—

pour M. Schrems, par M. N. Travers, SC, M. P. O’Shea, BL, et M. G. Rudden, solicitor, ainsi que par Me H. Hofmann, Rechtsanwalt,

—

pour le Data Protection Commissioner, par M. P. McDermott, BL, Mme S. More O’Ferrall et M. D. Young, solicitors,

—

pour Digital Rights Ireland Ltd, par M. F. Crehan, BL, ainsi que par MM. S. McGarr et E. McGarr, solicitors,

—

pour l’Irlande, par MM. A. Joyce et B. Counihan ainsi que par Mme E. Creedon, en qualité d’agents, assistés de M. D. Fennelly, BL,

—

pour le gouvernement belge, par M. J.-C. Halleux et Mme C. Pochet, en qualité d’agents,

—

pour le gouvernement tchèque, par MM. M. Smolek et J. Vláčil, en qualité d’agents,

—

pour le gouvernement italien, par Mme G. Palmieri, en qualité d’agent, assistée de M. P. Gentili, avvocato dello Stato,

—

pour le gouvernement autrichien, par MM. G. Hesse et G. Kunnert, en qualité d’agents,

—

pour le gouvernement polonais, par Mmes M. Kamejsza et M. Pawlicka ainsi que par M. B. Majczyna, en qualité d’agents,

—

pour le gouvernement slovène, par Mmes A. Grum et V. Klemenc, en qualité d’agents,

—

pour le gouvernement du Royaume-Uni, par M. L. Christie et Mme J. Beeko, en qualité d’agents, assistés de M. J. Holmes, barrister,

—

pour le Parlement européen, par MM. D. Moore et A. Caiola ainsi que par Mme M. Pencheva, en qualité d’agents,

—

pour la Commission européenne, par MM. B. Schima, B. Martenczuk et B. Smulders ainsi que par Mme J. Vondung, en qualité d’agents,

—

pour le Contrôleur européen de la protection des données (CEPD), par MM. C. Docksey, A. Buchta et V. Pérez Asinari, en qualité d’agents,

1

La demande de décision préjudicielle porte sur l’interprétation, au regard des articles 7, 8 et 47 de la charte des droits fondamentaux de l’Union européenne (ci-après la «Charte»), des articles 25, paragraphe 6, et 28 de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO L 281, p. 31), telle que modifiée par le règlement (CE) no 1882/2003 du Parlement européen et du Conseil, du 29 septembre 2003 (JO L 284, p. 1, ci-après la «directive 95/46»), ainsi que, en substance, sur la validité de la décision 2000/520/CE de la Commission, du 26 juillet 2000, conformément à la directive 95/46, relative à la pertinence de la protection assurée par les principes de la «sphère de sécurité» et par les questions souvent posées y afférentes, publiés par le ministère du commerce des États-Unis d’Amérique (JO L 215, p. 7).

2

Cette demande a été présentée dans le cadre d’un litige opposant M. Schrems au Data Protection Commissioner (commissaire à la protection des données, ci-après le «commissaire») au sujet du refus de ce dernier d’enquêter sur une plainte introduite par M. Schrems en raison du fait que Facebook Ireland Ltd (ci-après «Facebook Ireland») transfère aux États-Unis les données à caractère personnel de ses utilisateurs et les conserve sur des serveurs situés dans ce pays.

3

Les considérants 2, 10, 56, 57, 60, 62 et 63 de la directive 95/46 sont libellés comme suit:

[…]

[…]

[…]

[…]

4

Les articles 1er, 2, 25, 26, 28 et 31 de la directive 95/46 disposent:

«Article premier

Objet de la directive

1. Les États membres assurent, conformément à la présente directive, la protection des libertés et droits fondamentaux des personnes physiques, notamment de leur vie privée, à l’égard du traitement des données à caractère personnel.

[…]

Article 2

Définitions

Aux fins de la présente directive, on entend par:

[…]

[…]

Article 25

Principes

1. Les États membres prévoient que le transfert vers un pays tiers de données à caractère personnel faisant l’objet d’un traitement, ou destinées à faire l’objet d’un traitement après leur transfert, ne peut avoir lieu que si, sous réserve du respect des dispositions nationales prises en application des autres dispositions de la présente directive, le pays tiers en question assure un niveau de protection adéquat.

2. Le caractère adéquat du niveau de protection offert par un pays tiers s’apprécie au regard de toutes les circonstances relatives à un transfert ou à une catégorie de transferts de données; en particulier, sont prises en considération la nature des données, la finalité et la durée du ou des traitements envisagés, les pays d’origine et de destination finale, les règles de droit, générales ou sectorielles, en vigueur dans le pays tiers en cause, ainsi que les règles professionnelles et les mesures de sécurité qui y sont respectées.

3. Les États membres et la Commission s’informent mutuellement des cas dans lesquels ils estiment qu’un pays tiers n’assure pas un niveau de protection adéquat au sens du paragraphe 2.

4. Lorsque la Commission constate, conformément à la procédure prévue à l’article 31 paragraphe 2, qu’un pays tiers n’assure pas un niveau de protection adéquat au sens du paragraphe 2 du présent article, les États membres prennent les mesures nécessaires en vue d’empêcher tout transfert de même nature vers le pays tiers en cause.

5. La Commission engage, au moment opportun, des négociations en vue de remédier à la situation résultant de la constatation faite en application du paragraphe 4.

6. La Commission peut constater, conformément à la procédure prévue à l’article 31 paragraphe 2, qu’un pays tiers assure un niveau de protection adéquat au sens du paragraphe 2 du présent article, en raison de sa législation interne ou de ses engagements internationaux, souscrits notamment à l’issue des négociations visées au paragraphe 5, en vue de la protection de la vie privée et des libertés et droits fondamentaux des personnes.

Les États membres prennent les mesures nécessaires pour se conformer à la décision de la Commission.

Article 26

Dérogations

1. Par dérogation à l’article 25 et sous réserve de dispositions contraires de leur droit national régissant des cas particuliers, les États membres prévoient qu’un transfert de données à caractère personnel vers un pays tiers n’assurant pas un niveau de protection adéquat au sens de l’article 25 paragraphe 2 peut être effectué, à condition que:

2. Sans préjudice du paragraphe 1, un État membre peut autoriser un transfert, ou un ensemble de transferts, de données à caractère personnel vers un pays tiers n’assurant pas un niveau de protection adéquat au sens de l’article 25 paragraphe 2, lorsque le responsable du traitement offre des garanties suffisantes au regard de la protection de la vie privée et des libertés et droits fondamentaux des personnes, ainsi qu’à l’égard de l’exercice des droits correspondants; ces garanties peuvent notamment résulter de clauses contractuelles appropriées.

3. L’État membre informe la Commission et les autres États membres des autorisations qu’il accorde en application du paragraphe 2.

En cas d’opposition exprimée par un autre État membre ou par la Commission et dûment justifiée au regard de la protection de la vie privée et des libertés et droits fondamentaux des personnes, la Commission arrête les mesures appropriées, conformément à la procédure prévue à l’article 31, paragraphe 2.

Les États membres prennent les mesures nécessaires pour se conformer à la décision de la Commission.

[…]

Article 28

Autorité de contrôle

1. Chaque État membre prévoit qu’une ou plusieurs autorités publiques sont chargées de surveiller l’application, sur son territoire, des dispositions adoptées par les États membres en application de la présente directive.

Ces autorités exercent en toute indépendance les missions dont elles sont investies.

2. Chaque État membre prévoit que les autorités de contrôle sont consultées lors de l’élaboration des mesures réglementaires ou administratives relatives à la protection des droits et libertés des personnes à l’égard du traitement de données à caractère personnel.

3. Chaque autorité de contrôle dispose notamment:

Les décisions de l’autorité de contrôle faisant grief peuvent faire l’objet d’un recours juridictionnel.

4. Chaque autorité de contrôle peut être saisie par toute personne, ou par une association la représentant, d’une demande relative à la protection de ses droits et libertés à l’égard du traitement de données à caractère personnel. La personne concernée est informée des suites données à sa demande.

Chaque autorité de contrôle peut, en particulier, être saisie par toute personne d’une demande de vérification de la licéité d’un traitement lorsque les dispositions nationales prises en vertu de l’article 13 de la présente directive sont d’application. La personne est à tout le moins informée de ce qu’une vérification a eu lieu.

[…]

6. Indépendamment du droit national applicable au traitement en cause, chaque autorité de contrôle a compétence pour exercer, sur le territoire de l’État membre dont elle relève, les pouvoirs dont elle est investie conformément au paragraphe 3. Chaque autorité peut être appelée à exercer ses pouvoirs sur demande d’une autorité d’un autre État membre.

[…]

Article 31

[…]

2. Dans le cas où il est fait référence au présent article, les articles 4 et 7 de la décision 1999/468/CE [du Conseil, du 28 juin 1999, fixant les modalités de l’exercice des compétences d’exécution conférées à la Commission (JO L 184, p. 23)] s’appliquent, dans le respect des dispositions de l’article 8 de celle-ci.

[…]»

5

La décision 2000/520 a été adoptée par la Commission sur le fondement de l’article 25, paragraphe 6, de la directive 95/46.

