Vu la procédure suivante :

Par une requête sommaire, un mémoire complémentaire, deux mémoires en réplique et un nouveau mémoire, enregistrés les 26 juillet et 26 octobre 2022 et les 8 mars, 14 avril et 25 mai 2023 au secrétariat du contentieux du Conseil d’Etat, l’association des Américains accidentels demande au Conseil d’Etat :

1°) d’annuler la décision du 23 mai 2022 par laquelle la présidente de la Commission nationale de l’informatique et des libertés (CNIL) a procédé à la clôture de sa plainte tendant à la suspension des transferts automatiques de données fiscales opérés entre la France et les Etats-Unis en application de l’accord dit « FATCA » ;

2°) d’enjoindre à la CNIL d’ordonner la suspension de ces transferts automatiques de données fiscales entre la France et les Etats-Unis ;

3°) à titre subsidiaire, de surseoir à statuer et de saisir la Cour de justice de l’Union européenne des questions préjudicielles suivantes :

— « Les articles 5, 44 et 46 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, lus à la lumière des articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne, doivent-il être interprétés en ce sens qu’ils s’opposent au transfert automatique vers un Etat tiers des données fiscales des contribuables résidant sur le territoire de l’Etat membre concerné mais possédant la nationalité de cet Etat tiers, fondé sur un instrument visé au paragraphe 2, sous a) de l’article 46 de ce règlement, sans que cet instrument ni aucun autre élément pertinent du système juridique de cet Etat tiers ne fournisse de garanties notamment liées, d’une part, à la limitation temporelle de la conservation, d’autre part, à des mécanismes de contrôle interne et enfin, aux conditions de résiliation de cet instrument ' » ;

— " Les dispositions de l’article 96 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), en ce qu’elles seraient potentiellement interprétées comme permettant le maintien en vigueur d’un accord international ratifié par un Etat membre avant l’entrée en vigueur du Règlement n° 2016/679, même lorsque les stipulations de cet accord sont contraires aux exigences du droit de la protection des données tel qu’interprétées, postérieurement à cette entrée en vigueur, par la Cour de justice de l’Union européenne, méconnaissent-elles la Charte des droits fondamentaux de l’Union européenne, en particulier ses articles 8 et 52§3, ainsi que l’article 6§1 du traité sur l’Union européenne et les articles 16 et 267 du Traité sur le fonctionnement de l’Union européenne ' » ;

4°) de mettre à la charge de l’Etat la somme de 4 000 euros au titre de l’article L. 761-1 du code de justice administrative.

Vu les autres pièces du dossier ;

Vu :

—  la Constitution ;

— la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales ;

—  la Charte des droits fondamentaux de l’Union européenne ;

— le règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;

—  la convention fiscale franco-américaine du 31 août 1994 modifiée ;

— l’accord entre le Gouvernement de la République française et le Gouvernement des Etats-Unis d’Amérique du 14 novembre 2013 ;

—  la loi n° 2014-1098 du 29 septembre 2014 ;

—  le code de justice administrative ;

Après avoir entendu en séance publique :

— le rapport de M^me Alexandra Bratos, auditrice,

— les conclusions de M. Laurent Domingo, rapporteur public ;

La parole ayant été donnée, après les conclusions, à la SCP Spinosi, avocat de l’association des Américains Accidentels ;

Vu la note en délibéré, enregistrée le 22 janvier 2024, présentée par l’association des Américains accidentels ;

Considérant ce qui suit :

1. L’association des Américains accidentels demande l’annulation pour excès de pouvoir de la décision du 23 mai 2022 par laquelle la présidente de la Commission nationale de l’informatique et des libertés (CNIL) a prononcé la clôture de sa plainte tendant à la suspension des transferts automatiques de données fiscales opérés entre la France et les Etats-Unis en application de l’accord international conclu le 14 novembre 2013 entre le Gouvernement de la République française et le Gouvernement des Etats-Unis d’Amérique, dit accord « FATCA ».

