CONCLUSIONS DE L’AVOCAT GÉNÉRAL

M. HENRIK SAUGMANDSGAARD ØE

présentées le 19 décembre 2019 ( 1 )

Affaire C‑311/18

Data Protection Commissioner

contre

Facebook Ireland Limited,

Maximillian Schrems,

en présence de

The United States of America,

Electronic Privacy Information Centre,

BSA Business Software Alliance, Inc.,

Digitaleurope

[demande de décision préjudicielle formée par la High Court (Haute Cour, Irlande)]

« Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement (UE) 2016/679 – Article 2, paragraphe 2 – Champ d’application – Transfert de données à caractère personnel à des fins commerciales vers les États‑Unis d’Amérique – Traitement par les autorités publiques des États‑Unis d’Amérique, à des fins de sécurité nationale, des données transférées – Article 45 – Appréciation du caractère adéquat du niveau de protection assuré dans un pays tiers – Article 46 – Garanties appropriées offertes par le responsable du traitement – Clauses types de protection – Article 58, paragraphe 2 – Pouvoirs des autorités de contrôle – Décision 2010/87/UE – Validité – Décision d’exécution (UE) 2016/1250 – “Bouclier de protection des données UE‑États‑Unis” – Validité – Articles 7, 8 et 47 de la charte des droits fondamentaux de l’Union européenne »

Table des matières

I. Introduction II. Le cadre juridique A. La directive 95/46/CE B. Le RGPD C. La décision 2010/87 D. La décision « bouclier de protection des données » III. Le litige au principal, les questions préjudicielles et la procédure devant la Cour IV. Analyse A. Considérations liminaires B. Sur la recevabilité du renvoi préjudiciel 1. Sur l’applicabilité ratione temporis de la directive 95/46 2. Sur le caractère provisoire des doutes exprimés par le DPC 3. Sur les incertitudes entourant la définition du cadre factuel C. Sur l’applicabilité du droit de l’Union aux transferts à des fins commerciales de données à caractère personnel vers un État tiers susceptible de les traiter à des fins de sécurité nationale (première question) D. Sur le niveau de protection requis dans le cadre d’un transfert fondé sur des clauses contractuelles types (première partie de la sixième question) E. Sur la validité de la décision 2010/87 au regard des articles 7, 8 et 47 de la Charte (septième, huitième et onzième questions) 1. Sur les obligations incombant aux responsables du traitement 2. Sur les obligations incombant aux autorités de contrôle F. Sur l’absence de nécessité de répondre aux autres questions préjudicielles et d’examiner la validité de la décision « bouclier de protection des données » 1. Sur l’absence de nécessité des réponses de la Cour au regard de l’objet du litige au principal 2. Sur les raisons plaidant en défaveur d’un examen par la Cour au regard de l’objet de la procédure pendante devant le DPC G. Observations subsidiaires relatives aux effets et à la validité de la décision « bouclier de protection des données » 1. Sur l’incidence de la décision « bouclier de protection des données » dans le cadre du traitement par une autorité de contrôle d’une plainte relative à la légalité d’un transfert fondé sur des garanties contractuelles 2. Sur la validité de la décision « bouclier de protection des données » a) Précisions concernant la teneur de l’examen de validité d’une décision d’adéquation 1) Sur les termes de la comparaison permettant d’évaluer l’« équivalence substantielle » du niveau de protection 2) Sur la nécessité d’assurer un niveau adéquat de protection au cours de la phase de transit des données 3) Sur la prise en considération des constatations factuelles opérées par la Commission et par la juridiction de renvoi concernant le droit des États‑Unis 4) Sur la portée du standard de l’« équivalence substantielle » b) Sur la validité de la décision « bouclier de protection des données » au regard des droits au respect de la vie privée et à la protection des données à caractère personnel 1) Sur l’existence d’ingérences 2) Sur le caractère « prévu par la loi » des ingérences 3) Sur l’absence d’atteinte au contenu essentiel des droits fondamentaux 4) Sur la poursuite d’un objectif légitime 5) Sur le caractère nécessaire et proportionné des ingérences c) Sur la validité de la décision « bouclier de protection des données » au regard du droit à un recours effectif 1) Sur l’effectivité des recours judiciaires prévus par le droit des États‑Unis 2) Sur l’incidence du mécanisme de médiation sur le niveau de protection du droit au recours effectif V. Conclusion

I. Introduction

1. À défaut de garanties communes en matière de protection des données à caractère personnel au niveau mondial, les flux transfrontières de telles données s’accompagnent d’un risque de rupture dans la continuité du niveau de protection assuré au sein de l’Union européenne. Soucieux de faciliter ces flux tout en limitant ce risque, le législateur de l’Union a institué trois mécanismes en vertu desquels des données à caractère personnel peuvent être transférées depuis l’Union vers un État tiers.

2. En premier lieu, un tel transfert peut être opéré sur le fondement d’une décision par laquelle la Commission européenne constate que l’État tiers en cause assure un « niveau de protection adéquat » des données qui y sont transférées ( 2 ). En deuxième lieu, en l’absence d’une telle décision, le transfert est autorisé lorsqu’il est entouré de « garanties appropriées » ( 3 ). Ces garanties peuvent prendre la forme d’un contrat entre l’exportateur et l’importateur des données intégrant des clauses types de protection adoptées par la Commission. Le RGPD prévoit, en troisième lieu, certaines dérogations, fondées notamment sur le consentement de la personne concernée, permettant le transfert vers un pays tiers même à défaut d’une décision d’adéquation ou de garanties appropriées ( 4 ).

3. La demande de décision préjudicielle formée par la High Court (Haute Cour, Irlande) concerne le deuxième de ces mécanismes. Elle porte, plus précisément, sur la validité de la décision 2010/87/UE ( 5 ), par laquelle la Commission a établi des clauses contractuelles types pour certaines catégories de transferts, au regard des articles 7, 8 et 47 de la charte des droits fondamentaux de l’Union européenne (ci‑après la « Charte »).

4. Cette demande a été présentée dans le cadre d’un litige opposant le Data Protection Commissioner (commissaire à la protection des données, Irlande, ci‑après le « DPC ») à Facebook Ireland Ltd et à M. Maximillian Schrems. Ce dernier a introduit auprès du DPC une plainte relative au transfert de données à caractère personnel le concernant par Facebook Ireland à Facebook Inc., sa société mère établie aux États‑Unis d’Amérique (ci‑après les « États‑Unis »). Le DPC considère que le traitement de cette plainte dépend du point de savoir si la décision 2010/87 est valide. Dans ce contexte, il a saisi la juridiction de renvoi en lui demandant d’interroger la Cour à ce sujet.

5. J’indique d’emblée que l’examen des questions préjudicielles n’a, à mes yeux, révélé aucun élément de nature à affecter la validité de la décision 2010/87.

6. Par ailleurs, la juridiction de renvoi a mis en lumière certains doutes concernant, en substance, le caractère adéquat du niveau de protection assuré par les États‑Unis au regard des ingérences que les activités des autorités de renseignement américaines apportent dans l’exercice des droits fondamentaux des personnes dont les données sont transférées vers ce pays tiers. Ces doutes remettent indirectement en cause les appréciations effectuées par la Commission à ce sujet dans la décision d’exécution (UE) 2016/1250 ( 6 ). Bien que la résolution du litige au principal ne nécessite pas que la Cour tranche cette question et que je lui suggère dès lors de s’en abstenir, j’exposerai à titre subsidiaire les raisons qui m’amènent à m’interroger sur la validité de cette décision.

7. L’ensemble de mon analyse sera guidé par la recherche d’un équilibre entre, d’une part, la nécessité de faire preuve d’un « degré de pragmatisme raisonnable afin de permettre une interaction avec le reste du monde » ( 7 ), et, d’autre part, celle d’affirmer les valeurs fondamentales reconnues dans les ordres juridiques de l’Union et de ses États membres, en particulier par la Charte.

II. Le cadre juridique

A. La directive 95/46/CE

8. L’article 3, paragraphe 2, de la directive 95/46/CE relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ( 8 ) disposait : « La présente directive ne s’applique pas au traitement de données à caractère personnel : – mis en œuvre pour l’exercice d’activités qui ne relèvent pas du champ d’application du droit communautaire, telles que celles prévues aux titres V et VI du traité sur l’Union européenne, et, en tout état de cause, aux traitements ayant pour objet la sécurité publique, la défense, la sûreté de l’État (y compris le bien‑être économique de l’État lorsque ces traitements sont liés à des questions de sûreté de l’État) et les activités de l’État relatives à des domaines du droit pénal, [...] »

9. L’article 13, paragraphe 1, de cette directive était ainsi libellé : « Les États membres peuvent prendre des mesures législatives visant à limiter la portée des obligations et des droits prévus à l’article 6, paragraphe 1, à l’article 10, à l’article 11, paragraphe 1 et aux articles 12 et 21, lorsqu’une telle limitation constitue une mesure nécessaire pour sauvegarder : a) la sûreté de l’État ; b) la défense ; c) la sécurité publique ; d) la prévention, la recherche, la détection et la poursuite d’infractions pénales ou de manquements à la déontologie dans le cas des professions réglementées ; e) un intérêt économique ou financier important d’un État membre ou de l’[Union], y compris dans les domaines monétaire, budgétaire et fiscal ; f) une mission de contrôle, d’inspection ou de réglementation relevant, même à titre occasionnel, de l’exercice de l’autorité publique, dans les cas visés aux points c), d) et e) ; g) la protection de la personne concernée ou des droits et libertés d’autrui. »

10. L’article 25 de ladite directive énonçait : « 1. Les États membres prévoient que le transfert vers un pays tiers de données à caractère personnel faisant l’objet d’un traitement, ou destinées à faire l’objet d’un traitement après leur transfert, ne peut avoir lieu que si, sous réserve du respect des dispositions nationales prises en application des autres dispositions de la présente directive, le pays tiers en question assure un niveau de protection adéquat. 2. Le caractère adéquat du niveau de protection offert par un pays tiers s’apprécie au regard de toutes les circonstances relatives à un transfert ou à une catégorie de transferts de données ; en particulier, sont prises en considération la nature des données, la finalité et la durée du ou des traitements envisagés, les pays d’origine et de destination finale, les règles de droit, générales ou sectorielles, en vigueur dans le pays tiers en cause, ainsi que les règles professionnelles et les mesures de sécurité qui y sont respectées. [...] 6. La Commission peut constater, conformément à la procédure prévue à l’article 31, paragraphe 2, qu’un pays tiers assure un niveau de protection adéquat au sens du paragraphe 2 du présent article, en raison de sa législation interne ou de ses engagements internationaux, souscrits notamment à l’issue des négociations visées au paragraphe 5, en vue de la protection de la vie privée et des libertés et droits fondamentaux des personnes. Les États membres prennent les mesures nécessaires pour se conformer à la décision de la Commission. »

11. L’article 26, paragraphes 2 et 4, de la même directive prévoyait : « 2. Sans préjudice du paragraphe 1, un État membre peut autoriser un transfert, ou un ensemble de transferts, de données à caractère personnel vers un pays tiers n’assurant pas un niveau de protection adéquat au sens de l’article 25, paragraphe 2, lorsque le responsable du traitement offre des garanties suffisantes au regard de la protection de la vie privée et des libertés et droits fondamentaux des personnes, ainsi qu’à l’égard de l’exercice des droits correspondants ; ces garanties peuvent notamment résulter de clauses contractuelles appropriées. [...] 4. Lorsque la Commission décide [...] que certaines clauses contractuelles types présentent les garanties suffisantes visées au paragraphe 2, les États membres prennent les mesures nécessaires pour se conformer à la décision de la Commission. »

12. L’article 28, paragraphe 3, de la directive 95/46 était formulé comme suit : « Chaque autorité de contrôle dispose notamment : [...] – de pouvoirs effectifs d’intervention, tels que, par exemple, celui de rendre des avis préalablement à la mise en œuvre des traitements, conformément à l’article 20, et d’assurer une publication appropriée de ces avis ou celui d’ordonner le verrouillage, l’effacement ou la destruction de données, ou d’interdire temporairement ou définitivement un traitement, ou celui d’adresser un avertissement ou une admonestation au responsable du traitement ou celui de saisir les parlements nationaux ou d’autres institutions politiques, [...] »

B. Le RGPD

13. En vertu de son article 94, paragraphe 1, le RGPD a abrogé la directive 95/46 avec effet au 25 mai 2018, date à laquelle ce règlement a commencé à s’appliquer conformément à son article 99, paragraphe 2.