6

Les considérants 2, 5 et 8 de cette décision sont libellés comme suit:

[…]

[…]

7

Aux termes des articles 1er à 4 de la décision 2000/520:

«Article premier

1. Aux fins de l’article 25 de la directive 95/46/CE, pour toutes les activités rentrant dans le domaine d’application de ladite directive, il est considéré que les “principes de la ‘sphère de sécurité’ relatifs à la protection de la vie privée” (ci-après dénommés ‘les principes visés à l’annexe I de la présente décision’), appliqués conformément aux orientations fournies par les ‘questions souvent posées’ [‘frequently asked questions’ (FAQ)] publiées le 21 juillet 2000 par le ministère du commerce des États-Unis d’Amérique, visées à l’annexe II de la présente décision, assurent un niveau adéquat de protection des données à caractère personnel transférées depuis la Communauté vers des organisations établies aux États-Unis compte tenu des documents suivants émis par le ministère du commerce des États-Unis:

2. En ce qui concerne chaque transfert de données, les conditions suivantes doivent être remplies:

3. Les conditions indiquées au paragraphe 2 sont considérées comme remplies par chaque organisation qui a déclaré son adhésion aux principes mis en œuvre conformément aux FAQ à compter de la date à laquelle elle avise le ministère américain du commerce (ou son représentant) de la divulgation de l’engagement visé au paragraphe 2, point a), et de l’identité de l’organe administratif visé au paragraphe 2, point b).

Article 2

La présente décision concerne uniquement le caractère adéquat de la protection fournie aux États-Unis par les principes mis en œuvre conformément aux FAQ en vue de répondre aux exigences de l’article 25, paragraphe 1, de la directive 95/46/CE et n’affecte pas l’application d’autres dispositions de ladite directive qui se rapportent au traitement de données à caractère personnel dans les États membres, et notamment de son article 4.

Article 3

1. Sans préjudice de leurs pouvoirs de prendre des mesures visant à assurer le respect des dispositions nationales adoptées en application de dispositions autres que celles de l’article 25 de la directive 95/46/CE, les autorités compétentes des États membres peuvent exercer les pouvoirs dont elles disposent pour suspendre les flux de données vers une organisation adhérant aux principes mis en œuvre conformément aux FAQ afin de protéger les individus en ce qui concerne le traitement de leurs données personnelles, et ce dans les cas:

La suspension cesse dès que le respect des principes mis en œuvre conformément aux FAQ est assuré et que les autorités compétentes de la Communauté en sont avisées.

2. Les États membres informent sans tarder la Commission de l’adoption de mesures fondées sur le paragraphe 1.

3. Les États membres et la Commission s’informent aussi mutuellement des cas dans lesquels les organismes chargés de faire respecter les principes mis en œuvre conformément aux FAQ aux États-Unis ne parviennent pas à s’acquitter de leur tâche.

4. Si les informations recueillies en application des paragraphes 1, 2 et 3 montrent qu’un quelconque organisme chargé de faire respecter les principes mis en œuvre conformément aux FAQ aux États-Unis ne remplit pas efficacement sa mission, la Commission informe le ministère américain du commerce et, si nécessaire, propose un projet des mesures à prendre, conformément à la procédure visée à l’article 31 de la directive 95/46/CE, en vue d’abroger ou de suspendre la présente décision ou d’en limiter la portée.

Article 4

1. La présente décision peut être adaptée à tout moment à la lumière de l’expérience acquise durant sa mise en œuvre et/ou si le niveau de protection assuré par les principes et les FAQ est dépassé par les exigences du droit américain. La Commission évalue, en tout état de cause, l’application de la présente décision, sur la base des informations disponibles, trois ans après sa notification aux États membres et communique au comité institué au titre de l’article 31 de la directive 95/46/CE toute constatation pertinente, y compris tout élément susceptible d’influer sur l’évaluation selon laquelle les dispositions de l’article 1er de la présente décision assurent un niveau de protection adéquat au sens de l’article 25 de la directive 95/46/CE et toute information montrant que la présente décision est appliquée de manière discriminatoire.

2. La Commission présente, si nécessaire, un projet des mesures à prendre conformément à la procédure visée à l’article 31 de la directive 95/46/CE.»

8

L’annexe I de la décision 2000/520 est ainsi libellée:

«Principes de la ‘sphère de sécurité’ relatifs à la protection de la vie privée

publiés par le ministère américain du commerce le 21 juillet 2000

[…]

[…] le ministère américain du commerce publie le présent document (‘les principes’) ainsi que les ‘questions souvent posées’ (FAQ) en vertu de son autorité légale afin de stimuler, de promouvoir et de développer le commerce international. Les principes ont été élaborés en concertation avec les entreprises et le grand public dans le but de faciliter le commerce et les relations d’affaires entre les États-Unis et l’Union européenne. Ils sont exclusivement destinés aux organisations américaines recevant des données à caractère personnel en provenance de l’Union européenne et doivent permettre à ces organisations de remplir les conditions relatives à la ‘sphère de sécurité’ de façon à bénéficier de la présomption de ‘niveau de protection adéquat’ que prévoit celle-ci. Comme les principes n’ont été conçus que pour servir cet objectif spécifique, leur adoption à d’autres fins peut s’avérer inadéquate. […]

Toute organisation est libre de remplir ou non les conditions relatives à la ‘sphère de sécurité’ et dispose de plusieurs moyens pour s’y conformer. […]

L’adhésion aux principes peut être limitée par: a) les exigences relatives à la sécurité nationale, [à] l’intérêt public et [au] respect des lois des États-Unis; b) les textes législatifs, les règlements administratifs ou les décisions jurisprudentielles qui créent des obligations contradictoires ou prévoient des autorisations explicites, pour autant qu’une organisation qui a recours à une telle autorisation peut démontrer que le non-respect des principes est limité aux mesures nécessaires pour garantir les intérêts légitimes supérieurs que cette autorisation vise à servir; c) les exceptions ou les dérogations prévues par la directive ou par le droit national, à condition que ces exceptions ou dérogations soient appliquées dans des contextes comparables. Conformément à l’objectif d’un renforcement de la protection de la vie privée, les organisations doivent s’efforcer d’appliquer ces principes de manière complète et transparente, y compris en indiquant – dans leurs codes de protection de la vie privée – dans quels domaines les exceptions visées au point b) ci-dessus s’appliqueront de façon régulière. Pour la même raison, lorsque les principes et/ou les lois des États-Unis permettent aux organisations de faire un choix, celles-ci sont invitées à opter, dans la mesure du possible, pour le niveau de protection le plus élevé.

[…]»

9

L’annexe II de la décision 2000/520 est rédigée comme suit:

«Questions souvent posées (FAQ)

[…]

FAQ 6 – Autocertification

FAQ 11 — Résolution des litiges et application des décisions

[…]»

10

Aux termes de l’annexe IV de la décision 2000/520:

«Confidentialité et dommages-intérêts, autorisations légales et fusions et acquisitions suivant la législation des États-Unis

Le présent document répond à la demande de la Commission européenne visant à la clarification de la législation américaine en ce qui concerne a) les demandes de compensations pour violations de la confidentialité, b) ‘les autorisations explicites’ prévues par la législation américaine pour utilisation d’informations à caractère personnel d’une façon contredisant les principes de la ‘sphère de sécurité’ et c) l’effet des fusions et acquisitions sur les obligations contractées conformément aux principes de la sphère de sécurité.

[…]

B. Autorisations légales explicites

Les principes de la ‘sphère de sécurité’ contiennent une exception lorsque le droit écrit, les réglementations ou la jurisprudence créent ‘des obligations conflictuelles ou des autorisations explicites, à condition que, dans l’exercice de ces autorisations, une organisation puisse démontrer que sa non-conformité aux principes est limitée dans la mesure nécessaire à la satisfaction des intérêts légitimes principaux favorisés par cette autorisation’. Il est clair que lorsque la législation américaine impose une obligation conflictuelle, les organisations américaines faisant ou non partie de la ‘sphère de sécurité’ doivent se plier à cette législation. Quant aux autorisations explicites, si les principes de la ‘sphère de sécurité’ sont destinés à combler le fossé séparant les régimes américain et européen de protection de la vie privée, nous devons respecter les prérogatives législatives de nos législateurs élus. L’exception limitée au strict respect des principes de la ‘sphère de sécurité’ s’efforce d’établir un équilibre pour tenir compte des intérêts légitimes de chaque partie.

L’exception est limitée aux cas où existe une autorisation explicite. Par conséquent, en tant que cas limite, la législation, la réglementation ou la décision de justice pertinente doivent autoriser affirmativement une conduite particulière des organisations adhérant à la ‘sphère de sécurité’. En d’autres termes, l’exception ne s’appliquera pas lorsque la loi est silencieuse. De surcroît, l’exception ne s’appliquera que si l’autorisation explicite contredit le respect des principes de la ‘sphère de sécurité’. Même dans ces conditions, l’exception ‘est limitée dans la mesure nécessaire à la satisfaction des intérêts légitimes principaux favorisés par cette autorisation’. À titre d’illustration, lorsque la loi autorise simplement une société à fournir des informations à caractère personnel à des organismes gouvernementaux, l’exception ne s’appliquera pas. À l’inverse, lorsque la loi autorise spécifiquement la société à fournir des informations à caractère personnel à des organismes gouvernementaux sans le consentement de la personne, cela constituerait une ‘autorisation explicite’ d’agir d’une manière contredisant les principes de la ‘sphère de sécurité’. Par ailleurs, les exceptions spécifiques aux exigences de notification et de consentement entreraient dans le cadre de l’exception (car cela équivaudrait à une autorisation spécifique de révéler l’information sans notification et consentement). Par exemple, un texte de loi autorisant les médecins à fournir les dossiers médicaux de leurs patients aux fonctionnaires sanitaires sans l’autorisation préalable de ces patients pourrait permettre une exception aux principes de notification et de choix. Cette autorisation ne laisserait pas la possibilité à un médecin de fournir les mêmes dossiers médicaux aux caisses de maladie ou aux laboratoires de recherche pharmaceutique, car cela irait au-delà de l’objectif autorisé par la loi et donc au-delà du champ de l’exception […]. L’autorisation en question peut être une autorisation ‘autonome’ de faire des choses déterminées avec des informations personnelles, mais, comme l’illustrent les exemples ci-dessous, il est plus probable qu’il s’agisse d’une exception à une loi plus large qui interdit la collecte, l’utilisation ou la divulgation d’informations à caractère personnel.

