Derniers développements de la CJUE en matière de la protection des données à caractère personnel

Transcription

1 Derniers développements de la CJUE en matière de la protection des données à caractère personnel Quelles conséquences tirées des arrêts de la CJUE concernant la protection des données? Maître Azédine LAMAMRA, avocat Conférence de l APDL du 21 octobre 2014

2 Plan Partie I L arrêt Google Spain qui consacre le droit à l oubli - Les enjeux de l arrêt Google dans le cadre de la réforme du droit à la protection des données à caractère personnel - Le «droit à l oubli», nouveauté? - Sur quelle base juridique la CJUE pourrait censurer la nouvelle directive? Partie II La CJUE déclare la directive 2006/24 /CE invalide - La CJUE affirme sa position par rapport à la protection des données - Les problèmes soulevés par l arrêt - Les effets et conséquences de l invalidation d une Directive Partie III Conclusions et Discussion Azédine LAMAMRA, avocat 2

3 Partie I «Le droit à l oubli» consacré par la CJUE C-131/12 affaire Google Spain Azédine LAMAMRA, avocat 3

4 L arrêt Google Spain du 13 mai 2014 Faits: En 2010, M. González a introduit auprès de l Agence espagnole de protection des données, (AEPD) une réclamation à l encontre de La Vanguardia (éditeur d un quotidien) ainsi qu à l encontre de Google Spain et de Google Inc. Il faisait valoir que, lorsqu un internaute introduisait son nom dans le moteur de recherche du groupe Google, la liste de résultats affichait des liens vers deux pages du quotidien. Ces pages annonçaient notamment une vente aux enchères immobilière organisée à la suite d une saisie destinée à recouvrer les dettes de sécurité sociale dues par M. Il demandait, d une part, qu il soit ordonné à La Vanguardia soit de supprimer/ modifier les pages en cause, soit de recourir à certains outils fournis par les moteurs de recherche pour protéger ces données. D autre part, il demandait qu il soit ordonné à Google Spain ou à Google Inc. de supprimer ses données personnelles, car la saisie dont il avait fait l objet avait été entièrement réglée depuis plusieurs années. Azédine LAMAMRA, avocat 4

5 La réclamation dirigée contre l éditeur a été rejetée car ce dernier avait légalement publié les informations selon l AEPD. Mais l AEPD a demandé à Google Spain et Google Inc. de prendre les mesures nécessaires pour retirer les données. Les deux ont introduit deux recours devant l Audience nationale d Espagne pour l annulation de la décision de l AEPD. La juridiction espagnole s est adressée à la CJUE pour l interprétation d un certain nombre de dispositions de la directive 95/46/CE, texte de base en matière de protection des données à caractère personnel, en cours de révision législative. Azédine LAMAMRA, avocat 5

6 Raisonnement de la CJUE I) Champ d application matériel de la directive 95/46 Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l égard du traitement des données à caractère personnel et à la libre circulation de ces données A) Savoir si l activité d un moteur de recherche en tant que fournisseur de contenus.doit être qualifiée de «traitement de données à caractère personnel au sens de la directive (art.2 b))? Arrêt Lindqvist: l opération consistant à faire figurer sur une page internet des données à caractère personnel doit être considérée comme un tel «traitement» 28 de l arrêt: «l activité d un moteur de recherche qui explore de manière automatisée constante et systématique internet à la recherche des informations qui y sont publiées, qui extrait de telles données, qui les collectes, les enregistres, les organise. doit bien être qualifiée de «traitement» au sens de la Directive» Azédine LAMAMRA, avocat 6

7 B) Savoir si un moteur de recherche peut être considéré comme «le responsable du traitement» des données? L art.2 d) de la Directive définit le responsable du traitement comme celui qui «seul ou conjointement avec d autres, détermine les finalités et les moyens du traitement de données à caractère personnel» C est l exploitant du moteur de recherche qui détermine les finalités et les moyens de cette activité ( 32) Cette activité des moteurs de recherche joue un rôle décisif dans la diffusion globale des données et ainsi affecter significativement les droits fondamentaux de la vie privée et la protection des données ( 38) Assurer l effet utile de la directive: l exploitant du moteur de recherche doit assurer dans le cadre de ses responsabilités Principe d accountability: la nécessité de veiller à ce que les responsables du traitement mettent en place des politiques et mécanismes efficaces pour assurer le respect des règles en matière de protection des données Azédine LAMAMRA, avocat 7