14. L’article 2, paragraphe 2, dudit règlement dispose : « Le présent règlement ne s’applique pas au traitement de données à caractère personnel effectué : a) dans le cadre d’une activité qui ne relève pas du champ d’application du droit de l’Union ; b) par les États membres dans le cadre d’activités qui relèvent du champ d’application du chapitre 2 du titre V du traité [UE] ; [...] d) par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre des menaces pour la sécurité publique et la prévention de telles menaces. »

15. L’article 4, point 2, du même règlement définit le « traitement » comme « toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction ».

16. L’article 23 du RGPD prévoit : « 1. Le droit de l’Union ou le droit de l’État membre auquel le responsable du traitement ou le sous-traitant est soumis peuvent, par la voie de mesures législatives, limiter la portée des obligations et des droits prévus aux articles 12 à 22 et à l’article 34, ainsi qu’à l’article 5 dans la mesure où les dispositions du droit en question correspondent aux droits et obligations prévus aux articles 12 à 22, lorsqu’une telle limitation respecte l’essence des libertés et droits fondamentaux et qu’elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir : a) la sécurité nationale ; b) la défense nationale ; c) la sécurité publique ; d) la prévention et la détection d’infractions pénales, ainsi que les enquêtes et les poursuites en la matière ou l’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces ; e) d’autres objectifs importants d’intérêt public général de l’Union ou d’un État membre, notamment un intérêt économique ou financier important de l’Union ou d’un État membre [...] ; [...] 2. En particulier, toute mesure législative visée au paragraphe 1 contient des dispositions spécifiques relatives, au moins, le cas échéant : a) aux finalités du traitement ou des catégories de traitement ; b) aux catégories de données à caractère personnel ; c) à l’étendue des limitations introduites ; d) aux garanties destinées à prévenir les abus ou l’accès ou le transfert illicites ; e) à la détermination du responsable du traitement ou des catégories de responsables du traitement ; f) aux durées de conservation et aux garanties applicables, en tenant compte de la nature, de la portée et des finalités du traitement ou des catégories de traitement ; g) aux risques pour les droits et libertés des personnes concernées ; et h) au droit des personnes concernées d’être informées de la limitation, à moins que cela risque de nuire à la finalité de la limitation. »

17. L’article 44 de ce règlement, intitulé « Principe général applicable aux transferts », énonce : « Un transfert, vers un pays tiers ou à une organisation internationale, de données à caractère personnel qui font ou sont destinées à faire l’objet d’un traitement après ce transfert ne peut avoir lieu que si, sous réserve des autres dispositions du présent règlement, les conditions définies dans le présent chapitre sont respectées par le responsable du traitement et le sous‑traitant, y compris pour les transferts ultérieurs de données à caractère personnel au départ du pays tiers ou de l’organisation internationale vers un autre pays tiers ou à une autre organisation internationale. Toutes les dispositions du présent chapitre sont appliquées de manière à ce que le niveau de protection des personnes physiques garanti par le présent règlement ne soit pas compromis. »

18. Conformément à l’article 45 dudit règlement, intitulé « Transferts fondés sur une décision d’adéquation » : « 1. Un transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale peut avoir lieu lorsque la Commission a constaté par voie de décision que le pays tiers, un territoire ou un ou plusieurs secteurs déterminés dans ce pays tiers, ou l’organisation internationale en question assure un niveau de protection adéquat. Un tel transfert ne nécessite pas d’autorisation spécifique. 2. Lorsqu’elle évalue le caractère adéquat du niveau de protection, la Commission tient compte, en particulier, des éléments suivants : a) l’état de droit, le respect des droits de l’homme et des libertés fondamentales, la législation pertinente, tant générale que sectorielle, y compris en ce qui concerne la sécurité publique, la défense, la sécurité nationale et le droit pénal ainsi que l’accès des autorités publiques aux données à caractère personnel, de même que la mise en œuvre de ladite législation, les règles en matière de protection des données, les règles professionnelles et les mesures de sécurité, y compris les règles relatives au transfert ultérieur de données à caractère personnel vers un autre pays tiers ou à une autre organisation internationale qui sont respectées dans le pays tiers ou par l’organisation internationale en question, la jurisprudence, ainsi que les droits effectifs et opposables dont bénéficient les personnes concernées et les recours administratifs et judiciaires que peuvent effectivement introduire les personnes concernées dont les données à caractère personnel sont transférées ; b) l’existence et le fonctionnement effectif d’une ou de plusieurs autorités de contrôle indépendantes dans le pays tiers, ou auxquelles une organisation internationale est soumise, chargées d’assurer le respect des règles en matière de protection des données et de les faire appliquer, y compris par des pouvoirs appropriés d’application desdites règles, d’assister et de conseiller les personnes concernées dans l’exercice de leurs droits et de coopérer avec les autorités de contrôle des États membres ; et c) les engagements internationaux pris par le pays tiers ou l’organisation internationale en question, ou d’autres obligations découlant de conventions ou d’instruments juridiquement contraignants ainsi que de sa participation à des systèmes multilatéraux ou régionaux, en particulier en ce qui concerne la protection des données à caractère personnel. 3. La Commission, après avoir évalué le caractère adéquat du niveau de protection, peut décider, par voie d’actes d’exécution, qu’un pays tiers, un territoire ou un ou plusieurs secteurs déterminés dans un pays tiers, ou une organisation internationale, assure un niveau de protection adéquat au sens du paragraphe 2 du présent article. L’acte d’exécution prévoit un mécanisme d’examen périodique, au moins tous les quatre ans, qui prend en compte toutes les évolutions pertinentes dans le pays tiers ou au sein de l’organisation internationale. [...] 4. La Commission suit, de manière permanente, les évolutions dans les pays tiers et au sein des organisations internationales qui pourraient porter atteinte au fonctionnement des décisions adoptées en vertu du paragraphe 3 du présent article et des décisions adoptées sur la base de l’article 25, paragraphe 6, de la [directive 95/46]. 5. Lorsque les informations disponibles révèlent, en particulier à l’issue de l’examen visé au paragraphe 3 du présent article, qu’un pays tiers, un territoire ou un ou plusieurs secteurs déterminés dans un pays tiers, ou une organisation internationale n’assure plus un niveau de protection adéquat au sens du paragraphe 2 du présent article, la Commission si nécessaire, abroge, modifie ou suspend la décision visée au paragraphe 3 du présent article par voie d’actes d’exécution sans effet rétroactif. [...] 6. La Commission engage des consultations avec le pays tiers ou l’organisation internationale en vue de remédier à la situation donnant lieu à la décision adoptée en vertu du paragraphe 5. [...] 9. Les décisions adoptées par la Commission sur la base de l’article 25, paragraphe 6, de la [directive 95/46] demeurent en vigueur jusqu’à leur modification, leur remplacement ou leur abrogation par une décision de la Commission adoptée conformément au paragraphe 3 ou 5 du présent article. »

19. L’article 46 du même règlement, intitulé « Transferts moyennant des garanties appropriées », est formulé comme suit : « 1. En l’absence de décision en vertu de l’article 45, paragraphe 3, le responsable du traitement ou le sous‑traitant ne peut transférer des données à caractère personnel vers un pays tiers ou à une organisation internationale que s’il a prévu des garanties appropriées et à la condition que les personnes concernées disposent de droits opposables et de voies de droit effectives. 2. Les garanties appropriées visées au paragraphe 1 peuvent être fournies, sans que cela ne nécessite une autorisation particulière d’une autorité de contrôle, par : [...] c) des clauses types de protection des données adoptées par la Commission en conformité avec la procédure d’examen visée à l’article 93, paragraphe 2 ; [...] 5. Les autorisations accordées par un État membre ou une autorité de contrôle sur le fondement de l’article 26, paragraphe 2, de la [directive 95/46] demeurent valables jusqu’à leur modification, leur remplacement ou leur abrogation, si nécessaire, par ladite autorité de contrôle. Les décisions adoptées par la Commission sur le fondement de l’article 26, paragraphe 4, de la [directive 95/46] demeurent en vigueur jusqu’à leur modification, leur remplacement ou leur abrogation, si nécessaire, par une décision de la Commission adoptée conformément au paragraphe 2 du présent article. »

20. Aux termes de l’article 58, paragraphes 2, 4 et 5, du RGPD : « 2. Chaque autorité de contrôle dispose du pouvoir d’adopter toutes les mesures correctrices suivantes : a) avertir un responsable du traitement ou un sous‑traitant du fait que les opérations de traitement envisagées sont susceptibles de violer les dispositions du présent règlement ; b) rappeler à l’ordre un responsable du traitement ou un sous‑traitant lorsque les opérations de traitement ont entraîné une violation des dispositions du présent règlement ; c) ordonner au responsable du traitement ou au sous‑traitant de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits en application du présent règlement ; d) ordonner au responsable du traitement ou au sous‑traitant de mettre les opérations de traitement en conformité avec les dispositions du présent règlement, le cas échéant, de manière spécifique et dans un délai déterminé ; e) ordonner au responsable du traitement de communiquer à la personne concernée une violation de données à caractère personnel ; f) imposer une limitation temporaire ou définitive, y compris une interdiction, du traitement ; [...] i) imposer une amende administrative en application de l’article 83, en complément ou à la place des mesures visées au présent paragraphe, en fonction des caractéristiques propres à chaque cas ; j) ordonner la suspension des flux de données adressés à un destinataire situé dans un pays tiers ou à une organisation internationale. [...] 4. L’exercice des pouvoirs conférés à l’autorité de contrôle en application du présent article est subordonné à des garanties appropriées, y compris le droit à un recours juridictionnel effectif et à une procédure régulière, prévues par le droit de l’Union et le droit des États membres conformément à la Charte. 5. Chaque État membre prévoit, par la loi, que son autorité de contrôle a le pouvoir de porter toute violation du présent règlement à l’attention des autorités judiciaires et, le cas échéant, d’ester en justice d’une manière ou d’une autre, en vue de faire appliquer les dispositions du présent règlement. »

C. La décision 2010/87

21. L’article 26, paragraphe 4, de la directive 95/46 a donné lieu à l’adoption par la Commission de trois décisions par lesquelles elle a constaté que les clauses contractuelles types y énoncées offrent des garanties suffisantes au regard de la protection de la vie privée et des libertés et droits fondamentaux des personnes, ainsi qu’à l’égard de l’exercice des droits correspondants (ci‑après les « décisions CCT ») ( 9 ).