[…]»

11

Le 27 novembre 2013, la Commission a adopté la communication au Parlement européen et au Conseil, intitulée «Rétablir la confiance dans les flux des données entre l’Union européenne et les États-Unis d’Amérique» [COM(2013) 846 final, ci-après la «communication COM(2013) 846 final»]. Cette communication était accompagnée d’un rapport, également daté du 27 novembre 2013, contenant les «conclusions des coprésidents de l’Union européenne du groupe de travail ad hoc Union européenne-États-Unis sur la protection des données à caractère personnel» («Report on the Findings by the EU Co-chairs of the ad hoc EU-US Working Group on Data Protection»). Ce rapport avait été élaboré, ainsi que l’indique son point 1, en coopération avec les États-Unis d’Amérique à la suite de la révélation de l’existence, dans ce pays, de plusieurs programmes de surveillance incluant la collecte et le traitement à grande échelle de données à caractère personnel. Ledit rapport contenait notamment une analyse détaillée de l’ordre juridique des États-Unis en ce qui concerne, en particulier, les bases légales autorisant l’existence de programmes de surveillance ainsi que la collecte et le traitement de données à caractère personnel par des autorités américaines.

12

Au point 1 de la communication COM(2013) 846 final, la Commission a précisé que «les échanges commerciaux font l’objet de la décision [2000/520]», ajoutant que «[c]ette décision fournit une base juridique aux fins du transfert de données à caractère personnel de l’Union européenne vers des entreprises établies aux États-Unis qui adhèrent aux principes de la sphère de sécurité». En outre, à ce même point 1, la Commission a mis en exergue l’importance croissante des flux de données à caractère personnel, liée notamment au développement de l’économie numérique, celui-ci ayant en effet «entraîné une croissance exponentielle de la quantité, de la qualité, de la diversité et de la nature des activités de traitement de données».

13

Au point 2 de cette communication, la Commission a fait observer que «le niveau de protection des données à caractère personnel des citoyens de l’[Union] qui sont transférées vers les États-Unis dans le cadre de la sphère de sécurité suscite de plus en plus d’inquiétude» et que «[l]e caractère volontaire et déclaratoire de la sphère de sécurité a attiré une attention accrue sur sa transparence et sa mise en œuvre».

14

En outre, elle a indiqué, à ce même point 2, que «[l]es données à caractère personnel des citoyens de l’[Union] transférées aux États-Unis dans le cadre de la sphère de sécurité peuvent, en effet, être consultées et traitées par les autorités américaines d’une manière incompatible avec les motifs pour lesquels elles avaient été initialement collectées dans l’[Union] et avec les finalités de leur transfert vers les États-Unis» et que «[l]a majorité des entreprises américaines du secteur de l’internet, qui semblent être plus directement concernées par [les] programmes [de surveillance], sont certifiées dans le cadre de la sphère de sécurité».

15

Au point 3.2 de la communication COM(2013) 846 final, la Commission a relevé l’existence d’un certain nombre d’insuffisances quant à la mise en œuvre de la décision 2000/520. Elle y a fait état, d’une part, de ce que des entreprises américaines certifiées ne respectaient pas les principes visés à l’article 1er, paragraphe 1, de la décision 2000/520 (ci-après les «principes de la sphère de sécurité») et que des améliorations devaient être apportées à cette décision concernant «les lacunes structurelles liées à la transparence et au contrôle de la mise en œuvre, les principes matériels de la sphère de sécurité et l’application de la dérogation pour motif de sécurité nationale». D’autre part, elle a fait observer que la «sphère de sécurité sert également d’interface pour le transfert de données à caractère personnel de citoyens européens, de l’[Union] vers les États-Unis, par les entreprises qui sont tenues de remettre des données aux agences américaines de renseignement dans le cadre de programmes américains de collecte de renseignements».

16

La Commission a conclu, à ce même point 3.2, que, si, «[c]ompte tenu des insuffisances recensées, la sphère de sécurité ne peut plus être mise en œuvre telle qu’elle l’est actuellement, […] sa suppression porterait [toutefois] préjudice aux intérêts des entreprises qui en sont membres dans l’[Union] et aux États-Unis». Enfin, toujours audit point 3.2, la Commission a ajouté qu’elle entendait «entamer de toute urgence un dialogue avec les autorités américaines afin d’examiner les lacunes mises en évidence».

17

À cette même date du 27 novembre 2013, la Commission a adopté la communication au Parlement européen et au Conseil relative au fonctionnement de la sphère de sécurité du point de vue des citoyens de l’Union et des entreprises établies sur son territoire [COM(2013) 847 final, ci-après la «communication COM(2013) 847 final»]. Ainsi qu’il ressort de son point 1, cette communication était fondée, notamment, sur les informations reçues par le groupe de travail ad hoc Union européenne-États-Unis et faisait suite à deux rapports d’analyse d’impact de la Commission publiés, respectivement, en 2002 et en 2004.

18

Le point 1 de cette communication précise que le fonctionnement de la décision 2000/520 «repose sur les engagements pris par les entreprises qui décident d’y souscrire et l’autocertification de celles-ci» et ajoute que «[l]’adhésion revêt un caractère volontaire, mais [que] les règles sont contraignantes pour les entreprises qui y souscrivent».

19

En outre, il ressort du point 2.2 de la communication COM(2013) 847 final que, à la date du 26 septembre 2013, 3246 entreprises, relevant de nombreux secteurs de l’économie et des services, étaient certifiées. Ces entreprises fournissaient, principalement, des services sur le marché intérieur de l’Union, en particulier dans le secteur de l’Internet, et une partie d’entre elles étaient des entreprises de l’Union ayant des filiales aux États-Unis. Certaines de ces entreprises traitaient les données de leurs salariés employés en Europe, lesquelles étaient transférées vers ce pays à des fins de gestion des ressources humaines.

20

À ce même point 2.2, la Commission a souligné que «tout défaut [de transparence] et toute lacune [dans la mise en œuvre] du côté américain [avaient] pour effet de reporter la responsabilité sur les autorités européennes chargées de la protection des données et sur les entreprises qui appliquent ce régime».

21

Il ressort, notamment, des points 3 à 5 et 8 de la communication COM(2013) 847 final que, en pratique, un nombre important d’entreprises certifiées ne respectaient pas, ou pas entièrement, les principes de la sphère de sécurité.

22

En outre, au point 7 de cette communication, la Commission a fait état de ce que «toutes les entreprises participant au programme PRISM [programme de collecte de renseignements à grande échelle], qui permettent aux autorités américaines d’avoir accès à des données stockées et traitées aux États-Unis semblent être certifiées dans le cadre de la sphère de sécurité» et que celle-ci «est donc devenue l’une des voies par lesquelles les autorités américaines du renseignement ont accès à la collecte des données à caractère personnel initialement traitées dans l’[Union]». À cet égard, la Commission a constaté, au point 7.1 de ladite communication, «qu’un certain nombre de bases juridiques prévues par la législation américaine permettent la collecte et le traitement à grande échelle des données à caractère personnel stockées ou traitées par des sociétés établies aux États-Unis» et que «[c]es programmes étant à grande échelle, il est possible que les données transférées dans le cadre de la sphère de sécurité soient accessibles aux autorités américaines et traitées par celles-ci au-delà de ce qui est strictement nécessaire et proportionné à la protection de la sécurité nationale, comme le prévoit l’exception énoncée dans la décision [2000/520]».

23

Au point 7.2 de la communication COM(2013) 847 final, intitulé «Limitations et voies de droit», la Commission a souligné que «ce sont principalement les ressortissants des États-Unis et les personnes qui y résident légalement qui bénéficient des garanties prévues en droit américain» et qu’«[i]l n’existe, en outre, aucune possibilité, que ce soit pour les personnes concernées de l’[Union] ou des États-Unis, d’obtenir l’accès, la rectification ou la suppression de données ou d’exercer des voies de droit administratives ou judiciaires si, dans le cadre des programmes de surveillance des États-Unis, des données à caractère personnel les concernant sont collectées et traitées ultérieurement».

24

Selon le point 8 de la communication COM(2013) 847 final, figuraient parmi les entreprises certifiées «les sociétés du web, telles que Google, Facebook, Microsoft, Apple et Yahoo», celles-ci ayant «des centaines de millions de clients en Europe» et transférant des données à caractère personnel vers les États-Unis aux fins de leur traitement.

25

La Commission a conclu, à ce même point 8, que «l’accès à grande échelle des agences de renseignement aux données que des entreprises certifiées au titre de la sphère de sécurité transfèrent aux États-Unis soulève de graves questions sur la continuité de la sauvegarde des droits des citoyens européens en matière de protection des données lorsque des données les concernant sont transférées aux États-Unis».

26

M. Schrems, un ressortissant autrichien résidant en Autriche, est un utilisateur du réseau social Facebook (ci-après «Facebook») depuis l’année 2008.

