La Cour de justice de l'Union européenne vient de rappeler les critères d'application des lois nationales de protection des données à caractère personnel, ainsi que les pouvoirs de chaque autorité nationale de protection.
Cet arrêt du 1er octobre a été largement éclipsé par la décision du 6 octobre de la même Cour relative au Safe Harbor américain (notre actualité du 9 octobre). Il n'en demeure pas moins qu'il revêt une certaine importance en ce qu'il rappelle et confirme des analyses bien connues des juristes puisqu'elles découlent logiquement des règles mentionnées dans la directive 95/46/CE sur la protection de ces données.
Les faits en bref
Un société slovaque exploite un site d'annonces immobilières concernant notamment des biens situés en Hongrie. Des annonceurs privés hongrois ayant demandé sans succès de faire retirer leurs annonces de ce site, ils ont saisi l'autorité de protection des données hongroise. Sanctionnée par celle-ci, la société slovaque a alors contesté la décision. Saisie du litige, la Cour suprême hongroise a alors posé la question à la CJUE de savoir si la directive permet à l'autorité hongroise de sanctionner une société slovaque sur la base de la loi hongroise.
Un double niveau de réponse de la CJUE
Tout d'abord, dès lors qu'une société de droit étranger dispose au minimum d'un représentant dans un pays, ce qui était le cas en l'espèce, la loi de ce pays s'applique, conformément à la directive.
Cette solution avait déjà été appliquée dans le mémorable arrêt du 13 mai 2014 visant Google, puisque la Cour avait noté que Google était établie en Espagne par le biais de la société Google Spain.
Mais la Cour va plus loin que la simple question posée en l'espèce. Elle précise en effet que, dans l'hypothèse où une société ne disposerait pas d'un représentant ou d'un établissement stable dans le pays dont les ressortissants ont saisi l'autorité de protection, cette autorité ne pourrait sanctionner cette société sur la base du droit de son pays (par exemple ici, du droit hongrois). Mais dans le cadre de l'obligation de coopération prévue par la directive, cette autorité serait tenue de saisir son homologue dans le pays dont la société est ressortissante, en vue d'une éventuelle sanction sur la base de la loi locale.
En savoir plus
Communiqué de presse de la Cour en date du 1er octobre (pdf, 214 ko) :
http://curia.europa.eu/jcms/upload/docs/application/pdf/2015-10/cp150111fr.pdf
Décisions de la CJUE elle-même, disponible:sur le site de la CJUE :
http://curia.europa.eu/juris/document/document.jsf?text=&docid=168944
et sur Eur-Lex :
http://eur-lex.europa.eu/legal-content/FR/ALL/?uri=CELEX:62014CJ0230
