet unique où une entreprise peut signaler à une autorité nationale en Europe ses obligations en matière de protection des données.
C’est pourquoi la Commission irlandaise de la protection des données supervise les enquêtes transfrontalières sur Facebook, Google, Twitter et bien d’autres, car leur siège européen se trouve à Dublin.
Le mécanisme a fait l’objet de nombreuses critiques pour avoir créé des goulets d’étranglement où la charge de travail d’une autorité devient immense. La DPC a fait face à de nombreuses critiques de la part de ses homologues d’autres pays sur le rythme de ses enquêtes.
La décision de la CJCE d’aujourd’hui découle d’une affaire en Belgique où Facebook a contesté la prétention de l’autorité belge à exercer un contrôle sur une plainte concernant l’utilisation de cookies par Facebook.
« Sous certaines conditions, une autorité de contrôle nationale peut exercer son pouvoir de porter toute violation alléguée du RGPD devant un tribunal d’un État membre, même si cette autorité n’est pas l’autorité de contrôle principale en ce qui concerne ce traitement », a déclaré la CJCE.
La décision n’est pas une réprimande catégorique contre le guichet unique, mais elle donne plus de latitude aux autorités nationales d’autres États membres pour poursuivre une entreprise en justice dans leur propre pays dans le cadre d’une enquête transfrontalière.
C’est un coup dur pour Facebook, qui disposera désormais d’un réseau juridique plus complexe pour naviguer si davantage d’autorités peuvent le poursuivre en justice.
« Il s’agit d’une évolution positive dans la volonté de faire respecter notre vie privée quel que soit le lieu d’établissement de l’entreprise dans l’UE », a déclaré Monique Goyens, directrice générale de l’Organisation européenne des consommateurs (BEUC), en réponse à la décision.
« Compte tenu des goulets d’étranglement existants dans le système d’application transfrontalier du RGPD, toutes les autorités nationales doivent pouvoir, sous certaines conditions, prendre les choses en main de manière proactive et utiliser leurs pleins pouvoirs lorsque nos droits sont bafoués », a-t-elle déclaré.
« La plupart des grandes entreprises technologiques sont basées en Irlande, et il ne devrait pas appartenir à la seule autorité de ce pays de protéger 500 millions de consommateurs dans l’UE, surtout si elle ne relève pas le défi. »
Auteur/autrice