27

Toute personne résidant sur le territoire de l’Union et désirant utiliser Facebook est tenue de conclure, lors de son inscription, un contrat avec Facebook Ireland, filiale de Facebook Inc., elle-même établie aux États-Unis. Les données à caractère personnel des utilisateurs de Facebook résidant sur le territoire de l’Union sont, en tout ou en partie, transférées vers des serveurs appartenant à Facebook Inc., situés sur le territoire des États-Unis, où elles font l’objet d’un traitement.

28

Le 25 juin 2013, M. Schrems a saisi le commissaire d’une plainte par laquelle il demandait en substance à celui-ci d’exercer ses compétences statutaires en interdisant à Facebook Ireland de transférer ses données à caractère personnel vers les États-Unis. Il y faisait valoir que le droit et les pratiques en vigueur dans ce pays ne garantissaient pas une protection suffisante des données à caractère personnel conservées sur le territoire de celui-ci contre les activités de surveillance qui y étaient pratiquées par les autorités publiques. M. Schrems se référait à cet égard aux révélations faites par M. Edward Snowden concernant les activités des services de renseignement des États-Unis, notamment celles de la National Security Agency (ci-après la «NSA»).

29

Considérant qu’il n’était pas tenu de procéder à une enquête sur les faits dénoncés par M. Schrems dans sa plainte, le commissaire a rejeté celle-ci comme étant dépourvue de fondement. Ce dernier a, en effet, estimé qu’il n’existait pas de preuves que la NSA ait accédé aux données à caractère personnel de l’intéressé. Le commissaire a ajouté que les griefs soulevés par M. Schrems dans sa plainte ne pouvaient être utilement avancés, puisque toute question relative au caractère adéquat de la protection des données à caractère personnel aux États-Unis devait être tranchée en conformité avec la décision 2000/520 et que, dans cette décision, la Commission avait constaté que les États-Unis d’Amérique assuraient un niveau adéquat de protection.

30

M. Schrems a introduit un recours devant la High Court (Haute Cour de justice) contre la décision en cause au principal. Après avoir examiné les preuves soumises par les parties au principal, cette juridiction a constaté que la surveillance électronique et l’interception des données à caractère personnel transférées depuis l’Union vers les États-Unis répondaient à des finalités nécessaires et indispensables à l’intérêt public. Toutefois, ladite juridiction a ajouté que les révélations de M. Snowden avaient démontré que la NSA et d’autres organes fédéraux avaient commis des «excès considérables».

31

Or, selon cette même juridiction, les citoyens de l’Union ne disposeraient d’aucun droit effectif à être entendus. La supervision des actions des services de renseignement serait effectuée dans le cadre d’une procédure secrète et non contradictoire. Une fois les données à caractère personnel transférées vers les États-Unis, la NSA et d’autres organes fédéraux, tels que le Federal Bureau of Investigation (FBI), pourraient accéder à ces données dans le cadre de la surveillance et des interceptions indifférenciées qu’ils pratiquent à grande échelle.

32

La High Court (Haute Cour de justice) a constaté que le droit irlandais interdit le transfert des données à caractère personnel hors du territoire national, à l’exception des cas où le pays tiers en cause assure un niveau de protection adéquat de la vie privée ainsi que des droits et libertés fondamentaux. L’importance des droits au respect de la vie privée et à l’inviolabilité du domicile, garantis par la Constitution irlandaise, exigerait que toute ingérence dans ces droits soit proportionnée et conforme aux exigences prévues par la loi.

33

Or, l’accès massif et indifférencié à des données à caractère personnel serait évidemment contraire au principe de proportionnalité et aux valeurs fondamentales protégées par la Constitution irlandaise. Pour que des interceptions de communications électroniques puissent être considérées comme conformes à cette Constitution, la preuve devrait être rapportée que ces interceptions présentent un caractère ciblé, que la surveillance de certaines personnes ou de certains groupes de personnes soit objectivement justifiée dans l’intérêt de la sécurité nationale ou de la répression de la criminalité et qu’il existe des garanties adéquates et vérifiables. Ainsi, selon la High Court (Haute Cour de justice), si l’affaire au principal devait être tranchée sur la base du seul droit irlandais, il conviendrait alors de constater que, compte tenu de l’existence d’un doute sérieux sur le fait que les États-Unis d’Amérique assurent un niveau de protection adéquat des données à caractère personnel, le commissaire aurait dû procéder à une enquête sur les faits dénoncés par M. Schrems dans sa plainte et que c’est à tort qu’il a rejeté cette dernière.

34

Toutefois, la High Court (Haute Cour de justice) considère que cette affaire concerne la mise en œuvre du droit de l’Union au sens de l’article 51 de la Charte, de sorte que la légalité de la décision en cause au principal doit être appréciée au regard du droit de l’Union. Or, selon cette juridiction, la décision 2000/520 ne satisfait pas aux exigences découlant tant des articles 7 et 8 de la Charte que des principes énoncés par la Cour dans l’arrêt Digital Rights Ireland e.a. (C-293/12 et C-594/12, EU:C:2014:238). Le droit au respect de la vie privée, garanti par l’article 7 de la Charte et par les valeurs essentielles communes aux traditions des États membres, serait privé de toute portée si les pouvoirs publics étaient autorisés à accéder aux communications électroniques de manière aléatoire et généralisée sans aucune justification objective fondée sur des raisons de sécurité nationale ou de prévention de la criminalité, liées spécifiquement aux individus concernés, et sans que ces pratiques soient entourées de garanties adéquates et vérifiables.

35

La High Court (Haute Cour de justice) observe, en outre, que M. Schrems, à l’occasion de son recours, dénonce en réalité la légalité du régime de la «sphère de sécurité» mis en place par la décision 2000/520 et dont procède la décision en cause au principal. Ainsi, même si M. Schrems n’a formellement contesté la validité ni de la directive 95/46 ni de la décision 2000/520, la question est posée, selon cette juridiction, de savoir si, du fait de l’article 25, paragraphe 6, de cette directive, le commissaire était lié par la constatation effectuée par la Commission dans cette décision, selon laquelle les États-Unis d’Amérique assurent un niveau de protection adéquat, ou si l’article 8 de la Charte autorisait le commissaire à s’affranchir, le cas échéant, d’une telle constatation.

36

C’est dans ces conditions que la High Court (Haute Cour de justice) a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes:

37

Par ses questions préjudicielles, qu’il convient d’examiner conjointement, la juridiction de renvoi demande, en substance, si et dans quelle mesure l’article 25, paragraphe 6, de la directive 95/46, lu à la lumière des articles 7, 8 et 47 de la Charte, doit être interprété en ce sens qu’une décision adoptée au titre de cette disposition, telle que la décision 2000/520, par laquelle la Commission constate qu’un pays tiers assure un niveau de protection adéquat, fait obstacle à ce qu’une autorité de contrôle d’un État membre, au sens de l’article 28 de cette directive, puisse examiner la demande d’une personne relative à la protection de ses droits et libertés à l’égard du traitement de données à caractère personnel la concernant qui ont été transférées depuis un État membre vers ce pays tiers, lorsque cette personne fait valoir que le droit et les pratiques en vigueur dans celui-ci n’assurent pas un niveau de protection adéquat.

38

Il convient de rappeler, à titre liminaire, que les dispositions de la directive 95/46, en ce qu’elles régissent le traitement de données à caractère personnel susceptible de porter atteinte aux libertés fondamentales et, en particulier, au droit au respect de la vie privée doivent nécessairement être interprétées à la lumière des droits fondamentaux garantis par la Charte (voir arrêts Österreichischer Rundfunk e.a., C-465/00, C-138/01 et C-139/01, EU:C:2003:294, point 68; Google Spain et Google, C-131/12, EU:C:2014:317, point 68, ainsi que Ryneš, C-212/13, EU:C:2014:2428, point 29).

39

Il résulte de l’article 1er ainsi que des considérants 2 et 10 de la directive 95/46 que celle-ci vise à garantir non seulement une protection efficace et complète des libertés et des droits fondamentaux des personnes physiques, notamment du droit fondamental au respect de la vie privée à l’égard du traitement des données à caractère personnel, mais également un niveau élevé de protection de ces libertés et droits fondamentaux. L’importance tant du droit fondamental au respect de la vie privée, garanti par l’article 7 de la Charte, que du droit fondamental à la protection des données à caractère personnel, garanti par l’article 8 de celle-ci, est en outre soulignée dans la jurisprudence de la Cour (voir arrêts Rijkeboer, C-553/07, EU:C:2009:293, point 47; Digital Rights Ireland e.a., C-293/12 et C-594/12, EU:C:2014:238, point 53, ainsi que Google Spain et Google, C-131/12, EU:C:2014:317, points 53, 66 et 74 et jurisprudence citée).

40

S’agissant des pouvoirs dont disposent les autorités de contrôle nationales à l’égard des transferts de données à caractère personnel vers des pays tiers, il convient de relever que l’article 28, paragraphe 1, de la directive 95/46 impose aux États membres d’instituer une ou plusieurs autorités publiques chargées de contrôler, en toute indépendance, le respect des règles de l’Union relatives à la protection des personnes physiques à l’égard du traitement de telles données. Cette exigence résulte également du droit primaire de l’Union, notamment de l’article 8, paragraphe 3, de la Charte et de l’article 16, paragraphe 2, TFUE (voir, en ce sens, arrêts Commission/Autriche, C-614/10, EU:C:2012:631, point 36, et Commission/HongrieC-288/12, EU:C:2014:237, point 47).

