Parmi celles-ci, la saisie-contrefaçon mais aussi des mesures judiciaires contre un supposé contrevenant pour interdire la mise sur le marché des produits argués de contrefaçon.

Si ces mesures se trouvent ultérieurement abrogées, par exemple quand le titre invoqué est finalement annulé, la responsabilité du titulaire du droit est-elle engagée même sans faute de sa part ?

La Cour de justice, le 11 janvier 2024 y répond. L’arrêt

Dans le cadre d’un litige entre Mylan AB et Gilead Sciences., c’est un CPP qui a été invoqué en Finlande, son titulaire engageant un procès en contrefaçon et demandant des mesures provisoires.

1°) Des mesures provisoirement prononcées et ensuite abrogées

17 Par décision du 21 décembre 2017, le markkinaoikeus (tribunal des affaires économiques) a fait droit à la demande de Gilead e.a. visant à obtenir des mesures provisoires sur la base du CCP en cause et a interdit à Mylan, sous peine d’une amende de 500 000 euros, d’offrir, de mettre sur le marché et d’utiliser le médicament générique en cause pendant la durée de validité du CCP en cause, ainsi que d’importer, de fabriquer et de détenir le médicament générique en cause à ces fins. Il a, en outre, ordonné le maintien en vigueur de ces mesures jusqu’à ce qu’il soit statué sur le fond de l’affaire, ou jusqu’à nouvel ordre.

18 Les mesures provisoires susmentionnées ont ensuite été annulées, à la demande de Mylan, par décision du Korkein oikeus (Cour suprême, Finlande) du 11 avril 2019.

19 Par jugement du 25 septembre 2019, le markkinaoikeus (tribunal des affaires économiques) a annulé le CCP en cause. Ce jugement a fait l’objet d’un pourvoi devant le Korkein oikeus (Cour suprême) qui, par décision du 13 novembre 2020, a rejeté la demande d’admission du pourvoi de Gilead e.a., rendant ainsi définitif ledit jugement ».

2°) Le titulaire du CCP se voit demander d’indemniser le préjudice subi de plus de 2 millions d’euros.

« 20 Sur le fondement de l’article 11 du chapitre 7 du code de procédure juridictionnelle, transposant en droit finlandais l’article 9, paragraphe 7, de la directive 2004/48, Mylan a alors demandé au markkinaoikeus (tribunal des affaires économiques), juridiction de renvoi dans la présente affaire, de condamner Gilead e.a. à lui verser des dommages-intérêts d’un montant de 2 367 854,99 euros, majorés d’intérêts de retard, en réparation des dommages causés par les mesures provisoires obtenues inutilement sur la base du CCP en cause, qui a été par la suite annulé ».

3°) La législation finlandaise prévoit une responsabilité sans faute pour les demandeurs de mesures provisoires.

La juridiction finlandaise interroge la Cour de justice sur cette disposition de droit national issue de la directive 2004/48/CE qui prévoit aussi des garanties pour dédommager les défendeurs en cas de mesures injustifiées.

• Pour Mylan : rien à la directive ne s’oppose à ce régime de responsabilité sans faute.
• Au contraire, selon Gilead, il n’y a pas d’obligation de réparation pour la seule raison que le CCP en cause a par la suite été annulé.

4°)Un régime de responsabilité sans faute est reconnu par la Cour de justice.

Pour la Cour de justice de l’Union européenne l’article 9, paragraphe 7, de la directive 2004/48/CE n’impose pas un régime de responsabilité spécifique et laisse aux États membres la liberté de choisir pour un régime de responsabilité sans faute.

Ce que dit exactement la Cour :

« L’article 9, paragraphe 7, de la directive 2004/48/CE du Parlement européen et du Conseil, du 29 avril 2004, relative au respect des droits de propriété intellectuelle,

doit être interprété en ce sens que :

il ne s’oppose pas à une législation nationale qui prévoit un mécanisme de réparation de tout dommage causé par une mesure provisoire, au sens de cette disposition, fondé sur un régime de responsabilité sans faute du demandeur de ces mesures, dans le cadre duquel le juge est habilité à adapter le montant des dommages-intérêts en prenant en compte les circonstances de l’espèce, en ce compris l’éventuelle participation du défendeur à la réalisation du dommage ».

L’article Titulaires de brevet ou de marque, attention à votre responsabilité en cas de mesures provisoires ultérieurement abrogées est apparu en premier sur Philippe Schmitt Avocats.

Photo issue du site de l’OMPI

G  a obtenu deux ordonnances pour pratiquer des saisies-contrefaçon sur la base d’une marque internationale visant la France enregistrée contre B…….. accusée de la contrefaire.  

La décision du 20 décembre n’examine qu’une seule de ces deux ordonnances.

Dans cette décision,   B ……. demande  la rétractation de cette ordonnance, arguant que G………. a omis des informations cruciales concernant le refus d’enregistrement de sa marque de base en Turquie et l’existence d’une demande de marque en France par B……….. postérieure à la date  à la date d’enregistrement de la marque invoquée par B…..​

Les principes rappelés à la motivation de la décision du 20 décembre 2024

26. En application de l’article 3, paragraphe 4, et de l’article 4, paragraphe 1, du Protocole relatif à l’arrangement de Madrid concernant l’enregistrement international de marques (le Protocole de Madrid), une demande internationale, formée par l’intermédiaire d’un office local auprès duquel une demande locale, dite demande de base, avait été faite est enregistrée immédiatement par le bureau international de l’Organisation mondiale de la propriété intellectuelle, à compter de la date à laquelle la demande internationale a été faite auprès de l’office d’origine, et produit dans les territoires désignés par cette demande les effets d’une marque enregistrée à compter de cette même date. Ce n’est qu’a posteriori que l’office du territoire concerné par l’extension de la protection peut notifier au bureau international un refus d’enregistrement.
    

27. Ainsi, l’enregistrement en France d’une marque issue d’une demande internationale est immédiat et précède tout examen, de sorte que, par exemple, contrairement au cas d’une demande nationale, le délai d’opposition contre une marque issue d’une demande internationale étendue à la France court après l’enregistrement.
    

28. En revanche, en application de l’article 6, paragraphe 3, du Protocole de Madrid, la protection résultant de l’enregistrement international ne pourra plus être invoquée si, avant l’expiration de cinq ans à compter de la date de l’enregistrement international, la demande de base fait l’objet, notamment, d’une décision finale de rejet, de révocation, de radiation ou d’invalidation. Le paragraphe 4 du même article précise que l’office d’origine notifie les décisions pertinentes au bureau international qui en informe les États ou organisations intéressés ; il s’agit d’une disposition de publicité sans incidence sur l’effet immédiat de la disparition de la marque de base.
    

29. Il ressort de ces dispositions que la situation juridique de la demande de base d’un enregistrement international désignant la France, dans les 5 années suivant l’enregistrement international, est particulièrement importante pour apprécier les effets en France de cet enregistrement, et ce d’autant plus qu’aucun contrôle n’a été effectué a priori en France avant cet enregistrement.