8 II) Le champ d application territorial de la directive 95/46 Savoir si Google Spain est bien un «établissement»? - Google Search est exploité par Google Inc, société mère du groupe qui a son siège au USA - Google Spain jouit d une personnalité juridique propre et sert à la promotion des ventes d espaces publicitaires en ligne Effet utile: «les activités de l exploitant du moteur de recherche et celles de son établissement situé dans l Etat membre concerné sont indissociablement liées ( 6) Le traitement de données en question est bien effectuée dans le cadre d un établissement du responsable du traitement sur le territoire d un EM, dès lors que l exploitant du moteur de recherche crée dans un EM une succursale ou une filiale Azédine LAMAMRA, avocat 8

9 III) Le droit à l oubli Savoir si la directive 95/46/CE (art. 12b et 14 1a) permet une interprétation qui garanti le droit à l oubli? - Toute personne pourrait obtenir l arrêt du traitement des données la concernant et l effacement de celles-ci lorsqu elles ne sont plus nécessaires à des fin légitimes. - La proposition de Règlement consacre explicitement pour la première fois ce droit à l oubli - CJUE = gardien des droits fondamentaux s appuie sur la Charte des droits fondamentaux et à la jurisprudence de la CEDH et rappelle son devoir d interpréter la directive à la lumière des droits fondamentaux Azédine LAMAMRA, avocat 9

10 - Conclusions de l avocat général Jääskinen: reconnaître le droit à l oubli «obligerait à sacrifier des droits essentiels, tels que la liberté d expression et d information» 133 des conclusions - CJUE: «même un traitement initialement licite de données exactes peut devenir, avec le temps, incompatibles avec la directive lorsque ces données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées» 93 La sensibilité des informations contenues dans ces annonces pour la vie privée de ladite personne et au fait que leur publication initiale remonte à 16 ans, la personne concernée justifie d un droit à ce que ces informations ne soient plus liées à son nom 98 Azédine LAMAMRA, avocat 10

11 Le droit à l oubli Directive 95/46/CE Art. 12b «Les Etats membres garantissent à toute personne concernée le droit d'obtenir du responsable du traitement: la rectification, l' effacement ou le verrouillage des données dont le traitement n'est pas conforme à la présente directive, notamment en raison du caractère incomplet ou inexact des données.» Art.14 1a «.. droit de s'opposer à tout moment, pour des raisons prépondérantes et légitimes tenant à sa situation particulière, à ce que des données la concernant fassent l'objet d'un traitement, sauf en cas de disposition contraire du droit national. En cas d'opposition justifiée, le traitement mis en œuvre par le responsable du traitement ne peut plus porter sur ces données..» Projet de Directive «Toute personne devrait avoir le droit de faire rectifier des données à caractère personnel inexactes la concernant, et disposer d'un «droit à l oubli numérique» à leur égard lorsque le traitement n'est pas conforme aux principes généraux énoncés dans la présente directive. Lorsque les données à caractère personnel sont traitées dans le cadre d une enquête judiciaire ou d une procédure pénale, le droit à l'information, le droit d'accès, de rectification et d'effacement, et le droit de limitation du traitement peuvent être exercés conformément aux règles nationales de procédure pénale.» (considérant 36) Azédine LAMAMRA, avocat 11