41

La garantie d’indépendance des autorités nationales de contrôle vise à assurer l’efficacité et la fiabilité du contrôle du respect des dispositions en matière de protection des personnes physiques à l’égard du traitement des données à caractère personnel et doit être interprétée à la lumière de cet objectif. Elle a été établie en vue de renforcer la protection des personnes et des organismes qui sont concernés par les décisions de ces autorités. L’institution, dans les États membres, d’autorités de contrôle indépendantes constitue donc, ainsi que le relève le considérant 62 de la directive 95/46, un élément essentiel du respect de la protection des personnes à l’égard du traitement des données à caractère personnel (voir arrêts Commission/Allemagne, C-518/07, EU:C:2010:125, point 25, ainsi que Commission/HongrieC-288/12, EU:C:2014:237, point 48 et jurisprudence citée).

42

Pour garantir cette protection, les autorités nationales de contrôle doivent, notamment, assurer un juste équilibre entre, d’une part, le respect du droit fondamental à la vie privée et, d’autre part, les intérêts qui commandent une libre circulation des données à caractère personnel (voir, en ce sens, arrêts Commission/Allemagne, C-518/07, EU:C:2010:125, point 24, et Commission/HongrieC-288/12, EU:C:2014:237, point 51).

43

À cet effet, ces autorités disposent d’un large éventail de pouvoirs et ceux-ci, énumérés de façon non exhaustive à l’article 28, paragraphe 3, de la directive 95/46, constituent autant de moyens nécessaires à l’exécution de leurs tâches, comme le souligne le considérant 63 de cette directive. Ainsi, lesdites autorités jouissent, notamment, de pouvoirs d’investigation, tels que celui de recueillir toutes les informations nécessaires à l’accomplissement de leur mission de contrôle, de pouvoirs effectifs d’intervention, tels que celui d’interdire temporairement ou définitivement un traitement de données, ou encore du pouvoir d’ester en justice.

44

Certes, il ressort de l’article 28, paragraphes 1 et 6, de la directive 95/46 que les pouvoirs des autorités nationales de contrôle concernent les traitements de données à caractère personnel effectués sur le territoire de l’État membre dont ces autorités relèvent, de sorte qu’elles ne disposent pas de pouvoirs, sur le fondement de cet article 28, à l’égard des traitements de telles données effectués sur le territoire d’un pays tiers.

45

Toutefois, l’opération consistant à faire transférer des données à caractère personnel depuis un État membre vers un pays tiers constitue, en tant que telle, un traitement de données à caractère personnel au sens de l’article 2, sous b), de la directive 95/46 (voir, en ce sens, arrêt Parlement/Conseil et Commission, C-317/04 et C-318/04, EU:C:2006:346, point 56) effectué sur le territoire d’un État membre. En effet, cette disposition définit le «traitement de données à caractère personnel» comme «toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données à caractère personnel» et cite, à titre d’exemple, «la communication par transmission, diffusion ou toute autre forme de mise à disposition».

46

Le considérant 60 de la directive 95/46 précise que les transferts de données à caractère personnel vers les pays tiers ne peuvent être effectués que dans le plein respect des dispositions prises par les États membres en application de cette directive. À cet égard, le chapitre IV de ladite directive, dans lequel figurent les articles 25 et 26 de celle-ci, a institué un régime visant à assurer un contrôle par les États membres des transferts de données à caractère personnel vers les pays tiers. Ce régime est complémentaire du régime général mis en place par le chapitre II de cette même directive prévoyant les conditions générales de licéité des traitements de données à caractère personnel (voir, en ce sens, arrêt Lindqvist, C-101/01, EU:C:2003:596, point 63).

47

Les autorités nationales de contrôle étant, conformément à l’article 8, paragraphe 3, de la Charte et à l’article 28 de la directive 95/46, chargées du contrôle du respect des règles de l’Union relatives à la protection des personnes physiques à l’égard du traitement des données à caractère personnel, chacune d’entre elles est donc investie de la compétence de vérifier si un transfert de données à caractère personnel depuis l’État membre dont elle relève vers un pays tiers respecte les exigences posées par la directive 95/46.

48

Tout en reconnaissant, à son considérant 56, que des transferts de données à caractère personnel depuis les États membres vers des pays tiers sont nécessaires au développement du commerce international, la directive 95/46 pose comme principe, à son article 25, paragraphe 1, que de tels transferts ne peuvent avoir lieu que si ces pays tiers assurent un niveau de protection adéquat.

49

En outre, le considérant 57 de ladite directive précise que des transferts de données à caractère personnel vers des pays tiers n’assurant pas un niveau de protection adéquat doivent être interdits.

50

Afin de contrôler les transferts de données à caractère personnel vers les pays tiers en fonction du niveau de protection accordé à celles-ci dans chacun de ces pays, l’article 25 de la directive 95/46 impose une série d’obligations aux États membres et à la Commission. Il ressort, notamment, de cet article que la constatation selon laquelle un pays tiers assure ou n’assure pas un niveau de protection adéquat peut, comme l’a relevé M. l’avocat général au point 86 de ses conclusions, être effectuée soit par les États membres soit par la Commission.

51

La Commission peut adopter, sur le fondement de l’article 25, paragraphe 6, de la directive 95/46, une décision constatant qu’un pays tiers assure un niveau de protection adéquat. Une telle décision a, conformément au second alinéa de cette disposition, pour destinataires les États membres qui doivent prendre les mesures nécessaires pour se conformer à celle-ci. En vertu de l’article 288, quatrième alinéa, TFUE, elle a un caractère contraignant pour tous les États membres destinataires et s’impose donc à tous leurs organes (voir, en ce sens, arrêts Albako Margarinefabrik, 249/85, EU:C:1987:245, point 17, et Mediaset, C-69/13, EU:C:2014:71, point 23), en ce qu’elle a pour effet d’autoriser des transferts de données à caractère personnel depuis les États membres vers le pays tiers visé par celle-ci.

52

Ainsi, aussi longtemps que la décision de la Commission n’a pas été déclarée invalide par la Cour, les États membres et leurs organes, au nombre desquels figurent leurs autorités de contrôle indépendantes, ne sauraient, certes, adopter des mesures contraires à cette décision, telles que des actes visant à constater avec effet contraignant que le pays tiers visé par ladite décision n’assure pas un niveau de protection adéquat. En effet, les actes des institutions de l’Union jouissent, en principe, d’une présomption de légalité et produisent, dès lors, des effets juridiques aussi longtemps qu’ils n’ont pas été retirés, annulés dans le cadre d’un recours en annulation ou déclarés invalides à la suite d’un renvoi préjudiciel ou d’une exception d’illégalité (arrêt Commission/Grèce, C-475/01, EU:C:2004:585, point 18 et jurisprudence citée).

53

Toutefois, une décision de la Commission adoptée au titre de l’article 25, paragraphe 6, de la directive 95/46, telle que la décision 2000/520, ne saurait empêcher les personnes dont les données à caractère personnel ont été ou pourraient être transférées vers un pays tiers de saisir les autorités nationales de contrôle d’une demande, au sens de l’article 28, paragraphe 4, de cette directive, relative à la protection de leurs droits et libertés à l’égard du traitement de ces données. De même, une décision de cette nature ne saurait, ainsi que l’a relevé M. l’avocat général notamment aux points 61, 93 et 116 de ses conclusions, ni annihiler ni réduire les pouvoirs expressément reconnus aux autorités nationales de contrôle par l’article 8, paragraphe 3, de la Charte ainsi que par l’article 28 de ladite directive.

54

Ni l’article 8, paragraphe 3, de la Charte ni l’article 28 de la directive 95/46 n’excluent du domaine de compétence des autorités nationales de contrôle le contrôle des transferts de données à caractère personnel vers des pays tiers ayant fait l’objet d’une décision de la Commission au titre de l’article 25, paragraphe 6, de cette directive.

55

En particulier, l’article 28, paragraphe 4, premier alinéa, de la directive 95/46, qui dispose que les autorités nationales de contrôle peuvent être saisies par «toute personne […] d’une demande relative à la protection de ses droits et libertés à l’égard du traitement de données à caractère personnel», ne prévoit aucune exception à cet égard dans l’hypothèse où la Commission aurait adopté une décision au titre de l’article 25, paragraphe 6, de cette directive.

56

En outre, il serait contraire au système mis en place par la directive 95/46 ainsi qu’à la finalité des articles 25 et 28 de celle-ci qu’une décision de la Commission adoptée au titre de l’article 25, paragraphe 6, de ladite directive ait pour effet d’empêcher une autorité nationale de contrôle d’examiner la demande d’une personne relative à la protection de ses droits et libertés à l’égard du traitement de ses données à caractère personnel qui ont été ou pourraient être transférées depuis un État membre vers un pays tiers visé par cette décision.

57

Au contraire, l’article 28 de la directive 95/46 s’applique, par sa nature même, à tout traitement de données à caractère personnel. Ainsi, même en présence d’une décision de la Commission adoptée au titre de l’article 25, paragraphe 6, de cette directive, les autorités nationales de contrôle, saisies par une personne d’une demande relative à la protection de ses droits et libertés à l’égard du traitement des données à caractère personnel la concernant, doivent pouvoir examiner, en toute indépendance, si le transfert de ces données respecte les exigences posées par ladite directive.

58

S’il en était autrement, les personnes dont les données à caractère personnel ont été ou pourraient être transférées vers le pays tiers concerné seraient privées du droit, garanti à l’article 8, paragraphes 1 et 3, de la Charte, de saisir les autorités nationales de contrôle d’une demande aux fins de la protection de leurs droits fondamentaux (voir, par analogie, arrêt Digital Rights Ireland e.a., C-293/12 et C-594/12, EU:C:2014:238, point 68).

