- Administratif
- Affaires
- Civil
- Toute la matière
- > Arbitrage - Médiation - Conciliation
- > Biens - Propriété
- > Contrats et obligations
- > Droit et liberté fondamentaux
- > Droit international et communautaire
- > Famille - Personnes
- > Filiation
- > Mariage - Divorce - Couple
- > Procédure civile
- > Responsabilité
- > Successions - Libéralités
- > Sûretés
- > Voies d'exécution
- Européen
- Immobilier
- IP/IT et Communication
- Pénal
- Toute la matière
- > Atteinte à l'autorité de l'état
- > Atteinte à la personne
- > Circulation et transport
- > Criminalité organisée et terrorisme
- > Droit pénal des affaires
- > Droit pénal général
- > Droit pénal international
- > Droit social
- > Enquête
- > Etranger
- > Informatique
- > Instruction
- > Jugement
- > Mineur
- > Peine et exécution des peines
- > Presse et communication
- > Santé publique
- Social
- Toute la matière
- > Accident, maladie et maternité
- > Contrat de travail
- > Contrôle et contentieux
- > Droit de la sécurité sociale
- > IRP et syndicat professionnel
- > Négociation collective
- > Protection sociale
- > Rémunération
- > Rupture du contrat de travail
- > Santé publique
- > Temps de travail
- > Travailleurs handicapés
- Avocat
Article
Quand l’Autorité de protection des données irlandaise conteste la mise en œuvre du mécanisme de coopération prévu par le RGPD
Quand l’Autorité de protection des données irlandaise conteste la mise en œuvre du mécanisme de coopération prévu par le RGPD
L’Autorité de protection des données irlandaise est sans nul doute l’autorité nationale qui est la plus à même de définir la politique européenne en matière de protection des données personnelles : les grandes entreprises de la tech ayant pour la plupart installé leur QG européen à Dublin, l’Autorité irlandaise est l’autorité cheffe de file pour les dossiers les plus sensibles (RGPD, art. 56, §1). Elle s’est pourtant souvent montrée en retrait. Il est alors crucial que le dernier mot ne lui revienne pas toujours. Le Comité européen de la protection des données (CEPD) et les autres autorités nationales ont heureusement un rôle à jouer. La décision du Tribunal de l’Union européenne (10e chambre élargie) publiée le 29 janvier 2025 est à cet égard importante.
par Fabienne Jault-Seseke, Professeur à l’Université de Paris Saclay, UVSQ, Dantele 6 février 2025
En l’espèce, l’Autorité irlandaise, la Data Protection Commission, a demandé l’annulation partielle de décisions contraignantes prises le 5 décembre 2022 par le CEPD dans le cadre du contrôle sur Facebook, Instagram et WhatsApp (réseaux et app du groupe Meta). Ces décisions lui enjoignaient de conduire de nouvelles enquêtes sur les traitements de données liés à ces applications et de proposer de nouvelles décisions. Après les réclamations présentées par l’association présidée par Maximilian Schrems (NOYB), l’Autorité irlandaise avait présenté trois projets de décision aux autres autorités nationales, qui vues les entreprises contrôlées, étaient toutes concernées par les traitements de données en cause, suspectés de violer tant le principe de licéité (RGPD, art. 6) que les règles relatives aux données sensibles (RGPD, art. 9). Les projets de décisions étaient très cléments et plusieurs autorités nationales ont formulé des objections, estimant que l’autorité cheffe de file devait élargir ses investigations. Faute d’obtenir un consensus parmi les différentes autorités nationales, l’Autorité irlandaise a mis en place le mécanisme de contrôle de la cohérence (RGPD, art. 60, § 4) et saisi le CEPD. Celui-ci a adopté trois décisions contraignantes (RGPD, art. 65, § 1, a) après avoir estimé que certaines objections étaient justifiées, notamment celles relatives à la nécessité du consentement des utilisateurs. Le CEPD considérait en outre que l’Autorité irlandaise devait mener de nouvelles enquêtes sur les traitements de données effectués par Meta.
L’Autorité irlandaise a contesté devant le Tribunal de l’UE la compétence du CEPD pour lui imposer ces mesures. Après avoir écarté les demandes d’intervention du Contrôleur européen de la protection des données mais aussi de NOYB, le tribunal rejette les recours de l’Autorité irlandaise et la condamne aux dépens.
L’Autorité irlandaise faisait feu de tout bois pour démontrer que le CEPD n’avait pas compétence pour lui ordonner de mener de nouvelles enquêtes. Avec un certain cynisme, elle faisait valoir que la simplification résultant du guichet unique s’opposerait à la réouverture d’une enquête qui par hypothèse complique la tâche des personnes et retarde le règlement du dossier. Bien que le CEPD ait échoué à faire écarter certains arguments qui auraient été avancés tardivement, il voit sa compétence confortée par le tribunal.
L’Autorité irlandaise arguait notamment que la décision contraignante ne pouvait porter que...
