Ce que la Cour a décidé
Le 16 juillet 2020, la Cour de justice de l’Union européenne a statué dans l’affaire C-311/18, dite Schrems II du nom du militant autrichien de la protection des données Maximilian Schrems, à l’origine de la plainte. La Cour :
- a déclaré invalide la décision d’adéquation de la Commission relative au Privacy Shield (décision (UE) 2016/1250) ;
- a jugé que les clauses contractuelles types restent valides en principe ;
- mais a exigé des exportateurs qu’ils vérifient au cas par cas si le droit du pays destinataire assure un niveau de protection substantiellement équivalent à celui de l’UE – et qu’ils ajoutent des mesures supplémentaires ou suspendent le transfert dans le cas contraire.
Pourquoi le Privacy Shield est tombé
La Cour a constaté que les programmes de surveillance américains n’étaient pas limités au strict nécessaire et que les citoyens de l’UE ne disposaient pas d’un recours effectif devant un organe indépendant. Le mécanisme de médiateur du Privacy Shield ne répondait pas à cette exigence.
C’était la deuxième fois que la Cour invalidait un dispositif UE-États-Unis : en 2015, l’arrêt Schrems I (affaire C-362/14) avait invalidé la décision Safe Harbour.
Ce que cela signifie aujourd’hui
Depuis Schrems II, les organisations documentent des analyses d’impact des transferts pour les transferts vers des pays tiers. Le Comité européen de la protection des données a publié en 2021 des recommandations sur les mesures supplémentaires.
Le 10 juillet 2023, la Commission européenne a adopté une nouvelle décision d’adéquation pour le cadre de protection des données UE-États-Unis. Elle ne couvre que les organisations américaines certifiées ; pour les autres, les clauses contractuelles types et l’examen issu de Schrems II continuent de s’appliquer.
Cette page est une information générale, pas un conseil juridique.
Questions fréquentes
L’arrêt Schrems II reste-t-il pertinent après le Data Privacy Framework ?
Oui. Ses exigences s’appliquent toujours à tout transfert non couvert par une décision d’adéquation, par exemple vers des destinataires américains non certifiés ou vers d’autres pays tiers.
Schrems II a-t-il interdit les transferts vers les États-Unis ?
Non. Il a invalidé un mécanisme de transfert, le Privacy Shield, et soumis les transferts fondés sur des clauses contractuelles types à un examen au cas par cas.