ORDONNANCE DU PRÉSIDENT DU TRIBUNAL
12 octobre 2023 (*)
« Référé – Protection des données à caractère personnel – Cadre de protection des données UE-États-Unis – Décision constatant l’adéquation du niveau de protection – Demande de sursis à exécution – Défaut d’urgence »
Dans l’affaire T‑553/23 R,
Philippe Latombe, demeurant à Nantes (France), représenté par Mes N. Coutrelis et J.-B. Soufron, avocats,
partie requérante,
contre
Commission européenne, représentée par MM. D. Calleja Crespo, A. Bouchagiar et H. Kranenborg, en qualité d’agents,
partie défenderesse,
LE PRÉSIDENT DU TRIBUNAL
rend la présente
Ordonnance
1 Par sa demande fondée sur les articles 278 et 279 TFUE, le requérant, M. Philippe Latombe, sollicite le sursis à l’exécution de la décision d’exécution (UE) 2023/1795 de la Commission, du 10 juillet 2023, constatant, conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil, le niveau de protection adéquat des données à caractère personnel assuré par le cadre de protection des données UE - États-Unis (JO 2023, L 231, p. 118, ci-après la « décision attaquée »).
Antécédents du litige et conclusions des parties
2 Le requérant est un citoyen français qui utilise diverses plateformes informatiques collectant et conservant ses données personnelles.
3 Le 10 juillet 2023, la Commission européenne a adopté la décision attaquée, sur le fondement de l’article 45, paragraphe 3, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, ci-après le « RGPD »).
4 À l’article 1er de la décision attaquée, la Commission a constaté que les États-Unis d’Amérique assuraient un niveau adéquat de protection des données à caractère personnel transférées depuis l’Union européenne vers des organisations qui y étaient établies qui figuraient sur la « liste du cadre de protection des données » (ci-après la « liste CPD »), tenue à jour et publiée par le ministère du Commerce.
5 Ainsi, conformément à l’article 45, paragraphe 1, du RGPD, un transfert de données à caractère personnel vers les organisations établies aux États-Unis figurant sur la liste CPD peut avoir lieu sans autorisation spécifique.
6 Par requête déposée au greffe du Tribunal le 6 septembre 2023, le requérant a introduit un recours tendant à l’annulation des articles 1er et 2 de la décision attaquée.
7 Par acte séparé, déposé au greffe du Tribunal le 8 septembre 2023, le requérant a introduit la présente demande en référé, dans laquelle il conclut à ce qu’il plaise au président du Tribunal :
– ordonner le sursis à l’exécution de la décision attaquée ;
– condamner la Commission aux dépens.
8 Dans ses observations sur la demande en référé, déposées au greffe du Tribunal le 25 septembre 2023, la Commission conclut à ce qu’il plaise au président du Tribunal :
– rejeter la demande en référé ;
– condamner le requérant aux dépens.
En droit
Considérations générales
9 Il ressort d’une lecture combinée des articles 278 et 279 TFUE, d’une part, et de l’article 256, paragraphe 1, TFUE, d’autre part, que le juge des référés peut, s’il estime que les circonstances l’exigent, ordonner le sursis à l’exécution d’un acte attaqué devant le Tribunal ou prescrire les mesures provisoires nécessaires, et ce en application de l’article 156 du règlement de procédure du Tribunal. Néanmoins, l’article 278 TFUE pose le principe du caractère non suspensif des recours, les actes adoptés par les institutions de l’Union bénéficiant d’une présomption de légalité. Ce n’est donc qu’à titre exceptionnel que le juge des référés peut ordonner le sursis à l’exécution d’un acte attaqué devant le Tribunal ou prescrire des mesures provisoires (ordonnance du 19 juillet 2016, Belgique/Commission, T‑131/16 R, EU:T:2016:427, point 12).
10 L’article 156, paragraphe 4, première phrase, du règlement de procédure dispose que les demandes en référé doivent spécifier « l’objet du litige, les circonstances établissant l’urgence ainsi que les moyens de fait et de droit justifiant à première vue l’octroi de la mesure provisoire à laquelle elles concluent ».
11 Ainsi, le sursis à exécution et les autres mesures provisoires peuvent être accordés par le juge des référés s’il est établi que leur octroi est justifié à première vue en fait et en droit (fumus boni juris) et qu’ils sont urgents, en ce sens qu’il est nécessaire, pour éviter un préjudice grave et irréparable aux intérêts de la partie qui les sollicite, qu’ils soient édictés et produisent leurs effets avant la décision dans l’affaire principale. Ces conditions sont cumulatives, de telle sorte que les demandes de mesures provisoires doivent être rejetées dès lors que l’une d’elles fait défaut. Le juge des référés procède également, le cas échéant, à la mise en balance des intérêts en présence (voir ordonnance du 2 mars 2016, Evonik Degussa/Commission, C‑162/15 P‑R, EU:C:2016:142, point 21 et jurisprudence citée).