12 Article 16 Droit à l'effacement Les EMs prévoient le droit pour la personne concernée d'obtenir du responsable du traitement l'effacement de données la concernant lorsque le traitement n'est pas conforme aux dispositions adoptées conformément à l'article 4, points a) à e), à l'article 7 et à l'article 8 de la présente directive. - Le responsable du traitement procède à l'effacement sans délai. - Au lieu de procéder à l'effacement, le responsable du traitement marque les données à caractère personnel: (a) pendant une durée permettant au responsable du traitement de vérifier l'exactitude des données, lorsque cette dernière est contestée par la personne concernée; (b) lorsque les données à caractère personnel doivent être conservées à des fins probatoires; (c) lorsque la personne concernée s'oppose à leur effacement et exige, à la place de cela, la limitation de leur utilisation. - Les EMs prévoient que le responsable du traitement informe la personne concernée, par écrit, de tout refus d'effacer ou de marquer les données traitées, des motifs du refus, et des possibilités d'introduire une réclamation auprès de l'autorité de contrôle et de former un recours juridictionnel. Azédine LAMAMRA, avocat 12

13 Projet de Règlement L article 17 lui confère, quant à lui, un droit à l oubli numérique et à l'effacement. Il développe et précise le droit d effacement prévu à l article12, point b), de la directive 95/46/CE et fixe les conditions du droit à l oubli numérique, notamment l obligation qui est faite au responsable du traitement ayant rendu publiques des données à caractère personnel d informer les tiers de la demande de la personne concernée d'effacer tout lien vers ces données ou les copies ou reproductions qui en ont été faites. Il intègre aussi le droit de limiter le traitement dans certains cas, en évitant le terme équivoque de «verrouillage». Azédine LAMAMRA, avocat 13

14 Afin de renforcer le «droit à l'oubli numérique» dans l environnement en ligne, ce droit à l'effacement des données devrait en outre être étendu de façon à ce que le responsable du traitement qui a rendu les données à caractère personnel publiques soit tenu d'informer les tiers qui traitent lesdites données qu'une personne concernée leur demande d'effacer tous liens vers ces données, ou toute copie ou reproduction de celles-ci. Afin d'assurer cette information, le responsable des données devrait prendre toutes les mesures raisonnables, y compris les mesures techniques, à l'égard des données dont la publication lui est imputable. En ce qui concerne la responsabilité de la publication de données à caractère personnel par un tiers, elle devrait être imputée au responsable du traitement lorsqu'il a lui-même autorisé le tiers à l'effectuer. Azédine LAMAMRA, avocat 14

15 Article 17 : Droit à l'oubli numérique et à l'effacement La personne concernée a le droit d'obtenir du responsable du traitement l effacement de données à caractère personnel la concernant et la cessation de la diffusion de ces données, en particulier en ce qui concerne des données à caractère personnel que la personne concernée avait rendues disponibles lorsqu elle était enfant, ou pour l'un des motifs suivants: a) les données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées, b) la personne concernée retire le consentement sur lequel est fondé le traitement, conformément à l'article 6, paragraphe1, pointa), ou lorsque le délai de conservation autorisé a expiré et qu'il n'existe pas d'autre motif légal au traitement des données; c) la personne concernée s'oppose au traitement des données à caractère personnel en vertu de l'article 19; d) le traitement des données n'est pas conforme au présent règlement pour d'autres motifs. Azédine LAMAMRA, avocat 15

16 Article 79 Sanctions administratives L'autorite de contrôle inflige une amende pouvant s'élever à EUR ou, dans le cas d'une entreprise, à 1 % de son chiffre d affaires annuel mondial, à quiconque, de propos délibèré ou par négligence: - ne respecte pas le droit à l'oubli numérique ou à l'effacement, omet de mettre en place des mécanismes garantissant le respect des délais ou ne prend pas toutes les mesures nécessaires pour informer les tiers qu'une personne concernée demande l effacement de tout lien vers les données à caractère personnel, ou la copie ou la reproduction de ces données conformément à l'article 17. Azédine LAMAMRA, avocat 16

17 Un arrêt qui suscite des interrogations. - montre la détermination de la CJUE à assurer son rôle de gardien des droits fondamentaux - place la Charte des droits fondamentaux au cœur du raisonnement - qualifie le droit à l oubli comme élément majeur - les juridictions nationales doivent vérifier l existence ou non d un intérêt du public à avoir accès à l information, car l intérêt peut varier et elles doivent respecter le droit à l information - le droit à l oubli fait partie intégrante du droit à la protection des données (art.8 de la Charte) Azédine LAMAMRA, avocat 17