22. Parmi celles‑ci figure la décision 2010/87, dont l’article 1er dispose que « [l]es clauses contractuelles types figurant en annexe sont considérées comme offrant des garanties suffisantes au regard de la protection de la vie privée et des libertés et droits fondamentaux des personnes, ainsi qu’à l’égard de l’exercice des droits correspondants comme l’exige l’article 26, paragraphe 2, de la [directive 95/46] ».

23. En vertu de l’article 3 de cette décision : « Aux fins de la présente décision, on entend par: [...] c) “exportateur de données” : le responsable du traitement qui transfère les données à caractère personnel ; d) “importateur de données” : le sous‑traitant établi dans un pays tiers qui accepte de recevoir de l’exportateur de données des données à caractère personnel destinées à être traitées pour le compte de ce dernier après le transfert conformément à ses instructions et aux conditions de la présente décision et qui n’est pas soumis au mécanisme d’un pays tiers assurant une protection adéquate au sens de l’article 25, paragraphe 1, de la [directive 95/46] ; [...] f) “droit applicable à la protection des données” : la législation protégeant les libertés et les droits fondamentaux des personnes, notamment le droit à la vie privée à l’égard du traitement des données à caractère personnel, et s’appliquant à un responsable du traitement dans l’État membre où l’exportateur de données est établi ; [...] »

24. Dans sa version initiale, l’article 4 de ladite décision prévoyait, à son paragraphe 1 : « Sans préjudice de leurs pouvoirs de prendre des mesures visant à assurer le respect des dispositions nationales adoptées conformément aux chapitres II, III, V et VI de la [directive 95/46], les autorités compétentes des États membres peuvent exercer les pouvoirs dont elles disposent pour interdire ou suspendre les flux de données vers des pays tiers afin de protéger les individus à l’égard du traitement de leurs données à caractère personnel, et ce dans les cas où : a) il est établi que le droit auquel l’importateur de données ou un sous‑traitant ultérieur est soumis oblige ce dernier à déroger au droit applicable à la protection des données au‑delà des limitations nécessaires dans une société démocratique pour l’une des raisons énoncées à l’article 13 de la [directive 95/46] lorsque cette obligation risque d’avoir des conséquences négatives importantes pour les garanties offertes par le droit applicable à la protection des données et les clauses contractuelles types ; b) une autorité compétente a établi que l’importateur de données ou un sous‑traitant ultérieur n’a pas respecté les clauses contractuelles types figurant en annexe ; ou c) il est fort probable que les clauses contractuelles types figurant en annexe ne sont pas ou ne seront pas respectées et que la poursuite du transfert ferait courir aux personnes concernées un risque imminent de subir des dommages graves. »

25. Dans sa version actuelle, telle qu’elle résulte de la modification de la décision 2010/87 par la décision d’exécution (UE) 2016/2297 ( 10 ), l’article 4 de la décision 2010/87 énonce que « [l]orsque les autorités compétentes d’un État membre exercent leurs pouvoirs conformément à l’article 28, paragraphe 3, de la [directive 95/46] pour suspendre ou interdire définitivement les flux de données vers des pays tiers afin de protéger les individus à l’égard du traitement de leurs données à caractère personnel, l’État membre concerné en informe sans délai la Commission, qui transmet l’information aux autres États membres ».

26. L’annexe à la décision 2010/87 contient un ensemble de clauses contractuelles types. En particulier, la clause 3 figurant à cette annexe, intitulée « Clause du tiers bénéficiaire », prévoit : « 1. La personne concernée peut faire appliquer contre l’exportateur de données la présente clause, ainsi que la clause 4, points b) à i), la clause 5, points a) à e) et points g) à j), la clause 6, paragraphes 1 et 2, la clause 7, la clause 8, paragraphe 2, et les clauses 9 à 12 en tant que tiers bénéficiaire. 2. La personne concernée peut faire appliquer contre l’importateur de données la présente clause, ainsi que la clause 5, points a) à e) et g), la clause 6, la clause 7, la clause 8, paragraphe 2, et les clauses 9 à 12 dans les cas où l’exportateur de données a matériellement disparu ou a cessé d’exister en droit, à moins que l’ensemble de ses obligations juridiques n’ait été transféré, par contrat ou par effet de la loi, à l’entité qui lui succède, à laquelle reviennent par conséquent les droits et les obligations de l’exportateur de données, et contre laquelle la personne concernée peut donc faire appliquer lesdites clauses. [...] »

27. La clause 4 énoncée à ladite annexe, intitulée « Obligations de l’exportateur de données », dispose : « L’exportateur de données accepte et garantit ce qui suit : a) le traitement, y compris le transfert proprement dit des données à caractère personnel, a été et continuera d’être effectué conformément aux dispositions pertinentes du droit applicable à la protection des données (et, le cas échéant, a été notifié aux autorités compétentes de l’État membre dans lequel l’exportateur de données est établi) et n’enfreint pas les dispositions pertinentes dudit État ; b) il a chargé, et chargera pendant toute la durée des services de traitement de données à caractère personnel, l’importateur de données de traiter les données à caractère personnel transférées pour le compte exclusif de l’exportateur de données et conformément au droit applicable à la protection des données et aux présentes clauses ; c) l’importateur de données offrira suffisamment de garanties en ce qui concerne les mesures techniques et d’organisation liées à la sécurité spécifiées dans l’appendice 2 du présent contrat ; d) après l’évaluation des exigences du droit applicable à la protection des données, les mesures de sécurité sont adéquates pour protéger les données à caractère personnel contre une destruction fortuite ou illicite, une perte fortuite, une altération, une divulgation ou un accès non autorisé, notamment lorsque le traitement suppose la transmission de données par réseau, et contre toute autre forme illicite de traitement et elles assurent un niveau de sécurité adapté aux risques liés au traitement et à la nature des données à protéger, eu égard au niveau technologique et au coût de mise en œuvre ; e) il veillera au respect des mesures de sécurité ; f) si le transfert porte sur des catégories particulières de données, la personne concernée a été informée ou sera informée avant le transfert ou dès que possible après le transfert que ses données pourraient être transmises à un pays tiers n’offrant pas un niveau de protection adéquat au sens de la [directive 95/46] ; g) il transmettra toute notification reçue de l’importateur de données ou de tout sous-traitant ultérieur conformément à la clause 5, point b), et à la clause 8, paragraphe 3), à l’autorité de contrôle de la protection des données s’il décide de poursuivre le transfert ou de lever sa suspension ; h) il mettra à la disposition des personnes concernées, si elles le demandent, une copie des présentes clauses, à l’exception de l’appendice 2, et une description sommaire des mesures de sécurité, ainsi qu’une copie de tout contrat de sous‑traitance ultérieure ayant été conclu conformément aux présentes clauses, à moins que les clauses ou le contrat ne contienne(nt) des informations commerciales, auquel cas il pourra retirer ces informations ; i) en cas de sous‑traitance ultérieure, l’activité de traitement est effectuée conformément à la clause 11 par un sous-traitant ultérieur offrant au moins le même niveau de protection des données à caractère personnel et des droits de la personne concernée que l’importateur de données conformément aux présentes clauses ; et j) il veillera au respect de la clause 4, points a) à i). »

28. La clause 5 prévue dans la même annexe, intitulée « Obligations de l’importateur de données (1) », énonce : « L’importateur de données accepte et garantit ce qui suit : a) il traitera les données à caractère personnel pour le compte exclusif de l’exportateur de données et conformément aux instructions de ce dernier et aux présentes clauses ; s’il est dans l’incapacité de s’y conformer pour quelque raison que ce soit, il accepte d’informer dans les meilleurs délais l’exportateur de données de son incapacité, auquel cas ce dernier a le droit de suspendre le transfert de données et/ou de résilier le contrat ; b) il n’a aucune raison de croire que la législation le concernant l’empêche de remplir les instructions données par l’exportateur de données et les obligations qui lui incombent conformément au contrat, et si ladite législation fait l’objet d’une modification susceptible d’avoir des conséquences négatives importantes pour les garanties et les obligations offertes par les clauses, il communiquera la modification à l’exportateur de données sans retard après en avoir eu connaissance, auquel cas ce dernier a le droit de suspendre le transfert de données et/ou de résilier le contrat ; c) il a mis en œuvre les mesures techniques et d’organisation liées à la sécurité spécifiées dans l’appendice 2 avant de traiter les données à caractère personnel transférées ; d) il communiquera sans retard à l’exportateur de données : i) toute demande contraignante de divulgation des données à caractère personnel émanant d’une autorité de maintien de l’ordre, sauf disposition contraire, telle qu’une interdiction de caractère pénal visant à préserver le secret d’une enquête policière ; ii) tout accès fortuit ou non autorisé ; et iii) toute demande reçue directement des personnes concernées sans répondre à cette demande, à moins qu’il n’ait été autorisé à le faire ; e) il traitera rapidement et comme il se doit toutes les demandes de renseignements émanant de l’exportateur de données relatives à son traitement des données à caractère personnel qui font l’objet du transfert et se rangera à l’avis de l’autorité de contrôle en ce qui concerne le traitement des données transférées ; f) à la demande de l’exportateur de données, il soumettra ses moyens de traitement de données à une vérification des activités de traitement couvertes par les présentes clauses qui sera effectuée par l’exportateur de données ou un organe de contrôle composé de membres indépendants possédant les qualifications professionnelles requises, soumis à une obligation de secret et choisis par l’exportateur de données, le cas échéant, avec l’accord de l’autorité de contrôle ; [...] »

29. Aux termes de la note en bas de page 1, à laquelle fait appel le titre de la clause 5 figurant à l’annexe de la décision 2010/87 : « Les exigences impératives de la législation nationale le concernant et qui ne vont pas au‑delà de celles qui sont nécessaires dans une société démocratique pour l’un des intérêts énoncés à l’article 13, paragraphe 1, de la directive [95/46], c’est‑à‑dire si elles constituent une mesure nécessaire pour sauvegarder la sûreté de l’État ; la défense ; la sécurité publique ; la prévention, la recherche, la détection et la poursuite d’infractions pénales ou de manquements à la déontologie dans le cas de professions réglementées ; un intérêt économique ou financier important d’un État ou la protection de la personne concernée ou des droits et libertés d’autrui, ne vont pas à l’encontre des clauses contractuelles types. Parmi les exemples de ces exigences impératives qui ne vont pas au‑delà de celles qui sont nécessaires dans une société démocratique figurent, notamment, les sanctions reconnues sur le plan international, les obligations de déclaration fiscale et les obligations de déclaration de lutte contre le blanchiment des capitaux. »

30. La clause 6 contenue dans cette annexe, intitulée « Responsabilité », est libellée comme suit : « 1. Les parties conviennent que toute personne concernée ayant subi un dommage du fait d’un manquement aux obligations visées à la clause 3 ou à la clause 11 par une des parties ou par un sous-traitant ultérieur a le droit d’obtenir de l’exportateur de données réparation du préjudice subi. 2. Si une personne concernée est empêchée d’intenter l’action en réparation visée au paragraphe 1 contre l’exportateur de données pour manquement par l’importateur de données ou par son sous-traitant ultérieur à l’une ou l’autre de ses obligations visées à la clause 3 ou à la clause 11, parce que l’exportateur de données a matériellement disparu, a cessé d’exister en droit ou est devenu insolvable, l’importateur de données accepte que la personne concernée puisse déposer une plainte à son encontre comme s’il était l’exportateur de données, à moins que l’ensemble des obligations juridiques de l’exportateur de données n’ait été transféré, par contrat ou par effet de la loi, à l’entité qui lui succède, contre laquelle la personne concernée peut alors faire valoir ses droits. [...] »

31. La clause 7 énoncée à ladite annexe, intitulée « Médiation et juridiction », dispose : « 1. L’importateur de données convient que si, en vertu des clauses, la personne concernée invoque à son encontre le droit du tiers bénéficiaire et/ou demande réparation du préjudice subi, il acceptera la décision de la personne concernée : a) de soumettre le litige à la médiation d’une personne indépendante ou, le cas échéant, de l’autorité de contrôle ; b) de porter le litige devant les tribunaux de l’État membre où l’exportateur de données est établi. 2. Les parties conviennent que le choix effectué par la personne concernée ne remettra pas en cause le droit procédural ou matériel de cette dernière d’obtenir réparation conformément à d’autres dispositions du droit national ou international. »

32. La clause 9 figurant dans la même annexe, intitulée « Droit applicable », prévoit que les clauses contractuelles types sont régies par le droit de l’État membre où l’exportateur de données est établi.