2. Aux termes de l’article 8 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés : « I.- La Commission nationale de l’informatique et des libertés est une autorité administrative indépendante. Elle est l’autorité de contrôle nationale au sens et pour l’application du règlement (UE) 2016/679 du 27 avril 2016. Elle exerce les missions suivantes :/ () 2° Elle veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l’Union européenne et les engagements internationaux de la France. A ce titre :/ () d) Elle traite les réclamations, pétitions et plaintes introduites par une personne concernée ou par un organisme, une organisation ou une association, examine ou enquête sur l’objet de la réclamation, dans la mesure nécessaire, et informe l’auteur de la réclamation de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable, notamment si un complément d’enquête ou une coordination avec une autre autorité de contrôle est nécessaire () ».

3. Il résulte des dispositions mentionnées au point 2 qu’il appartient à la CNIL de procéder, lorsqu’elle est saisie d’une plainte ou d’une réclamation tendant à la mise en œuvre de ses pouvoirs, à l’examen des faits qui en sont à l’origine et de décider des suites à leur donner. Elle dispose, à cet effet, d’un large pouvoir d’appréciation et peut tenir compte de la gravité des manquements allégués au regard de la législation ou de la réglementation qu’elle est chargée de faire appliquer, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte dans lequel ils l’ont été et, plus généralement, de l’ensemble des intérêts généraux dont elle a la charge. L’auteur d’une plainte peut déférer au juge de l’excès de pouvoir le refus de la CNIL d’y donner suite. Il appartient au juge de censurer celui-ci, le cas échéant, pour un motif d’illégalité externe et, au titre du bien-fondé de la décision, en cas d’erreur de fait ou de droit, d’erreur manifeste d’appréciation ou de détournement de pouvoir.

Sur les moyens tirés de la méconnaissance de l’article 5 du règlement (UE) 2016/79 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) :

4. L’article 5 du règlement du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données (RGPD) dispose que : " 1. Les données à caractère personnel doivent être :/ () c) adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données); () / e) conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées () (limitation de la conservation) () ".

5. L’association requérante soutient, en premier lieu, en se fondant notamment sur une analyse du Trésor américain et des déclarations du chef de l’administration fiscale américaine, que le transfert des données personnelles aux autorités américaines mis en œuvre dans le cadre de l’accord « FATCA » ne répondrait pas à l’exigence de minimisation des données qui résulte du c) du paragraphe 1 de l’article 5 du RGPD, dès lors, d’une part, que ces données ne seraient peu ou pas exploitées par ces autorités en raison du manque de ressources disponibles pour y procéder et, d’autre part, qu’il existerait un manque de réciprocité entre les autorités américaines et européennes quant à la transmission de ces données. Toutefois, dès lors qu’il n’est pas sérieusement contesté que le traitement litigieux répond à la finalité légitime que constitue l’amélioration du respect des obligations fiscales et prévoit des modalités de choix, de collecte et de traitement des données adéquates et proportionnées à cette finalité, les circonstances alléguées par la requête, et qui correspondent d’ailleurs à une situation susceptible d’évoluer, ne sauraient conduire à regarder le transfert des données en cause de la France vers les Etats-Unis comme méconnaissant l’exigence de minimisation des données.

6. En second lieu, si l’association requérante se prévaut de l’arrêt de la Cour de justice de l’Union européenne du 24 février 2022 « SS » SIA c/ Valsts ienemumu dienests (C-175/20) pour soutenir que l’absence de limite temporelle fixée à la conservation des données méconnaîtrait également l’exigence selon laquelle les atteintes portées au droit à la protection des données personnelles doivent être limitées et proportionnées, cet arrêt, qui concernait au demeurant une collecte de données opérée dans le cadre d’un contrôle fiscal, ne s’oppose pas à l’absence de limitation temporelle de la collecte de données mais se contente de préciser qu’il incombe au responsable de traitement d’établir qu’il a cherché à minimiser la quantité de données personnelles à collecter au regard de l’objectif poursuivi par le traitement. Par ailleurs, la seule circonstance que l’accord « FATCA » ne comporte pas de stipulations sur la durée de conservation des données transférées n’implique pas, par elle-même, compte tenu des garanties apportées par le droit américain, et notamment par la loi fédérale américaine de 1974 sur la protection des données personnelles, non contestées par l’association requérante, une méconnaissance de l’article 5 du RGPD.

