I. Introduction

II. Le cadre juridique

A. La directive 95/46/CE

B. Le RGPD

C. La décision 2010/87

D. La décision « bouclier de protection des données »

III. Le litige au principal, les questions préjudicielles et la procédure devant la Cour

IV. Analyse

A. Considérations liminaires

B. Sur la recevabilité du renvoi préjudiciel

1. Sur l’applicabilité ratione temporis de la directive 95/46

2. Sur le caractère provisoire des doutes exprimés par le DPC

3. Sur les incertitudes entourant la définition du cadre factuel

C. Sur l’applicabilité du droit de l’Union aux transferts à des fins commerciales de données à caractère personnel vers un État tiers susceptible de les traiter à des fins de sécurité nationale (première question)

D. Sur le niveau de protection requis dans le cadre d’un transfert fondé sur des clauses contractuelles types (première partie de la sixième question)

E. Sur la validité de la décision 2010/87 au regard des articles 7, 8 et 47 de la Charte (septième, huitième et onzième questions)

1. Sur les obligations incombant aux responsables du traitement

2. Sur les obligations incombant aux autorités de contrôle

F. Sur l’absence de nécessité de répondre aux autres questions préjudicielles et d’examiner la validité de la décision « bouclier de protection des données »

1. Sur l’absence de nécessité des réponses de la Cour au regard de l’objet du litige au principal

2. Sur les raisons plaidant en défaveur d’un examen par la Cour au regard de l’objet de la procédure pendante devant le DPC

G. Observations subsidiaires relatives aux effets et à la validité de la décision « bouclier de protection des données »

1. Sur l’incidence de la décision « bouclier de protection des données » dans le cadre du traitement par une autorité de contrôle d’une plainte relative à la légalité d’un transfert fondé sur des garanties contractuelles

2. Sur la validité de la décision « bouclier de protection des données »

a) Précisions concernant la teneur de l’examen de validité d’une décision d’adéquation

1) Sur les termes de la comparaison permettant d’évaluer l’« équivalence substantielle » du niveau de protection

2) Sur la nécessité d’assurer un niveau adéquat de protection au cours de la phase de transit des données

3) Sur la prise en considération des constatations factuelles opérées par la Commission et par la juridiction de renvoi concernant le droit des États-Unis

4) Sur la portée du standard de l’« équivalence substantielle »

b) Sur la validité de la décision « bouclier de protection des données » au regard des droits au respect de la vie privée et à la protection des données à caractère personnel

1) Sur l’existence d’ingérences

2) Sur le caractère « prévu par la loi » des ingérences

3) Sur l’absence d’atteinte au contenu essentiel des droits fondamentaux

4) Sur la poursuite d’un objectif légitime

5) Sur le caractère nécessaire et proportionné des ingérences

c) Sur la validité de la décision « bouclier de protection des données » au regard du droit à un recours effectif

1) Sur l’effectivité des recours judiciaires prévus par le droit des États-Unis

2) Sur l’incidence du mécanisme de médiation sur le niveau de protection du droit au recours effectif

V. Conclusion

1.

À défaut de garanties communes en matière de protection des données à caractère personnel au niveau mondial, les flux transfrontières de telles données s’accompagnent d’un risque de rupture dans la continuité du niveau de protection assuré au sein de l’Union européenne. Soucieux de faciliter ces flux tout en limitant ce risque, le législateur de l’Union a institué trois mécanismes en vertu desquels des données à caractère personnel peuvent être transférées depuis l’Union vers un État tiers.

2.

En premier lieu, un tel transfert peut être opéré sur le fondement d’une décision par laquelle la Commission européenne constate que l’État tiers en cause assure un « niveau de protection adéquat » des données qui y sont transférées ( 2 ). En deuxième lieu, en l’absence d’une telle décision, le transfert est autorisé lorsqu’il est entouré de « garanties appropriées » ( 3 ). Ces garanties peuvent prendre la forme d’un contrat entre l’exportateur et l’importateur des données intégrant des clauses types de protection adoptées par la Commission. Le RGPD prévoit, en troisième lieu, certaines dérogations, fondées notamment sur le consentement de la personne concernée, permettant le transfert vers un pays tiers même à défaut d’une décision d’adéquation ou de garanties appropriées ( 4 ).

3.

La demande de décision préjudicielle formée par la High Court (Haute Cour, Irlande) concerne le deuxième de ces mécanismes. Elle porte, plus précisément, sur la validité de la décision 2010/87/UE ( 5 ), par laquelle la Commission a établi des clauses contractuelles types pour certaines catégories de transferts, au regard des articles 7, 8 et 47 de la charte des droits fondamentaux de l’Union européenne (ci-après la « Charte »).

4.

Cette demande a été présentée dans le cadre d’un litige opposant le Data Protection Commissioner (commissaire à la protection des données, Irlande, ci-après le « DPC ») à Facebook Ireland Ltd et à M. Maximillian Schrems. Ce dernier a introduit auprès du DPC une plainte relative au transfert de données à caractère personnel le concernant par Facebook Ireland à Facebook Inc., sa société mère établie aux États-Unis d’Amérique (ci-après les « États-Unis »). Le DPC considère que le traitement de cette plainte dépend du point de savoir si la décision 2010/87 est valide. Dans ce contexte, il a saisi la juridiction de renvoi en lui demandant d’interroger la Cour à ce sujet.

5.

J’indique d’emblée que l’examen des questions préjudicielles n’a, à mes yeux, révélé aucun élément de nature à affecter la validité de la décision 2010/87.

6.

Par ailleurs, la juridiction de renvoi a mis en lumière certains doutes concernant, en substance, le caractère adéquat du niveau de protection assuré par les États-Unis au regard des ingérences que les activités des autorités de renseignement américaines apportent dans l’exercice des droits fondamentaux des personnes dont les données sont transférées vers ce pays tiers. Ces doutes remettent indirectement en cause les appréciations effectuées par la Commission à ce sujet dans la décision d’exécution (UE) 2016/1250 ( 6 ). Bien que la résolution du litige au principal ne nécessite pas que la Cour tranche cette question et que je lui suggère dès lors de s’en abstenir, j’exposerai à titre subsidiaire les raisons qui m’amènent à m’interroger sur la validité de cette décision.

7.

L’ensemble de mon analyse sera guidé par la recherche d’un équilibre entre, d’une part, la nécessité de faire preuve d’un « degré de pragmatisme raisonnable afin de permettre une interaction avec le reste du monde » ( 7 ), et, d’autre part, celle d’affirmer les valeurs fondamentales reconnues dans les ordres juridiques de l’Union et de ses États membres, en particulier par la Charte.

8.

L’article 3, paragraphe 2, de la directive 95/46/CE relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ( 8 ) disposait :

« La présente directive ne s’applique pas au traitement de données à caractère personnel :

[…] »

9.

L’article 13, paragraphe 1, de cette directive était ainsi libellé :

« Les États membres peuvent prendre des mesures législatives visant à limiter la portée des obligations et des droits prévus à l’article 6, paragraphe 1, à l’article 10, à l’article 11, paragraphe 1 et aux articles 12 et 21, lorsqu’une telle limitation constitue une mesure nécessaire pour sauvegarder :

10.

L’article 25 de ladite directive énonçait :

« 1. Les États membres prévoient que le transfert vers un pays tiers de données à caractère personnel faisant l’objet d’un traitement, ou destinées à faire l’objet d’un traitement après leur transfert, ne peut avoir lieu que si, sous réserve du respect des dispositions nationales prises en application des autres dispositions de la présente directive, le pays tiers en question assure un niveau de protection adéquat.

2. Le caractère adéquat du niveau de protection offert par un pays tiers s’apprécie au regard de toutes les circonstances relatives à un transfert ou à une catégorie de transferts de données ; en particulier, sont prises en considération la nature des données, la finalité et la durée du ou des traitements envisagés, les pays d’origine et de destination finale, les règles de droit, générales ou sectorielles, en vigueur dans le pays tiers en cause, ainsi que les règles professionnelles et les mesures de sécurité qui y sont respectées.

[…]

6. La Commission peut constater, conformément à la procédure prévue à l’article 31, paragraphe 2, qu’un pays tiers assure un niveau de protection adéquat au sens du paragraphe 2 du présent article, en raison de sa législation interne ou de ses engagements internationaux, souscrits notamment à l’issue des négociations visées au paragraphe 5, en vue de la protection de la vie privée et des libertés et droits fondamentaux des personnes.

Les États membres prennent les mesures nécessaires pour se conformer à la décision de la Commission. »

11.

L’article 26, paragraphes 2 et 4, de la même directive prévoyait :

« 2. Sans préjudice du paragraphe 1, un État membre peut autoriser un transfert, ou un ensemble de transferts, de données à caractère personnel vers un pays tiers n’assurant pas un niveau de protection adéquat au sens de l’article 25, paragraphe 2, lorsque le responsable du traitement offre des garanties suffisantes au regard de la protection de la vie privée et des libertés et droits fondamentaux des personnes, ainsi qu’à l’égard de l’exercice des droits correspondants ; ces garanties peuvent notamment résulter de clauses contractuelles appropriées.

[…]

4. Lorsque la Commission décide […] que certaines clauses contractuelles types présentent les garanties suffisantes visées au paragraphe 2, les États membres prennent les mesures nécessaires pour se conformer à la décision de la Commission. »

12.

L’article 28, paragraphe 3, de la directive 95/46 était formulé comme suit :

« Chaque autorité de contrôle dispose notamment :

[…]

[…] »

13.

En vertu de son article 94, paragraphe 1, le RGPD a abrogé la directive 95/46 avec effet au 25 mai 2018, date à laquelle ce règlement a commencé à s’appliquer conformément à son article 99, paragraphe 2.

14.

L’article 2, paragraphe 2, dudit règlement dispose :

« Le présent règlement ne s’applique pas au traitement de données à caractère personnel effectué :

[…]

15.

L’article 4, point 2, du même règlement définit le « traitement » comme « toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction ».

16.

L’article 23 du RGPD prévoit :

« 1. Le droit de l’Union ou le droit de l’État membre auquel le responsable du traitement ou le sous-traitant est soumis peuvent, par la voie de mesures législatives, limiter la portée des obligations et des droits prévus aux articles 12 à 22 et à l’article 34, ainsi qu’à l’article 5 dans la mesure où les dispositions du droit en question correspondent aux droits et obligations prévus aux articles 12 à 22, lorsqu’une telle limitation respecte l’essence des libertés et droits fondamentaux et qu’elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir :

[…]

2. En particulier, toute mesure législative visée au paragraphe 1 contient des dispositions spécifiques relatives, au moins, le cas échéant :

17.