D. La décision « bouclier de protection des données »

33. L’article 25, paragraphe 6, de la directive 95/46 a servi de fondement à l’adoption par la Commission de deux décisions successives par lesquelles elle a constaté que les États‑Unis assurent un niveau adéquat de protection des données à caractère personnel transférées vers des entreprises établies aux États‑Unis qui ont déclaré adhérer, au moyen d’une procédure d’autocertification, aux principes énoncés dans ces décisions.

34. Dans un premier temps, la Commission a adopté la décision 2000/520/CE relative à la pertinence de la protection assurée par les principes de la « sphère de sécurité » et par les questions souvent posées y afférentes, publiés par le ministère du commerce des [États‑Unis] ( 11 ). Dans l’arrêt du 6 octobre 2015, Schrems ( 12 ) , la Cour a déclaré cette décision invalide.

35. À la suite de cet arrêt, la Commission a, dans un second temps, adopté la décision « bouclier de protection des données ».

36. L’article 1er de cette décision dispose : « 1. Aux fins de l’article 25, paragraphe 2, de la [directive 95/46], les États-Unis assurent un niveau adéquat de protection des données à caractère personnel transférées depuis l’Union vers des organisations établies aux États‑Unis dans le cadre du bouclier de protection des données UE‑États‑Unis. 2. Le bouclier de protection des données UE‑États‑Unis se compose des principes publiés par le ministère américain du commerce le 7 juillet 2016, qui figurent à l’annexe II, et des observations et engagements officiels contenus dans les documents énumérés à l’annexe I et aux annexes III à VII. 3. Aux fins du paragraphe 1, les données à caractère personnel sont transférées dans le cadre du bouclier de protection des données UE‑États‑Unis dès lors qu’elles sont transférées depuis l’Union vers des organisations établies aux États‑Unis qui figurent sur la liste des organisations adhérant au bouclier de protection des données, tenue à jour et publiée par le ministère américain du commerce, conformément aux sections I et III des principes énoncés à l’annexe II. »

37. L’annexe III A de cette décision, intitulée « Mécanisme de médiation du bouclier de protection des données UE–États‑Unis concernant le renseignement d’origine électromagnétique », jointe à une lettre de M. John Kerry, alors Secretary of State (secrétaire d’État, États‑Unis), datée du 7 juillet 2016, contient un mémorandum décrivant une nouvelle procédure de médiation auprès d’un « coordinateur principal de la diplomatie internationale en matière de technologie de l’information » (ci‑après le « médiateur ») désigné par le secrétaire d’État.

38. Aux termes de ce mémorandum, cette procédure a été mise en place « afin de faciliter le traitement des demandes et la formulation des réponses aux demandes concernant l’accès pour raison de sécurité nationale aux données transmises depuis l’[Union] vers les États‑Unis au titre du bouclier de protection des données, de clauses contractuelles types, de règles d’entreprise contraignantes, de “dérogations” ou d’“éventuelles futures dérogations” par les voies établies conformément à la législation et à la politique américaines en vigueur ».

III. Le litige au principal, les questions préjudicielles et la procédure devant la Cour

39. M. Schrems, ressortissant autrichien résidant en Autriche, est un utilisateur du réseau social Facebook. Tous les utilisateurs de ce réseau social résidant sur le territoire de l’Union sont tenus de conclure, lors de leur inscription, un contrat avec Facebook Ireland, filiale de Facebook Inc., elle‑même établie aux États‑Unis. Les données à caractère personnel de ces utilisateurs sont, en tout ou en partie, transférées vers des serveurs appartenant à Facebook Inc., situés sur le territoire des États‑Unis, où elles font l’objet de traitements.

40. Le 25 juin 2013, M. Schrems a saisi le DPC d’une plainte par laquelle il lui demandait, en substance, d’interdire à Facebook Ireland de transférer les données à caractère personnel le concernant vers les États‑Unis. Il y faisait valoir que le droit et les pratiques en vigueur dans ce pays tiers ne garantissaient pas une protection suffisante des données à caractère personnel conservées sur son territoire contre les intrusions découlant des activités de surveillance pratiquées par les autorités publiques. M. Schrems se référait, à cet égard, aux révélations faites par M. Edward Snowden concernant les activités des services de renseignement des États‑Unis, notamment celles de la National Security Agency (NSA) (Agence de sécurité nationale, États‑Unis).

41. Cette plainte a été rejetée au motif, notamment, que toute question relative au caractère adéquat de la protection assurée aux États‑Unis devait être tranchée en conformité avec la décision « sphère de sécurité ». Dans cette décision, la Commission avait constaté que ce pays tiers offrait un niveau adéquat de protection des données à caractère personnel transférées vers des entreprises situées sur son territoire adhérant aux principes énoncés dans ladite décision.

42. M. Schrems a introduit un recours contre la décision de rejet de sa plainte devant la High Court (Haute Cour). Cette juridiction a estimé que, bien que M. Schrems n’ait pas formellement mis en cause la validité de la décision « sphère de sécurité », sa plainte dénonçait, en réalité, la légalité du régime institué par cette décision. Dans ces conditions, ladite juridiction a déféré à la Cour des questions visant, en substance, à savoir si les autorités des États membres en charge de la protection des données (ci‑après les « autorités de contrôle »), lorsqu’elles sont saisies d’une plainte relative à la protection des droits et libertés d’une personne à l’égard du traitement de données à caractère personnel la concernant qui ont été transférées vers un État tiers, sont liées par les constatations relatives à l’adéquation du niveau de protection offert par cet État tiers opérées par la Commission au titre de l’article 25, paragraphe 6, de la directive 95/46, alors même que le plaignant conteste ces constatations.

43. Après avoir jugé, aux points 51 et 52 de l’arrêt Schrems, qu’une décision d’adéquation lie les autorités de contrôle aussi longtemps qu’elle n’a pas été déclarée invalide, la Cour a énoncé ce qui suit aux points 63 et 65 de cet arrêt : « 63. [...] [L]orsqu’une personne, dont les données à caractère personnel ont été ou pourraient être transférées vers un pays tiers ayant fait l’objet d’une décision de la Commission au titre de l’article 25, paragraphe 6, de la directive 95/46, saisit une autorité nationale de contrôle d’une demande relative à la protection de ses droits et libertés à l’égard du traitement de ces données et conteste, à l’occasion de cette demande [...], la compatibilité de cette décision avec la protection de la vie privée et des libertés et droits fondamentaux des personnes, il incombe à cette autorité d’examiner ladite demande avec toute la diligence requise. [...] 65. Dans l’hypothèse [...] où ladite autorité estime fondés les griefs avancés par [cette personne], cette même autorité doit, conformément à l’article 28, paragraphe 3, premier alinéa, troisième tiret, de la directive 95/46, lu à la lumière notamment de l’article 8, paragraphe 3, de la Charte, pouvoir ester en justice. À cet égard, il incombe au législateur national de prévoir des voies de recours permettant à l’autorité nationale de contrôle concernée de faire valoir les griefs qu’elle estime fondés devant les juridictions nationales afin que ces dernières procèdent, si elles partagent les doutes de cette autorité quant à la validité de la décision de la Commission, à un renvoi préjudiciel aux fins de l’examen de la validité de cette décision. »

44. La Cour a également examiné, dans ledit arrêt, la validité de la décision « sphère de sécurité » au regard des exigences découlant de la directive 95/46, lue à la lumière de la Charte. Au terme de cet examen, elle a déclaré cette décision invalide ( 13 ).

45. À la suite de l’arrêt Schrems, la juridiction de renvoi a annulé la décision par laquelle le DPC avait rejeté la plainte de M. Schrems et a renvoyé celle‑ci au DPC pour examen. Ce dernier a ouvert une enquête et a invité M. Schrems à reformuler sa plainte compte tenu de l’invalidation de la décision « sphère de sécurité ».

46. À cette fin, M. Schrems a demandé à Facebook Ireland d’identifier les fondements juridiques sur lesquels reposent les transferts des données à caractère personnel des utilisateurs du réseau social Facebook depuis l’Union vers les États‑Unis. Facebook Ireland, sans identifier toutes les bases juridiques sur lesquelles elle s’appuie, a fait référence à un accord de transfert et de traitement de données (data transfer processing agreement) conclu entre elle‑même et Facebook Inc., applicable depuis le 20 novembre 2015, et a invoqué la décision 2010/87.

47. Dans sa plainte reformulée, M. Schrems fait valoir, d’une part, que les clauses contenues dans cet accord ne sont pas conformes aux clauses contractuelles types figurant à l’annexe de la décision 2010/87. D’autre part, M. Schrems allègue que ces clauses contractuelles types ne pourraient, en tout état de cause, pas fonder le transfert des données à caractère personnel le concernant vers les États‑Unis. Il en irait ainsi dès lors que le droit américain impose à Facebook Inc. de mettre les données à caractère personnel des utilisateurs à la disposition d’autorités américaines, telles que la NSA et le Federal Bureau of Investigation (FBI) (Bureau fédéral d’enquêtes, États‑Unis), dans le cadre de programmes de surveillance qui entraveraient l’exercice des droits garantis aux articles 7, 8 et 47 de la Charte. M. Schrems allègue qu’aucune voie de recours ne permet aux personnes concernées de faire valoir leurs droits au respect de la vie privée et à la protection des données à caractère personnel. Dans ces conditions, M. Schrems demande au DPC de suspendre ce transfert en application de l’article 4 de la décision 2010/87.

48. Facebook Ireland a reconnu, dans le cadre de l’enquête du DPC, qu’elle continue de transférer les données à caractère personnel des utilisateurs du réseau social Facebook résidant dans l’Union vers les États‑Unis et qu’elle se fonde, à cet effet, en grande partie sur les clauses contractuelles types figurant à l’annexe de la décision 2010/87.

49. L’enquête du DPC visait à déterminer, d’une part, si les États‑Unis assurent une protection adéquate des données à caractère personnel des citoyens de l’Union et, d’autre part, dans la négative, si les décisions CCT présentent des garanties suffisantes en ce qui concerne la protection des libertés et droits fondamentaux de ces derniers.