59

Une demande, au sens de l’article 28, paragraphe 4, de la directive 95/46, par laquelle une personne dont les données à caractère personnel ont été ou pourraient être transférées vers un pays tiers fait valoir, comme dans l’affaire au principal, que le droit et les pratiques de ce pays n’assurent pas, nonobstant ce qu’a constaté la Commission dans une décision adoptée au titre de l’article 25, paragraphe 6, de cette directive, un niveau de protection adéquat, doit être comprise comme portant, en substance, sur la compatibilité de cette décision avec la protection de la vie privée et des libertés et droits fondamentaux des personnes.

60

À cet égard, il convient de rappeler la jurisprudence constante de la Cour selon laquelle l’Union est une Union de droit dans laquelle tout acte de ses institutions est soumis au contrôle de la conformité avec, notamment, les traités, les principes généraux du droit ainsi que les droits fondamentaux (voir, en ce sens, arrêts Commission e.a./Kadi, C-584/10 P, C-593/10 P et C-595/10 P, EU:C:2013:518, point 66; Inuit Tapiriit Kanatami e.a./Parlement et Conseil, C-583/11 P, EU:C:2013:625, point 91, ainsi que Telefónica/Commission, C-274/12 P, EU:C:2013:852, point 56). Les décisions de la Commission adoptées au titre de l’article 25, paragraphe 6, de la directive 95/46 ne sauraient donc échapper à un tel contrôle.

61

Cela étant, la Cour est seule compétente pour constater l’invalidité d’un acte de l’Union, tel qu’une décision de la Commission adoptée au titre de l’article 25, paragraphe 6, de la directive 95/46, le caractère exclusif de cette compétence ayant pour objet de garantir la sécurité juridique en assurant l’application uniforme du droit de l’Union (voir arrêts Melki et Abdeli, C-188/10 et C-189/10, EU:C:2010:363, point 54, ainsi que CIVAD, C-533/10, EU:C:2012:347, point 40).

62

Si les juridictions nationales sont, certes, en droit d’examiner la validité d’un acte de l’Union, tel qu’une décision de la Commission adoptée au titre de l’article 25, paragraphe 6, de la directive 95/46, elles ne sont toutefois pas dotées de la compétence pour constater elles-mêmes l’invalidité d’un tel acte (voir, en ce sens, arrêts Foto-Frost, 314/85, EU:C:1987:452, points 15 à 20, ainsi que IATA et ELFAA, C-344/04, EU:C:2006:10, point 27). A fortiori, lors de l’examen d’une demande, au sens de l’article 28, paragraphe 4, de cette directive, portant sur la compatibilité d’une décision de la Commission adoptée au titre de l’article 25, paragraphe 6, de ladite directive avec la protection de la vie privée et des libertés et droits fondamentaux des personnes, les autorités nationales de contrôle ne sont pas en droit de constater elles-mêmes l’invalidité d’une telle décision.

63

Eu égard à ces considérations, lorsqu’une personne, dont les données à caractère personnel ont été ou pourraient être transférées vers un pays tiers ayant fait l’objet d’une décision de la Commission au titre de l’article 25, paragraphe 6, de la directive 95/46, saisit une autorité nationale de contrôle d’une demande relative à la protection de ses droits et libertés à l’égard du traitement de ces données et conteste, à l’occasion de cette demande, comme dans l’affaire au principal, la compatibilité de cette décision avec la protection de la vie privée et des libertés et droits fondamentaux des personnes, il incombe à cette autorité d’examiner ladite demande avec toute la diligence requise.

64

Dans l’hypothèse où ladite autorité parvient à la conclusion que les éléments avancés au soutien d’une telle demande sont dépourvus de fondement et rejette, de ce fait, cette dernière, la personne ayant introduit ladite demande doit, ainsi qu’il résulte de l’article 28, paragraphe 3, second alinéa, de la directive 95/46, lu à la lumière de l’article 47 de la Charte, avoir accès aux voies de recours juridictionnelles lui permettant de contester une telle décision lui faisant grief devant les juridictions nationales. Eu égard à la jurisprudence citée aux points 61 et 62 du présent arrêt, ces juridictions sont tenues de surseoir à statuer et de saisir la Cour d’une procédure de renvoi préjudiciel en appréciation de validité lorsqu’elles considèrent qu’un ou plusieurs moyens d’invalidité avancés par les parties ou, le cas échéant, soulevés d’office sont fondés (voir, en ce sens, arrêt T & L Sugars et Sidul Açúcares/Commission, C-456/13 P, EU:C:2015:284, point 48 et jurisprudence citée).

65

Dans l’hypothèse contraire, où ladite autorité estime fondés les griefs avancés par la personne l’ayant saisie d’une demande relative à la protection de ses droits et libertés à l’égard du traitement de ses données à caractère personnel, cette même autorité doit, conformément à l’article 28, paragraphe 3, premier alinéa, troisième tiret, de la directive 95/46, lu à la lumière notamment de l’article 8, paragraphe 3, de la Charte, pouvoir ester en justice. À cet égard, il incombe au législateur national de prévoir des voies de recours permettant à l’autorité nationale de contrôle concernée de faire valoir les griefs qu’elle estime fondés devant les juridictions nationales afin que ces dernières procèdent, si elles partagent les doutes de cette autorité quant à la validité de la décision de la Commission, à un renvoi préjudiciel aux fins de l’examen de la validité de cette décision.

66

Eu égard aux considérations qui précèdent, il y a lieu de répondre aux questions posées que l’article 25, paragraphe 6, de la directive 95/46, lu à la lumière des articles 7, 8 et 47 de la Charte, doit être interprété en ce sens qu’une décision adoptée au titre de cette disposition, telle que la décision 2000/520, par laquelle la Commission constate qu’un pays tiers assure un niveau de protection adéquat, ne fait pas obstacle à ce qu’une autorité de contrôle d’un État membre, au sens de l’article 28 de cette directive, examine la demande d’une personne relative à la protection de ses droits et libertés à l’égard du traitement de données à caractère personnel la concernant qui ont été transférées depuis un État membre vers ce pays tiers, lorsque cette personne fait valoir que le droit et les pratiques en vigueur dans celui-ci n’assurent pas un niveau de protection adéquat.

67

Ainsi qu’il ressort des explications de la juridiction de renvoi relatives aux questions posées, M. Schrems fait valoir, dans la procédure au principal, que le droit et les pratiques des États-Unis n’assurent pas un niveau de protection adéquat au sens de l’article 25 de la directive 95/46. Comme l’a relevé M. l’avocat général aux points 123 et 124 de ses conclusions, M. Schrems émet des doutes, que cette juridiction paraît d’ailleurs partager en substance, concernant la validité de la décision 2000/520. Dans de telles circonstances, eu égard aux constatations faites aux points 60 à 63 du présent arrêt, et afin de donner une réponse complète à ladite juridiction, il convient d’examiner si cette décision est conforme aux exigences découlant de cette directive, lue à la lumière de la Charte.

68

Ainsi qu’il a été déjà relevé aux points 48 et 49 du présent arrêt, l’article 25, paragraphe 1, de la directive 95/46 interdit les transferts de données à caractère personnel vers un pays tiers n’assurant pas un niveau de protection adéquat.

69

Toutefois, aux fins du contrôle de tels transferts, l’article 25, paragraphe 6, premier alinéa, de cette directive dispose que la Commission «peut constater […] qu’un pays tiers assure un niveau de protection adéquat au sens du paragraphe 2 [de cet article], en raison de sa législation interne ou de ses engagements internationaux […], en vue de la protection de la vie privée et des libertés et droits fondamentaux des personnes».

70

Certes, ni l’article 25, paragraphe 2, de la directive 95/46 ni aucune autre disposition de celle-ci ne contiennent de définition de la notion de niveau de protection adéquat. En particulier, l’article 25, paragraphe 2, de ladite directive se borne à énoncer que le caractère adéquat du niveau de protection offert par un pays tiers «s’apprécie au regard de toutes les circonstances relatives à un transfert ou à une catégorie de transfert de données» et énumère, de façon non exhaustive, les circonstances devant être prises en considération lors d’une telle appréciation.

71

Toutefois, d’une part, ainsi qu’il ressort des termes mêmes de l’article 25, paragraphe 6, de la directive 95/46, cette disposition exige qu’un pays tiers «assure» un niveau de protection adéquat en raison de sa législation interne ou de ses engagements internationaux. D’autre part, également selon cette disposition, le caractère adéquat de la protection assurée par le pays tiers s’apprécie «en vue de la protection de la vie privée et des libertés et droits fondamentaux des personnes».

72

Ainsi, l’article 25, paragraphe 6, de la directive 95/46 met en œuvre l’obligation explicite de protection des données à caractère personnel, prévue à l’article 8, paragraphe 1, de la Charte, et vise à assurer, comme l’a relevé M. l’avocat général au point 139 de ses conclusions, la continuité du niveau élevé de cette protection en cas de transfert de données à caractère personnel vers un pays tiers.