Application au cas d’espèce

30. Il en va en particulier ainsi, en l’espèce, où la demande de base, enregistrée il y a moins de 5 ans, a fait l’objet de deux décisions différentes de refus d’enregistrement suite à des oppositions, qui ont été confirmées par un organe de recours interne à l’office puis à nouveau par un tribunal. De telles circonstances affectent fortement l’appréciation des chances de succès d’une action en contrefaçon fondée sur cette marque et, partant, celle de la proportionnalité des mesures susceptibles d’être autorisées sur le fondement de cette marque à l’égard d’un tiers.
    

….

32. Dès lors, en dissimulant cette information, qu’elle ne pouvait pas ignorer, étant déposante de la demande de base en Turquie, la société G……n’a pas présenté, au soutien de sa requête, l’ensemble des faits objectifs de nature à permettre au juge d’appréhender complètement les enjeux du procès en vue duquel était demandée une saisie- contrefaçon. Elle a ainsi manqué de loyauté à l’occasion de la présentation sa requête et privé le juge d’exercer pleinement son pouvoir d’appréciation des circonstances de la cause afin d’autoriser une mesure proportionnée.

 Ainsi, l’Ordonnance de rétractation retient que G….. a manqué de loyauté en ne révélant pas les refus d’enregistrement de sa marque de base en Turquie, ce qui aurait pu influencer la décision du juge qui a accordé l’ordonnance de saisie-contrefaçon contestée. ​

L’ordonnance autorisant la saisie-contrefaçon est rétractée, et le procès-verbal de saisie-contrefaçon annulé…sans examiner le second argument invoqué par B……. ​

Le site de l’OMPI

L’article Annulation d’une saisie-contrefaçon pour omission d’information sur la situation de la  demande de base de la marque internationale  invoquée est apparu en premier sur Philippe Schmitt Avocats.

La marque acceptée par l’EUIPO et finalement annulée par le Tribunal de l’Union le 30 mars 2020.

L’analyse par le Tribunal de l’Union des éléments verbaux de cette marque.

54     ……… lors de son appréciation des caractéristiques essentielles de la marque contestée, la chambre de recours a considéré que les éléments verbaux « aerower », « Jumper 1 » et « M » ainsi que l’élément figuratif circulaire présent sur la languette de la botte sont clairement perceptibles, pleinement intégrés et visuellement accrocheurs. Tel serait particulièrement le cas de l’élément verbal « aerower », qui apparaît trois fois sur la botte et qui est un élément distinctif non mineur influant sur l’appréciation du signe considéré dans son ensemble.

55      À cet égard, tout d’abord, il convient de relever que le terme « aerower » est présent uniquement sur trois des six images faisant l’objet de l’enregistrement de la marque contestée. Premièrement, ledit terme apparaît sur la pointe avant de la botte en lettres de couleur blanche, d’une petite taille, séparées les unes des autres de quelques millimètres. Or, force est de constater que, malgré le contraste de la couleur claire des lettres sur un fond noir, la petite taille et la proportion de celles‑ci par rapport à l’image frontale du signe ne rendent pas cet élément visuellement marquant. En outre, du fait également de la taille et de la position du terme placé à la pointe frontale de la botte de rebond, cet élément pourrait être perçu comme un motif décoratif destiné à renforcer cette partie de la botte, qui est plus exposée aux chocs, sans qu’il puisse pour autant être considéré comme un élément jouant un rôle suffisamment important pour constituer une caractéristique essentielle de la marque contestée.

56      Deuxièmement, le terme « aerower » apparaît sur la partie supérieure arrière de la botte, placé au-dessus de l’élément verbal « jumper 1 » et représenté également en lettres de couleur blanche sur un fond noir, mais d’une taille encore plus petite que celle de la représentation de ce terme sur la partie avant de la botte, ce qui le rend pratiquement indiscernable à l’œil nu. Partant, la représentation du terme « aerower » à l’arrière de la botte a un caractère négligeable et ne saurait conférer à ce terme le statut de caractéristique essentielle du signe.

57      Troisièmement, s’agissant de l’image montrant le terme « aerower » sur la semelle de la botte de rebond, ce dernier y est représenté au centre de ladite semelle dans une taille et une proportion plus importantes que celles des deux autres représentation de ce terme. Néanmoins, il convient de constater que, malgré la taille et la proportion plus grandes dudit terme à cet endroit et bien qu’il soit discernable à l’œil nu dans ce cas, l’absence de contraste de la couleur grise des lettres, représentées par le biais d’un simple relief sur un fond de la même couleur, ne rend pas cet élément visuellement accrocheur, contrairement à l’appréciation de la chambre de recours.

58      En outre, la semelle est constituée de petits éléments carrés qui forment deux lignes autour du terme « aerower » et présentent des dimensions très semblables aux lettres de celui-ci, ce qui, eu égard l’absence de contraste de la représentation dudit terme, ne permet pas d’exclure que les lettres qui le composent puissent être confondues avec le reste des motifs en relief constituant le dessin de la semelle.

59      Il y a donc lieu de conclure également au caractère négligeable de l’élément « aerower » tel qu’il est représenté sur la semelle, de sorte que cette représentation ne joue pas non plus un rôle important de nature à permettre de le considérer comme une caractéristique essentielle de la marque contestée.

60      Ensuite, il en va de même pour les éléments verbaux « Jumper 1 » et « M », qui, du fait de leur petite taille et de leur localisation, ne sauraient être perçus comme étant des caractéristiques essentielles de la marque contestée.

Et finalement :

64      Par conséquent, il a lieu de constater que c’est à tort que la chambre de recours a conclu au caractère essentiel des éléments verbaux et figuratif de la marque contestée sur la base de l’impact que l’élément verbal « aerower » aurait sur l’impression d’ensemble produite par le signe, en raison du caractère clairement intégré et visuellement accrocheur de cet élément.

La décision de la Chambre de recours  qui comme celle de la Division d’annulation de l’EUIPO,  avait refusé d’annuler cette marque est annulée.

Il est vrai que la position de l’EUIPO était surprenante puisque ……….la partie qui demandait l’annulation de cette marque avait vu sa marque annulée par la 1^er Chambre de recours de l’EUIPO, la même chambre que celle qui avait validée la marque en cause à l’arrêt du 30 mars 2022 !

La marque de la requérante à cette demande en annulation, qui avait été précédemment annulée :

L’article Des mentions verbales ne sauvent pas de la nullité une marque composée de la forme du produit. est apparu en premier sur Philippe Schmitt Avocats.

Le Tribunal rejette le recours, la décision du Tribunal

• Le modèle enregistré dont la nullité est demandée.

Ce modèle est enregistré pour « Fromages ».