50. À cet égard, dans un projet de décision (draft decision), le DPC a considéré à titre provisoire que le droit américain n’offre pas de voies de recours effectives au sens de l’article 47 de la Charte aux citoyens de l’Union dont les données sont transférées aux États‑Unis, où elles risquent d’être traitées par les agences américaines à des fins de sécurité nationale d’une manière incompatible avec les articles 7 et 8 de la Charte. Les garanties prévues par les clauses figurant en annexe des décisions CCT ne remédieraient pas à cette lacune, dès lors qu’elles ne lient pas les autorités ou agences des États‑Unis et qu’elles ne confèrent aux personnes concernées que des droits contractuels contre l’exportateur et/ou l’importateur des données.

51. Dans ces conditions, le DPC a estimé qu’il ne pouvait pas statuer sur la plainte de M. Schrems sans que la Cour n’examine la validité des décisions CCT. Conformément à ce que prévoit le point 65 de l’arrêt Schrems, le DPC a, dès lors, engagé une procédure devant la juridiction de renvoi visant à ce que cette dernière, si elle partage les doutes du DPC, saisisse la Cour d’un renvoi préjudiciel sur la validité de ces décisions.

52. Le gouvernement des États‑Unis, l’Electronic Privacy Information Centre (EPIC), la Business Software Alliance (BSA) et Digitaleurope ont été autorisés à intervenir devant la juridiction de renvoi.

53. En vue de déterminer si elle partage les doutes émis par le DPC sur la validité des décisions CCT, la High Court (Haute Cour) a reçu les preuves produites par les parties au litige et entendu les arguments présentés par ces dernières ainsi que par les intervenants. En particulier, les dispositions du droit des États‑Unis ont fait l’objet de la présentation de preuves par des experts. En droit irlandais, le droit étranger est considéré comme un point de fait devant être établi par la preuve de la même manière que tout autre fait. Sur la base de ces preuves, la juridiction de renvoi a apprécié les dispositions du droit des États‑Unis qui autorisent la surveillance par les autorités et agences gouvernementales, le fonctionnement de deux programmes de surveillance publiquement reconnus (« PRISM » et « Upstream »), les divers recours ouverts aux particuliers dont les droits ont été violés par des mesures de surveillance, ainsi que les garanties systémiques et les mécanismes de contrôle. Cette juridiction a consigné les résultats de cette appréciation dans un jugement du 3 octobre 2017, annexé à son ordonnance de renvoi [ci‑après le « jugement de la High Court (Haute Cour) du 3 octobre 2017 »].

54. Dans ce jugement, la juridiction de renvoi a fait référence, parmi les fondements juridiques autorisant l’interception de communications étrangères par les services de renseignement américains, à l’article 702 du Foreign Intelligence Surveillance Act (FISA) (loi sur la surveillance en matière de renseignement extérieur) et à l’Executive Order 12333 (décret présidentiel no 12333, ci‑après l’« EO 12333 »).

55. Selon les constatations opérées dans ledit jugement, l’article 702 du FISA permet à l’Attorney General (procureur général, États‑Unis) et au Director of National Intelligence (DNI) (directeur du renseignement national, États‑Unis) d’autoriser conjointement, pour une durée d’un an, aux fins de se procurer des informations en matière de renseignement extérieur, la surveillance de personnes qui ne sont pas des citoyens américains et qui ne résident pas de manière permanente aux États‑Unis (dites « personnes non américaines ») lorsqu’il est raisonnable de penser qu’elles se trouvent en dehors du territoire des États‑Unis ( 14 ). Aux termes du FISA, la notion de « renseignement extérieur » désigne les informations relatives à la capacité du gouvernement de se prémunir des attaques étrangères, au terrorisme, à la prolifération des armes de destruction massive ainsi qu’à la conduite des affaires étrangères des États‑Unis ( 15 ).

56. Ces autorisations annuelles, de même que les procédures régissant le ciblage des personnes à surveiller et le traitement (« minimisation ») des informations recueillies ( 16 ), doivent être approuvées par le Foreign Intelligence Surveillance Court (FISC) (tribunal de la surveillance du renseignement extérieur, États‑Unis). Tandis que la surveillance « traditionnelle » effectuée sur le fondement d’autres dispositions du FISA exige que soit établie une « cause probable » permettant de soupçonner que les personnes surveillées appartiennent à une puissance étrangère ou en sont les agents, les activités de surveillance pratiquées au titre de l’article 702 du FISA ne sont subordonnées ni à l’établissement d’une telle « cause probable » ni à l’approbation par le FISC du ciblage de personnes déterminées. En outre, toujours aux termes des constatations de la juridiction de renvoi, les procédures de minimisation ne s’appliquent pas aux personnes non‑américaines situées en dehors des États‑Unis.

57. En pratique, une fois l’autorisation octroyée par le FISC, la NSA envoie à des fournisseurs de services de communications électroniques établis aux États‑Unis des directives contenant des critères de recherche, appelés « sélecteurs », associés à des personnes ciblées (tels que des numéros de téléphone ou des adresses email). Ces fournisseurs sont alors obligés de transmettre les données qui correspondent aux sélecteurs à la NSA et doivent garder le secret au sujet des directives qui leurs sont adressées. Ils peuvent introduire auprès du FISC une requête visant à faire modifier ou écarter une directive de la NSA. La décision du FISC peut faire l’objet d’un appel auprès de la Foreign Intelligence Surveillance Court of Review (FISCR) (cour révisant les décisions en matière de surveillance du renseignement extérieur, États-Unis).

58. La High Court (Haute Cour) a constaté que l’article 702 du FISA sert de base légale aux programmes PRISM et Upstream.

59. Dans le cadre du programme PRISM, les fournisseurs de services de communications électroniques sont tenus de soumettre à la NSA toutes les communications « en provenance » ou « à destination » du sélecteur communiqué par cette dernière. Une partie de ces communications serait transmise au FBI et à la Central Intelligence Agency (CIA) (Agence centrale de renseignement, États‑Unis). En 2015, 94386 personnes auraient été surveillées et, en 2011, le gouvernement des États‑Unis se serait procuré plus de 250 millions de communications dans le cadre de ce programme.

60. Le programme Upstream repose sur l’assistance obligatoire des entreprises exploitant la « dorsale » – à savoir le réseau de câbles, commutateurs et routeurs – sur laquelle transitent les communications téléphoniques et les communications Internet. Ces entreprises sont contraintes de permettre à la NSA de copier et de filtrer les flux de trafic Internet afin d’acquérir des communications « en provenance », « à destination » ou « concernant » un sélecteur mentionné dans une directive de cette agence. Les communications « concernant » un sélecteur désignent celles qui font référence à ce sélecteur, sans que la personne non américaine associée audit sélecteur y participe nécessairement. S’il résulte d’un avis du FISC du 26 avril 2017 que, depuis cette date, le gouvernement américain ne collecte et n’acquiert plus de communications « concernant » un sélecteur, cet avis n’indique pas que la NSA aurait arrêté de copier et de filtrer les flux de communications transitant par son dispositif de surveillance. Le programme Upstream impliquerait ainsi l’accès par la NSA tant aux métadonnées qu’au contenu des communications. Depuis 2011, la NSA aurait recueilli environ 26,5 millions de communications par an dans le cadre du programme Upstream, ce qui ne représenterait cependant qu’une petite partie des communications soumises au processus de filtrage opéré au titre de ce programme.

61. Par ailleurs, selon les constatations de la High Court (Haute Cour), l’EO 12333 autorise la surveillance de communications électroniques en dehors du territoire des États‑Unis en permettant l’accès, à des fins de renseignement extérieur, à des données soit « en transit » vers ce territoire, soit « transitant » par ce territoire sans être destinées à y subir un traitement, ainsi que la collecte et la conservation de ces données. L’EO 12333 définit la notion de « renseignement extérieur » comme incluant les informations relatives aux capacités, intentions ou activités de gouvernements étrangers, d’organisations étrangères ou de personnes étrangères ( 17 ).

62. L’EO 12333 habiliterait la NSA à accéder aux câbles sous‑marins situés sur le plancher de l’océan Atlantique au moyen desquels des données sont transférées depuis l’Union vers les États‑Unis, avant que ces données arrivent aux États‑Unis et soient de ce fait soumises aux dispositions du FISA. Il n’existe, cependant, aucune preuve d’un quelconque programme mis en œuvre au titre de ce décret présidentiel.

63. Bien que l’EO 12333 prévoie des limites concernant la collecte, la rétention et la dissémination d’informations, ces limites ne s’appliquent pas aux personnes non américaines. Ces dernières bénéficient uniquement des garanties énoncées par la Presidential Policy Directive 28 (directive stratégique présidentielle no 28, ci‑après « PPD 28 »), laquelle s’applique à toutes les activités de collecte et d’utilisation d’informations en matière de renseignement extérieur d’origine électromagnétique. La PPD 28 dispose que le respect de la vie privée fait partie intégrante des considérations à prendre en compte lors de la planification de ces activités, que la collecte doit avoir pour seul but l’acquisition d’informations en matière de renseignement extérieur ainsi que de contre‑espionnage, et que lesdites activités doivent être « aussi ciblées que possible ».

64. D’après la juridiction de renvoi, les activités de la NSA fondées sur l’EO 12333, lequel peut être amendé ou révoqué à tout moment par le président des États‑Unis, ne sont pas régies par la loi, ne font pas l’objet d’une surveillance judiciaire et ne sont pas susceptibles de recours juridictionnels.

65. Sur la base de ces constatations, cette juridiction considère que les États‑Unis procèdent à des traitements massifs et indiscriminés de données à caractère personnel qui pourraient exposer les personnes concernées à un risque de violation des droits qu’elles tirent des articles 7 et 8 de la Charte.

66. Qui plus est, ladite juridiction indique que les citoyens de l’Union n’ont pas accès aux mêmes recours juridictionnels contre des traitements illégaux de leurs données à caractère personnel par les autorités américaines que les ressortissants américains. Le quatrième amendement de la Constitution des États‑Unis, lequel constituerait la protection la plus importante contre la surveillance illégale, serait inapplicable aux citoyens de l’Union qui ne présentent pas de connexion volontaire significative avec les États‑Unis. Si ces derniers disposent néanmoins de certains autres recours, ceux‑ci se heurteraient à des obstacles importants.

67. En particulier, l’article III de la Constitution des États‑Unis subordonne tout recours devant les juridictions fédérales à l’établissement par la personne concernée de sa qualité pour agir (standing). La qualité pour agir suppose, notamment, que cette personne démontre avoir subi un préjudice réel qui soit, d’une part, concret et particularisé, et, d’autre part, actuel ou imminent. En se référant, entre autres, à l’arrêt de la Supreme Court of the United States (Cour suprême des États‑Unis), Clapper v. Amnesty International US ( 18 ), la juridiction de renvoi considère que cette condition est, en pratique, excessivement difficile à remplir, eu égard, notamment, à l’absence de toute obligation d’informer les personnes concernées des mesures de surveillance prises à leur endroit ( 19 ). Une partie des recours à la disposition des citoyens de l’Union serait, de surcroît, soumise au respect d’autres conditions restrictives, telles que la nécessité d’établir un préjudice pécuniaire. L’immunité souveraine reconnue aux agences de renseignement et la classification des informations concernées feraient également obstacle à l’exercice de certaines voies de recours ( 20 ).

68. La High Court (Haute Cour) fait, de surcroît, état de divers mécanismes de contrôle et de supervision des activités des agences de renseignement.

69. Parmi ceux‑ci figurent, d’une part, le mécanisme de certification annuelle par le FISC des programmes fondés sur l’article 702 du FISA, dans le cadre duquel le FISC n’approuve cependant pas les sélecteurs individuels. Par ailleurs, aucun contrôle judiciaire préalable ne régit la collecte d’informations en matière de renseignement extérieur au titre de l’EO 12333.