L’article 44 de ce règlement, intitulé « Principe général applicable aux transferts », énonce :

« Un transfert, vers un pays tiers ou à une organisation internationale, de données à caractère personnel qui font ou sont destinées à faire l’objet d’un traitement après ce transfert ne peut avoir lieu que si, sous réserve des autres dispositions du présent règlement, les conditions définies dans le présent chapitre sont respectées par le responsable du traitement et le sous-traitant, y compris pour les transferts ultérieurs de données à caractère personnel au départ du pays tiers ou de l’organisation internationale vers un autre pays tiers ou à une autre organisation internationale. Toutes les dispositions du présent chapitre sont appliquées de manière à ce que le niveau de protection des personnes physiques garanti par le présent règlement ne soit pas compromis. »

18.

Conformément à l’article 45 dudit règlement, intitulé « Transferts fondés sur une décision d’adéquation » :

« 1. Un transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale peut avoir lieu lorsque la Commission a constaté par voie de décision que le pays tiers, un territoire ou un ou plusieurs secteurs déterminés dans ce pays tiers, ou l’organisation internationale en question assure un niveau de protection adéquat. Un tel transfert ne nécessite pas d’autorisation spécifique.

2. Lorsqu’elle évalue le caractère adéquat du niveau de protection, la Commission tient compte, en particulier, des éléments suivants :

3. La Commission, après avoir évalué le caractère adéquat du niveau de protection, peut décider, par voie d’actes d’exécution, qu’un pays tiers, un territoire ou un ou plusieurs secteurs déterminés dans un pays tiers, ou une organisation internationale, assure un niveau de protection adéquat au sens du paragraphe 2 du présent article. L’acte d’exécution prévoit un mécanisme d’examen périodique, au moins tous les quatre ans, qui prend en compte toutes les évolutions pertinentes dans le pays tiers ou au sein de l’organisation internationale. […]

4. La Commission suit, de manière permanente, les évolutions dans les pays tiers et au sein des organisations internationales qui pourraient porter atteinte au fonctionnement des décisions adoptées en vertu du paragraphe 3 du présent article et des décisions adoptées sur la base de l’article 25, paragraphe 6, de la [directive 95/46].

5. Lorsque les informations disponibles révèlent, en particulier à l’issue de l’examen visé au paragraphe 3 du présent article, qu’un pays tiers, un territoire ou un ou plusieurs secteurs déterminés dans un pays tiers, ou une organisation internationale n’assure plus un niveau de protection adéquat au sens du paragraphe 2 du présent article, la Commission si nécessaire, abroge, modifie ou suspend la décision visée au paragraphe 3 du présent article par voie d’actes d’exécution sans effet rétroactif. […]

6. La Commission engage des consultations avec le pays tiers ou l’organisation internationale en vue de remédier à la situation donnant lieu à la décision adoptée en vertu du paragraphe 5.

[…]

9. Les décisions adoptées par la Commission sur la base de l’article 25, paragraphe 6, de la [directive 95/46] demeurent en vigueur jusqu’à leur modification, leur remplacement ou leur abrogation par une décision de la Commission adoptée conformément au paragraphe 3 ou 5 du présent article. »

19.

L’article 46 du même règlement, intitulé « Transferts moyennant des garanties appropriées », est formulé comme suit :

« 1. En l’absence de décision en vertu de l’article 45, paragraphe 3, le responsable du traitement ou le sous-traitant ne peut transférer des données à caractère personnel vers un pays tiers ou à une organisation internationale que s’il a prévu des garanties appropriées et à la condition que les personnes concernées disposent de droits opposables et de voies de droit effectives.

2. Les garanties appropriées visées au paragraphe 1 peuvent être fournies, sans que cela ne nécessite une autorisation particulière d’une autorité de contrôle, par :

[…]

[…]

5. Les autorisations accordées par un État membre ou une autorité de contrôle sur le fondement de l’article 26, paragraphe 2, de la [directive 95/46] demeurent valables jusqu’à leur modification, leur remplacement ou leur abrogation, si nécessaire, par ladite autorité de contrôle. Les décisions adoptées par la Commission sur le fondement de l’article 26, paragraphe 4, de la [directive 95/46] demeurent en vigueur jusqu’à leur modification, leur remplacement ou leur abrogation, si nécessaire, par une décision de la Commission adoptée conformément au paragraphe 2 du présent article. »

20.

Aux termes de l’article 58, paragraphes 2, 4 et 5, du RGPD :

« 2. Chaque autorité de contrôle dispose du pouvoir d’adopter toutes les mesures correctrices suivantes :

[…]

[…]

4. L’exercice des pouvoirs conférés à l’autorité de contrôle en application du présent article est subordonné à des garanties appropriées, y compris le droit à un recours juridictionnel effectif et à une procédure régulière, prévues par le droit de l’Union et le droit des États membres conformément à la Charte.

5. Chaque État membre prévoit, par la loi, que son autorité de contrôle a le pouvoir de porter toute violation du présent règlement à l’attention des autorités judiciaires et, le cas échéant, d’ester en justice d’une manière ou d’une autre, en vue de faire appliquer les dispositions du présent règlement. »

21.

L’article 26, paragraphe 4, de la directive 95/46 a donné lieu à l’adoption par la Commission de trois décisions par lesquelles elle a constaté que les clauses contractuelles types y énoncées offrent des garanties suffisantes au regard de la protection de la vie privée et des libertés et droits fondamentaux des personnes, ainsi qu’à l’égard de l’exercice des droits correspondants (ci-après les « décisions CCT ») ( 9 ).

22.

Parmi celles-ci figure la décision 2010/87, dont l’article 1er dispose que « [l]es clauses contractuelles types figurant en annexe sont considérées comme offrant des garanties suffisantes au regard de la protection de la vie privée et des libertés et droits fondamentaux des personnes, ainsi qu’à l’égard de l’exercice des droits correspondants comme l’exige l’article 26, paragraphe 2, de la [directive 95/46] ».

23.

En vertu de l’article 3 de cette décision :

« Aux fins de la présente décision, on entend par:

[…]

[…]

[…] »

24.

Dans sa version initiale, l’article 4 de ladite décision prévoyait, à son paragraphe 1 :

« Sans préjudice de leurs pouvoirs de prendre des mesures visant à assurer le respect des dispositions nationales adoptées conformément aux chapitres II, III, V et VI de la [directive 95/46], les autorités compétentes des États membres peuvent exercer les pouvoirs dont elles disposent pour interdire ou suspendre les flux de données vers des pays tiers afin de protéger les individus à l’égard du traitement de leurs données à caractère personnel, et ce dans les cas où :

25.

Dans sa version actuelle, telle qu’elle résulte de la modification de la décision 2010/87 par la décision d’exécution (UE) 2016/2297 ( 10 ), l’article 4 de la décision 2010/87 énonce que « [l]orsque les autorités compétentes d’un État membre exercent leurs pouvoirs conformément à l’article 28, paragraphe 3, de la [directive 95/46] pour suspendre ou interdire définitivement les flux de données vers des pays tiers afin de protéger les individus à l’égard du traitement de leurs données à caractère personnel, l’État membre concerné en informe sans délai la Commission, qui transmet l’information aux autres États membres ».

26.

L’annexe à la décision 2010/87 contient un ensemble de clauses contractuelles types. En particulier, la clause 3 figurant à cette annexe, intitulée « Clause du tiers bénéficiaire », prévoit :

« 1. La personne concernée peut faire appliquer contre l’exportateur de données la présente clause, ainsi que la clause 4, points b) à i), la clause 5, points a) à e) et points g) à j), la clause 6, paragraphes 1 et 2, la clause 7, la clause 8, paragraphe 2, et les clauses 9 à 12 en tant que tiers bénéficiaire.

2. La personne concernée peut faire appliquer contre l’importateur de données la présente clause, ainsi que la clause 5, points a) à e) et g), la clause 6, la clause 7, la clause 8, paragraphe 2, et les clauses 9 à 12 dans les cas où l’exportateur de données a matériellement disparu ou a cessé d’exister en droit, à moins que l’ensemble de ses obligations juridiques n’ait été transféré, par contrat ou par effet de la loi, à l’entité qui lui succède, à laquelle reviennent par conséquent les droits et les obligations de l’exportateur de données, et contre laquelle la personne concernée peut donc faire appliquer lesdites clauses.

[…] »

27.

La clause 4 énoncée à ladite annexe, intitulée « Obligations de l’exportateur de données », dispose :

« L’exportateur de données accepte et garantit ce qui suit :

28.

La clause 5 prévue dans la même annexe, intitulée « Obligations de l’importateur de données (1) », énonce :

« L’importateur de données accepte et garantit ce qui suit :

[…] »

29.

Aux termes de la note en bas de page 1, à laquelle fait appel le titre de la clause 5 figurant à l’annexe de la décision 2010/87 :

« Les exigences impératives de la législation nationale le concernant et qui ne vont pas au-delà de celles qui sont nécessaires dans une société démocratique pour l’un des intérêts énoncés à l’article 13, paragraphe 1, de la directive [95/46], c’est-à-dire si elles constituent une mesure nécessaire pour sauvegarder la sûreté de l’État ; la défense ; la sécurité publique ; la prévention, la recherche, la détection et la poursuite d’infractions pénales ou de manquements à la déontologie dans le cas de professions réglementées ; un intérêt économique ou financier important d’un État ou la protection de la personne concernée ou des droits et libertés d’autrui, ne vont pas à l’encontre des clauses contractuelles types. Parmi les exemples de ces exigences impératives qui ne vont pas au-delà de celles qui sont nécessaires dans une société démocratique figurent, notamment, les sanctions reconnues sur le plan international, les obligations de déclaration fiscale et les obligations de déclaration de lutte contre le blanchiment des capitaux. »

30.

La clause 6 contenue dans cette annexe, intitulée « Responsabilité », est libellée comme suit :

« 1. Les parties conviennent que toute personne concernée ayant subi un dommage du fait d’un manquement aux obligations visées à la clause 3 ou à la clause 11 par une des parties ou par un sous-traitant ultérieur a le droit d’obtenir de l’exportateur de données réparation du préjudice subi.

2. Si une personne concernée est empêchée d’intenter l’action en réparation visée au paragraphe 1 contre l’exportateur de données pour manquement par l’importateur de données ou par son sous-traitant ultérieur à l’une ou l’autre de ses obligations visées à la clause 3 ou à la clause 11, parce que l’exportateur de données a matériellement disparu, a cessé d’exister en droit ou est devenu insolvable, l’importateur de données accepte que la personne concernée puisse déposer une plainte à son encontre comme s’il était l’exportateur de données, à moins que l’ensemble des obligations juridiques de l’exportateur de données n’ait été transféré, par contrat ou par effet de la loi, à l’entité qui lui succède, contre laquelle la personne concernée peut alors faire valoir ses droits.