• Quelques éléments visuels issus des brevets

Le rappel de la règle de droit posée au règlement

23      L’article 7, paragraphe 1, du règlement n^o 6/2002 précise qu’un dessin ou modèle est réputé avoir été divulgué au public s’il a été publié à la suite de l’enregistrement ou autrement, ou exposé, utilisé dans le commerce ou rendu public de toute autre manière, avant la date visée à l’article 6, paragraphe 1, sous b), du règlement n^o 6/2002, sauf si ces faits, dans la pratique normale des affaires, ne pouvaient raisonnablement être connus des milieux spécialisés du secteur concerné, opérant dans l’Union.

24      Dès lors, aux fins d’établir la divulgation au public d’un dessin ou modèle antérieur, il convient ainsi de procéder à une analyse en deux étapes, consistant à examiner, en premier lieu, si les éléments présentés dans la demande en nullité démontrent, d’une part, des faits constitutifs d’une divulgation d’un dessin ou modèle et, d’autre part, le caractère antérieur de cette divulgation par rapport à la date de dépôt ou de priorité du dessin ou modèle contesté et, en second lieu, dans l’hypothèse où le titulaire du dessin ou modèle contesté aurait allégué le contraire, si lesdits faits pouvaient, dans la pratique normale des affaires, raisonnablement être connus des milieux spécialisés du secteur concerné opérant dans l’Union, faute de quoi une divulgation sera considérée comme sans effets et ne sera pas prise en compte …………

Les extraits des bases de données de l’OMPI et de l’OEB d’une demande PCT

(le point 6 cité ci-dessus indique que la demande PCT invoquait une priorité britannique déposée le 9 mai 1997)

25      …………. il y a lieu de relever que la chambre de recours a pris en compte, un extrait de la base de données de l’Organisation mondiale de la propriété intellectuelle (OMPI), concernant la demande de brevet international publiée sous le n^o WO 98/51471, le 19 novembre 1998, et un extrait de la base de données de l’Office européen des brevets (OEB), concernant la demande de brevet sous le n^o EP 0 876 896 B1, publiée le 21 novembre 2001. ……

26      Partant, c’est à bon droit que la chambre de recours a considéré que la preuve fournie par l’intervenante sur la publication de demandes de brevets contenant la représentation du dessin ou modèle antérieur, avant le 2 avril 2013, date de dépôt du dessin ou modèle contesté, notamment par l’OMPI, était suffisante pour présumer la divulgation au public dudit dessin ou modèle antérieur, au sens de l’article 7 du règlement n^o 6/2002.

Parmi les arguments de la requérante pour demander l’annulation de la Chambre de recours

21.  La requérante soutient que, dans la mesure où les extraits des demandes de brevets présentés par l’intervenante se rapportent à des inventions de méthodes et ne recouvrent pas les produits en tant que tels, et encore moins les fromages, il ne saurait être attendu que les milieux pertinents concernés conduisent des recherches au sein des dossiers d’enregistrement des brevets, qui n’ont visiblement aucun lien avec les produits dans lesquels le dessin ou modèle contesté est destiné à être appliqué. Elle estime en outre que, selon la jurisprudence, une divulgation, au sens de l’article 7, paragraphe 1, du règlement n^o6/2002, ne saurait être présumée que si la publication aurait dû être connue des milieux professionnels du secteur concerné dans la pratique normale des affaires

On notera à l’abrégé de OEB :

La présente invention propose un produit alimentaire comprenant un ou plusieurs substrats alimentaires en plastique formés dans une configuration hélicoïdale et revêtus d’un agent barrière aux fluides pour empêcher le recuit des spires adjacentes du produit. L’agent barrière aux fluides peut être une huile végétale comestible telle que par exemple l’huile végétale hydrogénée, l’huile de soja, l’huile de colza, l’huile de tournesol, l’huile de carthame, l’huile d’arachide ou un mélange de telles huiles. Le produit peut définir une hélice simple ou une hélice multiple, par ex. une double ou triple hélice. L’invention propose également un procédé et un appareil pour fabriquer un tel produit alimentaire hélicoïdal.

Le Tribunal relève :

29      En outre, il ressort de ces extraits que les demandes de brevets concernent un produit alimentaire hélicoïdal. En effet, lesdites demandes de brevets sont encadrées par le titre « produit alimentaire hélicoïdal ». En outre, dans la partie consacrée à la classification internationale des brevets, la classe A 23, relative aux produits alimentaires, ainsi que les sous-classes A 23P, concernant la mise en forme ou le traitement des produits alimentaires non couverts intégralement par une autre sous-classe, et la sous-classe B29C, relative au façonnage des matières à l’état plastique non prévu ailleurs, avaient été cochées. Par ailleurs, dans la description détaillée de l’invention, il était expliqué qu’il s’agissait d’une invention relative à un produit alimentaire hélicoïdal, couvrant le produit lui-même, à base notamment de fromage, la méthode de fabrication et les machines pour le fabriquer.

….

34      En effet, ainsi qu’il ressort du point 29 de la décision attaquée, la requérante s’est limitée à affirmer, sans aucun moyen de preuve à l’appui, que la publication des demandes de brevets en question ne permettait pas aux milieux spécialisés du secteur concerné d’avoir connaissance de la divulgation du dessin ou modèle antérieur dans la pratique normale des affaires. Or, ainsi qu’il a été indiqué au point 29 ci-dessus, il ressort des extraits présentés par l’intervenante que les demandes de brevets en question concernaient une invention relative à un produit alimentaire hélicoïdal ainsi qu’aux méthodes et aux machines pour sa fabrication et contenaient une reproduction du dessin ou modèle antérieur.

L’article Modèle et brevet antérieur est apparu en premier sur Philippe Schmitt Avocats.

Avec le RGPD, le transfert des données personnelles vers un pays tiers ne peut, en principe, avoir lieu que si le pays tiers en question assure un niveau de protection adéquat à ces données. Le RGPD prévoit que la Commission peut constater qu’un pays tiers assure un niveau de protection adéquat. En l’absence d’une telle décision, une décision d’adéquation, l’exportateur des données à caractère personnel, doit établir qu’il existe dans le pays tiers des garanties appropriées, « clauses types de protection des données adoptées par la Commission, et si les personnes concernées disposent de droits opposables et de voies de droit effectives » . En l’absence de décision d’adéquation et de garanties appropriées,  le RGPD prévoit les conditions de ce transfert de données.

Pour mémoire, la Cour de justice dans son arrêt du 5 octobre 2015 avait annulé le précédent accord Etats-Unis Europe sur le transfert des données personnelles des européens en direction du territoire nord-américain. L’arrêt du 5 octobre 2015

Ni la décision relative aux Causes types ( décision du 5 février 2010 modifiée le 16 décembre 2016) ni le bouclier de protection des données ( décision du 12 juillet 2016),   ne résistent à ces différents points.