70. D’autre part, la juridiction de renvoi fait référence à plusieurs mécanismes de supervision extrajudiciaire des activités de renseignement. Elle mentionne, en particulier, le rôle des Inspectors General (inspecteurs généraux, États‑Unis) qui, au sein de chaque agence de renseignement, sont chargés de superviser les activités de surveillance. En outre, le Privacy and Civil Liberties Oversight Board (PCLOB) (conseil de surveillance de la vie privée et des libertés civiles, États‑Unis), une agence indépendante au sein du pouvoir exécutif, reçoit les rapports de personnes désignées au sein de chaque agence en tant qu’agents des libertés civiles ou de la vie privée (civil liberties or privacy officers). Le PCLOB prépare régulièrement des rapports à l’attention de commissions parlementaires et du Président. Les agences concernées doivent porter les incidents relatifs à la méconnaissance des règles et procédures gouvernant la collecte de renseignement extérieur à l’attention, notamment, du DNI. Ces incidents sont également rapportés au FISC. Le Congrès des États‑Unis, par l’intermédiaire des commissions du renseignement de la Chambre et du Sénat, est, lui aussi, investi de la responsabilité de contrôler les activités de renseignement extérieur.

71. Cependant, la High Court (Haute Cour) souligne la différence fondamentale entre, d’une part, les règles visant à assurer que les données soient obtenues légalement et que, une fois obtenues, il n’en soit pas fait un usage abusif, et, d’autre part, les recours disponibles lorsque ces règles sont violées. La protection des droits fondamentaux des personnes concernées ne serait assurée que si des voies de recours effectives leur permettent de faire valoir leurs droits en cas de méconnaissance desdites règles.

72. Dans ces conditions, la juridiction de renvoi considère fondés les arguments, invoqués par le DPC, selon lesquels les limitations qu’impose le droit américain au droit de recours des personnes dont les données sont transférées depuis l’Union ne respectent pas le contenu essentiel du droit garanti à l’article 47 de la Charte et, en tout état de cause, constituent des ingérences disproportionnées dans l’exercice de ce droit.

73. Selon la High Court (Haute Cour), l’introduction par le gouvernement des États‑Unis du mécanisme de médiation décrit dans la décision « bouclier de protection des données » ne remet pas en cause cette appréciation. Après avoir souligné que ce mécanisme est accessible aux citoyens de l’Union qui estiment sur une base raisonnable que leurs données ont été transférées conformément aux décisions CCT ( 21 ), cette juridiction a observé que le médiateur ne constitue pas un tribunal répondant aux exigences de l’article 47 de la Charte et, en particulier, n’est pas indépendant du pouvoir exécutif ( 22 ). Ladite juridiction doute également que l’intervention du médiateur, dont les décisions ne peuvent pas faire l’objet d’un recours juridictionnel, représente une voie de recours effective. En effet, cette intervention ne permet pas aux personnes dont les données personnelles ont été illégalement collectées, traitées ou partagées d’obtenir une indemnisation ou une injonction de cesser les actes illégaux, dès lors que le médiateur ne confirme ni ne nie qu’un requérant a fait l’objet d’une mesure de surveillance électronique.

74. Ayant ainsi exposé ses préoccupations relatives à l’équivalence substantielle entre les garanties prévues par le droit américain et les exigences découlant des articles 7, 8 et 47 de la Charte, la juridiction de renvoi a exprimé des interrogations sur le point de savoir si les clauses contractuelles types prévues dans les décisions CCT – lesquelles, par leur nature, ne lient pas les autorités américaines – sont néanmoins susceptibles d’assurer la protection des droits fondamentaux des personnes concernées. Cette juridiction en a conclu qu’elle partage les doutes du DPC relatifs à la validité de ces décisions.

75. À cet égard, la juridiction de renvoi considère, en particulier, que l’article 28, paragraphe 3, de la directive 95/46, auquel fait référence l’article 4 de la décision 2010/87, en ce qu’il reconnaît aux autorités de contrôle le pouvoir de suspendre ou d’interdire les transferts fondés sur les clauses contractuelles types prévues dans cette décision, ne suffit pas à dissiper ces doutes. Outre que ce pouvoir ne revêt, à ses yeux, qu’une nature discrétionnaire, la juridiction de renvoi s’interroge, à la lumière du considérant 11 de la décision 2010/87, sur la possibilité de l’exercer lorsque les défaillances constatées ne concernent pas un cas particulier et exceptionnel, mais revêtent un caractère général et systémique ( 23 ). Elle estime également que le risque que des décisions divergentes soient prononcées dans différents États membres pourrait s’opposer à ce que la constatation de telles défaillances soit confiée aux autorités de contrôle.

76. Dans ces conditions, la High Court (Haute Cour) a décidé, par décision du 4 mai 2018 ( 24 ), parvenue à la Cour le 9 mai 2018, de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes : « 1) Lorsque des données à caractère personnel sont transférées, à des fins commerciales, par une société privée d’un État membre de l’[Union] à une société privée dans un pays tiers conformément à la [décision 2010/87] et sont susceptibles d’être ensuite traitées par les autorités du pays tiers à des fins de sécurité nationale mais également de maintien de l’ordre public et de conduite des affaires étrangères du pays tiers, le droit de l’Union, y compris la Charte, est‑il applicable au transfert des données, nonobstant les dispositions de l’article 4, paragraphe 2, TUE relatives à la sécurité nationale et les dispositions du premier tiret de l’article 3, paragraphe 2, de la [directive 95/46] relatives à la sécurité publique, la défense et la sûreté de l’État ? 2) a) Pour déterminer si le transfert de données, conformément à la décision [2010/87], de l’[Union] vers un pays tiers où ces données sont susceptibles d’être ensuite traitées à des fins de sécurité nationale, viole les droits d’un particulier, l’instrument de comparaison pertinent aux fins de la directive [95/46] est‑il : i) la Charte, le TUE, le TFUE, la directive [95/46], la [Convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, signée à Rome le 4 novembre 1950 (ci‑après la “CEDH”)] (ou toute autre disposition du droit de l’[Union]) ; ou ii) la législation interne d’un ou de plusieurs États membres ? b) Si l’instrument de comparaison pertinent est ii), les pratiques en matière de sécurité nationale dans un ou plusieurs États membres doivent‑elles également être incluses dans l’instrument de comparaison ? 3) Pour évaluer si un pays tiers garantit aux données à caractère personnel qui y sont transférées le niveau de protection requis par le droit de l’Union aux fins de l’article 26 de la directive [95/46], convient‑il de se référer : a) aux règles applicables dans le pays tiers résultant de son droit interne ou de ses engagements internationaux, et à la pratique visant à assurer le respect de ces règles, y compris les règles professionnelles et les mesures de sécurité qui sont observées dans le pays tiers ; ou b) aux règles mentionnées sous a), auxquelles s’ajoutent les pratiques administratives, réglementaires et de conformité ainsi que les garanties, procédures, protocoles, mécanismes de surveillance et recours extra‑judiciaires tels qu’ils existent dans le pays tiers ? 4) Compte tenu des faits établis par la High Court (Haute Cour) concernant le droit des États‑Unis, le transfert des données à caractère personnel de l’[Union] vers les États‑Unis conformément à la décision [2010/87] viole‑t‑il les droits des particuliers protégés par les articles 7 ou 8 de la Charte ? 5) Compte tenu des faits établis par la High Court (Haute Cour) concernant le droit des États‑Unis, si des données à caractère personnel sont transférées de l’[Union] vers les États‑Unis conformément à la décision [2010/87] : a) Le niveau de protection accordé par les États‑Unis respecte‑t‑il le contenu essentiel du droit d’un particulier à un recours juridictionnel pour violation de ses droits à la confidentialité des données garanti par l’article 47 de la Charte ? En cas de réponse affirmative à la question sous a) : b) Les limitations imposées par le droit des États‑Unis au droit d’un particulier à un recours juridictionnel sont-elles, dans le contexte de la sécurité nationale des États‑Unis, proportionnées au sens de l’article 52 de la Charte et n’excèdent‑t‑elles pas ce qui est nécessaire à des fins de sécurité nationale dans une société démocratique ? 6) a) À la lumière des dispositions de la directive [95/46] et en particulier [de ses] articles 25 et 26 lus à la lumière de la Charte, quel est le niveau de protection requis à accorder aux données à caractère personnel transférées dans un pays tiers en vertu de clauses contractuelles types adoptées conformément à une décision de la Commission au titre de l’article 26, paragraphe 4[, de cette directive] ? b) Quels sont les aspects à prendre en compte pour évaluer si le niveau de protection accordé aux données transférées dans un pays tiers conformément à la décision [2010/87] satisfait aux exigences de la directive [95/46] et de la Charte ? 7) Le fait que les clauses contractuelles types s’appliquent entre l’exportateur et l’importateur de données et ne lient pas les autorités nationales d’un pays tiers qui peuvent exiger de l’importateur qu’il mette à la disposition de ses services de sécurité, pour traitement ultérieur, les données à caractère personnel transférées conformément aux clauses prévues dans la décision [2010/87], exclut‑il que ces clauses offrent des garanties suffisantes telles qu’envisagées à l’article 26, paragraphe 2, de la directive [95/46] ? 8) Si un importateur de données d’un pays tiers est soumis à des règles de surveillance qui, du point de vue d’une [autorité de contrôle], enfreignent les clauses contractuelles types ou les articles 25 et 26 de la directive [95/46] ou la Charte, une [autorité de contrôle] est‑elle tenue de faire usage de ses pouvoirs d’exécution au titre de l’article 28, paragraphe 3, de la directive [95/46] afin de suspendre les flux de données, ou l’exercice de ces pouvoirs est‑il limité aux seuls cas exceptionnels, à la lumière du considérant 11 de la [décision 2010/87], ou bien une [autorité de contrôle] peut‑elle exercer son pouvoir discrétionnaire pour ne pas suspendre les flux de données ? 9) a) Aux fins de l’article 25, paragraphe 6, de la directive [95/46], la décision [“bouclier de protection des données”] constitue‑t‑elle une constatation d’application générale liant les [autorités de contrôle] et les juridictions des États membres, selon laquelle les États‑Unis assurent un niveau de protection adéquat au sens de l’article 25, paragraphe 2, de la directive [95/46] en raison de leur droit interne ou de leurs engagements internationaux ? b) Si tel n’est pas le cas, quelle est la pertinence, le cas échéant, de la décision [“bouclier de protection des données”] pour l’appréciation du caractère suffisant des garanties offertes aux données transférées aux États‑Unis conformément à la décision [2010/87] ? 10) Compte tenu des conclusions de la High Court (Haute Cour) en ce qui concerne le droit des États‑Unis, la mise en place du médiateur “bouclier de protection des données” conformément à l’[annexe III A] de la décision [“bouclier de protection des données”], en combinaison avec le régime existant aux États‑Unis, garantit‑elle que les États‑Unis offrent un recours compatible avec l’article 47 de la Charte aux personnes dont les données à caractère personnel sont transférées aux États‑Unis conformément à la décision [2010/87] ? 11) La décision [2010/87] viole‑t‑elle les articles 7, 8 ou 47 de la Charte ? »

77. Le DPC, Facebook Ireland, M. Schrems, le gouvernement des États‑Unis, l’EPIC, la BSA, Digitaleurope, l’Irlande, les gouvernements belge, tchèque, allemand, néerlandais, autrichien, polonais, portugais et du Royaume‑Uni, le Parlement européen ainsi que la Commission ont déposé des observations écrites devant la Cour. Le DPC, Facebook Ireland, M. Schrems, le gouvernement des États‑Unis, l’EPIC, la BSA, Digitaleurope, l’Irlande, les gouvernements allemand, français, néerlandais, autrichien et du Royaume‑Uni, le Parlement, la Commission ainsi que le comité européen à la protection des données (European Data Protection Board, EDPB) ont été représentés à l’audience de plaidoiries du 9 juillet 2019.