[…] »

31.

La clause 7 énoncée à ladite annexe, intitulée « Médiation et juridiction », dispose :

« 1. L’importateur de données convient que si, en vertu des clauses, la personne concernée invoque à son encontre le droit du tiers bénéficiaire et/ou demande réparation du préjudice subi, il acceptera la décision de la personne concernée :

2. Les parties conviennent que le choix effectué par la personne concernée ne remettra pas en cause le droit procédural ou matériel de cette dernière d’obtenir réparation conformément à d’autres dispositions du droit national ou international. »

32.

La clause 9 figurant dans la même annexe, intitulée « Droit applicable », prévoit que les clauses contractuelles types sont régies par le droit de l’État membre où l’exportateur de données est établi.

33.

L’article 25, paragraphe 6, de la directive 95/46 a servi de fondement à l’adoption par la Commission de deux décisions successives par lesquelles elle a constaté que les États-Unis assurent un niveau adéquat de protection des données à caractère personnel transférées vers des entreprises établies aux États-Unis qui ont déclaré adhérer, au moyen d’une procédure d’autocertification, aux principes énoncés dans ces décisions.

34.

Dans un premier temps, la Commission a adopté la décision 2000/520/CE relative à la pertinence de la protection assurée par les principes de la « sphère de sécurité » et par les questions souvent posées y afférentes, publiés par le ministère du commerce des [États-Unis] ( 11 ). Dans l’arrêt du 6 octobre 2015, Schrems ( 12 ) , la Cour a déclaré cette décision invalide.

35.

À la suite de cet arrêt, la Commission a, dans un second temps, adopté la décision « bouclier de protection des données ».

36.

L’article 1er de cette décision dispose :

« 1. Aux fins de l’article 25, paragraphe 2, de la [directive 95/46], les États-Unis assurent un niveau adéquat de protection des données à caractère personnel transférées depuis l’Union vers des organisations établies aux États-Unis dans le cadre du bouclier de protection des données UE-États-Unis.

2. Le bouclier de protection des données UE-États-Unis se compose des principes publiés par le ministère américain du commerce le 7 juillet 2016, qui figurent à l’annexe II, et des observations et engagements officiels contenus dans les documents énumérés à l’annexe I et aux annexes III à VII.

3. Aux fins du paragraphe 1, les données à caractère personnel sont transférées dans le cadre du bouclier de protection des données UE-États-Unis dès lors qu’elles sont transférées depuis l’Union vers des organisations établies aux États-Unis qui figurent sur la liste des organisations adhérant au bouclier de protection des données, tenue à jour et publiée par le ministère américain du commerce, conformément aux sections I et III des principes énoncés à l’annexe II. »

37.

L’annexe III A de cette décision, intitulée « Mécanisme de médiation du bouclier de protection des données UE–États-Unis concernant le renseignement d’origine électromagnétique », jointe à une lettre de M. John Kerry, alors Secretary of State (secrétaire d’État, États-Unis), datée du 7 juillet 2016, contient un mémorandum décrivant une nouvelle procédure de médiation auprès d’un « coordinateur principal de la diplomatie internationale en matière de technologie de l’information » (ci-après le « médiateur ») désigné par le secrétaire d’État.

38.

Aux termes de ce mémorandum, cette procédure a été mise en place « afin de faciliter le traitement des demandes et la formulation des réponses aux demandes concernant l’accès pour raison de sécurité nationale aux données transmises depuis l’[Union] vers les États-Unis au titre du bouclier de protection des données, de clauses contractuelles types, de règles d’entreprise contraignantes, de “dérogations” ou d’“éventuelles futures dérogations” par les voies établies conformément à la législation et à la politique américaines en vigueur ».

39.

M. Schrems, ressortissant autrichien résidant en Autriche, est un utilisateur du réseau social Facebook. Tous les utilisateurs de ce réseau social résidant sur le territoire de l’Union sont tenus de conclure, lors de leur inscription, un contrat avec Facebook Ireland, filiale de Facebook Inc., elle-même établie aux États-Unis. Les données à caractère personnel de ces utilisateurs sont, en tout ou en partie, transférées vers des serveurs appartenant à Facebook Inc., situés sur le territoire des États-Unis, où elles font l’objet de traitements.

40.

Le 25 juin 2013, M. Schrems a saisi le DPC d’une plainte par laquelle il lui demandait, en substance, d’interdire à Facebook Ireland de transférer les données à caractère personnel le concernant vers les États-Unis. Il y faisait valoir que le droit et les pratiques en vigueur dans ce pays tiers ne garantissaient pas une protection suffisante des données à caractère personnel conservées sur son territoire contre les intrusions découlant des activités de surveillance pratiquées par les autorités publiques. M. Schrems se référait, à cet égard, aux révélations faites par M. Edward Snowden concernant les activités des services de renseignement des États-Unis, notamment celles de la National Security Agency (NSA) (Agence de sécurité nationale, États-Unis).

41.

Cette plainte a été rejetée au motif, notamment, que toute question relative au caractère adéquat de la protection assurée aux États-Unis devait être tranchée en conformité avec la décision « sphère de sécurité ». Dans cette décision, la Commission avait constaté que ce pays tiers offrait un niveau adéquat de protection des données à caractère personnel transférées vers des entreprises situées sur son territoire adhérant aux principes énoncés dans ladite décision.

42.

M. Schrems a introduit un recours contre la décision de rejet de sa plainte devant la High Court (Haute Cour). Cette juridiction a estimé que, bien que M. Schrems n’ait pas formellement mis en cause la validité de la décision « sphère de sécurité », sa plainte dénonçait, en réalité, la légalité du régime institué par cette décision. Dans ces conditions, ladite juridiction a déféré à la Cour des questions visant, en substance, à savoir si les autorités des États membres en charge de la protection des données (ci-après les « autorités de contrôle »), lorsqu’elles sont saisies d’une plainte relative à la protection des droits et libertés d’une personne à l’égard du traitement de données à caractère personnel la concernant qui ont été transférées vers un État tiers, sont liées par les constatations relatives à l’adéquation du niveau de protection offert par cet État tiers opérées par la Commission au titre de l’article 25, paragraphe 6, de la directive 95/46, alors même que le plaignant conteste ces constatations.

43.

Après avoir jugé, aux points 51 et 52 de l’arrêt Schrems, qu’une décision d’adéquation lie les autorités de contrôle aussi longtemps qu’elle n’a pas été déclarée invalide, la Cour a énoncé ce qui suit aux points 63 et 65 de cet arrêt :

« 63. […] [L]orsqu’une personne, dont les données à caractère personnel ont été ou pourraient être transférées vers un pays tiers ayant fait l’objet d’une décision de la Commission au titre de l’article 25, paragraphe 6, de la directive 95/46, saisit une autorité nationale de contrôle d’une demande relative à la protection de ses droits et libertés à l’égard du traitement de ces données et conteste, à l’occasion de cette demande […], la compatibilité de cette décision avec la protection de la vie privée et des libertés et droits fondamentaux des personnes, il incombe à cette autorité d’examiner ladite demande avec toute la diligence requise.

[…]

65. Dans l’hypothèse […] où ladite autorité estime fondés les griefs avancés par [cette personne], cette même autorité doit, conformément à l’article 28, paragraphe 3, premier alinéa, troisième tiret, de la directive 95/46, lu à la lumière notamment de l’article 8, paragraphe 3, de la Charte, pouvoir ester en justice. À cet égard, il incombe au législateur national de prévoir des voies de recours permettant à l’autorité nationale de contrôle concernée de faire valoir les griefs qu’elle estime fondés devant les juridictions nationales afin que ces dernières procèdent, si elles partagent les doutes de cette autorité quant à la validité de la décision de la Commission, à un renvoi préjudiciel aux fins de l’examen de la validité de cette décision. »

44.

La Cour a également examiné, dans ledit arrêt, la validité de la décision « sphère de sécurité » au regard des exigences découlant de la directive 95/46, lue à la lumière de la Charte. Au terme de cet examen, elle a déclaré cette décision invalide ( 13 ).

45.

À la suite de l’arrêt Schrems, la juridiction de renvoi a annulé la décision par laquelle le DPC avait rejeté la plainte de M. Schrems et a renvoyé celle-ci au DPC pour examen. Ce dernier a ouvert une enquête et a invité M. Schrems à reformuler sa plainte compte tenu de l’invalidation de la décision « sphère de sécurité ».

46.

À cette fin, M. Schrems a demandé à Facebook Ireland d’identifier les fondements juridiques sur lesquels reposent les transferts des données à caractère personnel des utilisateurs du réseau social Facebook depuis l’Union vers les États-Unis. Facebook Ireland, sans identifier toutes les bases juridiques sur lesquelles elle s’appuie, a fait référence à un accord de transfert et de traitement de données (data transfer processing agreement) conclu entre elle-même et Facebook Inc., applicable depuis le 20 novembre 2015, et a invoqué la décision 2010/87.

47.

Dans sa plainte reformulée, M. Schrems fait valoir, d’une part, que les clauses contenues dans cet accord ne sont pas conformes aux clauses contractuelles types figurant à l’annexe de la décision 2010/87. D’autre part, M. Schrems allègue que ces clauses contractuelles types ne pourraient, en tout état de cause, pas fonder le transfert des données à caractère personnel le concernant vers les États-Unis. Il en irait ainsi dès lors que le droit américain impose à Facebook Inc. de mettre les données à caractère personnel des utilisateurs à la disposition d’autorités américaines, telles que la NSA et le Federal Bureau of Investigation (FBI) (Bureau fédéral d’enquêtes, États-Unis), dans le cadre de programmes de surveillance qui entraveraient l’exercice des droits garantis aux articles 7, 8 et 47 de la Charte. M. Schrems allègue qu’aucune voie de recours ne permet aux personnes concernées de faire valoir leurs droits au respect de la vie privée et à la protection des données à caractère personnel. Dans ces conditions, M. Schrems demande au DPC de suspendre ce transfert en application de l’article 4 de la décision 2010/87.

48.

Facebook Ireland a reconnu, dans le cadre de l’enquête du DPC, qu’elle continue de transférer les données à caractère personnel des utilisateurs du réseau social Facebook résidant dans l’Union vers les États-Unis et qu’elle se fonde, à cet effet, en grande partie sur les clauses contractuelles types figurant à l’annexe de la décision 2010/87.

49.