73

Certes, le terme «adéquat» figurant à l’article 25, paragraphe 6, de la directive 95/46 implique qu’il ne saurait être exigé qu’un pays tiers assure un niveau de protection identique à celui garanti dans l’ordre juridique de l’Union. Toutefois, comme l’a relevé M. l’avocat général au point 141 de ses conclusions, l’expression «niveau de protection adéquat» doit être comprise comme exigeant que ce pays tiers assure effectivement, en raison de sa législation interne ou de ses engagements internationaux, un niveau de protection des libertés et droits fondamentaux substantiellement équivalent à celui garanti au sein de l’Union en vertu de la directive 95/46, lue à la lumière de la Charte. En effet, à défaut d’une telle exigence, l’objectif mentionné au point précédent du présent arrêt serait méconnu. En outre, le niveau élevé de protection garanti par la directive 95/46, lue à la lumière de la Charte, pourrait facilement être contourné par des transferts de données à caractère personnel depuis l’Union vers des pays tiers aux fins de leur traitement dans ces pays.

74

Il ressort du libellé exprès de l’article 25, paragraphe 6, de la directive 95/46 que c’est l’ordre juridique du pays tiers visé par la décision de la Commission qui doit assurer un niveau de protection adéquat. Même si les moyens auxquels ce pays tiers a recours, à cet égard, pour assurer un tel niveau de protection peuvent être différents de ceux mis en œuvre au sein de l’Union afin de garantir le respect des exigences découlant de cette directive, lue à la lumière de la Charte, ces moyens doivent néanmoins s’avérer, en pratique, effectifs afin d’assurer une protection substantiellement équivalente à celle garantie au sein de l’Union.

75

Dans ces conditions, lors de l’examen du niveau de protection offert par un pays tiers, la Commission est tenue d’apprécier le contenu des règles applicables dans ce pays résultant de la législation interne ou des engagements internationaux de celui-ci ainsi que la pratique visant à assurer le respect de ces règles, cette institution devant, conformément à l’article 25, paragraphe 2, de la directive 95/46, prendre en compte toutes les circonstances relatives à un transfert de données à caractère personnel vers un pays tiers.

76

De même, au regard du fait que le niveau de protection assuré par un pays tiers est susceptible d’évoluer, il incombe à la Commission, après l’adoption d’une décision au titre de l’article 25, paragraphe 6, de la directive 95/46, de vérifier de manière périodique si la constatation relative au niveau de protection adéquat assuré par le pays tiers en cause est toujours justifiée en fait et en droit. Une telle vérification s’impose, en tout état de cause, lorsque des indices font naître un doute à cet égard.

77

En outre, ainsi que l’a relevé M. l’avocat général aux points 134 et 135 de ses conclusions, lors de l’examen de la validité d’une décision de la Commission adoptée au titre de l’article 25, paragraphe 6, de la directive 95/46, il doit être également tenu compte des circonstances intervenues postérieurement à l’adoption de cette décision.

78

À cet égard, il convient de constater que, compte tenu, d’une part, du rôle important que joue la protection des données a’ caractère personnel au regard du droit fondamental au respect de la vie privée et, d’autre part, du nombre important de personnes dont les droits fondamentaux sont susceptibles d’être violés en cas de transfert de données à caractère personnel vers un pays tiers n’assurant pas un niveau de protection adéquat, le pouvoir d’appréciation de la Commission quant au caractère adéquat du niveau de protection assuré par un pays tiers s’avère réduit, de sorte qu’il convient de procéder à un contrôle strict des exigences découlant de l’article 25 de la directive 95/46, lu à la lumière de la Charte (voir, par analogie, arrêt Digital Rights Ireland e.a., C-293/12 et C-594/12, EU:C:2014:238, points 47 et 48).

79

La Commission a considéré, à l’article 1er, paragraphe 1, de la décision 2000/520, que les principes visés à l’annexe I de celle-ci, appliqués conformément aux orientations fournies par les FAQ visées à l’annexe II de ladite décision, assurent un niveau adéquat de protection des données à caractère personnel transférées depuis l’Union vers des organisations établies aux États-Unis. Il ressort de cette disposition que tant ces principes que ces FAQ ont été publiés par le ministère du Commerce américain.

80

L’adhésion d’une organisation aux principes de la sphère de sécurité est effectuée sur la base d’un système d’autocertification, ainsi qu’il ressort de l’article 1er, paragraphes 2 et 3, de cette décision, lu en combinaison avec la FAQ 6 figurant à l’annexe II de ladite décision.

81

Si le recours, par un pays tiers, à un système d’autocertification n’est pas, par lui-même, contraire à l’exigence prévue à l’article 25, paragraphe 6, de la directive 95/46, selon laquelle le pays tiers concerné doit assurer un niveau de protection adéquat «en raison de [la] législation interne ou [des] engagements internationaux» de ce pays, la fiabilité d’un tel système, au regard de cette exigence, repose essentiellement sur la mise en place de mécanismes efficaces de détection et de contrôle permettant d’identifier et de sanctionner, en pratique, d’éventuelles violations des règles assurant la protection des droits fondamentaux, notamment du droit au respect de la vie privée ainsi que du droit à la protection des données à caractère personnel.

82

En l’occurrence, les principes de la sphère de sécurité sont, en vertu de l’annexe I, deuxième alinéa, de la décision 2000/520, «exclusivement destinés aux organisations américaines recevant des données à caractère personnel en provenance de l’Union européenne et doivent permettre à ces organisations de remplir les conditions relatives à la ‘sphère de sécurité’ de façon à bénéficier de la présomption de ‘niveau de protection adéquat’ que prévoit celle-ci». Ces principes sont donc uniquement applicables aux organisations américaines autocertifiées recevant des données à caractère personnel depuis l’Union, sans qu’il soit exigé que les autorités publiques américaines soient soumises au respect desdits principes.

83

En outre, en vertu de l’article 2 de la décision 2000/520, cette dernière «concerne uniquement le caractère adéquat de la protection fournie aux États-Unis par les principes [de la sphère de sécurité] mis en œuvre conformément aux FAQ en vue de répondre aux exigences de l’article 25, paragraphe 1, de la directive [95/46]», sans pour autant contenir les constatations suffisantes quant aux mesures par lesquelles les États-Unis d’Amérique assurent un niveau de protection adéquat, au sens de l’article 25, paragraphe 6, de cette directive, en raison de leur législation interne ou de leurs engagements internationaux.

84

À cela s’ajoute que, conformément à l’annexe I, quatrième alinéa, de la décision 2000/520, l’applicabilité desdits principes peut être limitée par, notamment, «les exigences relatives à la sécurité nationale, [à] l’intérêt public et [au] respect des lois des États-Unis», ainsi que par «les textes législatifs, les règlements administratifs ou les décisions jurisprudentielles qui créent des obligations contradictoires ou prévoient des autorisations explicites, pour autant qu’une organisation qui a recours à une telle autorisation peut démontrer que le non-respect des principes est limité aux mesures nécessaires pour garantir les intérêts légitimes supérieurs que cette autorisation vise à servir».

85

À cet égard, sous le titre B de son annexe IV, la décision 2000/520 souligne, s’agissant des limites auxquelles est soumise l’applicabilité des principes de la sphère de sécurité, qu’«[i]l est clair que lorsque la législation américaine impose une obligation conflictuelle, les organisations américaines faisant ou non partie de la ‘sphère de sécurité’ doivent se plier à cette législation».

86

Ainsi, la décision 2000/520 consacre la primauté des «exigences relatives à la sécurité nationale, [à] l’intérêt public et [au] respect des lois des États-Unis» sur les principes de la sphère de sécurité, primauté en vertu de laquelle les organisations américaines autocertifiées recevant des données à caractère personnel depuis l’Union sont tenues d’écarter, sans limitation, ces principes lorsque ces derniers entrent en conflit avec ces exigences et s’avèrent donc incompatibles avec celles-ci.

87

Eu égard au caractère général de la dérogation figurant à l’annexe I, quatrième alinéa, de la décision 2000/520, celle-ci rend ainsi possible des ingérences, fondées sur des exigences relatives à la sécurité nationale et à l’intérêt public ou sur la législation interne des États-Unis, dans les droits fondamentaux des personnes dont les données à caractère personnel sont ou pourraient être transférées depuis l’Union vers les États-Unis. À cet égard, il importe peu, pour établir l’existence d’une ingérence dans le droit fondamental au respect de la vie privée, que les informations relatives à la vie privée concernées présentent ou non un caractère sensible ou que les intéressés aient ou non subi d’éventuels inconvénients en raison de cette ingérence (arrêt Digital Rights Ireland e.a., C-293/12 et C-594/12, EU:C:2014:238, point 33 et jurisprudence citée).

88

Au surplus, la décision 2000/520 ne comporte aucune constatation quant à l’existence, aux États-Unis, de règles à caractère étatique destinées à limiter les éventuelles ingérences dans les droits fondamentaux des personnes dont les données sont transférées depuis l’Union vers les États-Unis, ingérences que des entités étatiques de ce pays seraient autorisées à pratiquer lorsqu’elles poursuivent des buts légitimes, tels que la sécurité nationale.

89

À cela s’ajoute le fait que la décision 2000/520 ne fait pas état de l’existence d’une protection juridique efficace contre des ingérences de cette nature. Ainsi que l’a relevé M. l’avocat général aux points 204 à 206 de ses conclusions, les mécanismes d’arbitrage privé et les procédures devant la Commission fédérale du commerce, dont les pouvoirs, décrits notamment dans les FAQ 11 figurant à l’annexe II de cette décision, sont limités aux litiges commerciaux, portent sur le respect, par les entreprises américaines, des principes de la sphère de sécurité et ne peuvent être mis en œuvre dans le cadre des litiges portant sur la légalité d’ingérences dans les droits fondamentaux résultant de mesures d’origine étatique.