12 Dans le cadre de cet examen d’ensemble, le juge des référés dispose d’un large pouvoir d’appréciation et reste libre de déterminer, au regard des particularités de l’espèce, la manière dont ces différentes conditions doivent être vérifiées ainsi que l’ordre de cet examen, dès lors qu’aucune règle de droit ne lui impose un schéma d’analyse préétabli pour apprécier la nécessité de statuer provisoirement [voir ordonnance du 19 juillet 2012, Akhras/Conseil, C‑110/12 P(R), non publiée, EU:C:2012:507, point 23 et jurisprudence citée].
13 Compte tenu des éléments du dossier, le président du Tribunal estime qu’il dispose de tous les éléments nécessaires pour statuer sur la présente demande en référé, sans qu’il soit utile d’entendre, au préalable, les parties en leurs explications orales.
14 Dans les circonstances du cas d’espèce et indépendamment de la question de savoir s’il y a une connexité entre les objets respectifs de la demande en référé et du recours principal, il convient d’examiner d’abord si la condition relative à l’urgence est remplie.
Sur la condition relative à l’urgence
15 Afin de vérifier si les mesures provisoires demandées sont urgentes, il convient de rappeler que la finalité de la procédure de référé est de garantir la pleine efficacité de la future décision définitive, afin d’éviter une lacune dans la protection juridique assurée par le juge de l’Union. Pour atteindre cet objectif, l’urgence doit, de manière générale, s’apprécier au regard de la nécessité qu’il y a de statuer provisoirement afin d’éviter qu’un préjudice grave et irréparable ne soit occasionné à la partie qui sollicite la protection provisoire. Il appartient à cette partie d’apporter la preuve qu’elle ne saurait attendre l’issue de la procédure relative au recours au fond sans subir un préjudice grave et irréparable (voir ordonnance du 14 janvier 2016, AGC Glass Europe e.a./Commission, C‑517/15 P‑R, EU:C:2016:21, point 27 et jurisprudence citée).
16 Par ailleurs, aux termes de l’article 156, paragraphe 4, seconde phrase, du règlement de procédure, les demandes en référé « contiennent toutes les preuves et offres de preuves disponibles, destinées à justifier l’octroi des mesures provisoires ».
17 Ainsi, une demande en référé doit permettre, à elle seule, à la partie défenderesse de préparer ses observations et au juge des référés de statuer sur cette demande, le cas échéant, sans autres informations à l’appui, les éléments essentiels de fait et de droit sur lesquels celle‑ci se fonde devant ressortir du texte même de ladite demande (voir ordonnance du 6 septembre 2016, Inclusion Alliance for Europe/Commission, C‑378/16 P‑R, non publiée, EU:C:2016:668, point 17 et jurisprudence citée).
18 C’est à la lumière de ces critères qu’il convient d’examiner si le requérant parvient à démontrer l’urgence.
19 Le requérant soutient que la décision attaquée lui cause des préjudices graves et irréparables. Il serait affecté par cette décision en tant qu’utilisateur des plateformes informatiques Microsoft 365, Google et Doctolib, dont la dernière est utilisée pour la prise de rendez-vous médicaux.
20 Premièrement, il fait valoir que, en application de la décision attaquée, ses données à caractère personnel peuvent être transférées vers les organisations établies aux États-Unis figurant sur la liste CPD, et utilisées par celles-ci, sans qu’aucun contrôle supplémentaire de conformité au droit de l’Union ne soit nécessaire. Toutefois, contrairement au constat formulé à l’article 1er de la décision attaquée, les États-Unis d’Amérique n’assureraient pas un niveau adéquat de protection des données à caractère personnel. En outre, il expose, en substance, des arguments visant à démontrer que la décision attaquée porte atteinte à ses droits en ce qu’elle n’est conforme ni au RGPD ni à la charte des droits fondamentaux de l’Union européenne.
21 Deuxièmement, selon le requérant, l’évaluation par la Commission, aux fins de constater si les États-Unis d’Amérique assurent toujours un niveau adéquat de protection des données à caractère personnel, ne sera effectuée qu’un an après la notification aux États membres de la décision attaquée. En outre, dans la mesure où les organisations participantes profiteraient d’un délai jusqu’au 20 octobre 2023 pour mettre à jour leur politique en matière de protection de la vie privée, ses données figurant sur les plateformes informatiques Microsoft 365 et Doctolib seraient affectées.
22 Troisièmement, la décision attaquée aurait pour conséquence qu’il ne disposerait plus du droit de s’adresser à l’autorité de contrôle visée à l’article 4, point 21, du RGPD pour que celle-ci vérifie si ses données personnelles sont légalement transférées aux États-Unis.
23 La Commission conteste les arguments du requérant.
24 En l’espèce, s’agissant du préjudice invoqué par le requérant, premièrement, il y a lieu de constater que le requérant n’expose pas les raisons pour lesquelles, dans son cas particulier, des transferts de ses données à caractère personnel, sur le fondement de la décision attaquée et de l’article 45, paragraphe 1, du RGPD, vers des organisations établies aux États-Unis figurant sur la liste CPD lui causeraient un préjudice grave. En effet, il se limite à décrire, en termes généraux, les effets et les aspects négatifs de la décision attaquée, sans expliquer la nature du préjudice qu’il subirait personnellement.