L’enquête du DPC visait à déterminer, d’une part, si les États-Unis assurent une protection adéquate des données à caractère personnel des citoyens de l’Union et, d’autre part, dans la négative, si les décisions CCT présentent des garanties suffisantes en ce qui concerne la protection des libertés et droits fondamentaux de ces derniers.

50.

À cet égard, dans un projet de décision (draft decision), le DPC a considéré à titre provisoire que le droit américain n’offre pas de voies de recours effectives au sens de l’article 47 de la Charte aux citoyens de l’Union dont les données sont transférées aux États-Unis, où elles risquent d’être traitées par les agences américaines à des fins de sécurité nationale d’une manière incompatible avec les articles 7 et 8 de la Charte. Les garanties prévues par les clauses figurant en annexe des décisions CCT ne remédieraient pas à cette lacune, dès lors qu’elles ne lient pas les autorités ou agences des États-Unis et qu’elles ne confèrent aux personnes concernées que des droits contractuels contre l’exportateur et/ou l’importateur des données.

51.

Dans ces conditions, le DPC a estimé qu’il ne pouvait pas statuer sur la plainte de M. Schrems sans que la Cour n’examine la validité des décisions CCT. Conformément à ce que prévoit le point 65 de l’arrêt Schrems, le DPC a, dès lors, engagé une procédure devant la juridiction de renvoi visant à ce que cette dernière, si elle partage les doutes du DPC, saisisse la Cour d’un renvoi préjudiciel sur la validité de ces décisions.

52.

Le gouvernement des États-Unis, l’Electronic Privacy Information Centre (EPIC), la Business Software Alliance (BSA) et Digitaleurope ont été autorisés à intervenir devant la juridiction de renvoi.

53.

En vue de déterminer si elle partage les doutes émis par le DPC sur la validité des décisions CCT, la High Court (Haute Cour) a reçu les preuves produites par les parties au litige et entendu les arguments présentés par ces dernières ainsi que par les intervenants. En particulier, les dispositions du droit des États-Unis ont fait l’objet de la présentation de preuves par des experts. En droit irlandais, le droit étranger est considéré comme un point de fait devant être établi par la preuve de la même manière que tout autre fait. Sur la base de ces preuves, la juridiction de renvoi a apprécié les dispositions du droit des États-Unis qui autorisent la surveillance par les autorités et agences gouvernementales, le fonctionnement de deux programmes de surveillance publiquement reconnus (« PRISM » et « Upstream »), les divers recours ouverts aux particuliers dont les droits ont été violés par des mesures de surveillance, ainsi que les garanties systémiques et les mécanismes de contrôle. Cette juridiction a consigné les résultats de cette appréciation dans un jugement du 3 octobre 2017, annexé à son ordonnance de renvoi [ci-après le « jugement de la High Court (Haute Cour) du 3 octobre 2017 »].

54.

Dans ce jugement, la juridiction de renvoi a fait référence, parmi les fondements juridiques autorisant l’interception de communications étrangères par les services de renseignement américains, à l’article 702 du Foreign Intelligence Surveillance Act (FISA) (loi sur la surveillance en matière de renseignement extérieur) et à l’Executive Order 12333 (décret présidentiel no 12333, ci-après l’« EO 12333 »).

55.

Selon les constatations opérées dans ledit jugement, l’article 702 du FISA permet à l’Attorney General (procureur général, États-Unis) et au Director of National Intelligence (DNI) (directeur du renseignement national, États-Unis) d’autoriser conjointement, pour une durée d’un an, aux fins de se procurer des informations en matière de renseignement extérieur, la surveillance de personnes qui ne sont pas des citoyens américains et qui ne résident pas de manière permanente aux États-Unis (dites « personnes non américaines ») lorsqu’il est raisonnable de penser qu’elles se trouvent en dehors du territoire des États-Unis ( 14 ). Aux termes du FISA, la notion de « renseignement extérieur » désigne les informations relatives à la capacité du gouvernement de se prémunir des attaques étrangères, au terrorisme, à la prolifération des armes de destruction massive ainsi qu’à la conduite des affaires étrangères des États-Unis ( 15 ).

56.

Ces autorisations annuelles, de même que les procédures régissant le ciblage des personnes à surveiller et le traitement (« minimisation ») des informations recueillies ( 16 ), doivent être approuvées par le Foreign Intelligence Surveillance Court (FISC) (tribunal de la surveillance du renseignement extérieur, États-Unis). Tandis que la surveillance « traditionnelle » effectuée sur le fondement d’autres dispositions du FISA exige que soit établie une « cause probable » permettant de soupçonner que les personnes surveillées appartiennent à une puissance étrangère ou en sont les agents, les activités de surveillance pratiquées au titre de l’article 702 du FISA ne sont subordonnées ni à l’établissement d’une telle « cause probable » ni à l’approbation par le FISC du ciblage de personnes déterminées. En outre, toujours aux termes des constatations de la juridiction de renvoi, les procédures de minimisation ne s’appliquent pas aux personnes non-américaines situées en dehors des États-Unis.

57.

En pratique, une fois l’autorisation octroyée par le FISC, la NSA envoie à des fournisseurs de services de communications électroniques établis aux États-Unis des directives contenant des critères de recherche, appelés « sélecteurs », associés à des personnes ciblées (tels que des numéros de téléphone ou des adresses email). Ces fournisseurs sont alors obligés de transmettre les données qui correspondent aux sélecteurs à la NSA et doivent garder le secret au sujet des directives qui leurs sont adressées. Ils peuvent introduire auprès du FISC une requête visant à faire modifier ou écarter une directive de la NSA. La décision du FISC peut faire l’objet d’un appel auprès de la Foreign Intelligence Surveillance Court of Review (FISCR) (cour révisant les décisions en matière de surveillance du renseignement extérieur, États-Unis).

58.

La High Court (Haute Cour) a constaté que l’article 702 du FISA sert de base légale aux programmes PRISM et Upstream.

59.

Dans le cadre du programme PRISM, les fournisseurs de services de communications électroniques sont tenus de soumettre à la NSA toutes les communications « en provenance » ou « à destination » du sélecteur communiqué par cette dernière. Une partie de ces communications serait transmise au FBI et à la Central Intelligence Agency (CIA) (Agence centrale de renseignement, États-Unis). En 2015, 94386 personnes auraient été surveillées et, en 2011, le gouvernement des États-Unis se serait procuré plus de 250 millions de communications dans le cadre de ce programme.

60.

Le programme Upstream repose sur l’assistance obligatoire des entreprises exploitant la « dorsale » – à savoir le réseau de câbles, commutateurs et routeurs – sur laquelle transitent les communications téléphoniques et les communications Internet. Ces entreprises sont contraintes de permettre à la NSA de copier et de filtrer les flux de trafic Internet afin d’acquérir des communications « en provenance », « à destination » ou « concernant » un sélecteur mentionné dans une directive de cette agence. Les communications « concernant » un sélecteur désignent celles qui font référence à ce sélecteur, sans que la personne non américaine associée audit sélecteur y participe nécessairement. S’il résulte d’un avis du FISC du 26 avril 2017 que, depuis cette date, le gouvernement américain ne collecte et n’acquiert plus de communications « concernant » un sélecteur, cet avis n’indique pas que la NSA aurait arrêté de copier et de filtrer les flux de communications transitant par son dispositif de surveillance. Le programme Upstream impliquerait ainsi l’accès par la NSA tant aux métadonnées qu’au contenu des communications. Depuis 2011, la NSA aurait recueilli environ 26,5 millions de communications par an dans le cadre du programme Upstream, ce qui ne représenterait cependant qu’une petite partie des communications soumises au processus de filtrage opéré au titre de ce programme.

61.

Par ailleurs, selon les constatations de la High Court (Haute Cour), l’EO 12333 autorise la surveillance de communications électroniques en dehors du territoire des États-Unis en permettant l’accès, à des fins de renseignement extérieur, à des données soit « en transit » vers ce territoire, soit « transitant » par ce territoire sans être destinées à y subir un traitement, ainsi que la collecte et la conservation de ces données. L’EO 12333 définit la notion de « renseignement extérieur » comme incluant les informations relatives aux capacités, intentions ou activités de gouvernements étrangers, d’organisations étrangères ou de personnes étrangères ( 17 ).

62.

L’EO 12333 habiliterait la NSA à accéder aux câbles sous-marins situés sur le plancher de l’océan Atlantique au moyen desquels des données sont transférées depuis l’Union vers les États-Unis, avant que ces données arrivent aux États-Unis et soient de ce fait soumises aux dispositions du FISA. Il n’existe, cependant, aucune preuve d’un quelconque programme mis en œuvre au titre de ce décret présidentiel.

63.

Bien que l’EO 12333 prévoie des limites concernant la collecte, la rétention et la dissémination d’informations, ces limites ne s’appliquent pas aux personnes non américaines. Ces dernières bénéficient uniquement des garanties énoncées par la Presidential Policy Directive 28 (directive stratégique présidentielle no 28, ci-après « PPD 28 »), laquelle s’applique à toutes les activités de collecte et d’utilisation d’informations en matière de renseignement extérieur d’origine électromagnétique. La PPD 28 dispose que le respect de la vie privée fait partie intégrante des considérations à prendre en compte lors de la planification de ces activités, que la collecte doit avoir pour seul but l’acquisition d’informations en matière de renseignement extérieur ainsi que de contre-espionnage, et que lesdites activités doivent être « aussi ciblées que possible ».

64.

D’après la juridiction de renvoi, les activités de la NSA fondées sur l’EO 12333, lequel peut être amendé ou révoqué à tout moment par le président des États-Unis, ne sont pas régies par la loi, ne font pas l’objet d’une surveillance judiciaire et ne sont pas susceptibles de recours juridictionnels.

65.

Sur la base de ces constatations, cette juridiction considère que les États-Unis procèdent à des traitements massifs et indiscriminés de données à caractère personnel qui pourraient exposer les personnes concernées à un risque de violation des droits qu’elles tirent des articles 7 et 8 de la Charte.

66.

Qui plus est, ladite juridiction indique que les citoyens de l’Union n’ont pas accès aux mêmes recours juridictionnels contre des traitements illégaux de leurs données à caractère personnel par les autorités américaines que les ressortissants américains. Le quatrième amendement de la Constitution des États-Unis, lequel constituerait la protection la plus importante contre la surveillance illégale, serait inapplicable aux citoyens de l’Union qui ne présentent pas de connexion volontaire significative avec les États-Unis. Si ces derniers disposent néanmoins de certains autres recours, ceux-ci se heurteraient à des obstacles importants.

67.