• Le RGPD s’applique même à des données traitées à des fins de sécurité publique et de sureté de l’Etat

84      En ce qui concerne la question de savoir si une telle opération peut être considérée comme étant exclue du champ d’application du RGPD en vertu de l’article 2, paragraphe 2, de celui-ci, il convient de rappeler que cette disposition prévoit des exceptions au champ d’application de ce règlement, tel que défini à son article 2, paragraphe 1, et que ces exceptions doivent recevoir une interprétation stricte (voir par analogie, en ce qui concerne l’article 3, paragraphe 2, de la directive 95/46, arrêt du 10 juillet 2018, Jehovan todistajat, C‑25/17, EU:C:2018:551, point 37 et jurisprudence citée).

85      En l’occurrence, le transfert de données à caractère personnel en cause au principal étant effectué par Facebook Ireland vers Facebook Inc., à savoir entre deux personnes morales, ce transfert ne relève pas de l’article 2, paragraphe 2, sous c), du RGPD, qui vise le traitement de données effectué par une personne physique dans le cadre d’une activité strictement personnelle ou domestique. Ledit transfert ne relève pas non plus des exceptions figurant à l’article 2, paragraphe 2, sous a), b) et d), de ce règlement, dès lors que les activités qui y sont mentionnées à titre d’exemples sont, dans tous les cas, des activités propres aux États ou aux autorités étatiques, étrangères aux domaines d’activité des particuliers (voir par analogie, en ce qui concerne l’article 3, paragraphe 2, de la directive 95/46, arrêt du 10 juillet 2018, Jehovan todistajat, C‑25/17, EU:C:2018:551, point 38 et jurisprudence citée).

86      Or, la possibilité que les données à caractère personnel transférées entre deux opérateurs économiques à des fins commerciales subissent, au cours ou à la suite du transfert, un traitement à des fins de sécurité publique, de défense et de sûreté de l’État par les autorités du pays tiers concerné ne saurait exclure ledit transfert du champ d’application du RGPD.

87      D’ailleurs, en faisant explicitement obligation à la Commission, lorsqu’elle évalue le caractère adéquat du niveau de protection offert par un pays tiers, de tenir compte, notamment, de « la législation pertinente, tant générale que sectorielle, y compris en ce qui concerne la sécurité publique, la défense, la sécurité nationale et le droit pénal ainsi que l’accès des autorités publiques aux données à caractère personnel, de même que la mise en œuvre de ladite législation », le libellé même de l’article 45, paragraphe 2, sous a), de ce règlement met en évidence le fait que le traitement éventuel, par un pays tiers, des données concernées à des fins de sécurité publique, de défense et de sûreté de l’État ne remet pas en cause l’applicabilité dudit règlement au transfert en cause.

88      Il s’ensuit qu’un tel transfert ne saurait échapper au champ d’application du RGPD au motif que les données en cause sont susceptibles d’être traitées, au cours ou à la suite de ce transfert, par les autorités du pays tiers concerné, à des fins de sécurité publique, de défense et de sûreté de l’État.

• La décision d’adéquation doit accordée une garantie des droits analogue à celle au sein de l’Union qui sont prévus par la Charte
  

95      Dans ce contexte, le considérant 107 du RGPD énonce que, lorsqu’« un pays tiers, un territoire ou un secteur déterminé dans un pays tiers […], n’assure plus un niveau adéquat de protection des données […], le transfert de données à caractère personnel vers ce pays tiers […] devrait être interdit, à moins que les exigences [de ce règlement] relatives aux transferts faisant l’objet de garanties appropriées […] soient respectées ». À cet effet, le considérant 108 dudit règlement précise que, en l’absence de décision d’adéquation, les garanties appropriées qu’il appartient au responsable du traitement ou au sous-traitant de prendre conformément à l’article 46, paragraphe 1, du même règlement doivent « compenser l’insuffisance de la protection des données dans le pays tiers » pour « assurer le respect des exigences en matière de protection des données et des droits des personnes concernées d’une manière appropriée au traitement au sein de l’Union ».

96      Il en résulte, comme M. l’avocat général l’a relevé au point 115 de ses conclusions, que ces garanties appropriées doivent être de nature à assurer que les personnes dont les données à caractère personnel sont transférées vers un pays tiers sur le fondement de clauses types de protection des données bénéficient, comme dans le cadre d’un transfert fondé sur une décision d’adéquation, d’un niveau de protection substantiellement équivalent à celui garanti au sein de l’Union.

….

105    Partant, il y a lieu de répondre aux deuxième, troisième et sixième questions que l’article 46, paragraphe 1, et l’article 46, paragraphe 2, sous c), du RGPD doivent être interprétés en ce sens que les garanties appropriées, les droits opposables et les voies de droit effectives requis par ces dispositions doivent assurer que les droits des personnes dont les données à caractère personnel sont transférées vers un pays tiers sur le fondement de clauses types de protection des données bénéficient d’un niveau de protection substantiellement équivalent à celui garanti au sein de l’Union par ce règlement, lu à la lumière de la Charte. À cet effet, l’évaluation du niveau de protection assuré dans le contexte d’un tel transfert doit, notamment, prendre en considération tant les stipulations contractuelles convenues entre le responsable du traitement ou son sous-traitant établis dans l’Union et le destinataire du transfert établi dans le pays tiers concerné que, en ce qui concerne un éventuel accès des autorités publiques de ce pays tiers aux données à caractère personnel ainsi transférées, les éléments pertinents du système juridique de celui-ci, notamment ceux énoncés à l’article 45, paragraphe 2, dudit règlement.

• La possibilité de suspendre le transfert de données vers un Etat où  les droits ne sont pas garantis, devoir de chaque autorité de contrôle
  

109    En outre, en vertu de l’article 57, paragraphe 1, sous f), du RGPD, chaque autorité de contrôle est tenue, sur son territoire, de traiter les réclamations que toute personne, conformément à l’article 77, paragraphe 1, de ce règlement, est en droit d’introduire lorsqu’elle considère qu’un traitement de données à caractère personnel la concernant constitue une violation dudit règlement, et d’en examiner l’objet dans la mesure du nécessaire. L’autorité de contrôle doit procéder au traitement d’une telle réclamation avec toute la diligence requise (voir par analogie, en ce qui concerne l’article 25, paragraphe 6, de la directive 95/46, arrêt du 6 octobre 2015, Schrems, C‑362/14, EU:C:2015:650, point 63).

110    L’article 78, paragraphes 1 et 2, du RGPD reconnaît à toute personne le droit de former un recours juridictionnel effectif, notamment, lorsque l’autorité de contrôle omet de traiter sa réclamation. Le considérant 141 de ce règlement fait également référence à ce « droit à un recours juridictionnel effectif conformément à l’article 47 de la Charte » dans le cas où cette autorité de contrôle « n’agit pas alors qu’une action est nécessaire pour protéger les droits de la personne concernée ».

111    Aux fins de traiter les réclamations introduites, l’article 58, paragraphe 1, du RGPD investit chaque autorité de contrôle d’importants pouvoirs d’enquête. Lorsqu’une telle autorité estime, à l’issue de son enquête, que la personne concernée dont les données à caractère personnel ont été transférées vers un pays tiers ne bénéficie pas dans celui-ci d’un niveau de protection adéquat, elle est tenue, en application du droit de l’Union, de réagir de manière appropriée afin de remédier à l’insuffisance constatée, et ce indépendamment de l’origine ou de la nature de cette insuffisance. À cet effet, l’article 58, paragraphe 2, de ce règlement énumère les différentes mesures correctrices que l’autorité de contrôle peut adopter.