25 En outre, ainsi que le fait valoir la Commission, le requérant se limite à affirmer qu’il utilise certains outils informatiques, sans fournir pour autant les éléments de preuve permettant de conclure que cette utilisation donne lieu ultérieurement au transfert de ses données vers les organisations visées au point 24 ci-dessus et sans aucune précision quant à la nature ou au type de données à caractère personnel qui seraient concernées par un tel transfert.
26 Deuxièmement, la Commission observe à juste titre qu’il est déjà possible de transférer, sous certaines conditions, des données à caractère personnel vers des organisations établies aux États-Unis en vertu des outils de transfert prévus aux articles 46 et 49 du RGPD.
27 D’une part, l’article 46 du RGPD permet le transfert de données à caractère personnel vers un pays tiers lorsque l’exportateur des données prévoit des garanties appropriées, par exemple en adoptant des règles d’entreprise contraignantes conformément à l’article 47 du RGPD, et à la condition que les personnes concernées disposent de droits opposables et de voies de droit effectives. D’autre part, l’article 49 du RGPD prévoit des dérogations qui permettent le transfert de données à caractère personnel vers un pays tiers dans des circonstances spécifiques, notamment quand le transfert est nécessaire pour des motifs importants d’intérêt public.
28 Or, le requérant n’est pas en mesure d’expliquer dans quelle mesure la décision attaquée, qui étendrait les possibilités de transfert à l’article 45 du RGPD, le désavantagerait par rapport à la situation prévalant avant cette décision. Certes, le requérant allègue qu’il ne disposerait plus du droit de s’adresser à l’autorité de contrôle pour que celle-ci vérifie si ses données personnelles sont légalement transférées aux États-Unis. Il lui reste toutefois loisible d’introduire une réclamation auprès d’une autorité de contrôle conformément à l’article 77 du RGPD, s’il estime que le traitement de ses données à caractère personnel est contraire à ce règlement.
29 Troisièmement, les arguments du requérant relatifs à l’absence d’un niveau adéquat de protection des données à caractère personnel aux États-Unis et à l’atteinte à ses droits concernent la légalité de la décision attaquée, mais ne permettent pas d’établir l’existence d’un préjudice grave et irréparable justifiant l’urgence des mesures provisoires sollicitées.
30 En effet, la condition relative au caractère grave et irréparable du préjudice invoqué est différente de celle relative au fumus boni juris, quand bien même il n’est pas exclu qu’un sursis à exécution ou d’autres mesures provisoires soit ordonné sur le seul fondement de l’illégalité manifeste de l’acte qui est attaqué, par exemple lorsqu’il manque à ce dernier même l’apparence de la légalité et qu’il faut, de ce fait, en suspendre, sur le champ, l’exécution (voir, en ce sens, ordonnances du 7 juillet 1981, IBM/Commission, 60/81 R et 190/81 R, EU:C:1981:165, points 7 et 8, et du 26 mars 1987, Hoechst/Commission, 46/87 R, EU:C:1987:167, points 31 et 32).
31 Toutefois, si, ainsi qu’il ressort du point 110 de l’ordonnance du 23 février 2001, Autriche/Conseil (C‑445/00 R, EU:C:2001:123), le caractère particulièrement sérieux du fumus boni juris n’est pas sans influence sur l’appréciation de l’urgence, il s’agit cependant, conformément aux dispositions de l’article 156, paragraphe 4, du règlement de procédure, de deux conditions distinctes qui président à l’obtention d’un sursis à exécution ou d’autres mesures provisoires. Il appartient donc à la partie qui sollicite les mesures provisoires de démontrer l’imminence d’un préjudice grave et difficilement réparable, voire irréparable, et la seule démonstration de l’existence d’un fumus boni juris, même particulièrement sérieux, ne saurait pallier l’absence complète de démonstration de l’urgence, sauf circonstances tout à fait particulières (voir, en ce sens, ordonnance du 2 mai 2007, IPK International – World Tourism Marketing Consultants/Commission, T‑297/05 R, non publiée, EU:T:2007:118, point 52 et jurisprudence citée).
32 Ainsi qu’il a été constaté aux points 24 à 28 ci-dessus, le requérant n’a pas établi qu’il subirait un préjudice grave s’il n’était pas sursis à l’exécution de la décision attaquée.
33 Dès lors que le requérant n’est pas en mesure d’établir que la condition relative à l’urgence est remplie, la demande en référé doit être rejetée, sans qu’il soit nécessaire de se prononcer sur la recevabilité de la présente demande en référé, d’examiner le fumus boni juris ou de procéder à la mise en balance des intérêts.
34 En vertu de l’article 158, paragraphe 5, du règlement de procédure, il convient de réserver les dépens.
Par ces motifs,
LE PRÉSIDENT DU TRIBUNAL
ordonne :
1) La demande en référé est rejetée.
2) Les dépens sont réservés.
Fait à Luxembourg, le 12 octobre 2023.
V. Di Bucci | | M. van der Woude |