La Commission nationale de l'informatique et des libertés, 
Vu la convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la directive 95 / 46 / CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; 
Vu l'article 23 de la convention de La Haye du 18 mars 1970 ; 
Vu l'article 1er bis de la loi n° 68-678 du 27 juillet 1968, créé par la loi n° 80-538 du 16 juillet 1980 relative à la communication de documents ou renseignements d'ordre économique, commercial ou technique à des personnes physiques ou morales étrangères ; 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ; 
Vu la délibération de la Commission nationale de l'informatique et des libertés n° 2005-213 du 11 octobre 2005 portant adoption d'une recommandation concernant les modalités d'archivage électronique, dans le secteur privé, de données à caractère personnel ; 
Vu l'avis WP 158 du groupe de travail dit de l'« article 29 » adopté le 11 février 2009 ; 
Après avoir entendu MM. Bernard PEYRAT, Georges de LA LOYÈRE, en leur rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations, 
La Commission nationale de l'informatique et des libertés constate un accroissement des dossiers concernant des transferts de données personnelles vers les Etats-Unis, déposées principalement soit par des filiales françaises de sociétés américaines soit par des sociétés françaises ayant des liens commerciaux avec les Etats-Unis, en raison de procédures de « Discovery » devant des juridictions américaines. 
Pour rappel, la procédure dite de « Discovery » ou de « pre-trial Discovery » est une phase d'investigation et d'instruction préalable au procès civil ou commercial, essentielle pour toute action en justice aux Etats-Unis, faisant obligation à chaque partie de divulguer à l'autre tous les éléments de preuve pertinents au litige dont elle dispose, même si elles lui sont contraires, quelles que soient leur localisation et leur forme. Sont ainsi exclues, les communications d'informations dans le cadre d'affaires pénales. 
Le périmètre de ces échanges d'informations peut être très large et le refus de communication peut aboutir à un jugement défavorable à la partie s'opposant à cette communication. 
La convention de La Haye organise la communication entre Etats contractants de preuves situées à l'étranger dans le cadre de procédures judiciaires nationales. Cette convention prévoit qu'« en matière civile ou commerciale, l'autorité judiciaire d'un Etat contractant peut, conformément aux dispositions de sa législation, demander par commission rogatoire à l'autorité compétente d'un autre Etat contractant de faire tout acte d'instruction, ainsi que d'autres actes judiciaires (...) » (art. 1er). 
La convention de La Haye est la seule convention internationale qui lie la France et les Etats-Unis et constitue un pont entre les systèmes juridiques romano-germaniques et ceux issus de la common law. 
Plus particulièrement concernant les relations avec les Etats-Unis, il est prévu que « tout Etat contractant peut, au moment de la signature, de la ratification ou de l'adhésion, déclarer qu'il n'exécute pas les commissions rogatoires qui ont pour objet une procédure connue dans les Etats de common law sous le nom de " pre-trial Discovery documents ” » (art. 23). 
En France, l'exécution des commissions rogatoires en cas de « pre-trial Discovery of documents » n'est autorisée que « si les documents sont limitativement énumérés dans la commission rogatoire et ont un lien direct et précis avec l'objet du litige » (déclaration faite par la France le 19 janvier 1987 dans le cadre de l'article 23 précité). 
Dans cette hypothèse, la juridiction à laquelle la commission rogatoire a été transmise doit trancher sur la recevabilité des demandes d'obtention de preuve, conformément aux dispositions des articles 743 et suivants du code de procédure civile. 

Il revient alors au juge judiciaire de statuer, conformément aux articles 138 et suivants du nouveau code de procédure civile, sur la production des pièces (y compris les documents dématérialisés) détenues par un tiers ou par une partie en ordonnant la production de l'acte ou de la pièce « dans les conditions et sous les garanties qu'il fixe, au besoin à peine d'astreinte » (1). 
La plupart des pays ayant ratifié la convention de La Haye ont émis eux aussi des réserves ou ont refusé la communication d'informations dans le cadre de « pre-trial Discovery » (art. 23). 
En l'absence de respect de cette procédure en France, les injonctions émises par les autorités américaines concernant des preuves localisées en France sont donc irrégulières. 
En effet, le non-respect de la convention de La Haye entraîne, en France, l'application de la loi n° 68-678 du 26 juillet 1968 relative à la communication de documents et de renseignements d'ordre économique, commercial, industriel, financier ou technique à des personnes physiques ou morales étrangères. 