112    Bien que le choix du moyen approprié et nécessaire relève de l’autorité de contrôle et que celle-ci doive opérer ce choix en prenant en considération toutes les circonstances du transfert de données à caractère personnel en cause, cette autorité n’en est pas moins tenue de s’acquitter avec toute la diligence requise de sa mission consistant à veiller au plein respect du RGPD.

113    À cet égard et ainsi que M. l’avocat général l’a également relevé au point 148 de ses conclusions, ladite autorité est tenue, en vertu de l’article 58, paragraphe 2, sous f) et j), de ce règlement, de suspendre ou d’interdire un transfert de données à caractère personnel vers un pays tiers lorsqu’elle considère, à la lumière de l’ensemble des circonstances propres à ce transfert, que les clauses types de protection des données ne sont pas ou ne peuvent pas être respectées dans ce pays tiers et que la protection des données transférées requise par le droit de l’Union ne peut pas être assurée par d’autres moyens, à défaut pour le responsable du traitement ou son sous-traitant établis dans l’Union d’avoir lui-même suspendu le transfert ou d’avoir mis fin à celui-ci

• Une décision de la Commission ne peut priver les autorités de contrôle de leur pouvoir de contrôle

116    Il importe toutefois de préciser que les pouvoirs de l’autorité de contrôle compétente sont soumis au plein respect de la décision par laquelle la Commission constate, le cas échéant, en application de l’article 45, paragraphe 1, première phrase, du RGPD, qu’un pays tiers déterminé assure un niveau de protection adéquat. En effet, dans une telle hypothèse, il ressort de l’article 45, paragraphe 1, seconde phrase, de ce règlement, lu en combinaison avec le considérant 103 de celui-ci, que les transferts de données à caractère personnel vers le pays tiers concerné peuvent avoir lieu sans qu’il soit nécessaire d’obtenir une autorisation spécifique.

117    En vertu de l’article 288, quatrième alinéa, TFUE, une décision d’adéquation de la Commission a, dans tous ses éléments, un caractère contraignant pour tous les États membres destinataires et s’impose donc à tous leurs organes, en ce qu’elle constate que le pays tiers concerné garantit un niveau de protection adéquat et qu’elle a pour effet d’autoriser ces transferts de données (voir par analogie, en ce qui concerne l’article 25, paragraphe 6, de la directive 95/46, arrêt du 6 octobre 2015, Schrems, C‑362/14, EU:C:2015:650, point 51 et jurisprudence citée).

118    Ainsi, aussi longtemps que la décision d’adéquation n’a pas été déclarée invalide par la Cour, les États membres et leurs organes, au nombre desquels figurent leurs autorités de contrôle indépendantes, ne sauraient adopter des mesures contraires à cette décision, telles que des actes visant à constater avec effet contraignant que le pays tiers visé par ladite décision n’assure pas un niveau de protection adéquat …. et, en conséquence, à suspendre ou interdire des transferts de données à caractère personnel vers ce pays tiers.

119    Toutefois, une décision d’adéquation de la Commission adoptée au titre de l’article 45, paragraphe 3, du RGPD ne saurait empêcher les personnes dont les données à caractère personnel ont été ou pourraient être transférées vers un pays tiers de saisir, en application de l’article 77, paragraphe 1, du RGPD, l’autorité nationale de contrôle compétente d’une réclamation relative à la protection de leurs droits et de leurs libertés à l’égard du traitement de ces données. De même, une décision de cette nature ne saurait ni annihiler ni réduire les pouvoirs expressément reconnus aux autorités nationales de contrôle par l’article 8, paragraphe 3, de la Charte ainsi que par l’article 51, paragraphe 1, et par l’article 57, paragraphe 1, sous a), dudit règlement (voir par analogie, en ce qui concerne l’article 25, paragraphe 6, et l’article 28 de la directive 95/46, arrêt du 6 octobre 2015, Schrems, C‑362/14, EU:C:2015:650, point 53).

120    Ainsi, même en présence d’une décision d’adéquation de la Commission, l’autorité nationale de contrôle compétente, saisie par une personne d’une réclamation relative à la protection de ses droits et de ses libertés à l’égard d’un traitement de données à caractère personnel la concernant, doit pouvoir examiner, en toute indépendance, si le transfert de ces données respecte les exigences posées par le RGPD et, le cas échéant, introduire un recours devant les juridictions nationales afin que ces dernières procèdent, si elles partagent les doutes de cette autorité quant à la validité de la décision d’adéquation, à un renvoi préjudiciel aux fins de l’examen de cette validité…..

• Une obligation de contrôle même en cas de décision  de la Commission relative aux clauses types

130    En revanche, s’agissant d’une décision de la Commission adoptant des clauses types de protection des données, telle que la décision CPT, dans la mesure où une telle décision ne vise pas un pays tiers, un territoire ou un ou plusieurs secteurs déterminés dans celui-ci, il ne saurait être inféré de l’article 46, paragraphe 1, et de l’article 46, paragraphe 2, sous c), du RGPD que la Commission serait tenue de procéder, avant l’adoption d’une telle décision, à une évaluation du caractère adéquat du niveau de protection assuré par les pays tiers vers lesquels des données à caractère personnel pourraient être transférées sur le fondement de telles clauses.

133    Il apparaît ainsi que les clauses types de protection des données adoptées par la Commission au titre de l’article 46, paragraphe 2, sous c), du même règlement visent uniquement à fournir aux responsables du traitement ou à leurs sous-traitants établis dans l’Union des garanties contractuelles s’appliquant de manière uniforme dans tous les pays tiers et, dès lors, indépendamment du niveau de protection garanti dans chacun d’entre eux. Dans la mesure où ces clauses types de protection des données ne peuvent, eu égard à leur nature, fournir des garanties allant au-delà d’une obligation contractuelle de veiller à ce que le niveau de protection requis par le droit de l’Union soit respecté, elles peuvent nécessiter, en fonction de la situation prévalant dans tel ou tel pays tiers, l’adoption de mesures supplémentaires par le responsable du traitement afin d’assurer le respect de ce niveau de protection.

…..

134    À cet égard, ainsi que M. l’avocat général l’a relevé au point 126 de ses conclusions, le mécanisme contractuel prévu à l’article 46, paragraphe 2, sous c), du RGPD repose sur la responsabilisation du responsable du traitement ou de son sous-traitant établis dans l’Union ainsi que, à titre subsidiaire, de l’autorité de contrôle compétente. Il appartient, dès lors, avant tout, à ce responsable du traitement ou à son sous-traitant de vérifier, au cas par cas et, le cas échéant, en collaboration avec le destinataire du transfert, si le droit du pays tiers de destination assure une protection appropriée, au regard du droit de l’Union, des données à caractère personnel transférées sur le fondement de clauses types de protection des données, en fournissant, au besoin, des garanties supplémentaires à celles offertes par ces clauses.