IV. Analyse

A. Considérations liminaires

78. À la suite de l’invalidation de la décision « sphère de sécurité » par la Cour dans l’arrêt Schrems, les transferts de données à caractère personnel vers les États‑Unis se sont poursuivis sur la base d’autres fondements juridiques. En particulier, les sociétés exportatrices de données ont pu recourir à des contrats avec les importateurs des données intégrant des clauses types élaborées par la Commission. Ces clauses servent également de base juridique aux transferts vers une multitude d’autres pays tiers concernant lesquels la Commission n’a pas adopté de décision d’adéquation ( 25 ). La décision « bouclier de protection des données » permet désormais aux entreprises ayant autocertifié leur adhésion aux principes y énoncés de transférer des données personnelles vers les États‑Unis sans autres formalités.

79. Ainsi que l’indique expressément la décision de renvoi et comme l’ont souligné la BSA, Digitaleurope, l’Irlande, les gouvernements autrichien et français, le Parlement de même que la Commission, le litige au principal, pendant devant la High Court (Haute Cour), a pour seul enjeu de déterminer si la décision par laquelle la Commission a institué les clauses contractuelles types invoquées à l’appui des transferts visés dans la plainte de M. Schrems, à savoir la décision 2010/87 ( 26 ), est valide.

80. Ce litige tire son origine d’une plainte par laquelle le DPC a demandé à la juridiction de renvoi de déférer à la Cour une question préjudicielle relative à la validité de la décision 2010/87. Aux dires de cette juridiction, le litige au principal concerne, ainsi, l’exercice de la voie de recours dont la Cour a enjoint l’instauration par les États membres au point 65 de l’arrêt Schrems.

81. Pour rappel, la Cour a jugé, au point 63 de cet arrêt, qu’une autorité de contrôle est tenue de traiter avec toute la diligence requise une plainte dans le cadre de laquelle une personne, dont les données à caractère personnel ont été ou pourraient être transférées vers un pays tiers ayant fait l’objet d’une décision d’adéquation, conteste la compatibilité de cette décision avec les droits fondamentaux consacrés par la Charte. Aux termes du point 65 dudit arrêt, dans l’hypothèse où cette autorité estime fondés les griefs avancés dans cette plainte, elle doit, conformément à l’article 28, paragraphe 3, premier alinéa, troisième tiret, de la directive 95/46 (auquel correspond l’article 58, paragraphe 5, du RGPD), lu à la lumière de l’article 8, paragraphe 3, de la Charte, pouvoir ester en justice. À cet égard, le législateur national doit établir des voies de recours lui permettant de faire valoir ces griefs devant les juridictions nationales afin que ces dernières procèdent, si elles partagent les doutes de ladite autorité, à un renvoi préjudiciel portant sur la validité de la décision en cause.

82. À l’instar de la juridiction de renvoi, j’estime que ces conclusions s’appliquent par analogie lorsque, à l’occasion du traitement d’une plainte formée devant elle, une autorité de contrôle nourrit des doutes sur la validité non pas d’une décision d’adéquation, mais d’une décision, telle que la décision 2010/87, établissant des clauses contractuelles types pour le transfert de données personnelles vers des pays tiers. Contrairement à ce qu’a fait valoir le gouvernement allemand, il n’importe pas que ces doutes correspondent à des griefs portés à son attention par le plaignant ou que cette autorité mette de son propre chef en question la validité de la décision en cause. En effet, les exigences découlant de l’article 58, paragraphe 5, du RGPD et de l’article 8, paragraphe 3, de la Charte, sur lesquelles est ancrée la motivation de la Cour, s’appliquent quels que soient le fondement juridique du transfert visé dans la plainte déposée auprès de l’autorité de contrôle et les raisons ayant amené cette autorité à douter de la validité de la décision concernée dans le cadre du traitement de cette plainte.

83. Cela étant précisé, si le DPC a prié la juridiction de renvoi d’interroger la Cour sur la validité de la décision 2010/87, c’est au motif qu’un éclairage de la Cour à ce sujet lui semble nécessaire au traitement de la plainte par laquelle M. Schrems lui demande d’exercer le pouvoir, dont il était investi en vertu de l’article 28, paragraphe 3, deuxième tiret, de la directive 95/46 – et que lui confère désormais l’article 58, paragraphe 2, sous f), du RGPD –, de suspendre le transfert des données personnelles le concernant par Facebook Ireland vers Facebook Inc.

84. Ainsi, tandis que le litige au principal porte uniquement sur la validité in abstracto de la décision 2010/87, la procédure sous‑jacente en cours devant le DPC a trait à l’exercice par ce dernier de son pouvoir d’adopter des mesures correctrices dans un cas spécifique. Je proposerai à la Cour de s’en tenir à examiner les questions posées dans la mesure nécessaire pour statuer sur la validité de la décision 2010/87, dès lors qu’un tel examen suffira à la juridiction de renvoi pour résoudre le litige pendant devant elle ( 27 ).

85. Avant d’apprécier la validité de cette décision, il convient d’écarter certaines objections soulevées à l’encontre de la recevabilité de la demande de décision préjudicielle.

B. Sur la recevabilité du renvoi préjudiciel

86. La recevabilité de la demande de décision préjudicielle a été contestée pour divers motifs tenant, essentiellement, à l’inapplicabilité ratione temporis de la directive 95/46 visée dans les questions préjudicielles (section 1), au fait que la procédure devant le DPC n’aurait pas atteint un stade suffisamment avancé pour en justifier l’utilité (section 2) et à la subsistance d’incertitudes entourant le cadre factuel décrit par la juridiction de renvoi (section 3).

87. Je répondrai à ces fins de non‑recevoir en gardant à l’esprit la présomption de pertinence dont jouissent les questions déférées à la Cour au titre de l’article 267 TFUE. Selon une jurisprudence constante, la Cour ne peut refuser de statuer sur une demande de décision préjudicielle que s’il apparaît de manière manifeste que l’interprétation sollicitée du droit de l’Union n’a aucun rapport avec la réalité ou l’objet du litige au principal, lorsque le problème est de nature hypothétique ou encore lorsque la Cour ne dispose pas des éléments de fait et de droit nécessaires pour répondre de façon utile aux questions qui lui sont posées ( 28 ).

1. Sur l’applicabilité ratione temporis de la directive 95/46

88. Facebook Ireland excipe de l’irrecevabilité des questions préjudicielles au motif qu’elles font référence à la directive 95/46, alors que cette directive a été abrogée et remplacée par le RGPD avec effet au 25 mai 2018 ( 29 ).

89. Je partage le point de vue selon lequel la validité de la décision 2010/87 doit être examinée à la lumière des dispositions du RGPD.

90. Conformément à l’article 94, paragraphe 2, de ce règlement, « [l]es références faites à la directive abrogée s’entendent comme faites [audit règlement] ». Il en découle, me semble‑t‑il, que la décision 2010/87, en ce qu’elle mentionne en tant que fondement juridique l’article 26, paragraphe 4, de la directive 95/46, doit être comprise comme faisant référence à l’article 46, paragraphe 2, sous c), du RGPD qui en reprend essentiellement le contenu ( 30 ). Par conséquent, les décisions d’exécution adoptées par la Commission en vertu de l’article 26, paragraphe 4, de la directive 95/46, avant l’entrée en vigueur du RGPD, doivent être interprétées à la lumière de ce règlement. C’est également à l’aune dudit règlement que leur validité doit, le cas échéant, être évaluée.

91. Cette conclusion n’est pas remise en cause par la jurisprudence selon laquelle la légalité d’un acte de l’Union doit être appréciée en fonction des éléments de fait et de droit existant à la date où cet acte a été adopté. Cette jurisprudence concerne, en effet, l’examen de la validité d’un acte de l’Union au regard des circonstances de fait pertinentes lors de son adoption ( 31 ) ou des règles de procédure en régissant l’adoption ( 32 ). En revanche, la Cour a itérativement examiné la validité d’actes de droit dérivé à l’aune de normes matérielles de rang supérieur entrées en vigueur après l’adoption de ces actes ( 33 ).

92. Cependant, la désignation, dans l’énoncé des questions préjudicielles, d’un acte qui n’est plus applicable ratione temporis, s’il justifie la reformulation de ces questions, ne saurait en entraîner l’irrecevabilité ( 34 ). Comme l’ont fait valoir le DPC et M. Schrems, les références à la directive 95/46 dans l’énoncé des questions préjudicielles peuvent, du reste, s’expliquer au regard du calendrier procédural de la présente affaire, ces questions ayant été déférées à la Cour avant l’entrée en vigueur du RGPD.

93. En tout état de cause, les dispositions du RGPD qui seront abordées aux fins de l’analyse des questions préjudicielles – à savoir, en particulier, ses articles 45, 46 et 58 – reprennent essentiellement, tout en le développant et à certaines nuances près, le contenu des articles 25, 26 et 28 de la directive 95/46. En ce qui concerne leurs aspects pertinents aux fins de statuer sur la validité de la décision 2010/87, je ne perçois aucune raison d’attribuer à ces dispositions du RGPD une portée distincte de celle des dispositions correspondantes de la directive 95/46 ( 35 ).

2. Sur le caractère provisoire des doutes exprimés par le DPC

94. Selon le gouvernement allemand, la demande de décision préjudicielle est irrecevable au motif que la procédure de recours évoquée au point 65 de l’arrêt Schrems suppose que l’autorité de contrôle se soit forgé une opinion définitive quant au bien-fondé des griefs avancés par le requérant à l’encontre de la validité de la décision en cause. Tel ne serait pas le cas en l’espèce dans la mesure où le DPC a exprimé ses doutes sur la validité de la décision 2010/87, que M. Schrems ne conteste d’ailleurs pas, dans un projet de décision rendu à titre provisoire sans préjudice du dépôt éventuel d’observations complémentaires de la part de Facebook Ireland et de M. Schrems.

95. À mon avis, le caractère provisoire des doutes exprimés par le DPC n’a pas d’incidence sur la recevabilité du renvoi préjudiciel. En effet, les critères de recevabilité d’une question préjudicielle doivent être appréciés par rapport à l’objet du litige tel que défini par la juridiction de renvoi ( 36 ). Or, il est constant que celui‑ci concerne la validité de la décision 2010/87. Aux termes de la décision de renvoi et du jugement y annexé, cette juridiction a estimé que les doutes exprimés par le DPC – sans qu’il importe que ceux‑ci l’aient été à titre provisoire ou définitif – sont fondés et a en conséquence interrogé la Cour sur la validité de cette décision. Dans ces conditions, l’éclairage de la Cour à ce sujet est sans nul doute pertinent aux fins de lui permettre de résoudre le litige dont elle est saisie.