En particulier, l’article III de la Constitution des États-Unis subordonne tout recours devant les juridictions fédérales à l’établissement par la personne concernée de sa qualité pour agir (standing). La qualité pour agir suppose, notamment, que cette personne démontre avoir subi un préjudice réel qui soit, d’une part, concret et particularisé, et, d’autre part, actuel ou imminent. En se référant, entre autres, à l’arrêt de la Supreme Court of the United States (Cour suprême des États-Unis), Clapper v. Amnesty International US ( 18 ), la juridiction de renvoi considère que cette condition est, en pratique, excessivement difficile à remplir, eu égard, notamment, à l’absence de toute obligation d’informer les personnes concernées des mesures de surveillance prises à leur endroit ( 19 ). Une partie des recours à la disposition des citoyens de l’Union serait, de surcroît, soumise au respect d’autres conditions restrictives, telles que la nécessité d’établir un préjudice pécuniaire. L’immunité souveraine reconnue aux agences de renseignement et la classification des informations concernées feraient également obstacle à l’exercice de certaines voies de recours ( 20 ).

68.

La High Court (Haute Cour) fait, de surcroît, état de divers mécanismes de contrôle et de supervision des activités des agences de renseignement.

69.

Parmi ceux-ci figurent, d’une part, le mécanisme de certification annuelle par le FISC des programmes fondés sur l’article 702 du FISA, dans le cadre duquel le FISC n’approuve cependant pas les sélecteurs individuels. Par ailleurs, aucun contrôle judiciaire préalable ne régit la collecte d’informations en matière de renseignement extérieur au titre de l’EO 12333.

70.

D’autre part, la juridiction de renvoi fait référence à plusieurs mécanismes de supervision extrajudiciaire des activités de renseignement. Elle mentionne, en particulier, le rôle des Inspectors General (inspecteurs généraux, États-Unis) qui, au sein de chaque agence de renseignement, sont chargés de superviser les activités de surveillance. En outre, le Privacy and Civil Liberties Oversight Board (PCLOB) (conseil de surveillance de la vie privée et des libertés civiles, États-Unis), une agence indépendante au sein du pouvoir exécutif, reçoit les rapports de personnes désignées au sein de chaque agence en tant qu’agents des libertés civiles ou de la vie privée (civil liberties or privacy officers). Le PCLOB prépare régulièrement des rapports à l’attention de commissions parlementaires et du Président. Les agences concernées doivent porter les incidents relatifs à la méconnaissance des règles et procédures gouvernant la collecte de renseignement extérieur à l’attention, notamment, du DNI. Ces incidents sont également rapportés au FISC. Le Congrès des États-Unis, par l’intermédiaire des commissions du renseignement de la Chambre et du Sénat, est, lui aussi, investi de la responsabilité de contrôler les activités de renseignement extérieur.

71.

Cependant, la High Court (Haute Cour) souligne la différence fondamentale entre, d’une part, les règles visant à assurer que les données soient obtenues légalement et que, une fois obtenues, il n’en soit pas fait un usage abusif, et, d’autre part, les recours disponibles lorsque ces règles sont violées. La protection des droits fondamentaux des personnes concernées ne serait assurée que si des voies de recours effectives leur permettent de faire valoir leurs droits en cas de méconnaissance desdites règles.

72.

Dans ces conditions, la juridiction de renvoi considère fondés les arguments, invoqués par le DPC, selon lesquels les limitations qu’impose le droit américain au droit de recours des personnes dont les données sont transférées depuis l’Union ne respectent pas le contenu essentiel du droit garanti à l’article 47 de la Charte et, en tout état de cause, constituent des ingérences disproportionnées dans l’exercice de ce droit.

73.

Selon la High Court (Haute Cour), l’introduction par le gouvernement des États-Unis du mécanisme de médiation décrit dans la décision « bouclier de protection des données » ne remet pas en cause cette appréciation. Après avoir souligné que ce mécanisme est accessible aux citoyens de l’Union qui estiment sur une base raisonnable que leurs données ont été transférées conformément aux décisions CCT ( 21 ), cette juridiction a observé que le médiateur ne constitue pas un tribunal répondant aux exigences de l’article 47 de la Charte et, en particulier, n’est pas indépendant du pouvoir exécutif ( 22 ). Ladite juridiction doute également que l’intervention du médiateur, dont les décisions ne peuvent pas faire l’objet d’un recours juridictionnel, représente une voie de recours effective. En effet, cette intervention ne permet pas aux personnes dont les données personnelles ont été illégalement collectées, traitées ou partagées d’obtenir une indemnisation ou une injonction de cesser les actes illégaux, dès lors que le médiateur ne confirme ni ne nie qu’un requérant a fait l’objet d’une mesure de surveillance électronique.

74.

Ayant ainsi exposé ses préoccupations relatives à l’équivalence substantielle entre les garanties prévues par le droit américain et les exigences découlant des articles 7, 8 et 47 de la Charte, la juridiction de renvoi a exprimé des interrogations sur le point de savoir si les clauses contractuelles types prévues dans les décisions CCT – lesquelles, par leur nature, ne lient pas les autorités américaines – sont néanmoins susceptibles d’assurer la protection des droits fondamentaux des personnes concernées. Cette juridiction en a conclu qu’elle partage les doutes du DPC relatifs à la validité de ces décisions.

75.

À cet égard, la juridiction de renvoi considère, en particulier, que l’article 28, paragraphe 3, de la directive 95/46, auquel fait référence l’article 4 de la décision 2010/87, en ce qu’il reconnaît aux autorités de contrôle le pouvoir de suspendre ou d’interdire les transferts fondés sur les clauses contractuelles types prévues dans cette décision, ne suffit pas à dissiper ces doutes. Outre que ce pouvoir ne revêt, à ses yeux, qu’une nature discrétionnaire, la juridiction de renvoi s’interroge, à la lumière du considérant 11 de la décision 2010/87, sur la possibilité de l’exercer lorsque les défaillances constatées ne concernent pas un cas particulier et exceptionnel, mais revêtent un caractère général et systémique ( 23 ). Elle estime également que le risque que des décisions divergentes soient prononcées dans différents États membres pourrait s’opposer à ce que la constatation de telles défaillances soit confiée aux autorités de contrôle.

76.

Dans ces conditions, la High Court (Haute Cour) a décidé, par décision du 4 mai 2018 ( 24 ), parvenue à la Cour le 9 mai 2018, de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :

77.

Le DPC, Facebook Ireland, M. Schrems, le gouvernement des États-Unis, l’EPIC, la BSA, Digitaleurope, l’Irlande, les gouvernements belge, tchèque, allemand, néerlandais, autrichien, polonais, portugais et du Royaume-Uni, le Parlement européen ainsi que la Commission ont déposé des observations écrites devant la Cour. Le DPC, Facebook Ireland, M. Schrems, le gouvernement des États-Unis, l’EPIC, la BSA, Digitaleurope, l’Irlande, les gouvernements allemand, français, néerlandais, autrichien et du Royaume-Uni, le Parlement, la Commission ainsi que le comité européen à la protection des données (European Data Protection Board, EDPB) ont été représentés à l’audience de plaidoiries du 9 juillet 2019.

78.

À la suite de l’invalidation de la décision « sphère de sécurité » par la Cour dans l’arrêt Schrems, les transferts de données à caractère personnel vers les États-Unis se sont poursuivis sur la base d’autres fondements juridiques. En particulier, les sociétés exportatrices de données ont pu recourir à des contrats avec les importateurs des données intégrant des clauses types élaborées par la Commission. Ces clauses servent également de base juridique aux transferts vers une multitude d’autres pays tiers concernant lesquels la Commission n’a pas adopté de décision d’adéquation ( 25 ). La décision « bouclier de protection des données » permet désormais aux entreprises ayant autocertifié leur adhésion aux principes y énoncés de transférer des données personnelles vers les États-Unis sans autres formalités.

79.

Ainsi que l’indique expressément la décision de renvoi et comme l’ont souligné la BSA, Digitaleurope, l’Irlande, les gouvernements autrichien et français, le Parlement de même que la Commission, le litige au principal, pendant devant la High Court (Haute Cour), a pour seul enjeu de déterminer si la décision par laquelle la Commission a institué les clauses contractuelles types invoquées à l’appui des transferts visés dans la plainte de M. Schrems, à savoir la décision 2010/87 ( 26 ), est valide.

80.

Ce litige tire son origine d’une plainte par laquelle le DPC a demandé à la juridiction de renvoi de déférer à la Cour une question préjudicielle relative à la validité de la décision 2010/87. Aux dires de cette juridiction, le litige au principal concerne, ainsi, l’exercice de la voie de recours dont la Cour a enjoint l’instauration par les États membres au point 65 de l’arrêt Schrems.

81.

Pour rappel, la Cour a jugé, au point 63 de cet arrêt, qu’une autorité de contrôle est tenue de traiter avec toute la diligence requise une plainte dans le cadre de laquelle une personne, dont les données à caractère personnel ont été ou pourraient être transférées vers un pays tiers ayant fait l’objet d’une décision d’adéquation, conteste la compatibilité de cette décision avec les droits fondamentaux consacrés par la Charte. Aux termes du point 65 dudit arrêt, dans l’hypothèse où cette autorité estime fondés les griefs avancés dans cette plainte, elle doit, conformément à l’article 28, paragraphe 3, premier alinéa, troisième tiret, de la directive 95/46 (auquel correspond l’article 58, paragraphe 5, du RGPD), lu à la lumière de l’article 8, paragraphe 3, de la Charte, pouvoir ester en justice. À cet égard, le législateur national doit établir des voies de recours lui permettant de faire valoir ces griefs devant les juridictions nationales afin que ces dernières procèdent, si elles partagent les doutes de ladite autorité, à un renvoi préjudiciel portant sur la validité de la décision en cause.

82.

À l’instar de la juridiction de renvoi, j’estime que ces conclusions s’appliquent par analogie lorsque, à l’occasion du traitement d’une plainte formée devant elle, une autorité de contrôle nourrit des doutes sur la validité non pas d’une décision d’adéquation, mais d’une décision, telle que la décision 2010/87, établissant des clauses contractuelles types pour le transfert de données personnelles vers des pays tiers. Contrairement à ce qu’a fait valoir le gouvernement allemand, il n’importe pas que ces doutes correspondent à des griefs portés à son attention par le plaignant ou que cette autorité mette de son propre chef en question la validité de la décision en cause. En effet, les exigences découlant de l’article 58, paragraphe 5, du RGPD et de l’article 8, paragraphe 3, de la Charte, sur lesquelles est ancrée la motivation de la Cour, s’appliquent quels que soient le fondement juridique du transfert visé dans la plainte déposée auprès de l’autorité de contrôle et les raisons ayant amené cette autorité à douter de la validité de la décision concernée dans le cadre du traitement de cette plainte.