La loi du 26 juillet 1968 est une loi « bouclier » adoptée pour la défense des intérêts économiques français, pour la protection des données stratégiques des entreprises, contre les actions abusives engagées par les autorités étrangères pour collecter des informations économiques. 
Celle-ci prévoit que, « sous réserve des traités ou accords internationaux et des lois et règlements en vigueur, il est interdit à toute personne de demander, de rechercher ou de communiquer, par écrit, oralement ou sous toute autre forme, des documents ou renseignements d'ordre économique, commercial, industriel, financier ou technique tendant à la constitution de preuves en vue de procédures judiciaires ou administratives étrangères ou dans le cadre de celles-ci ». Le non-respect de cette disposition est sanctionné par une peine d'emprisonnement de 6 mois et / ou par une amende de 18 000 €. 
Comme la communication de données personnelles dans le cadre d'un procès à l'étranger peut engendrer la mise en cause de la personne concernée devant une juridiction étrangère, il est essentiel de s'assurer que l'ensemble des règles juridiques applicables à ce type de situation, et notamment les règles de conflit de lois de droit international privé, sont respectées afin de protéger au mieux le citoyen français et de lui garantir un procès équitable.
A ce titre, la convention de La Haye et la loi n° 68-678 du 26 juillet 1968 relative à la communication de documents ou renseignements d'ordre économique, commercial ou technique à des personnes physiques ou morales étrangères réglementant la communication d'informations à des autorités étrangères doivent être respectées en cas de recherche d'informations sur le territoire français. Toute communication d'information dans le cadre d'une procédure de « Discovery » doit se faire conformément à la convention de La Haye. 
Au demeurant, la CNIL n'a pas compétence pour apprécier la conformité d'un transfert « Discovery » au regard de la convention de La Haye ou de la loi de 1968, dite « loi de blocage ». 
De la même façon, l'obtention d'une autorisation du juge français à l'envoi de documents aux Etats-Unis (procédure de la « letter of request » adressée à la chancellerie) ne dégage pas l'entité française de l'obligation de respecter les dispositions de la loi informatique et libertés, notamment s'agissant de la question du flux de données personnelles hors de l'Union européenne, les deux réglementations étant complémentaires. Rappelons qu'en France, les sanctions pénales qui s'attachent au non-respect des principes de la loi du 6 janvier 1978 modifiée sont significativement plus lourdes que celles prévues en cas de non-respect de la loi de blocage de 1968. 
Les communications de données personnelles dans le cadre des procédures de « Discovery » nécessairement effectuées dans le cadre de la convention de La Haye doivent également être en conformité avec les principes de la loi du 6 janvier 1978 modifiée. Cependant, ces demandes éventuelles de communication de données personnelles ne doivent pas conduire à la création de bases de données destinées à répondre spécifiquement à ces procédures américaines. En effet, elles doivent être abordées comme des fonctionnalités de finalités principales telles que la gestion des ressources humaines ou les fichiers clients-prospects. 
La loi du 6 janvier 1978 modifiée s'applique aux procédures de « Discovery » dès lors qu'elles impliquent des transferts de données personnelles ; cependant, il ne convient pas de procéder à des déclarations spécifiques « Discovery » dans la mesure où ces données ont dû précédemment faire l'objet de déclarations pour leurs finalités principales dans laquelle il est fait état d'une durée de conservation par types de données collectées et traitées. Enfin, les applications techniques visant à sélectionner les données dans le cadre des procédures de « Discovery » n'ont pas vocation à faire l'objet de déclarations. 
Néanmoins, les flux internationaux de données doivent, quant à eux, faire l'objet de déclarations à la CNIL, qui pourra les requalifier en demandes d'autorisation en fonction de l'encadrement juridique entourant ces transferts. 
Enfin, la Commission rappelle l'intérêt pour les entreprises de désigner des « correspondants informatique et libertés », pour aider à résoudre ce type de problématiques. 
La présente recommandation ne traite pas des cas liés aux enquêtes menées par les autorités fédérales américaines, telles que la Security Exchange Commission (SEC) ou la Federal Trade Commission (FTC) ; en outre, elle ne prend pas en compte les problématiques liées aux sanctions des autorités américaines relatives à la destruction prématurée de données.
Le président,
A. Türk