90

Par ailleurs, l’analyse de la décision 2000/520 qui précède est corroborée par l’appréciation que la Commission a elle-même faite de la situation résultant de la mise en œuvre de cette décision. En effet, en particulier aux points 2 et 3.2 de la communication COM(2013) 846 final ainsi qu’aux points 7.1, 7.2 et 8 de la communication COM(2013) 847 final, dont la teneur est exposée respectivement aux points 13 à 16 ainsi qu’aux points 22, 23 et 25 du présent arrêt, cette institution a constaté que les autorités américaines pouvaient accéder aux données à caractère personnel transférées à partir des États membres vers les États-Unis et traiter celles-ci d’une manière incompatible, notamment, avec les finalités de leur transfert, et au-delà de ce que qui était strictement nécessaire et proportionné à la protection de la sécurité nationale. De même, la Commission a constaté qu’il n’existait pas, pour les personnes concernées, de voies de droit administratives ou judiciaires permettant, notamment, d’accéder aux données les concernant et, le cas échéant, d’obtenir leur rectification ou leur suppression.

91

S’agissant du niveau de protection des libertés et droits fondamentaux garanti au sein de l’Union, une réglementation de celle-ci comportant une ingérence dans les droits fondamentaux garantis par les articles 7 et 8 de la Charte doit, selon la jurisprudence constante de la Cour, prévoir des règles claires et précises régissant la portée et l’application d’une mesure et imposant un minimum d’exigences, de sorte que les personnes dont les données à caractère personnel sont concernées disposent de garanties suffisantes permettant de protéger efficacement leurs données contre les risques d’abus ainsi que contre tout accès et toute utilisation illicites de ces données. La nécessité de disposer de telles garanties est d’autant plus importante lorsque les données à caractère personnel sont soumises à un traitement automatique et qu’il existe un risque important d’accès illicite à ces données (arrêt Digital Rights Ireland e.a., C-293/12 et C-594/12, EU:C:2014:238, points 54 et 55 ainsi que jurisprudence citée).

92

En outre et surtout, la protection du droit fondamental au respect de la vie privée au niveau de l’Union exige que les dérogations à la protection des données à caractère personnel et les limitations de celle-ci s’opèrent dans les limites du strict nécessaire (arrêt Digital Rights Ireland e.a., C-293/12 et C-594/12, EU:C:2014:238, point 52 et jurisprudence citée).

93

Ainsi, n’est pas limitée au strict nécessaire une réglementation qui autorise de manière généralisée la conservation de l’intégralité des données à caractère personnel de toutes les personnes dont les données ont été transférées depuis l’Union vers les États-Unis sans qu’aucune différenciation, limitation ou exception soit opérée en fonction de l’objectif poursuivi et sans que soit prévu un critère objectif permettant de délimiter l’accès des autorités publiques aux données et leur utilisation ultérieure à des fins précises, strictement restreintes et susceptibles de justifier l’ingérence que comportent tant l’accès que l’utilisation de ces données [voir en ce sens, en ce qui concerne la directive 2006/24/CE du Parlement européen et du Conseil, du 15 mars 2006, sur la conservation de données générées ou traitées dans le cadre de la fourniture de services de communications électroniques accessibles au public ou de réseaux publics de communications, et modifiant la directive 2002/58/CE (JO L 105, p. 54), arrêt Digital Rights Ireland e.a., C-293/12 et C-594/12, EU:C:2014:238, points 57 à 61].

94

En particulier, une réglementation permettant aux autorités publiques d’accéder de manière généralisée au contenu de communications électroniques doit être considérée comme portant atteinte au contenu essentiel du droit fondamental au respect de la vie privée, tel que garanti par l’article 7 de la Charte (voir, en ce sens, arrêt Digital Rights Ireland e.a., C-293/12 et C-594/12, EU:C:2014:238, point 39).

95

De même, une réglementation ne prévoyant aucune possibilité pour le justiciable d’exercer des voies de droit afin d’avoir accès à des données à caractère personnel le concernant, ou d’obtenir la rectification ou la suppression de telles données, ne respecte pas le contenu essentiel du droit fondamental à une protection juridictionnelle effective, tel que consacré à l’article 47 de la Charte. En effet, l’article 47, premier alinéa, de la Charte exige que toute personne dont les droits et libertés garantis par le droit de l’Union ont été violés ait droit à un recours effectif devant un tribunal dans le respect des conditions prévues à cet article. À cet égard, l’existence même d’un contrôle juridictionnel effectif destiné à assurer le respect des dispositions du droit de l’Union est inhérente à l’existence d’un État de droit (voir, en ce sens, arrêts Les Verts/Parlement, 294/83, EU:C:1986:166, point 23; Johnston, 222/84, EU:C:1986:206, points 18 et 19; Heylens e.a., 222/86, EU:C:1987:442, point 14, ainsi que UGT-Rioja e.a., C-428/06 à C-434/06, EU:C:2008:488, point 80).

96

Ainsi qu’il a été constaté notamment aux points 71, 73 et 74 du présent arrêt, l’adoption par la Commission d’une décision au titre de l’article 25, paragraphe 6, de la directive 95/46 exige la constatation dûment motivée, de la part de cette institution, que le pays tiers concerné assure effectivement, en raison de sa législation interne ou de ses engagements internationaux, un niveau de protection des droits fondamentaux substantiellement équivalent à celui garanti dans l’ordre juridique de l’Union, tel qu’il ressort notamment des points précédents du présent arrêt.

97

Or, il y a lieu de relever que la Commission n’a pas fait état, dans la décision 2000/520, de ce que les États-Unis d’Amérique «assurent» effectivement un niveau de protection adéquat en raison de leur législation interne ou de leurs engagements internationaux.

98

Par suite, et sans qu’il soit besoin d’examiner les principes de la sphère de sécurité quant à leur contenu, il convient de conclure que l’article 1er de cette décision méconnaît les exigences fixées à l’article 25, paragraphe 6, de la directive 95/46, lu à la lumière de la Charte, et qu’il est de ce fait invalide.

99

Il ressort des considérations exposées aux points 53, 57 et 63 du présent arrêt que, au regard de l’article 28 de la directive 95/46, lu à la lumière notamment de l’article 8 de la Charte, les autorités nationales de contrôle doivent pouvoir examiner, en toute indépendance, toute demande relative à la protection des droits et libertés d’une personne à l’égard du traitement de données à caractère personnel la concernant. Il en va en particulier ainsi lorsque, à l’occasion d’une telle demande, cette personne soulève des interrogations quant à la compatibilité d’une décision de la Commission adoptée au titre de l’article 25, paragraphe 6, de cette directive avec la protection de la vie privée et des libertés et droits fondamentaux des personnes.

100

Cependant, l’article 3, paragraphe 1, premier alinéa, de la décision 2000/520 prévoit une réglementation spécifique quant aux pouvoirs dont disposent les autorités nationales de contrôle au regard d’une constatation effectuée par la Commission relativement au niveau de protection adéquat, au sens de l’article 25 de la directive 95/46.

101

Ainsi, aux termes de cette disposition, ces autorités peuvent, «[s]ans préjudice de leurs pouvoirs de prendre des mesures visant à assurer le respect des dispositions nationales adoptées en application de dispositions autres que celles de l’article 25 de la directive [95/46], […] suspendre les flux de données vers une organisation adhérant aux principes [de la décision 2000/520]», dans des conditions restrictives établissant un seuil élevé d’intervention. Si cette disposition ne porte pas préjudice aux pouvoirs de ces autorités de prendre des mesures visant à assurer le respect des dispositions nationales adoptées en application de cette directive, elle exclut, en revanche, la possibilité pour lesdites autorités de prendre des mesures visant à assurer le respect de l’article 25 de cette même directive.

102

L’article 3, paragraphe 1, premier alinéa, de la décision 2000/520 doit donc être compris comme privant les autorités nationales de contrôle des pouvoirs qu’elles tirent de l’article 28 de la directive 95/46, dans le cas où une personne avance, à l’occasion d’une demande au titre de cette disposition, des éléments susceptibles de remettre en cause la compatibilité avec la protection de la vie privée et des libertés et droits fondamentaux des personnes d’une décision de la Commission ayant constaté, sur le fondement de l’article 25, paragraphe 6, de cette directive, qu’un pays tiers assure un niveau de protection adéquat.

103

Or, le pouvoir d’exécution accordé par le législateur de l’Union à la Commission à l’article 25, paragraphe 6, de la directive 95/46 ne confère pas à cette institution la compétence de restreindre les pouvoirs des autorités nationales de contrôle visés au point précédent du présent arrêt.

104

Dans ces conditions, il y a lieu de constater que, en adoptant l’article 3 de la décision 2000/520, la Commission a outrepassé la compétence qui lui est attribuée à l’article 25, paragraphe 6, de la directive 95/46, lu à la lumière de la Charte, et qu’il est de ce fait invalide.

105

Les articles 1er et 3 de la décision 2000/520 étant indissociables des articles 2 et 4 ainsi que des annexes de celle-ci, leur invalidité a pour effet d’affecter la validité de cette décision dans son ensemble.

106

Eu égard à l’ensemble des considérations qui précèdent, il convient de conclure que la décision 2000/520 est invalide.

107

La procédure revêtant, à l’égard des parties au principal, le caractère d’un incident soulevé devant la juridiction de renvoi, il appartient à celle-ci de statuer sur les dépens. Les frais exposés pour soumettre des observations à la Cour, autres que ceux desdites parties, ne peuvent faire l’objet d’un remboursement.

Par ces motifs, la Cour (grande chambre) dit pour droit:

Signatures