7. Il s’ensuit que les moyens tirés de la méconnaissance de cet article du RGPD ne peuvent qu’être écartés.

Sur les moyens tirés de la méconnaissance de l’article 46 du RGPD :

8. D’une part, l’article 44 du règlement du 27 avril 2016 dispose que : « Un transfert, vers un pays tiers ou à une organisation internationale, de données à caractère personnel qui font ou sont destinées à faire l’objet d’un traitement après ce transfert ne peut avoir lieu que si, sous réserve des autres dispositions du présent règlement, les conditions définies dans le présent chapitre sont respectées par le responsable du traitement et le sous-traitant, y compris pour les transferts ultérieurs de données à caractère personnel au départ du pays tiers ou de l’organisation internationale vers un autre pays tiers ou à une autre organisation internationale. Toutes les dispositions du présent chapitre sont appliquées de manière à ce que le niveau de protection des personnes physiques garanti par le présent règlement ne soit pas compromis ». Aux termes de l’article 45 du même règlement : « 1. Un transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale peut avoir lieu lorsque la Commission a constaté par voie de décision que le pays tiers, un territoire ou un ou plusieurs secteurs déterminés dans ce pays tiers, ou l’organisation internationale en question assure un niveau de protection adéquat. Un tel transfert ne nécessite pas d’autorisation spécifique () ». Son article 46 dispose que : "1. En l’absence de décision en vertu de l’article 45, paragraphe 3, le responsable du traitement ou le sous-traitant ne peut transférer des données à caractère personnel vers un pays tiers ou à une organisation internationale que s’il a prévu des garanties appropriées et à la condition que les personnes concernées disposent de droits opposables et de voies de droit effectives. / 2. Les garanties appropriées visées au paragraphe 1 peuvent être fournies, sans que cela ne nécessite une autorisation particulière d’une autorité de contrôle, par : / a) un instrument juridiquement contraignant et exécutoire entre les autorités ou organismes publics ; [] « . Aux termes de son article 49 : » En l’absence de décision d’adéquation en vertu de l’article 45, paragraphe 3, ou de garanties appropriées en vertu de l’article 46, y compris des règles d’entreprise contraignantes, un transfert ou un ensemble de transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale ne peut avoir lieu qu’à l’une des conditions suivantes : () / d) le transfert est nécessaire pour des motifs importants d’intérêt public ; () ".

9. D’autre part, l’article 70 du règlement du 27 avril 2016 relatif au comité européen de la protection des données (CEPD), dispose que : « Le comité veille à l’application cohérente du présent règlement. À cet effet, le comité, de sa propre initiative ou, le cas échéant, à la demande de la Commission, a notamment pour missions : () / f) de publier des lignes directrices, des recommandations et des bonnes pratiques conformément au point e) du présent paragraphe, en vue de préciser davantage les critères et conditions applicables aux décisions fondées sur le profilage en vertu de l’article 22, paragraphe 2 ».