83.

Cela étant précisé, si le DPC a prié la juridiction de renvoi d’interroger la Cour sur la validité de la décision 2010/87, c’est au motif qu’un éclairage de la Cour à ce sujet lui semble nécessaire au traitement de la plainte par laquelle M. Schrems lui demande d’exercer le pouvoir, dont il était investi en vertu de l’article 28, paragraphe 3, deuxième tiret, de la directive 95/46 – et que lui confère désormais l’article 58, paragraphe 2, sous f), du RGPD –, de suspendre le transfert des données personnelles le concernant par Facebook Ireland vers Facebook Inc.

84.

Ainsi, tandis que le litige au principal porte uniquement sur la validité in abstracto de la décision 2010/87, la procédure sous-jacente en cours devant le DPC a trait à l’exercice par ce dernier de son pouvoir d’adopter des mesures correctrices dans un cas spécifique. Je proposerai à la Cour de s’en tenir à examiner les questions posées dans la mesure nécessaire pour statuer sur la validité de la décision 2010/87, dès lors qu’un tel examen suffira à la juridiction de renvoi pour résoudre le litige pendant devant elle ( 27 ).

85.

Avant d’apprécier la validité de cette décision, il convient d’écarter certaines objections soulevées à l’encontre de la recevabilité de la demande de décision préjudicielle.

86.

La recevabilité de la demande de décision préjudicielle a été contestée pour divers motifs tenant, essentiellement, à l’inapplicabilité ratione temporis de la directive 95/46 visée dans les questions préjudicielles (section 1), au fait que la procédure devant le DPC n’aurait pas atteint un stade suffisamment avancé pour en justifier l’utilité (section 2) et à la subsistance d’incertitudes entourant le cadre factuel décrit par la juridiction de renvoi (section 3).

87.

Je répondrai à ces fins de non-recevoir en gardant à l’esprit la présomption de pertinence dont jouissent les questions déférées à la Cour au titre de l’article 267 TFUE. Selon une jurisprudence constante, la Cour ne peut refuser de statuer sur une demande de décision préjudicielle que s’il apparaît de manière manifeste que l’interprétation sollicitée du droit de l’Union n’a aucun rapport avec la réalité ou l’objet du litige au principal, lorsque le problème est de nature hypothétique ou encore lorsque la Cour ne dispose pas des éléments de fait et de droit nécessaires pour répondre de façon utile aux questions qui lui sont posées ( 28 ).

88.

Facebook Ireland excipe de l’irrecevabilité des questions préjudicielles au motif qu’elles font référence à la directive 95/46, alors que cette directive a été abrogée et remplacée par le RGPD avec effet au 25 mai 2018 ( 29 ).

89.

Je partage le point de vue selon lequel la validité de la décision 2010/87 doit être examinée à la lumière des dispositions du RGPD.

90.

Conformément à l’article 94, paragraphe 2, de ce règlement, « [l]es références faites à la directive abrogée s’entendent comme faites [audit règlement] ». Il en découle, me semble-t-il, que la décision 2010/87, en ce qu’elle mentionne en tant que fondement juridique l’article 26, paragraphe 4, de la directive 95/46, doit être comprise comme faisant référence à l’article 46, paragraphe 2, sous c), du RGPD qui en reprend essentiellement le contenu ( 30 ). Par conséquent, les décisions d’exécution adoptées par la Commission en vertu de l’article 26, paragraphe 4, de la directive 95/46, avant l’entrée en vigueur du RGPD, doivent être interprétées à la lumière de ce règlement. C’est également à l’aune dudit règlement que leur validité doit, le cas échéant, être évaluée.

91.

Cette conclusion n’est pas remise en cause par la jurisprudence selon laquelle la légalité d’un acte de l’Union doit être appréciée en fonction des éléments de fait et de droit existant à la date où cet acte a été adopté. Cette jurisprudence concerne, en effet, l’examen de la validité d’un acte de l’Union au regard des circonstances de fait pertinentes lors de son adoption ( 31 ) ou des règles de procédure en régissant l’adoption ( 32 ). En revanche, la Cour a itérativement examiné la validité d’actes de droit dérivé à l’aune de normes matérielles de rang supérieur entrées en vigueur après l’adoption de ces actes ( 33 ).

92.

Cependant, la désignation, dans l’énoncé des questions préjudicielles, d’un acte qui n’est plus applicable ratione temporis, s’il justifie la reformulation de ces questions, ne saurait en entraîner l’irrecevabilité ( 34 ). Comme l’ont fait valoir le DPC et M. Schrems, les références à la directive 95/46 dans l’énoncé des questions préjudicielles peuvent, du reste, s’expliquer au regard du calendrier procédural de la présente affaire, ces questions ayant été déférées à la Cour avant l’entrée en vigueur du RGPD.

93.

En tout état de cause, les dispositions du RGPD qui seront abordées aux fins de l’analyse des questions préjudicielles – à savoir, en particulier, ses articles 45, 46 et 58 – reprennent essentiellement, tout en le développant et à certaines nuances près, le contenu des articles 25, 26 et 28 de la directive 95/46. En ce qui concerne leurs aspects pertinents aux fins de statuer sur la validité de la décision 2010/87, je ne perçois aucune raison d’attribuer à ces dispositions du RGPD une portée distincte de celle des dispositions correspondantes de la directive 95/46 ( 35 ).

94.

Selon le gouvernement allemand, la demande de décision préjudicielle est irrecevable au motif que la procédure de recours évoquée au point 65 de l’arrêt Schrems suppose que l’autorité de contrôle se soit forgé une opinion définitive quant au bien-fondé des griefs avancés par le requérant à l’encontre de la validité de la décision en cause. Tel ne serait pas le cas en l’espèce dans la mesure où le DPC a exprimé ses doutes sur la validité de la décision 2010/87, que M. Schrems ne conteste d’ailleurs pas, dans un projet de décision rendu à titre provisoire sans préjudice du dépôt éventuel d’observations complémentaires de la part de Facebook Ireland et de M. Schrems.

95.

À mon avis, le caractère provisoire des doutes exprimés par le DPC n’a pas d’incidence sur la recevabilité du renvoi préjudiciel. En effet, les critères de recevabilité d’une question préjudicielle doivent être appréciés par rapport à l’objet du litige tel que défini par la juridiction de renvoi ( 36 ). Or, il est constant que celui-ci concerne la validité de la décision 2010/87. Aux termes de la décision de renvoi et du jugement y annexé, cette juridiction a estimé que les doutes exprimés par le DPC – sans qu’il importe que ceux-ci l’aient été à titre provisoire ou définitif – sont fondés et a en conséquence interrogé la Cour sur la validité de cette décision. Dans ces conditions, l’éclairage de la Cour à ce sujet est sans nul doute pertinent aux fins de lui permettre de résoudre le litige dont elle est saisie.

96.

Le gouvernement du Royaume-Uni allègue que le cadre factuel décrit par la juridiction de renvoi recèle plusieurs lacunes compromettant la recevabilité des questions préjudicielles. Cette juridiction n’aurait pas élucidé si les données à caractère personnel concernant M. Schrems ont effectivement été transférées vers les États-Unis ni, dans l’affirmative, si elles ont été collectées par les autorités américaines. La base juridique de ces transferts éventuels n’aurait pas non plus été identifiée avec certitude, la décision de renvoi se bornant à mentionner que les données des utilisateurs européens du réseau social Facebook sont transférées « en grande partie » sur la base des clauses contractuelles types prévues par la décision 2010/87. Il n’aurait, en tout état de cause, pas été établi que le contrat entre Facebook Ireland et Facebook Inc., invoqué à l’appui du transfert litigieux, intègre fidèlement ces clauses. Le gouvernement allemand conteste également la recevabilité du renvoi préjudiciel au motif que la juridiction de renvoi n’a pas examiné si M. Schrems a indubitablement donné son consentement aux transferts en question, auquel cas ceux-ci auraient été valablement fondés sur l’article 26, paragraphe 1, de la directive 95/46 [dont l’article 49, paragraphe 1, sous a), du RGPD reprend essentiellement le contenu].

97.

Ces arguments ne remettent nullement en cause la pertinence du renvoi préjudiciel au regard de l’objet du litige au principal. Dès lors que ce litige puise sa source dans l’exercice par le DPC de la voie de recours prévue au point 65 de l’arrêt Schrems, son objet même consiste à obtenir de la juridiction nationale un renvoi préjudiciel sur la validité de la décision 2010/87. Les gouvernements allemand et du Royaume-Uni contestent, en réalité, la nécessité des questions préjudicielles aux fins non pas de déterminer si cette décision est valide, mais bien de mettre le DPC en mesure de se prononcer in concreto sur la plainte de M. Schrems.

98.

En tout état de cause, même sous l’angle de cette procédure sous-jacente au litige au principal, les questions préjudicielles portant sur la validité de la décision 2010/87 ne m’apparaissent pas dénuées de pertinence. En effet, la juridiction de renvoi a établi que Facebook Ireland a continué à transférer les données de ses utilisateurs vers les États-Unis après l’invalidation de la décision « sphère de sécurité » et que ces transferts sont fondés, à tout le moins en partie, sur la décision 2010/87. De plus, s’il peut être avantageux que l’ensemble des faits pertinents soient établis avant qu’elle n’exerce sa compétence au titre de l’article 267 TFUE, il appartient à la seule juridiction de renvoi d’apprécier à quel stade de la procédure elle a besoin d’une décision préjudicielle de la Cour ( 37 ).

99.

Compte tenu de tout ce qui précède, j’estime que la demande de décision préjudicielle est recevable.

100.

Par sa première question, la juridiction de renvoi cherche à savoir si le droit de l’Union s’applique à un transfert de données à caractère personnel par une société située dans un État membre vers une société établie dans un pays tiers effectué pour des raisons commerciales lorsque, après que le transfert a été initié, les données sont susceptibles d’être traitées par les autorités publiques de ce pays tiers à des fins incluant la protection de la sécurité nationale.

101.

L’enjeu de cette question pour la résolution du litige au principal réside dans le fait que, si un tel transfert tombait en dehors du champ d’application du droit de l’Union, l’ensemble des objections soulevées à l’encontre de la validité de la décision 2010/87 dans la présente affaire se verrait privé de fondement.

102.