• La mise en place du dispositif de contrôle en préalable au traitement

142    Il en résulte que le responsable du traitement établi dans l’Union et le destinataire du transfert de données à caractère personnel sont tenus de vérifier, au préalable, le respect, dans le pays tiers concerné, du niveau de protection requis par le droit de l’Union. Le destinataire de ce transfert est, le cas échéant, dans l’obligation, en vertu de la même clause 5, sous b), d’informer le responsable du traitement de son éventuelle incapacité de se conformer à ces clauses, à charge alors pour ce dernier de suspendre le transfert de données et/ou de résilier le contrat.

• A propos de la décision sur le bouclier de protection des données UE-États-Unis qui s’impose aux autorités nationales de contrôle

154    En particulier, l’existence des effets contraignants qui s’attachent à la constatation par la décision BPD d’un niveau de protection adéquat aux États-Unis est pertinente aux fins de l’appréciation tant des obligations, rappelées aux points 141 et 142 du présent arrêt, qui incombent au responsable du traitement et au destinataire d’un transfert de données à caractère personnel vers un pays tiers effectué sur le fondement des clauses types de protection des données figurant à l’annexe de la décision CPT que des obligations qui pèsent, le cas échéant, sur l’autorité de contrôle de suspendre ou d’interdire un tel transfert.

155    S’agissant, en effet, des effets contraignants de la décision BPD, l’article 1^er, paragraphe 1, de cette décision dispose que, aux fins de l’article 45, paragraphe 1, du RGPD, « les États-Unis assurent un niveau adéquat de protection des données à caractère personnel transférées depuis l’Union vers des organisations établies aux États-Unis dans le cadre du bouclier de protection des données [Union européenne]-États-Unis ». Conformément à l’article 1^er, paragraphe 3, de ladite décision, les données à caractère personnel sont considérées comme étant transférées dans le cadre de ce bouclier lorsqu’elles le sont depuis l’Union vers des organisations établies aux États-Unis qui figurent sur la liste des organisations adhérant audit bouclier, tenue à jour et publiée par le ministère américain du Commerce, conformément aux sections I et III des principes énoncés à l’annexe II de la même décision.

156    Ainsi qu’il résulte de la jurisprudence rappelée aux points 117 et 118 du présent arrêt, la décision BPD a un caractère contraignant pour les autorités de contrôle en ce qu’elle constate que les États-Unis garantissent un niveau de protection adéquat et, partant, a pour effet d’autoriser des transferts de données à caractère personnel effectués dans le cadre du bouclier de protection des données Union européenne-États-Unis. Dès lors, aussi longtemps que cette décision n’a pas été déclarée invalide par la Cour, l’autorité de contrôle compétente ne saurait suspendre ou interdire un transfert de données à caractère personnel vers une organisation adhérant à ce bouclier au motif qu’elle considère, contrairement à l’appréciation retenue par la Commission dans ladite décision, que la législation des États-Unis régissant l’accès aux données à caractère personnel transférées dans le cadre dudit bouclier et l’utilisation de ces données par les autorités publiques de ce pays tiers à des fins de sécurité nationale, de respect de la loi ou d’intérêt public n’assure pas un niveau de protection adéquat.

• Mais une réclamation s’analyse comme une contestation de la validité de la décision  de la Commission

157    Il n’en demeure pas moins que, conformément à la jurisprudence rappelée aux points 119 et 120 du présent arrêt, lorsqu’elle est saisie par une personne d’une réclamation, l’autorité de contrôle compétente doit examiner, en toute indépendance, si le transfert de données à caractère personnel en cause respecte les exigences posées par le RGPD et, dans l’hypothèse où elle estime fondés les griefs avancés par cette personne aux fins de mettre en cause la validité d’une décision d’adéquation, introduire un recours devant les juridictions nationales afin que ces dernières saisissent la Cour d’un renvoi préjudiciel en appréciation de la validité de cette décision.

…..

160    Ainsi que M. l’avocat général l’a relevé au point 175 de ses conclusions, ces questions préjudicielles doivent ainsi être comprises comme mettant, en substance, en cause le constat de la Commission, figurant dans la décision BPD, selon lequel les États-Unis assurent un niveau adéquat de protection des données à caractère personnel transférées depuis l’Union vers ce pays tiers et, partant, la validité de cette décision.

• La critique de la décision de la commission

177    À cet effet, l’article 45, paragraphe 2, sous a), du RGPD précise que, dans le cadre de son évaluation du caractère adéquat du niveau de protection assuré par un pays tiers, la Commission tient compte, notamment, « [d]es droits effectifs et opposables dont bénéficient les personnes concernées » dont les données à caractère personnel sont transférées.

178    En l’occurrence, la constatation opérée par la Commission dans la décision BPD selon laquelle les États-Unis assurent un niveau de protection substantiellement équivalent à celui garanti au sein de l’Union par le RGPD, lu à la lumière des articles 7 et 8 de la Charte, a été remise en cause au motif, notamment, que les ingérences résultant des programmes de surveillance fondés sur l’article 702 du FISA et sur l’E.O. 12333 ne seraient pas soumises à des exigences assurant, dans le respect du principe de proportionnalité, un niveau de protection substantiellement équivalent à celui garanti par l’article 52, paragraphe 1, seconde phrase, de la Charte. Il y a donc lieu d’examiner si ces programmes de surveillance sont mis en œuvre dans le respect de telles exigences, sans qu’il soit nécessaire de vérifier au préalable le respect par ce pays tiers de conditions substantiellement équivalentes à celles prévues à l’article 52, paragraphe 1, première phrase, de la Charte.

179    À cet égard, en ce qui concerne les programmes de surveillance fondés sur l’article 702 du FISA, la Commission a constaté, au considérant 109 de la décision BPD, que, selon ledit article, « le FISC n’autorise pas de mesures de surveillance individuelle, mais plutôt des programmes de surveillance (comme PRISM ou UPSTREAM) sur la base de certifications annuelles préparées par le procureur général et le directeur du renseignement national (DNI) ». Ainsi qu’il ressort de ce considérant, le contrôle exercé par le FISC vise à vérifier si ces programmes de surveillance correspondent à l’objectif d’obtenir des informations en matière de renseignement extérieur, mais ne porte pas sur le point de savoir « si les personnes sont correctement ciblées pour se procurer des informations en matière de renseignement extérieur ».

