Les Cnil européennes peuvent-elles condamner un éditeur de site étranger ?

Un site Web, même immatriculé à l’étranger (en l’occurrence dans un autre État membre de l’UE), peut se voir appliquer le droit d’un État membre relatif à la protection des données personnelles, pour peu que l’éditeur de ce site exerce « au moyen d’une installation stable sur le territoire de cet État membre, une activité effective et réelle, même minime, dans le cadre de laquelle ce traitement est effectué ». C’est en substance l’arrêt qu’a publié hier la CJUE.

L’affaire opposait un site d’annonces immobilières slovaque et la Cnil hongroise. La société slovaque, refusant de supprimer gratuitement les données personnelles de clients hongrois, avait été condamnée à une amende par la Nemzeti Adatvédelmi és Információszabadság Hatóság (l’équivalent hongrois de notre Cnil). L’éditeur du site a par la suite contesté la compétence territoriale de la NAIH : l’affaire termina devant la Cour suprême de Hongrie, qui a soumis la question à la CJUE.

Compétence territoriale précisée

Laquelle vient de rendre un arrêt on ne peut plus clair sur la compétence territoriale des Cnils européennes. Elle considère que le droit européen « permet l’application de la législation relative à la protection des données à caractère personnel d’un État membre autre que celui dans lequel le responsable du traitement de ces données est immatriculé ». Indépendamment de la nationalité des victimes, à la seule condition que « le responsable du traitement des données » exerce une activité dans l’État membre concerné.

En outre, précisent les juges, si l’autorité de contrôle d’un État membre estime que ce n’est pas le droit national qui doit s’appliquer, mais celui d’un autre État membre, « elle ne saurait infliger de sanctions sur la base du droit de cet État membre au responsable du traitement de ces données qui n’est pas établi sur ce territoire ». Toutefois, elle peut saisir la Cnil du second État membre. Il revient dès lors à la juridiction nationale de déterminer si la société « étrangère » exerce sur son sol, « au moyen d’une installation stable sur le territoire de cet État membre, une activité effective et réelle, même minime ».

Evidemment, cet arrêt ne concerne que les éditeurs responsables du traitement de données à caractère personnel établis sur le territoire de l’UE. Mais, considérant qu’un certain nombre de géants du Web disposent de sièges en Europe, la jurisprudence pourrait bien être utilisée contre eux, ce qui suscitera sans aucun doute de nouveaux débats juridiques et, qui sait, une nouvelle jurisprudence.

Denis JACOPINI est Expert Judiciaire en Informatique, consultant, formateur et chargé de cours.
Nos domaines de compétence :

• Expertises et avis techniques en concurrence déloyale, litige commercial, piratages, arnaques Internet… ;
• Consultant en sécurité informatique, cybercriminalité et mises en conformité et déclarations à la CNIL ;
• Formateur et chargé de cours en sécurité informatique, cybercriminalité et déclarations à la CNIL.

Cet article vous plait ? Partagez !
Un avis ? Laissez-nous un commentaire !

Source : http://www.linformaticien.com/actualites/id/38047/les-cnil-europeennes-peuvent-elles-condamner-un-editeur-de-site-etranger.aspx

par Guillaume Périssat