Ainsi que l’a observé la juridiction de renvoi, les traitements de données personnelles ayant pour objet la sécurité nationale étaient exclus du champ d’application de la directive 95/46 en vertu de l’article 3, paragraphe 2, de cette directive. L’article 2, paragraphe 2, du RGPD précise désormais que ce règlement ne s’applique pas, notamment, aux traitements de données dans le cadre d’une activité qui ne relève pas du champ d’application du droit de l’Union ou par les autorités compétentes à des fins de protection de la sécurité publique. Ces dispositions reflètent la réserve de compétence que l’article 4, paragraphe 2, TUE reconnaît aux États membres en matière de protection de la sécurité nationale.

103.

Le DPC, M. Schrems, l’Irlande, les gouvernements allemand, autrichien, belge, tchèque, néerlandais, polonais et portugais de même que le Parlement et la Commission font valoir que des transferts tels que ceux visés dans la plainte de M. Schrems ne sont pas couverts par ces dispositions et, partant, relèvent du champ d’application du droit de l’Union. Facebook Ireland défend la thèse inverse. Je me rallie au point de vue des premiers.

104.

À cet égard, il importe de souligner que le transfert de données à caractère personnel à partir d’un État membre vers un pays tiers constitue, en tant que tel, un « traitement », au sens de l’article 4, point 2, du RGPD, effectué sur le territoire d’un État membre ( 38 ). La première question préjudicielle a, précisément, pour objet de déterminer si le droit de l’Union s’applique au traitement que constitue le transfert lui-même. Cette question ne porte pas sur l’applicabilité du droit de l’Union aux éventuels traitements ultérieurs, par les autorités américaines à des fins de sécurité nationale, des données transférées vers les États-Unis, lesquels ne relèvent pas du champ d’application territorial du RGPD ( 39 ).

105.

Dans cette perspective, seule doit être prise en considération, aux fins de déterminer si le droit de l’Union s’applique au transfert de données en cause, l’activité dans le cadre de laquelle s’inscrit ce transfert, sans qu’importe l’objet des éventuels traitements ultérieurs que subiront les données transférées de la part des autorités publiques du pays tiers de destination ( 40 ).

106.

Or, il ressort de la décision de renvoi que le transfert visé dans la plainte de M. Schrems participe d’une activité commerciale. Ce transfert n’a d’ailleurs pas lieu dans le but de permettre le traitement ultérieur des données en cause par les autorités américaines à des fins de sécurité nationale.

107.

Au demeurant, l’approche proposée par Facebook Ireland priverait d’effet utile les dispositions du RGPD relatives aux transferts vers des pays tiers, dès lors qu’il ne peut jamais être exclu que des données transférées dans le cadre d’une activité commerciale seront traitées à des fins de sécurité nationale en aval du transfert.

108.

L’interprétation que je préconise trouve confirmation dans le libellé de l’article 45, paragraphe 2, sous a), du RGPD. Cette disposition indique que, lorsqu’elle adopte une décision d’adéquation, la Commission tient compte, notamment, de la législation du pays tiers visé en matière de sécurité nationale. Il peut en être inféré que la possibilité que les données subissent, de la part des autorités du pays tiers de destination, un traitement ayant pour objet la protection de la sécurité nationale ne rend pas le droit de l’Union inapplicable au traitement que constitue le transfert de données vers ce pays tiers.

109.

Le raisonnement et les conclusions adoptés par la Cour dans l’arrêt Schrems reposent également sur cette prémisse. En particulier, la Cour y a examiné la validité de la décision « sphère de sécurité », en ce qu’elle portait sur des transferts de données à caractère personnel vers les États-Unis où elles étaient susceptibles d’être collectées et traitées à des fins de protection de la sécurité nationale, au regard de l’article 25, paragraphe 6, de la directive 95/46, lu à la lumière de la Charte ( 41 ).

110.

Eu égard à ces considérations, j’estime que le droit de l’Union s’applique à un transfert de données personnelles à partir d’un État membre vers un pays tiers lorsque ce transfert s’inscrit dans le cadre d’une activité commerciale, sans qu’il importe que les données transférées risquent de subir de la part des autorités publiques de ce pays tiers des traitements visant à en protéger la sécurité nationale.

111.

Aux termes de la première partie de sa sixième question, la juridiction de renvoi cherche à savoir quel est le niveau de protection des droits fondamentaux des personnes concernées qui doit être assuré afin que des données à caractère personnel puissent être transférées vers un pays tiers en vertu des clauses contractuelles types prévues dans la décision 2010/87.

112.

Cette juridiction souligne que, dans l’arrêt Schrems, la Cour a interprété l’article 25, paragraphe 6, de la directive 95/46 (dont le contenu est essentiellement repris à l’article 45, paragraphe 3, du RGPD), en ce qu’il prévoyait que la Commission ne peut adopter une décision d’adéquation qu’après s’être assurée que le pays tiers visé garantit un niveau de protection adéquat, comme supposant que celle-ci établisse que ce pays assure un niveau de protection des libertés et droits fondamentaux substantiellement équivalent à celui garanti au sein de l’Union en vertu de cette directive, lue à la lumière de la Charte ( 42 ).

113.

Dans ce contexte, la première partie de la sixième question préjudicielle invite la Cour à déterminer si l’application de « clauses contractuelles types » adoptées par la Commission en application de l’article 26, paragraphe 4, de la directive 95/46 – correspondant aux « clauses types de protection » désormais mentionnées à l’article 46, paragraphe 2, sous c), du RGPD – doit permettre d’atteindre un niveau de protection correspondant au même standard d’« équivalence substantielle ».

114.

À ce propos, l’article 46, paragraphe 1, du RGPD prévoit que le responsable du traitement ne peut, en l’absence d’une décision d’adéquation, transférer des données à caractère personnel vers un pays tiers « que s’il a prévu des garanties appropriées et à la condition que les personnes concernées disposent de droits opposables et de voies de droit effectives » (souligné par mes soins) ( 43 ). Aux termes de l’article 46, paragraphe 2, sous c), du RGPD, ces garanties peuvent notamment résulter de clauses types de protection élaborées par la Commission.

115.

À l’instar du DPC, de M. Schrems et de l’Irlande, j’estime que les « garanties appropriées » fournies par le responsable du traitement auxquelles fait référence l’article 46, paragraphe 1, du RGPD doivent assurer que les droits des personnes dont les données sont transférées bénéficient, comme dans le cadre d’un transfert basé sur une décision d’adéquation, d’un niveau de protection substantiellement équivalent à celui qui résulte du RGPD, lu à la lumière de la Charte.

116.

Cette conclusion découle de l’objectif de cette disposition et de l’instrument dont elle fait partie.

117.

Les articles 45 et 46 du RGPD ont pour but d’assurer la continuité du niveau élevé de protection des données à caractère personnel assuré par ce règlement lorsqu’elles sont transférées en dehors de l’Union. En effet, l’article 44 du RGPD, intitulé « Principe général applicable aux transferts », ouvre le chapitre V relatif aux transferts vers des pays tiers en énonçant que toutes les dispositions de ce chapitre sont appliquées de manière à ce que le niveau de protection garanti par le RGPD ne soit pas compromis en cas de transfert vers un État tiers ( 44 ). Cette règle vise à éviter que les standards de protection découlant du droit de l’Union soient contournés en transférant des données à caractère personnel vers un pays tiers en vue de les y traiter ( 45 ). Au regard de cet objectif, il est indifférent que le transfert soit fondé sur une décision d’adéquation ou sur des garanties offertes par le responsable du traitement, notamment au moyen de clauses contractuelles. Les exigences de protection des droits fondamentaux garantis par la Charte ne connaissent pas de distinction en fonction du fondement légal sur lequel repose un transfert déterminé ( 46 ).

118.

En revanche, la manière dont la continuité du niveau élevé de protection est préservée diffère en fonction de la base juridique du transfert.

119.

D’une part, une décision d’adéquation a pour objet de constater que le pays tiers visé assure lui-même un niveau de protection substantiellement équivalent à celui qui doit être atteint au sein de l’Union. L’adoption d’une décision d’adéquation suppose que la Commission évalue au préalable, pour un pays tiers déterminé, le niveau de protection garanti par le droit et les pratiques de ce pays tiers à la lumière des facteurs énoncés à l’article 45, paragraphe 3, du RGPD. Des données personnelles peuvent alors être transférées vers ledit pays tiers sans que le responsable du traitement doive obtenir une autorisation spécifique.

120.

D’autre part, comme exposé plus en détail dans la section suivante, les garanties appropriées offertes par le responsable du traitement visent à assurer un niveau élevé de protection dans l’hypothèse d’une insuffisance des garanties disponibles dans le pays tiers de destination. Ainsi, si l’article 46, paragraphe 1, du RGPD permet que des données à caractère personnel soient transférées vers des États tiers n’assurant pas un niveau adéquat de protection, cette disposition n’autorise de tels transferts que lorsque des garanties appropriées sont apportées par d’autres moyens. Les clauses contractuelles types adoptées par la Commission représentent, à cet égard, un mécanisme général applicable aux transferts quels que soient le pays tiers de destination et le niveau de protection qui y est assuré.

121.

Par sa septième question, la juridiction de renvoi demande, en substance, si la décision 2010/87 est invalide du fait qu’elle ne lie pas les autorités des États tiers vers lesquels des données sont transférées en vertu des clauses contractuelles types prévues dans l’annexe à cette décision et, en particulier, qu’elle ne les empêche pas d’exiger de l’importateur qu’il mette ces données à leur disposition. Ainsi, cette question met en cause la possibilité même d’assurer un niveau adéquat de protection de telles données au moyen de mécanismes de nature exclusivement contractuelle. La onzième question porte plus globalement sur la validité de la décision 2010/87 au regard des articles 7, 8 et 47 de la Charte.

122.

La huitième question invite la Cour à déterminer si une autorité de contrôle est tenue de faire usage des pouvoirs que lui confère l’article 58, paragraphe 2, sous f) et j), du RGPD pour suspendre un transfert vers un pays tiers fondé sur les clauses contractuelles types prévues par la décision 2010/87 lorsqu’elle estime que l’importateur des données y est soumis à des obligations qui l’empêchent d’honorer ces clauses et ont pour effet qu’une protection appropriée des données transférées n’est pas assurée. Dans la mesure où la réponse à cette question revêt, à mes yeux, une incidence sur la validité de la décision 2010/87 ( 47 ), je la traite conjointement avec les septième et onzième questions.

123.

