Contrôle indépendant

Points clés

• Pour garantir la protection effective des données, il appartient au droit national d’éta-blir des autorités de contrôle indépendant.

• Les autorités de contrôle nationales agissent en toute indépendance, qui est garan-tie par le droit fondateur et reflétée dans la structure organisationnelle spécifique de l’autorité de contrôle.

• Les autorités de contrôle ont des missions spécifiques, parmi lesquelles :

• surveiller et promouvoir la protection des données au niveau national ;

• conseiller les personnes concernées et les responsables du traitement, ainsi que le gouvernement et le grand public ;

192 CdE, Comité des Ministres (1985), recommandation Rec (85) 20 aux États membres relative à la protection des données à caractère personnel utilisés à des fins de marketing direct, 25 octobre 1985, art. 4, para. 1.

• entendre les réclamations et aider la personne concernée en cas de violations allé-guées au droit à la protection des données ;

• contrôler les responsables du traitement et les sous-traitants ;

• intervenir si nécessaire en

• avertissant, admonestant, voire en verbalisant les responsables du traitement et sous-traitants,

• ordonnant la correction, le verrouillage ou la suppression de données,

• imposant une interdiction de traitement ;

• soumettre l’affaire aux tribunaux.

La directive relative à la protection des données requiert un contrôle indépendant comme mécanisme important garantissant la protection effective des données. La directive a introduit un instrument d’application de la protection des données qui n’apparaissait initialement pas dans la Convention 108 ou les lignes directrices sur la vie privée de l’OCDE.

Le contrôle indépendant s’étant révélé indispensable pour le développement d’une protection effective des données, une nouvelle disposition des lignes directrices sur la vie privée de l’OCDE, dans leur version révisée, adoptée en 2013, appelle les États membres à « procéder à la mise en place et assurer le fonctionnement d’au-torités chargées de la protection de la vie privée qui soient dotées de la gouver-nance, des ressources et de l’expertise technique nécessaires pour exercer leurs pouvoirs efficacement et prendre leurs décisions de manière objective, impartiale et cohérente¹⁹³ ».

Dans le droit du CdE, le protocole additionnel à la Convention 108 a rendu obligatoire la création d’autorités de contrôle. Cet acte énonce à l’article 1 le cadre légal des autorités de contrôle indépendantes que les États contractants doivent mettre en place dans leur droit national. Il utilise des formulations similaires pour décrire les missions et les pouvoirs de ces autorités à celles figurant dans la directive relative à la protection des données. En principe, les autorités de contrôle devraient donc fonc-tionner de la même façon dans le droit de l’UE et dans celui du CdE.

193 OCDE (2013), Lignes directrices sur la protection de la vie privée et les flux transfrontières de données de caractère personnel, art. 19, point c).

Dans le droit de l’UE, les compétences et la structure organisationnelle des auto-rités de contrôle ont tout d’abord été présentées à l’article 28, paragraphe 1, de la directive relative à la protection des données. Le règlement relatif à la protection des données des institutions communautaires¹⁹⁴ crée le Contrôleur européen de la pro-tection des données (CEPD) comme autorité de contrôle du traitement des données par les organes et institutions communautaires. Lorsqu’il présente les rôles et res-ponsabilités de l’autorité de contrôle, le règlement se fonde sur l’expérience acquise depuis la promulgation de la directive relative à la protection des données.

L’indépendance des autorités de protection des données est garantie par l’article 16, paragraphe 2, du TFUE et l’article 8, paragraphe 3, de la Charte. Ce dernier prévoit spécifiquement le contrôle par une autorité indépendante comme un élément essentiel du droit fondamental à la protection des données. En outre, la directive relative à la protection des données impose aux États membres de créer des auto-rités de contrôle chargées de surveiller l’application de la directive en toute indé-pendance¹⁹⁵. Non seulement la législation afférente à la création d’un organe de contrôle doit contenir des dispositions garantissant spécifiquement son indépen-dance, mais la structure organisationnelle particulière de l’autorité doit démontrer cette’indépendance.

En 2010, la CJUE avait traité pour la première fois la question de l’étendue de l’exi-gence d’indépendance des autorités de contrôle de la protection des données¹⁹⁶. Les exemples ci-dessous illustrent sa position.

Exemple : dans l’affaire Commission c. Allemagne¹⁹⁷, la Commission euro-péenne a demandé à la CJUE de déclarer que l’Allemagne avait incorrectement transposé l’exigence d’une action « en toute indépendance » des autorités de contrôle chargées de garantir la protection des données et, partant, manqué à ses obligations découlant de l’article 28, paragraphe 1, de la directive relative

194 Règlement (CE) n° 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données, JO 2001 L 8, art. 41 à 48.

195 Directive relative à la protection des données, art. 28, para. 1, dernière phrase ; Convention 108, protocole additionnel, art. 1, para. 3.

196 Voir FRA (2010), Les droits fondamentaux : défis et réussites en 2010, Rapport annuel, p. 59. La FRA avait traité cette question de façon très détaillée dans son rapport sur La protection des données à caractère personnel dans l’Union européenne : le rôle des autorités nationales chargées de la protection des données, publié en mai 2010.