10. Il résulte des dispositions citées au point 8 qu’un transfert vers un pays tiers à l’Union européenne de données à caractère personnel faisant ou destinées à faire l’objet d’un traitement après ce transfert ne peut en principe avoir lieu qu’au bénéfice d’une décision dite d’adéquation de la Commission européenne, constatant que le pays tiers ou une partie de celui-ci assure un niveau de protection adéquat des données à caractère personnel, ou, en l’absence d’une telle décision, si le responsable du traitement ou son sous-traitant a prévu des garanties appropriées et que les personnes concernées disposent de droits opposables et de voies de droit effectives, conformément à l’article 46 du RGPD. A défaut, un transfert ou un ensemble de transferts de données à caractère personnel vers un pays tiers peut intervenir, à titre dérogatoire, dans l’une des « situations particulières » prévues à l’article 49 du RGPD, notamment si le transfert est « nécessaire pour des motifs importants d’intérêt public ». Enfin, lorsqu’aucune dérogation pour situations particulières n’est applicable, le dernier alinéa du paragraphe 1 de l’article 49 du RGPD autorise un transfert non répétitif, ne touchant qu’un nombre limité de personnes concernées, nécessaire aux fins des intérêts légitimes impérieux poursuivis par le responsable du traitement sur lesquels ne prévalent pas les intérêts ou les droits et libertés de la personne concernée, et sous réserve que le responsable du traitement ait évalué toutes les circonstances entourant le transfert de données et ait offert, sur la base de cette évaluation, des garanties appropriées en ce qui concerne la protection des données à caractère personnel.

11. L’association requérante soutient, à titre principal, que si le Conseil d’Etat, statuant au contentieux, a, par sa décision n°s 424216, 424217 du 19 juillet 2019, jugé que l’accord « FATCA » ne méconnaissait pas l’article 46 du RGPD, cette analyse devrait nécessairement être remise en cause en raison de développements juridiques qui lui sont postérieurs.

12. En premier lieu, par son arrêt du 16 juillet 2020 Data Protection Commissioner contre Facebook Ireland Ltd et Maximillian Schrems (C-311/18), la Cour de justice de l’Union européenne a, d’une part, dit pour droit que l’article 46 du RGPD doit être interprété en ce sens que les garanties appropriées, les droits opposables et les voies de droit effectives requis par ces dispositions doivent assurer que les droits des personnes dont les données à caractère personnel sont transférées vers un pays tiers sur le fondement de clauses types de protection des données bénéficient d’un niveau de protection substantiellement équivalent à celui garanti au sein de l’Union européenne par ce règlement, lu à la lumière de la Charte des droits fondamentaux de l’Union européenne et, d’autre part, jugé qu’il n’y avait pas lieu, à la suite de l’invalidation de la décision d’adéquation de la Commission européenne pour le transfert de données à caractère personnel entre l’Union européenne et les Etats-Unis, de maintenir les effets de cette décision afin d’éviter la création d’un vide juridique, compte tenu des dérogations pour situations particulières prévues à l’article 49 du RGPD. Il en résulte ainsi que, en l’absence, d’une part, de décision d’adéquation de la Commission européenne prise sur le fondement de l’article 45 du RGPD et, d’autre part, de garanties appropriées, de droits opposables et de voies de droit effectives satisfaisant aux exigences de l’article 46 du même règlement, un transfert de données à caractère personnel reste possible dans les situations particulières mentionnées à l’article 49, notamment pour des motifs importants d’intérêt public. Cet arrêt, qui est sans incidence, en lui-même, sur la licéité des transferts entre les Etats-Unis et la France de données à caractère personnel opérés entre autorités publiques sur le fondement de l’article 46 du RGPD, ne permet pas de caractériser une illégalité de la décision attaquée de la CNIL au regard de cet article.

13. En deuxième lieu, la méconnaissance des stipulations des lignes directrices, recommandations et bonnes pratiques du CEPD, qui ne revêtent pas un caractère contraignant, ne saurait, en elle-même, être utilement invoquée à l’appui d’un recours dirigé contre une décision de clôture de plainte de la CNIL. Par suite, la publication des lignes directrices 2/2020 relatives à l’article 46, paragraphe 2, point a) et paragraphe 3, point b), du règlement (Ue) 2016/679 pour les transferts de données à caractère personnel entre les autorités et organismes publics établis dans l’EEE et ceux établis hors de l’EEE du comité européen de la protection des données le 15 décembre 2020, lesquelles recommandent, notamment, la présence, dans les accords internationaux servant de fondement aux transferts internationaux de données à caractère personnel, de stipulations relatives à la limitation de la conservation des données et aux prises de décisions individuelles automatisées ainsi que de clauses de résiliation, ne permet pas davantage de caractériser une méconnaissance, par la CNIL, des dispositions de l’article 46 du RGPD, l’association requérante n’alléguant pas, au demeurant et en tout état de cause, que le droit américain ne comporterait pas de garanties appropriées au sens des dispositions précitées, alors qu’il résulte des dispositions citées au point 10 que de telles garanties n’ont pas à résulter nécessairement de l’accord et peuvent être prévues par le droit national.

