CNCIS – 23e rapport d’activité 2014-2015
toute situation entrant dans son champ d’application, quelle que soit par
ailleurs la loi applicable au contrat d’après le présent règlement ».
La CJUE admet que les juges nationaux donnent un caractère
d’application nécessaire aux règles issues des règlements et directives
(transposition d’une directive d’harmonisation minimale), au détriment
de la loi choisie par les parties. Par ailleurs, elle contrôle l’application des
dispositions nationales, à titre de lois de police ou d’application nécessaire, chaque fois qu’il est allégué que celles-ci pourraient constituer une
gêne à l’exercice des libertés fondamentales instituées par le traité 1.
Qu’en est-il en matière de données personnelles, domaine marqué
d’un côté par les droits fondamentaux protégés par le droit constitutionnel national et européen, et de l’autre par la globalisation et les intérêts commerciaux qui tendent à faire de l’individu son propre législateur
dans un monde où s’efface la souveraineté nationale ?
La directive n° 95/46/CE de 2005 contient ses propres règles visant
à déterminer le champ d’application dans l’espace de leurs dispositions 2.
Pour que le droit national issu de sa transposition s’applique, il faut soit
un établissement dans le pays en question, soit, en l’absence d’établissement dans un pays de l’Union, des moyens de collecte (dès lors qu’il
existe un dispositif qui envoie des informations depuis un ordinateur
ou un smartphone, comme par exemple des cookies, il y a moyen de
collecte).
Le champ d’application territorial est ainsi défini, non pas par rapport à la personne dont les données sont protégées, mais en fonction de
l’entreprise qui les traite (or la protection des données personnelles est
un droit fondamental de la personne). L’application de cette législation
n’est pas nécessairement limitée au territoire européen : les transferts
1) Elle l’a fait pour assurer la liberté de prestation de services (CJCE 23 novembre 1999,
Arblade) ou la liberté d’établissement des sociétés (CJCE, 9 mars 1999, Centros ; 5 novembre
2002, Überseering, C-208/00 ; 30 septembre 2003, Inspire Art, aff. C-167/01).
2) Directive n° 95/46/CE, article 4 : « Droit national applicable ».
1) Chaque État membre applique les dispositions nationales qu’il arrête en vertu de la présente directive aux traitements de données à caractère personnel lorsque :
a) le traitement est effectué dans le cadre des activités d’un établissement du responsable
du traitement sur le territoire de l’État membre ; si un même responsable du traitement est
établi sur le territoire de plusieurs États membres, il doit prendre les mesures nécessaires
pour assurer le respect, par chacun de ses établissements, des obligations prévues par le
droit national applicable ;
b) le responsable du traitement n’est pas établi sur le territoire de l’État membre mais en un
lieu où sa loi nationale s’applique en vertu du droit international public ;
c) le responsable du traitement n’est pas établi sur le territoire de la Communauté et
recourt, à des fins de traitement de données à caractère personnel, à des moyens, automatisés ou non, situés sur le territoire dudit État membre, sauf si ces moyens ne sont utilisés
qu’à des fins de transit sur le territoire de la Communauté.
2) Dans le cas visé au paragraphe 1 point c), le responsable du traitement doit désigner un
représentant établi sur le territoire dudit État membre, sans préjudice d’actions qui pourraient être introduites contre le responsable du traitement lui-même.
56
CNCIS 2015 IV.indd 56
26/06/2015 11:17:37