180    Il apparaît ainsi que l’article 702 du FISA ne fait ressortir d’aucune manière l’existence de limitations à l’habilitation qu’il comporte pour la mise en œuvre des programmes de surveillance aux fins du renseignement extérieur, pas plus que l’existence de garanties pour des personnes non-américaines potentiellement visées par ces programmes. Dans ces conditions, et ainsi que M. l’avocat général l’a relevé, en substance, aux points 291, 292 et 297 de ses conclusions, cet article n’est pas susceptible d’assurer un niveau de protection substantiellement équivalent à celui garanti par la Charte, telle qu’interprétée par la jurisprudence rappelée aux points 175 et 176 du présent arrêt, selon laquelle une base légale qui permet des ingérences dans les droits fondamentaux doit, pour satisfaire au principe de proportionnalité, définir elle-même la portée de la limitation de l’exercice du droit concerné et prévoir des règles claires et précises régissant la portée et l’application de la mesure en cause et imposant des exigences minimales.

181    Selon les constatations figurant dans la décision BPD, les programmes de surveillance fondés sur l’article 702 du FISA doivent, certes, être mis en œuvre dans le respect des exigences résultant de la PPD-28. Toutefois, si la Commission a souligné, aux considérants 69 et 77 de la décision BPD, que de telles exigences revêtent un caractère contraignant pour les services de renseignement américains, le gouvernement américain a admis, en réponse à une question de la Cour, que la PPD-28 ne confère pas aux personnes concernées des droits opposables aux autorités américaines devant les tribunaux. Dès lors, elle n’est pas susceptible d’assurer un niveau de protection substantiellement équivalent à celui résultant de la Charte, contrairement à ce qu’exige l’article 45, paragraphe 2, sous a), du RGPD, selon lequel la constatation de ce niveau dépend, notamment, de l’existence des droits effectifs et opposables dont bénéficient les personnes dont les données ont été transférées vers le pays tiers en cause.

182    S’agissant des programmes de surveillance fondés sur l’E.O. 12333, il ressort du dossier dont dispose la Cour que ce décret ne confère pas non plus de droits opposables aux autorités américaines devant les tribunaux.

183    Il convient d’ajouter que la PPD-28, qui doit être respectée dans le cadre de l’application des programmes visés aux deux points précédents, permet de procéder à une « collecte “en vrac” […] d’un volume relativement important d’informations ou de données issues du renseignement d’origine électromagnétique dans des conditions où les services de renseignement ne peuvent pas utiliser d’identifiant associé à une cible spécifique […] pour orienter la collecte », ainsi qu’il est précisé dans une lettre du 21 juin 2016 du bureau du directeur du renseignement national (Office of the Director of National Intelligence) au ministère américain du Commerce ainsi qu’à l’administration du commerce international, figurant à l’annexe VI de la décision BPD. Or, cette possibilité, qui permet, dans le cadre des programmes de surveillance fondés sur l’E.O. 12333, d’accéder à des données en transit vers les États-Unis sans que cet accès fasse l’objet d’une quelconque surveillance judiciaire, n’encadre, en tout état de cause, pas de manière suffisamment claire et précise la portée d’une telle collecte en vrac de données à caractère personnel.

184    Il apparaît, dès lors, que ni l’article 702 du FISA ni l’E.O. 12333, lus en combinaison avec la PPD-28, ne correspondent aux exigences minimales attachées, en droit de l’Union, au principe de proportionnalité, si bien qu’il n’est pas permis de considérer que les programmes de surveillance fondés sur ces dispositions sont limités au strict nécessaire.

• L’absence de recours effectif au juge

186    S’agissant, en second lieu, de l’article 47 de la Charte, qui participe également du niveau de protection requis au sein de l’Union et dont la Commission doit constater le respect avant que celle-ci adopte une décision d’adéquation au titre de l’article 45, paragraphe 1, du RGPD, il convient de rappeler que le premier alinéa de cet article 47 exige que toute personne dont les droits et les libertés garantis par le droit de l’Union ont été violés ait droit à un recours effectif devant un tribunal dans le respect des conditions prévues à cet article. Aux termes du deuxième alinéa dudit article, toute personne a droit à ce que sa cause soit entendue par un tribunal indépendant et impartial.

187    Selon une jurisprudence constante, l’existence même d’un contrôle juridictionnel effectif destiné à assurer le respect des dispositions du droit de l’Union est inhérente à l’existence d’un État de droit. Ainsi, une réglementation ne prévoyant aucune possibilité pour le justiciable d’exercer des voies de droit afin d’avoir accès à des données à caractère personnel le concernant, ou d’obtenir la rectification ou la suppression de telles données, ne respecte pas le contenu essentiel du droit fondamental à une protection juridictionnelle effective, tel que consacré à l’article 47 de la Charte (arrêt du 6 octobre 2015, Schrems, C‑362/14, EU:C:2015:650, point 95 et jurisprudence citée).

188    À cet effet, l’article 45, paragraphe 2, sous a), du RGPD exige que, dans le cadre de son évaluation du caractère adéquat du niveau de protection assuré par un pays tiers, la Commission tienne compte, notamment, « [d]es recours administratifs et judiciaires que peuvent effectivement introduire les personnes concernées dont les données à caractère personnel sont transférées ». Le considérant 104 du RGPD souligne, à cet égard, que le pays tiers « devrait assurer un contrôle indépendant effectif de la protection des données et prévoir des mécanismes de coopération avec les autorités de protection des données des États membres » et précise que « les personnes concernées devraient se voir octroyer des droits effectifs et opposables ainsi que des possibilités effectives de recours administratif et juridictionnel ».

189    L’existence de telles possibilités effectives de recours dans le pays tiers concerné revêt une importance particulière dans le contexte d’un transfert de données à caractère personnel vers ce pays tiers, dans la mesure où, ainsi qu’il ressort du considérant 116 du RGPD, les personnes concernées peuvent être confrontées à l’insuffisance des pouvoirs et des moyens des autorités administratives et judiciaires des États membres pour donner une suite utile à leurs réclamations fondées sur un traitement prétendument illégal, dans ce pays tiers, de leurs données ainsi transférées, ce qui est de nature à les contraindre à s’adresser aux autorités et aux juridictions nationales de ce même pays tiers.

190    En l’occurrence, la constatation opérée par la Commission dans la décision BPD, selon laquelle les États-Unis assurent un niveau de protection substantiellement équivalent à celui garanti à l’article 47 de la Charte, a été remise en cause au motif, notamment, que l’instauration du médiateur du bouclier de protection des données ne saurait pallier les lacunes constatées par la Commission elle-même en ce qui concerne la protection juridictionnelle des personnes dont les données à caractère personnel sont transférées vers ce pays tiers.

191    À cet égard, la Commission a relevé, au considérant 115 de la décision BPD, que, si « les personnes physiques, notamment les personnes concernées de l’[Union], disposent […] d’un certain nombre de voies de recours lorsqu’elles ont fait l’objet d’une surveillance (électronique) illégale à des fins de sécurité nationale, il est également clair qu’au moins quelques bases juridiques pouvant être utilisées par les services de renseignement américains (comme l’E.O. 12333) ne sont pas couvertes ». Ainsi, s’agissant de l’E.O. 12333, elle a mis l’accent, audit considérant 115, sur l’absence de toute voie de recours. Or, selon la jurisprudence rappelée au point 187 du présent arrêt, une telle lacune dans la protection juridictionnelle à l’égard des ingérences liées aux programmes de renseignement fondés sur ce décret présidentiel fait obstacle à ce qu’il soit conclu, comme l’a fait la Commission dans la décision BPD, que le droit des États-Unis assure un niveau de protection substantiellement équivalent à celui garanti à l’article 47 de la Charte.