14. En troisième lieu, le moyen tiré de la méconnaissance des exigences tenant à l’existence d’un mécanisme de contrôle interne indépendant et à des garanties minimales de sécurité des données en cause n’est pas assorti des précisions permettant d’en apprécier le bien-fondé.

15. En quatrième lieu, la circonstance que l’accord « FATCA » ne prévoie aucun mécanisme de suspension du transfert des données en cas de différend entre les parties ou de litige devant les instances de l’autre Etat partie à l’accord ne saurait faire obstacle à la suspension de tels transferts par les autorités administratives françaises en cas de méconnaissance du RGPD.

16. En cinquième et dernier lieu, la circonstance que l’accord « FATCA » ne comporte aucune clause relative à la prise de décision individuelle automatisée sur la base des données transférées n’est pas de nature à entacher les transferts de données opérés dans le cadre de cet accord de méconnaissance du RGPD. L’association requérante, qui ne soutient pas que le droit américain n’apporterait pas de garanties appropriées, ne soutient pas davantage que les données transférées seraient utilisées à de telles fins.

17. Par suite, le moyen tiré de la méconnaissance de l’article 46 du RGPD, lu à la lumière des articles 7 et 8 de la Charte des droits fondamentaux et de l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales ne peut qu’être écarté, ainsi que, par voie de conséquence, le moyen tiré de la méconnaissance de l’article 49 de ce même règlement.

Sur les autres moyens de la requête :

18. Pour les raisons évoquées aux points 5 à 17, la CNIL, qui a suffisamment motivé sa décision, n’a pas davantage méconnu ses pouvoirs ni commis d’erreur manifeste d’appréciation en clôturant la plainte de l’association requérante.

19. Il résulte de tout ce qui précède, sans qu’il soit besoin de saisir la Cour de justice de l’Union européenne des questions préjudicielles soulevées à titre subsidiaire, dès lors que le litige ne soulève pas de question nouvelle d’interprétation du droit de l’Union européenne, que l’association requérante n’est pas fondée à demander l’annulation de la décision qu’elle attaque. Ses conclusions aux fins d’injonction doivent, par voie de conséquence, être rejetées, ainsi que ses conclusions présentées au titre de l’article L. 761-1 du code de justice administrative.

D E C I D E :

— -------------

Article 1er : La requête de l’association des Américains accidentels est rejetée.

Article 2 : La présente décision sera notifiée à l’association des Américains accidentels, au ministre de l’Europe et des affaires étrangères et à la Commission nationale de l’informatique et des libertés.

Copie en sera adressée au ministre de l’économie, des finances et de la souveraineté industrielle et numérique.

Délibéré à l’issue de la séance du 17 janvier 2024 où siégeaient : M. Rémy Schwartz, président adjoint de la section du contentieux, présidant ; M. Bertrand Dacosta, M^me Anne Egerszegi, présidents de chambre ; M. Olivier Yeznikian, M^me Rozen Noguellou, M. Nicolas Polge, M. Vincent Daumas, M. Didier Ribes, conseillers d’Etat et M^me Alexandra Bratos, auditrice-rapporteure.

Rendu le 30 janvier 2024.

Le président :

Signé : M. Rémy Schwartz

La rapporteure :

Signé : M^me Alexandra Bratos

La secrétaire :

Signé : M^me Chloé-Claudia Sediang

La République mande et ordonne au Premier ministre en ce qui le concerne ou à tous commissaires de justice à ce requis en ce qui concerne les voies de droit commun contre les parties privées, de pourvoir à l’exécution de la présente décision.

Pour expédition conforme,

Pour la secrétaire du contentieux, par délégation :