18 Un arrêt qui suscite des interrogations. Quel délai nécessaire pour réclamer ce droit à l oubli? Modalités de mise en œuvre de ce droit à l oubli Définir le rôle public de la personne concernée (éventuelle exception) Est-ce que la CJUE a une réelle influence sur le projet de réforme? Sachant que la nouvelle législation relative à la protection des données consacre explicitement le droit à l oubli. Azédine LAMAMRA, avocat 18

19 Partie II La CJUE invalide la directive 2006/24/CE Azédine LAMAMRA, avocat 19

20 1) Arrêt Digital Rights et Seitlinger 1) C-293/12 Digital Rights Ireland Ltd La société Digital Rights Ireland Ltd qui promouvait la protection des droits civiques et droits de l homme dans les technologies et communications était propriétaire d un téléphone portable. DRI a introduit un recours contre les autorités irlandaises où elle fait valoir que les autorités ont illégalement traité, conservé et contrôlé les données liées à ses communications. DRI demande l annulation des dispositions nationales irlandaises habilitant les autorités à adopter des mesures imposant aux fournisseurs de services de télécommunication la conservation de données de télécommunication puisqu elles sont incompatibles avec la Constitution Irlandaise et le droit européen. DRI met également en cause la validité de la directive 2006/24 au regard de la Charte /CEDH Azédine LAMAMRA, avocat 20

21 C-594/12 Seitlinger e.a. En 2012 M. Seitlinger et autres requérants ont saisi le Verfassungsgerichtshof autrichien afin de voir déclarer l article 102 bis du TKG 2003 inconstitutionnel car il affectait leurs droits. Cet article prévoit l obligation pour leur opérateur de réseau de communication de conserver des données sans raison, sans nécessités techniques ni buts de facturation et contre leurs volontés et que ceci constitue une atteinte à l article 8 de la Charte des droits fondamentaux. Azédine LAMAMRA, avocat 21

22 Question préjudicielle - Les cours constitutionnelles avaient demandé à la CJUE d examiner la validité/ compatibilité de la directive, notamment à la lumière de deux droits fondamentaux garantis par la charte des droits fondamentaux de l UE, à savoir le droit fondamental au respect de la vie privée et le droit fondamental à la protection des données à caractère personnel. - Le litige porte essentiellement sur la légalité de mesures nationales portant sur la conservation de données relatives aux communications électroniques Azédine LAMAMRA, avocat 22

23 Présentation de la Directive 2006/24 - dualité fonctionnelle notamment l harmonisation et obligation de conservation de données - constitué de la directive 95/46 et de la directive 2002/58 - Opère un profonde modification en imposant une obligation de collecte et de conservation des données - Instauration d un régime dérogatoire Quelques articles importants: Azédine LAMAMRA, avocat 23

24 Article 3: Obligation de conservation de données «1 les EMs prennent les mesures nécessaires pour que les données soient conservées, dans la mesure où elles sont générées ou traitées dans le cadre de la fourniture des services de communication Article 4 : Accès aux données «Les EMs prennent les mesures nécessaires pour veiller à ce que les données conservées ne soient transmises qu aux autorités nationales compétentes.. le respect des exigences de nécessité et de proportionnalité sont arrêtées par chaque EM dans son droit interne, sous réserve des dispositions du droit de l Union européenne ou du droit international public applicables en la matière, en particulier la CEDH telle qu interprétée par la Cour européenne des droits de l homme.» Azédine LAMAMRA, avocat 24