197 CJUE, C-518/07, Commission européenne c. République fédérale d’Allemagne, 9 mars 2010, para. 27.

à la protection des données. Selon la Commission, le problème provenait du fait que l’Allemagne avait placé sous la tutelle de l’État les autorités de contrôle compétentes en matière de traitement des données à caractère personnel par le secteur non public dans les différents Länder.

Selon la Cour, l’appréciation du bien-fondé du recours dépendait de la portée de l’exigence d’indépendance contenue dans cet article et, partant, de l’interpréta-tion de cette disposil’interpréta-tion.

La Cour a souligné que les mots « en toute indépendance » de l’article 28, para-graphe 1, de la directive, devaient être interprétés en se fondant sur le libellé même de cette disposition ainsi que sur les objectifs et l’économie de la direc-tive reladirec-tive à la protection des données¹⁹⁸. La Cour a souligné que les autorités de contrôle étaient « les gardiennes » des droits liés au traitement de données à caractère personnel garantis dans la directive, et que leur institution dans les États membres était considérée « comme un élément essentiel de la protec-tion des personnes à l’égard du traitement des données à caractère person-nel¹⁹⁹ ». La Cour a conclu que « lors de l’exercice de leurs missions, les auto-rités de contrôle doivent agir de manière objective et impartiale. À cet effet, elles doivent être à l’abri de toute influence extérieure, y compris celle, directe ou indirecte, de l’État ou des Länder, et pas seulement de l’influence des orga-nismes contrôlés²⁰⁰ ».

La CJUE a également retenu que la signification des termes « en toute indépen-dance » devait être interprétée à la lumière de l’indépendance du CEPD, telle que définie dans le règlement relatif à la protection des données des institutions communautaires. Elle a souligné que l’article 44, paragraphe 2, dudit règlement,

« explicite la notion d’indépendance en ajoutant que, dans l’accomplissement de sa mission, le CEPD ne sollicite ni n’accepte d’instructions de quiconque ».

Cela exclut la supervision par l’État d’une autorité de contrôle indépendante chargée de la protection des données²⁰¹.

Par conséquent, la CJUE a considéré que les institutions allemandes chargées de la protection des données au niveau des Länder n’étaient pas suffisamment

198 Ibid., paras. 17 et 29.

199 Ibid., para. 23.

200 Ibid., para. 25.

201 Ibid., para. 27.

indépendantes pour contrôler le traitement de données à caractère personnel par des organes non publics, au motif qu’elles étaient soumises à la tutelle de l’État.

Exemple : dans l’affaire Commission c. Autriche²⁰², la CJUE a mis en évidence des problèmes similaires concernant la position de certains membres et du person-nel de l’autorité autrichienne de protection des données (commission de protec-tion des données, « DSK »). Dans cette affaire, la Cour a conclu que le droit autri-chien empêchait l’autorité autriautri-chienne de protection des données d’exercer ses fonctions en toute indépendance au sens de la directive relative à la protection des données. L’indépendance de l’autorité autrichienne de protection des don-nées n’était pas suffisamment garantie dans la mesure où la main d’œuvre de la DSK était fournie par le chancelier fédéral, lequel supervisait également la DSK et avait le droit d’être informé à tout moment sur son travail.

Exemple, dans l’affaire Commission c. Hongrie²⁰³, la CJUE a souligné que « l’exi-gence [...] selon laquelle il convient de garantir que chaque autorité de contrôle exerce en toute indépendance les missions dont elle est investie implique l’obli-gation pour l’État membre concerné de respecter la durée du mandat d’une telle autorité jusqu’à son terme initialement prévu » et a considéré que « en mettant fin de manière anticipée au mandat de l’autorité de contrôle de la protection des données à caractère personnel, la Hongrie a manqué aux obligations qui lui incombent en vertu de la directive 95/46/CE […] ».

Certaines autorités de contrôle se voient attribuer des pouvoirs et capacités par le droit national, parmi lesquels²⁰⁴ :

• conseiller les responsables du traitement et personnes concernées sur toutes les questions relatives à la protection des données ;

• enquêter sur des traitements et intervenir en conséquence ;

• donner des avertissements ou admonestations aux responsables du traitement ;

• ordonner la rectification, le verrouillage, l’effacement ou la destruction des données ;

202 CJUE, C-614/10, Commission européenne c. République d’Autriche, 16 octobre 2012, paras. 59 et 63.

203 CJUE, C-288/12, Commission européenne c. Hongrie, 8 avril 2014, paras. 50 et 67.

204 Directive relative à la protection des données, art. 28 ; voir également Convention 108, protocole additionnel, art. 1.

• imposer une interdiction temporaire ou définitive de traitement ;

• soumettre l’affaire aux tribunaux.

Pour pouvoir exercer ses fonctions, une autorité de contrôle doit avoir accès à l’en-semble des données à caractère personnel et aux informations nécessaires à une enquête, ainsi qu’à tous les locaux dans lesquels un responsable du traitement conserve des informations pertinentes.

Il existe des différences considérables entre les juridictions nationales quant aux procédures et aux effets juridiques des constatations d’une autorité de contrôle.

Elles peuvent aller de recommandations de type médiateur à des décisions immé-diatement exécutables. Par conséquent, lorsqu’il s’agit d’analyser l’efficacité des voies de recours ouvertes dans une juridiction, les instruments de recours doivent être appréciés dans leur contexte.