• Le médiateur n’est pas indépendant du pouvoir exécutif nord-américain

195    Or, dans la lettre évoquée au point 193 du présent arrêt, le médiateur du bouclier de protection des données, quoique décrit comme étant « indépendant des services de renseignement », a été présenté comme « [rendant] compte directement au secrétaire d’État qui veillera à ce que le médiateur remplisse sa mission en toute objectivité et à l’abri de toute influence inappropriée susceptible d’affecter la réponse qu’il devra donner ». Par ailleurs, outre le fait que, ainsi que la Commission l’a constaté au considérant 116 de cette décision, le médiateur est désigné par le secrétaire d’État et fait partie intégrante du département d’État des États-Unis, il n’existe, dans ladite décision, comme M. l’avocat général l’a relevé au point 337 de ses conclusions, aucune indication selon laquelle la révocation du médiateur ou l’annulation de sa nomination seraient assorties de garanties particulières, ce qui est de nature à mettre en cause l’indépendance du médiateur par rapport au pouvoir exécutif (voir, en ce sens, arrêt du 21 janvier 2020, Banco de Santander, C‑274/14, EU:C:2020:17, points 60 et 63 ainsi que jurisprudence citée).

196    De même, ainsi que M. l’avocat général l’a souligné, au point 338 de ses conclusions, si le considérant 120 de la décision BPD fait état d’un engagement du gouvernement américain à ce que la composante concernée des services de renseignement soit tenue de corriger toute violation des normes applicables détectée par le médiateur du bouclier de protection des données, ladite décision ne comporte aucune indication selon laquelle ce médiateur serait habilité à prendre des décisions contraignantes à l’égard de ces services et ne fait pas non plus état de garanties légales dont serait assorti cet engagement et dont pourraient se prévaloir les personnes concernées.

197    Dès lors, le mécanisme de médiation visé par la décision BPD ne fournit pas de voie de recours devant un organe qui offre aux personnes dont les données sont transférées vers les États-Unis des garanties substantiellement équivalentes à celles requises à l’article 47 de la Charte.

• L’annulation de la décision de la Commission sur le bouclier

98    Partant, en constatant, à l’article 1^er, paragraphe 1, de la décision BPD, que les États-Unis assurent un niveau adéquat de protection des données à caractère personnel transférées depuis l’Union vers des organisations établies dans ce pays tiers dans le cadre du bouclier de protection des données Union européenne-États-Unis, la Commission a méconnu les exigences résultant de l’article 45, paragraphe 1, du RGPD, lu à la lumière des articles 7, 8 et 47 de la Charte.

199    Il s’ensuit que l’article 1^er de la décision BPD est incompatible avec l’article 45, paragraphe 1, du RGPD, lu à la lumière des articles 7, 8 et 47 de la Charte, et qu’il est de ce fait invalide.

200    L’article 1^er de la décision BPD étant indissociable des articles 2 à 6 ainsi que des annexes de celle-ci, son invalidité a pour effet d’affecter la validité de cette décision dans son ensemble.

201    Eu égard à l’ensemble des considérations qui précèdent, il convient de conclure que la décision BPD est invalide.

Le droit dit par la Grande Chambre de la Cour de justice

1)      L’article 2, paragraphes 1 et 2, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), doit être interprété en ce sens que relève du champ d’application de ce règlement un transfert de données à caractère personnel effectué à des fins commerciales par un opérateur économique établi dans un État membre vers un autre opérateur économique établi dans un pays tiers, nonobstant le fait que, au cours ou à la suite de ce transfert, ces données sont susceptibles d’être traitées par les autorités du pays tiers concerné à des fins de sécurité publique, de défense et de sûreté de l’État.

2)      L’article 46, paragraphe 1, et l’article 46, paragraphe 2, sous c), du règlement 2016/679 doivent être interprétés en ce sens que les garanties appropriées, les droits opposables et les voies de droit effectives requis par ces dispositions doivent assurer que les droits des personnes dont les données à caractère personnel sont transférées vers un pays tiers sur le fondement de clauses types de protection des données bénéficient d’un niveau de protection substantiellement équivalent à celui garanti au sein de l’Union européenne par ce règlement, lu à la lumière de la charte des droits fondamentaux de l’Union européenne. À cet effet, l’évaluation du niveau de protection assuré dans le contexte d’un tel transfert doit, notamment, prendre en considération tant les stipulations contractuelles convenues entre le responsable du traitement ou son sous-traitant établis dans l’Union européenne et le destinataire du transfert établi dans le pays tiers concerné que, en ce qui concerne un éventuel accès des autorités publiques de ce pays tiers aux données à caractère personnel ainsi transférées, les éléments pertinents du système juridique de celui-ci, notamment ceux énoncés à l’article 45, paragraphe 2, dudit règlement.

3)      L’article 58, paragraphe 2, sous f) et j), du règlement 2016/679 doit être interprété en ce sens que, à moins qu’il existe une décision d’adéquation valablement adoptée par la Commission européenne, l’autorité de contrôle compétente est tenue de suspendre ou d’interdire un transfert de données vers un pays tiers fondé sur des clauses types de protection des données adoptées par la Commission, lorsque cette autorité de contrôle considère, à la lumière de l’ensemble des circonstances propres à ce transfert, que ces clauses ne sont pas ou ne peuvent pas être respectées dans ce pays tiers et que la protection des données transférées requise par le droit de l’Union, en particulier par les articles 45 et 46 de ce règlement et par la charte des droits fondamentaux, ne peut pas être assurée par d’autres moyens, à défaut pour le responsable du traitement ou son sous-traitant établis dans l’Union d’avoir lui-même suspendu le transfert ou d’avoir mis fin à celui-ci.

4)      L’examen de la décision 2010/87/UE de la Commission, du 5 février 2010, relative aux clauses contractuelles types pour le transfert de données à caractère personnel vers des sous-traitants établis dans des pays tiers en vertu de la directive 95/46/CE du Parlement européen et du Conseil, telle que modifiée par la décision d’exécution (UE) 2016/2297 de la Commission, du 16 décembre 2016, au regard des articles 7, 8 et 47 de la charte des droits fondamentaux n’a révélé aucun élément de nature à affecter la validité de cette décision.

5)      La décision d’exécution (UE) 2016/1250 de la Commission, du 12 juillet 2016, conformément à la directive 95/46/CE du Parlement européen et du Conseil relative à l’adéquation de la protection assurée par le bouclier de protection des données UE-États-Unis, est invalide.

L’article RGPD : la Cour de justice annule la décision de la Commission sur le bouclier de protection des données avec les Etats-Unis est apparu en premier sur Philippe Schmitt Avocats.