Protection des données à caractère personnel et responsabilité des Institutions de l’UE : Enseignements clés de l’Arrêt T-354/22

La question des transferts de données à caractère personnel en dehors de l’Espace économique européen reste non seulement très actuelle, mais également très sensible.  La décision rendue par le Tribunal de justice de l’Union européenne le 8 janvier 2025 l’illustre parfaitement.  L’affaire examinée opposait un citoyen allemand à la Commission européenne. Cette affaire (T-354/22) questionne la licéité des transferts de données à caractère personnel vers des pays tiers réalisés par la Commission et rappelle l’obligation des institutions européennes de garantir un niveau de protection conforme aux standards du RGPD et du règlement 2018/1725.

1. L’affaire en bref. M. Bindl, après avoir accédé au site de la Conférence sur l’avenir de l’Europe, a constaté que des connexions avec des tiers, notamment Amazon Web Services (AWS) et Meta Platforms Inc. (Facebook), avaient été activées, soulevant des interrogations sur d’éventuels transferts de données hors de l’UE. En voulant s’inscrire à un événement sur ce site, il a utilisé l’option d’authentification via Facebook (EU Login), entraînant un transfert de son adresse IP et d’autres informations vers les serveurs de Meta, aux États-Unis. M. Bindl, citoyen allemand s’intéressant de près aux sujets d’informatique et de protection des données, a demandé des clarifications à la Commission, laquelle a tardé à lui répondre. L’affaire portait sur trois points : l’annulation des transferts de données, la reconnaissance d’une carence de la Commission et une demande d’indemnisation pour préjudice moral.
2. Les enseignements juridiques. Le Tribunal a rejeté les demandes d’annulation et de reconnaissance d’une carence, estimant que les transferts litigieux ne constituaient pas des actes attaquables au sens de l’article 263 TFUE. Toutefois, concernant la question de la responsabilité de la Commission, le Tribunal a retenu que le transfert de données personnelles vers les États-Unis constituait bien une violation de l’article 46 du RGPD, en l’absence de garanties suffisantes. Le Tribunal a ainsi condamné la Commission européenne à verser à M. Bindl la somme de 400 euros en réparation du préjudice subi.

Ce jugement repose sur trois éléments fondamentaux :

• • La violation suffisamment caractérisée du droit de l’Union : La Commission a manqué à ses obligations en facilitant le transfert de données via l’hyperlien Facebook sans prévoir de garanties conformes aux exigences du RGPD.
  • L’existence d’un préjudice moral : L’incertitude quant à la sécurité des données et l’absence de transparence de la Commission ont placé M. Bindl dans une situation d’insécurité juridique.
  • Un lien de causalité direct : L’affichage de l’hyperlien Facebook sur EU Login a immédiatement entraîné la transmission des données, imputable à la Commission.

3. Impact et perspectives. Cet arrêt illustre la rigueur du contrôle juridictionnel en matière de protection des données et met en lumière les risques juridiques associés à l’utilisation de services tiers pour l’authentification des utilisateurs. Il souligne également la responsabilité des institutions européennes dans la mise en œuvre des dispositifs de connexion en ligne et la nécessité de prévoir des garanties conformes aux exigences du RGPD.

Cet arrêt constitue un précédent important, notamment pour les entités publiques utilisant des services américains impliquant des transferts de données hors UE. Il rappelle que la présence d’un simple hyperlien menant à un service externe peut suffire à engager la responsabilité d’une institution en cas de transfert de données non conforme. Cela démontre aussi que nos institutions ne sont en rien exemptées des règlements auxquels elles ont elles-mêmes donné naissance ; conformité et rigueur juridique sont de mise, y compris dans les hautes sphères de nos institutions démocratiques.

Transférer des données en dehors de l’Espace économique européen de façon conforme au RGPD reste à l’heure actuelle une gageure.  L’on salue à cet égard l’initiative récente de la CNIL qui a publié un guide sur les analyses d’impact des transferts des données destiné à accompagner les organismes réalisant de tels transferts.