Intervention de Jean-François Rapin

Nous auditionnons à distance Maître Maximilian Schrems, avocat autrichien, que nous remercions d'avoir répondu à notre invitation. Le 28 janvier, après-demain, ce sera la Journée européenne de la protection des données. Cette journée a été mise en place pour encourager chaque Européen à appliquer les bonnes pratiques pour protéger ses informations personnelles, professionnelles et bancaires : renforcer ses mots de passe, faire des sauvegardes régulières, ne pas négliger les mises à jour car elles corrigent les failles de sécurité... Ces efforts de sensibilisation sont louables, nous mesurons le prix de nos données personnelles qui sont convoitées et qui représentent l'or noir de l'économie numérique et des entreprises si puissantes qui la dominent.

Parallèlement, la Commission européenne s'attache à organiser la possibilité d'un transfert des données personnelles des Européens vers les États-Unis, dont l'intérêt économique est évident, mais elle peine à organiser ce transfert dans le respect des règles européennes en matière de protection des données, qui sont fixées par le règlement général sur la protection des données (RGPD), entré en vigueur il y a bientôt cinq ans, et par la directive européenne sur la confidentialité des communications « e-privacy », à laquelle devrait se substituer un règlement, proposé depuis 2017 mais toujours en négociation.

C'est pour protéger les données personnelles des Européens que vous vous battez, Monsieur Schrems, depuis 2009, alors que vous n'étiez encore qu'un simple étudiant autrichien. Vous vous êtes rapidement attaqué à Facebook et, en octobre 2015, vous avez obtenu l'invalidation, par la Cour de justice de l'Union européenne (CJUE), de l'accord baptisé Safe Harbor, qui encadrait le transfert des données des internautes européens vers les États-Unis et leur utilisation par de nombreuses entreprises américaines, dont les géants du Web. Vous avez co-fondé en 2017 l'association « None Of Your Business » (NOYB), qui milite pour protéger la vie privée et dont vous êtes aujourd'hui président d'honneur. En juillet 2020, la CJUE a rendu un deuxième arrêt qui porte également votre nom et qui invalide le Privacy Shield, le nouvel accord négocié entre l'Union européenne (UE) et les États-Unis pour succéder au précédent et censé mieux assurer le respect des données personnelles.

Nous nous trouvons aujourd'hui dans la phase préparatoire d'un troisième accord, qui est réclamé par les entreprises pâtissant de l'insécurité juridique actuelle, tant côté européen que côté américain : la Commission européenne se propose de prendre une décision dite d'adéquation qui reconnaîtrait la conformité de la nouvelle législation américaine adoptée à l'automne 2022 aux exigences européennes en matière de protection des données personnelles. Dès la publication de ces nouveaux textes américains, vous avez indiqué que votre association, NOYB, se tenait prête à introduire un nouveau recours devant la CJUE contre la future décision d'adéquation. Selon vous, les modifications apportées par les États-Unis à leur législation demeurent insuffisantes. C'est sur ce point que nous serions désireux de vous entendre.

Du point de vue de la procédure, la décision envisagée par la Commission ressort de son pouvoir d'exécution et échappe largement à ce titre aux parlements nationaux de l'Union européenne : elle ne leur est pas soumise ; le Parlement européen n'intervient pas non plus dans le processus d'adoption. Le projet de décision d'adéquation présenté par la Commission européenne en décembre dernier est seulement soumis à l'avis du Comité européen de la protection des données (CEPD), qui rassemble les autorités de protection des données de tous les États membres de l'Union. L'avis qu'il rendra ne sera pas contraignant. La Commission doit également consulter un comité au sein duquel tous les États membres sont représentés et qui rendra un avis à la majorité qualifiée. L'acte d'exécution ne peut pas être adopté si ce comité émet un avis défavorable. La Commission peut alors présenter dans les deux mois une version modifiée du projet.

Le Gouvernement français va donc devoir se positionner et valider ou non la décision d'adéquation que propose la Commission. C'est dans cette perspective qu'il nous a paru utile de vous auditionner : il nous semble important que le Sénat contribue ainsi au contrôle de l'action européenne du Gouvernement.