3. Sur les incertitudes entourant la définition du cadre factuel

96. Le gouvernement du Royaume‑Uni allègue que le cadre factuel décrit par la juridiction de renvoi recèle plusieurs lacunes compromettant la recevabilité des questions préjudicielles. Cette juridiction n’aurait pas élucidé si les données à caractère personnel concernant M. Schrems ont effectivement été transférées vers les États‑Unis ni, dans l’affirmative, si elles ont été collectées par les autorités américaines. La base juridique de ces transferts éventuels n’aurait pas non plus été identifiée avec certitude, la décision de renvoi se bornant à mentionner que les données des utilisateurs européens du réseau social Facebook sont transférées « en grande partie » sur la base des clauses contractuelles types prévues par la décision 2010/87. Il n’aurait, en tout état de cause, pas été établi que le contrat entre Facebook Ireland et Facebook Inc., invoqué à l’appui du transfert litigieux, intègre fidèlement ces clauses. Le gouvernement allemand conteste également la recevabilité du renvoi préjudiciel au motif que la juridiction de renvoi n’a pas examiné si M. Schrems a indubitablement donné son consentement aux transferts en question, auquel cas ceux‑ci auraient été valablement fondés sur l’article 26, paragraphe 1, de la directive 95/46 [dont l’article 49, paragraphe 1, sous a), du RGPD reprend essentiellement le contenu].

97. Ces arguments ne remettent nullement en cause la pertinence du renvoi préjudiciel au regard de l’objet du litige au principal. Dès lors que ce litige puise sa source dans l’exercice par le DPC de la voie de recours prévue au point 65 de l’arrêt Schrems, son objet même consiste à obtenir de la juridiction nationale un renvoi préjudiciel sur la validité de la décision 2010/87. Les gouvernements allemand et du Royaume‑Uni contestent, en réalité, la nécessité des questions préjudicielles aux fins non pas de déterminer si cette décision est valide, mais bien de mettre le DPC en mesure de se prononcer in concreto sur la plainte de M. Schrems.

98. En tout état de cause, même sous l’angle de cette procédure sous‑jacente au litige au principal, les questions préjudicielles portant sur la validité de la décision 2010/87 ne m’apparaissent pas dénuées de pertinence. En effet, la juridiction de renvoi a établi que Facebook Ireland a continué à transférer les données de ses utilisateurs vers les États‑Unis après l’invalidation de la décision « sphère de sécurité » et que ces transferts sont fondés, à tout le moins en partie, sur la décision 2010/87. De plus, s’il peut être avantageux que l’ensemble des faits pertinents soient établis avant qu’elle n’exerce sa compétence au titre de l’article 267 TFUE, il appartient à la seule juridiction de renvoi d’apprécier à quel stade de la procédure elle a besoin d’une décision préjudicielle de la Cour ( 37 ).

99. Compte tenu de tout ce qui précède, j’estime que la demande de décision préjudicielle est recevable.

C. Sur l’applicabilité du droit de l’Union aux transferts à des fins commerciales de données à caractère personnel vers un État tiers susceptible de les traiter à des fins de sécurité nationale (première question)

100. Par sa première question, la juridiction de renvoi cherche à savoir si le droit de l’Union s’applique à un transfert de données à caractère personnel par une société située dans un État membre vers une société établie dans un pays tiers effectué pour des raisons commerciales lorsque, après que le transfert a été initié, les données sont susceptibles d’être traitées par les autorités publiques de ce pays tiers à des fins incluant la protection de la sécurité nationale.

101. L’enjeu de cette question pour la résolution du litige au principal réside dans le fait que, si un tel transfert tombait en dehors du champ d’application du droit de l’Union, l’ensemble des objections soulevées à l’encontre de la validité de la décision 2010/87 dans la présente affaire se verrait privé de fondement.

102. Ainsi que l’a observé la juridiction de renvoi, les traitements de données personnelles ayant pour objet la sécurité nationale étaient exclus du champ d’application de la directive 95/46 en vertu de l’article 3, paragraphe 2, de cette directive. L’article 2, paragraphe 2, du RGPD précise désormais que ce règlement ne s’applique pas, notamment, aux traitements de données dans le cadre d’une activité qui ne relève pas du champ d’application du droit de l’Union ou par les autorités compétentes à des fins de protection de la sécurité publique. Ces dispositions reflètent la réserve de compétence que l’article 4, paragraphe 2, TUE reconnaît aux États membres en matière de protection de la sécurité nationale.

103. Le DPC, M. Schrems, l’Irlande, les gouvernements allemand, autrichien, belge, tchèque, néerlandais, polonais et portugais de même que le Parlement et la Commission font valoir que des transferts tels que ceux visés dans la plainte de M. Schrems ne sont pas couverts par ces dispositions et, partant, relèvent du champ d’application du droit de l’Union. Facebook Ireland défend la thèse inverse. Je me rallie au point de vue des premiers.

104. À cet égard, il importe de souligner que le transfert de données à caractère personnel à partir d’un État membre vers un pays tiers constitue, en tant que tel, un « traitement », au sens de l’article 4, point 2, du RGPD, effectué sur le territoire d’un État membre ( 38 ). La première question préjudicielle a, précisément, pour objet de déterminer si le droit de l’Union s’applique au traitement que constitue le transfert lui‑même. Cette question ne porte pas sur l’applicabilité du droit de l’Union aux éventuels traitements ultérieurs, par les autorités américaines à des fins de sécurité nationale, des données transférées vers les États‑Unis, lesquels ne relèvent pas du champ d’application territorial du RGPD ( 39 ).

105. Dans cette perspective, seule doit être prise en considération, aux fins de déterminer si le droit de l’Union s’applique au transfert de données en cause, l’activité dans le cadre de laquelle s’inscrit ce transfert, sans qu’importe l’objet des éventuels traitements ultérieurs que subiront les données transférées de la part des autorités publiques du pays tiers de destination ( 40 ).

106. Or, il ressort de la décision de renvoi que le transfert visé dans la plainte de M. Schrems participe d’une activité commerciale. Ce transfert n’a d’ailleurs pas lieu dans le but de permettre le traitement ultérieur des données en cause par les autorités américaines à des fins de sécurité nationale.

107. Au demeurant, l’approche proposée par Facebook Ireland priverait d’effet utile les dispositions du RGPD relatives aux transferts vers des pays tiers, dès lors qu’il ne peut jamais être exclu que des données transférées dans le cadre d’une activité commerciale seront traitées à des fins de sécurité nationale en aval du transfert.

108. L’interprétation que je préconise trouve confirmation dans le libellé de l’article 45, paragraphe 2, sous a), du RGPD. Cette disposition indique que, lorsqu’elle adopte une décision d’adéquation, la Commission tient compte, notamment, de la législation du pays tiers visé en matière de sécurité nationale. Il peut en être inféré que la possibilité que les données subissent, de la part des autorités du pays tiers de destination, un traitement ayant pour objet la protection de la sécurité nationale ne rend pas le droit de l’Union inapplicable au traitement que constitue le transfert de données vers ce pays tiers.

109. Le raisonnement et les conclusions adoptés par la Cour dans l’arrêt Schrems reposent également sur cette prémisse. En particulier, la Cour y a examiné la validité de la décision « sphère de sécurité », en ce qu’elle portait sur des transferts de données à caractère personnel vers les États‑Unis où elles étaient susceptibles d’être collectées et traitées à des fins de protection de la sécurité nationale, au regard de l’article 25, paragraphe 6, de la directive 95/46, lu à la lumière de la Charte ( 41 ).

110. Eu égard à ces considérations, j’estime que le droit de l’Union s’applique à un transfert de données personnelles à partir d’un État membre vers un pays tiers lorsque ce transfert s’inscrit dans le cadre d’une activité commerciale, sans qu’il importe que les données transférées risquent de subir de la part des autorités publiques de ce pays tiers des traitements visant à en protéger la sécurité nationale.

D. Sur le niveau de protection requis dans le cadre d’un transfert fondé sur des clauses contractuelles types (première partie de la sixième question)

111. Aux termes de la première partie de sa sixième question, la juridiction de renvoi cherche à savoir quel est le niveau de protection des droits fondamentaux des personnes concernées qui doit être assuré afin que des données à caractère personnel puissent être transférées vers un pays tiers en vertu des clauses contractuelles types prévues dans la décision 2010/87.

112. Cette juridiction souligne que, dans l’arrêt Schrems, la Cour a interprété l’article 25, paragraphe 6, de la directive 95/46 (dont le contenu est essentiellement repris à l’article 45, paragraphe 3, du RGPD), en ce qu’il prévoyait que la Commission ne peut adopter une décision d’adéquation qu’après s’être assurée que le pays tiers visé garantit un niveau de protection adéquat, comme supposant que celle‑ci établisse que ce pays assure un niveau de protection des libertés et droits fondamentaux substantiellement équivalent à celui garanti au sein de l’Union en vertu de cette directive, lue à la lumière de la Charte ( 42 ).

113. Dans ce contexte, la première partie de la sixième question préjudicielle invite la Cour à déterminer si l’application de « clauses contractuelles types » adoptées par la Commission en application de l’article 26, paragraphe 4, de la directive 95/46 – correspondant aux « clauses types de protection » désormais mentionnées à l’article 46, paragraphe 2, sous c), du RGPD – doit permettre d’atteindre un niveau de protection correspondant au même standard d’« équivalence substantielle ».

114. À ce propos, l’article 46, paragraphe 1, du RGPD prévoit que le responsable du traitement ne peut, en l’absence d’une décision d’adéquation, transférer des données à caractère personnel vers un pays tiers « que s’il a prévu des garanties appropriées et à la condition que les personnes concernées disposent de droits opposables et de voies de droit effectives » (souligné par mes soins) ( 43 ). Aux termes de l’article 46, paragraphe 2, sous c), du RGPD, ces garanties peuvent notamment résulter de clauses types de protection élaborées par la Commission.

115. À l’instar du DPC, de M. Schrems et de l’Irlande, j’estime que les « garanties appropriées » fournies par le responsable du traitement auxquelles fait référence l’article 46, paragraphe 1, du RGPD doivent assurer que les droits des personnes dont les données sont transférées bénéficient, comme dans le cadre d’un transfert basé sur une décision d’adéquation, d’un niveau de protection substantiellement équivalent à celui qui résulte du RGPD, lu à la lumière de la Charte.

116. Cette conclusion découle de l’objectif de cette disposition et de l’instrument dont elle fait partie.

117. Les articles 45 et 46 du RGPD ont pour but d’assurer la continuité du niveau élevé de protection des données à caractère personnel assuré par ce règlement lorsqu’elles sont transférées en dehors de l’Union. En effet, l’article 44 du RGPD, intitulé « Principe général applicable aux transferts », ouvre le chapitre V relatif aux transferts vers des pays tiers en énonçant que toutes les dispositions de ce chapitre sont appliquées de manière à ce que le niveau de protection garanti par le RGPD ne soit pas compromis en cas de transfert vers un État tiers ( 44 ). Cette règle vise à éviter que les standards de protection découlant du droit de l’Union soient contournés en transférant des données à caractère personnel vers un pays tiers en vue de les y traiter ( 45 ). Au regard de cet objectif, il est indifférent que le transfert soit fondé sur une décision d’adéquation ou sur des garanties offertes par le responsable du traitement, notamment au moyen de clauses contractuelles. Les exigences de protection des droits fondamentaux garantis par la Charte ne connaissent pas de distinction en fonction du fondement légal sur lequel repose un transfert déterminé ( 46 ).

118. En revanche, la manière dont la continuité du niveau élevé de protection est préservée diffère en fonction de la base juridique du transfert.

119. D’une part, une décision d’adéquation a pour objet de constater qu