25 Article 6 : Durée de conservation «Les EMs veillent à ce que les données soient conservées pour une durée minimale de six mois et maximale de deux ans à compter de la date de la communication.» Article 7 : Protection et sécurite des données «chaque EM veille à ce que les fournisseurs de services de communications électroniques respectent, au minimum, les principes suivants en matière de sécurite des données, pour ce qui concerne les données conservées: - les données conservées doivent être de la même qualite et soumises aux mêmes exigences de sécurite et de protection que les données sur le réseau; - mesures techniques et organisationnelles appropriées afin de les protéger contre la destruction accidentelle ou illicite, la perte ou l altération accidentelle, ou le stockage, le traitement, l accès ou la divulgation non autorisés ou illicites; - lmesures techniques et organisationnelles appropriées afin de garantir que l accès aux données n est effectué que par un personnel spécifiquement autorisé; - déstruction lorsque leur durée de conservation prend fin, à l exception des données auxquelles on a pu accéder et qui ont éte préservées. Azédine LAMAMRA, avocat 25

26 Quels types de données? Article 5 de la Directive La CJUE constate que ces données sont: - pas de données personnelles au sens classique du terme (pas d informations ponctuelles sur l identité des personnes) - données personnelles dont l exploitation permet l établissement des comportements d une personne relevant strictement de sa vie privée (ex. les habitudes de la vie quotidienne, les lieux de séjour, les déplacements, les activités exercées, les relations sociales et les milieux sociaux fréquentés Azédine LAMAMRA, avocat 26

27 La conservation et l accès aux données = immixtion En imposant la conservation de ces données et en en permettant l accès aux autorités nationales compétentes, la directive s immisce de manière particulièrement grave dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel. Azédine LAMAMRA, avocat 27

28 Les droits fondamentaux visés 1) Article 7 de la Charte: Droit au respect de la vie privée «Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de ses communications.» 2) Article 8 de la Charte: Droit à la protection des données personnelles «Toute personne a droit à la protection des données à caractère personnel la concernant. Ces données doivent être traitées loyalement, à des fins déterminées et sur la base du consentement de la personne concernée ou en vertu d un autre fondement légitime prévu par la loi. Toute personne a le droit d accéder aux données collectées la concernant et d en obtenir la rectification. Le respect de ces règles est soumis au contrôle d une autorité indépendante.» Azédine LAMAMRA, avocat 28

29 3) Article 8 de la CEDH: Droit au respect de la vie privée et familiale «Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance. Il ne peut y avoir ingérence d une autorité publique dans l exercice de ce droit que pour autant que cette ingérence est prévue par la loi et qu elle constitue une mesure qui, dans une société démocratique, est nécessaire à la sécurité nationale, à la sûreté publique, au bien-être économique du pays, à la défense de l ordre et à la prévention des infractions pénales, à la protection de la santé ou de la morale, ou à la protection des droits et libertés d autrui.» Ces textes constituent une base solide pour la protection de la vie privée, mais n excluent pas toute atteinte si celle-ci est «prévue par la loi, proportionnée et nécessaire dans une société démocratique» Azédine LAMAMRA, avocat 29

30 Principe de proportionnalité / Principe de subsidiarité Article 5 TUE: «Le principe d'attribution régit la délimitation des compétences de l'union. Les principes de subsidiarité et de proportionnalité régissent l'exercice de ces compétences. l'union n'agit que dans les limites des compétences que les États membres lui ont attribuées dans les traités pour atteindre les objectifs que ces traités établissent. Toute compétence non attribuée à l'union dans les traités appartient aux États membres. En vertu du principe de subsidiarité, dans les domaines qui ne relèvent pas de sa compétence exclusive, l'union intervient seulement si, et dans la mesure où, les objectifs de l'action envisagée ne peuvent pas être atteints de manière suffisante par les États membres, tant au niveau central qu'au niveau régional et local, mais peuvent l'être mieux, en raison des dimensions ou des effets de l'action envisagée, au niveau de l'union» Deux principes qui conditionnent l adoption des actes des institutions Article 52 1 de la Charte: - Est une condition de légitimité de toute limitation de l exercice des droits fondamentaux Azédine LAMAMRA, avocat 30

31 Problèmes soulevés par l arrêt 1) Durée de conservation jugée disproportionnée 2) Manque de protection contre les risques d abus 3) Absence de mesures pour limiter au strict nécessaires l ingérence dans la vie des individus Azédine LAMAMRA, avocat 31

