Articles

Schrems II : Invalidation du Privacy Shield (CJUE) (1/2)

CJUE, 16.07.2020, Maximilian Schrems et Data Protection Commissioner contre Facebook Ireland Ltd. (C-311/18)

Le Privacy Shield UE-US n’offre pas un niveau de protection des données adéquat au sens de l’art. 45 RGPD. En effet, le Privacy Shield permet des dérogations disproportionnées à la protection des données en vue de la surveillance par les services de renseignement américains et n’offre aucun recours effectif aux personnes concernées. La décision d’adéquation correspondante de la Commission est dès lors invalide. Partant, les transferts de données vers les États-Unis ne peuvent valablement reposer sur le Privacy Shield.

Faits

Maximilian Schrems, juriste et activiste néerlandais, introduit une plainte concernant le transfert de ses données personnelles par la filiale européenne de Facebook à une entité du groupe aux États-Unis. À l’issue d’une enquête, l’autorité de contrôle irlandaise saisit la High Court afin que celle-ci vérifie la validité des motifs justificatifs sur lesquels s’appuie Facebook pour exporter les données vers les États-Unis. La High Court sursoit à statuer et saisit la Cour de Justice de l’Union européenne (CJUE) de questions préjudicielles.

La CJUE est notamment invitée à examiner la validité de (1) la décision d’adéquation de la Commission européenne permettant les transferts de données vers les États-Unis dans le cadre du Privacy Shield et (2) la décision de la Commission européenne selon laquelle les clauses types de protection des données offrent des garanties suffisantes pour un transfert de données vers un pays tiers.… Lire la suite

Fashion ID, Facebook, le bouton “j’aime” et la notion de coresponsable du traitement

CJUE, 29.07.2019, C-40/17 (Fashion ID GmbH & Co. KG vs Verbraucherzentrale NRW eV)

Le gestionnaire d’un site Internet qui insère sur celui-ci le bouton “j’aime” de Facebook devient coresponsable (avec Facebook) du traitement des données personnelles des visiteurs de son site Internet pour la collecte et la transmission de ces données à Facebook . Si le gestionnaire désire se prévaloir du consentement comme motif justifiant le traitement, il doit l’obtenir et informer les visiteurs de leurs droits avant la collecte des données. 

Faits

Fashion ID est une entreprise de vente de vêtements de mode en ligne. Elle insère sur son site Internet le bouton « j’aime » de Facebook. Grâce à l’insertion de ce bouton, Facebook reçoit de Fashion ID des données personnelles de chaque visiteur du site de cette entreprise, sans que celui-ci en soit informé et indépendamment du fait qu’il soit inscrit sur Facebook ou qu’il clique sur le bouton “j’aime”.

La Verbraucherzentrale NRW, association d’utilité publique de défense des intérêts des consommateurs, reproche à Fashion ID d’avoir transmis à Facebook des données personnelles appartenant aux visiteurs de son site Internet, d’une part, sans le consentement de ces derniers et, d’autre part, en violation des obligations d’information prévues par les dispositions relatives à la protection des données personnelles.… Lire la suite