32 La proportionnalité de l ingérence - Disproportion manifeste entre l intensité de l intervention dans le domaine de la régulation des droits fondamentaux - Représente une ingérence dans le droit au respect de la vie privée qui ne peut être sous-estimée - Ingérence caractérisée tout en abandonnant aux EM le soin de garantir effectivement le respect des droits fondamentaux Azédine LAMAMRA, avocat 32

33 Compatibilité des dispositions de la directive 2006/24 avec les dispositions de la Charte (art. 7, art. 8) et la proportionnalité des mesures au regard de l art Azédine LAMAMRA, avocat 33

34 Décision de la CJUE: Directive «invalide» Car la directive "comporte une ingérence d'une vaste ampleur et d'une gravité particulière dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel sans que cette ingérence soit limitée au strict nécessaire". Mais la Cour a considéré que "la conservation des données en vue de leur transmission éventuelle aux autorités nationales compétentes répond effectivement à un objectif d'intérêt général, à savoir la lutte contre la criminalité grave ainsi que, en définitive, la sécurité publique". Azédine LAMAMRA, avocat 34

35 - Principe de sécurité juridique - Art. 264 TFUE: la Cour bénéficie d un pouvoir d appréciation pour indiquer les effets de l acte concerné qui doivent être considérés comme définitifs la directive est invalide du fait de l absence d encadrement suffisant des garanties régissant l accès aux données collectées et conservées et leur exploitation, laquelle peut toutefois avoir trouver correction dans le cadre des mesures de transposition adoptées par les EM Ingérence particulièrement grave MAIS: le respect de la vie privée n était pas atteint, car la Directive ne permet pas de prendre connaissance du contenu des communications en tant que tel Azédine LAMAMRA, avocat 35

36 II) Les effets de l invalidation d une Directive Azédine LAMAMRA, avocat 36

37 L invalidité ou l annulation de dispositions de droit dérivé de portée générale est relativement rare, il faut: d une part, que les droits en cause soient particulièrement importants, ce qui est le cas du droit à la vie privée et de celui à la protection des données personnelles ; d autre part, que l ingérence soit indubitablement grave, ce que les juges se sont efforcés de démontrer en additionnant les éléments juridiques établissant que le législateur de l Union avait excédé son pouvoir d appréciation, violant le principe de proportionnalité. Azédine LAMAMRA, avocat 37

38 L INVALIDATION - n entraîne pas, l annulation de l acte - rappel: l annulation provoque la disparition pure et simple de l acte, - or un acte déclaré invalide continue à subsister dans l ordre juridique, mais est inapplicable avec effet rétroactif - un acte peut être déclaré invalide dans son intégralité ou partiellement - la différence entre invalidité et annulation est de pure forme : l acte dans son entier n a plus vocation à s appliquer à compter de sa date d entrée en vigueur (la Cour peut limiter les effets dans le temps pour des raisons de sécurité juridique) - c est irrévocable et produit un effet erga omnes c-à-d l arrêt ne s adresse qu au juge national qui a saisi la Cour - les juridictions nationales ne peuvent donc plus appliquer l acte déclaré invalide Azédine LAMAMRA, avocat 38

39 Les effets? Dans l ordre juridique interne: - il appartient aux autorités nationales de tirer les conséquences, dans leur ordre juridique, - les autorités nationales peuvent être conduites à déclarer inapplicables les mesures nationales adoptées sur la base de l acte invalidé (exemples : loi nationale transposant la directive) - le législateur national peut d abroger les mesures prises en application de l acte européen invalide. - attention: lorsqu une décision définitive a été rendue au niveau national et que cette décision est remise en cause postérieurement par un arrêt préjudiciel de la Cour, les autorités nationales ne peuvent revenir sur cette décision que si le droit national leur reconnaît un tel pouvoir dans le contentieux interne - les institutions compétentes de l Union doivent prendre les mesures nécessaires pour remédier à l invalidité constatée. - possibilité d adopter un nouvel acte - les institutions sont tenues de réparer le préjudice qui a résulté de l illégalité commise, sous réserve de l existence d une faute, d un préjudice et d un lien de causalité Azédine LAMAMRA, avocat 39

40 Merci pour votre attention!