Le libellé de l’article 46, paragraphe 1, du RGPD, en ce qu’il prévoit que, « [e]n l’absence de décision en vertu de l’article 45, paragraphe 3, le responsable du traitement ou le sous-traitant ne peut transférer des données à caractère personnel vers un pays tiers […] que s’il a prévu des garanties appropriées […] » (souligné par mes soins), met en exergue la logique dont procèdent les mécanismes contractuels tels que celui prévu dans la décision 2010/87. Comme le soulignent les considérants 108 et 114 du RGPD, ces mécanismes ont pour objet de permettre les transferts vers des pays tiers pour lesquels la Commission n’a pas adopté de décision d’adéquation, les insuffisances éventuelles de la protection assurée dans l’ordre juridique de ce pays tiers étant alors compensées par des garanties que l’exportateur et l’importateur des données s’engagent contractuellement à respecter.

124.

Dès lors que la raison d’être des garanties contractuelles consiste précisément à pallier les possibles lacunes dans la protection offerte par les pays tiers de destination quels qu’ils soient, la validité d’une décision par laquelle la Commission constate que certaines clauses types comblent adéquatement ces lacunes ne saurait dépendre du niveau de protection assuré dans chacun des pays tiers particuliers vers lesquels des données pourraient être transférées. La validité d’une telle décision est uniquement tributaire de la solidité des garanties que prévoient ces clauses en vue de compenser l’insuffisance éventuelle de la protection dans le pays tiers de destination. L’effectivité de ces garanties doit être évaluée en tenant compte également des garde-fous que constituent les pouvoirs des autorités de contrôle au titre de l’article 58, paragraphe 2, du RGPD.

125.

À cet égard, comme l’ont relevé, en substance, le DPC, M. Schrems, la BSA, l’Irlande, les gouvernements autrichien, français, polonais et portugais, ainsi que la Commission, les garanties que contiennent les clauses contractuelles types peuvent être amenuisées, voire annihilées, lorsque le droit du pays tiers de destination impose à l’importateur des obligations contraires à ce que requièrent ces clauses. Ainsi, le contexte juridique prévalant dans le pays tiers de destination peut, en fonction des circonstances concrètes du transfert ( 48 ), rendre impossible l’exécution des obligations prévues par ces clauses.

126.

Dans ces conditions, ainsi que l’ont souligné M. Schrems et la Commission, le mécanisme contractuel prévu à l’article 46, paragraphe 2, sous c), du RGPD repose sur la responsabilisation de l’exportateur ainsi que, à titre subsidiaire, des autorités de contrôle. C’est au cas par cas, pour chaque transfert spécifique, que le responsable du traitement ou, à défaut, l’autorité de contrôle, examinera si le droit du pays tiers de destination fait obstacle à l’exécution des clauses types et, partant, à une protection appropriée des données transférées, si bien que les transferts doivent être interdits ou suspendus.

127.

Compte tenu de ces observations, j’estime que le fait que la décision 2010/87 et les clauses contractuelles types qu’elle énonce ne lient pas les autorités du pays tiers de destination ne rend pas, à lui seul, cette décision invalide. La conformité de la décision 2010/87 aux articles 7, 8 et 47 de la Charte dépend, à mon avis, du point de savoir s’il existe des mécanismes suffisamment solides permettant d’assurer que les transferts fondés sur les clauses contractuelles types soient suspendus ou interdits en cas de violation de ces clauses ou d’impossibilité de les honorer.

128.

À ce propos, l’article 46, paragraphe 1, du RGPD prévoit qu’un transfert fondé sur des garanties appropriées ne peut avoir lieu qu’« à la condition que les personnes concernées disposent de droits opposables et de voies de droit effectives ». Il conviendra de vérifier si les garanties prévues par les clauses figurant à l’annexe de la décision 2010/87, complétées par les pouvoirs des autorités de contrôle, permettent d’assurer le respect de cette condition. Tel n’est, selon moi, le cas que pour autant qu’il existe une obligation – pesant sur les responsables du traitement (section 1) et, en cas d’inaction de ces derniers, sur les autorités de contrôle (section 2) – de suspendre ou d’interdire un transfert lorsque, en raison d’un conflit entre les obligations découlant des clauses types et celles imposées par le droit du pays tiers de destination, ces clauses ne peuvent pas être respectées.

129.

En premier lieu, les clauses contractuelles types figurant à l’annexe de la décision 2010/87 requièrent qu’en cas de conflit entre les obligations qu’elles prévoient et les prescriptions découlant du droit du pays tiers de destination, ces clauses ne soient pas invoquées à l’appui d’un transfert vers ce pays tiers ou, si le transfert a déjà été initié sur la base desdites clauses, l’exportateur soit informé de ce conflit et puisse suspendre ce transfert.

130.

Ainsi, en vertu de la clause 5, sous a), l’importateur s’engage à traiter les données à caractère personnel transférées pour le compte exclusif de l’exportateur et conformément aux instructions de ce dernier ainsi qu’aux clauses contractuelles types. Si l’importateur se trouve dans l’incapacité de se conformer à ces clauses, il accepte d’en informer dans les meilleurs délais l’exportateur, auquel cas ce dernier a le droit de suspendre le transfert et/ou de résilier le contrat ( 49 ).

131.

La note en bas de page 5 afférente à la clause 5 précise que les clauses types ne sont pas violées lorsque l’importateur se plie aux exigences impératives de la législation nationale qui lui est applicable dans le pays tiers, pour autant que ces exigences n’aillent pas au-delà de celles qui sont nécessaires dans une société démocratique pour protéger l’un des intérêts énoncés à l’article 13, paragraphe 1, de la directive 95/46 (dont le contenu est essentiellement repris à l’article 23, paragraphe 1, du RGPD), au nombre desquels figurent la sécurité publique et la sûreté de l’État. À l’inverse, la méconnaissance de ces clauses en vue de se conformer à une obligation contradictoire tirée du droit du pays tiers de destination qui dépasse ce qui est proportionné à la sauvegarde d’un intérêt légitime reconnu par l’Union est traitée comme une violation desdites clauses.

132.

À mon avis, ainsi que l’ont fait valoir M. Schrems et la Commission, la clause 5, sous a) ne saurait être interprétée comme impliquant que la suspension du transfert ou la résiliation du contrat n’est qu’optionnelle lorsque l’importateur n’est pas en mesure de respecter les clauses types. Si cette clause n’évoque qu’un droit en ce sens au bénéfice de l’exportateur, ce libellé doit être appréhendé par référence au cadre contractuel dans lequel il s’inscrit. Le fait que l’exportateur soit investi d’un droit, dans ses relations bilatérales avec l’importateur, de suspendre le transfert ou de résilier le contrat lorsque ce dernier se trouve dans l’incapacité d’honorer les clauses types ne porte pas préjudice à l’obligation pesant sur l’exportateur de procéder ainsi au regard des exigences de protection des droits des personnes concernées découlant du RGPD. Toute autre interprétation entraînerait l’invalidité de la décision 2010/87 en ce que les clauses contractuelles types qu’elle prévoit ne permettraient pas d’entourer le transfert de « garanties appropriées » comme l’exige l’article 46, paragraphe 1, du RGPD, lu à la lumière des dispositions de la Charte ( 50 ).

133.

De surcroît, aux termes de la clause 5, sous b), l’importateur certifie qu’il n’a aucune raison de croire que la législation le concernant l’empêche de remplir les instructions données par l’exportateur et les obligations qui lui incombent conformément au contrat. Si cette législation fait l’objet d’une modification susceptible d’entraîner des conséquences négatives importantes pour les garanties et les obligations offertes par les clauses types, il communiquera celle-ci sans retard à l’exportateur, auquel cas ce dernier a le droit de suspendre le transfert de données et/ou de résilier le contrat. Conformément à la clause 4, sous g), l’exportateur doit transmettre la notification reçue de l’importateur à l’autorité de contrôle compétente s’il décide de continuer le transfert.

134.

Je crois nécessaire d’apporter ici quelques précisions relatives à la teneur de l’examen auquel doivent se livrer les parties au contrat aux fins de déterminer, au regard de la note en bas de page afférente à la clause 5, si les obligations que le droit de l’État tiers impose à l’importateur emportent violation des clauses types et, partant, empêchent le transfert d’être entouré de garanties appropriées. Cette problématique a été soulevée, en substance, dans le cadre de la seconde partie de la sixième question préjudicielle.

135.

Un tel examen implique, selon moi, la prise en considération de l’ensemble des circonstances caractérisant chaque transfert, au nombre desquelles peuvent compter la nature des données et leur éventuel caractère sensible, les mécanismes mis en œuvre par l’exportateur et/ou l’importateur pour en assurer la sécurité ( 51 ), la nature et la finalité des traitements par les autorités publiques du pays tiers auxquels seront exposées les données, les modalités de ces traitements ainsi que les limitations et garanties assurées par ce pays tiers. Les éléments caractérisant les activités de traitement par les autorités publiques et les garanties applicables dans l’ordre juridique dudit pays tiers peuvent, à mon sens, recouper ceux énoncés à l’article 45, paragraphe 2, du RGPD.

136.

En second lieu, les clauses contractuelles types énoncées à l’annexe de la décision 2010/87 instituent au bénéfice des personnes concernées des droits opposables ainsi que des voies de recours contre l’exportateur et, subsidiairement, contre l’importateur.

137.

Ainsi, la clause 3, intitulée « Tiers bénéficiaire », prévoit, à son paragraphe 1, un droit de recours de la personne concernée contre l’exportateur en cas de violation, notamment, de la clause 5, sous a) ou b). Conformément à la clause 3, paragraphe 2, lorsque l’exportateur a matériellement disparu ou a cessé d’exister en droit, la personne concernée peut faire appliquer cette clause contre l’importateur.

138.

La clause 6, paragraphe 1, octroie, à toute personne concernée ayant subi un dommage du fait d’un manquement aux obligations visées à la clause 3, le droit d’obtenir de l’exportateur réparation du préjudice subi. En vertu de la clause 7, paragraphe 1, l’importateur convient que si la personne concernée invoque à son égard le droit du tiers bénéficiaire et/ou demande réparation du préjudice subi, il acceptera la décision de cette personne soit de soumettre le litige à la médiation d’une personne indépendante ou, le cas échéant, de l’autorité de contrôle, soit de saisir les tribunaux de l’État membre où l’exportateur est établi.

139.

En sus des voies de recours dont elles disposent en vertu des clauses contractuelles types prévues à l’annexe de la décision 2010/87, les personnes concernées peuvent, lorsqu’elles estiment que ces clauses ont été violées, solliciter des autorités de contrôle l’adoption de mesures correctrices au titre de l’article 58, paragraphe 2, du RGPD, auquel renvoie l’article 4 de la décision 2010/87 ( 52 ).

140.

Les raisons suivantes me conduisent à considérer, à l’instar de M. Schrems, de l’Irlande, des gouvernements allemand, autrichien, belge, néerlandais et portugais ainsi que de l’EDPB, que l’article 58, paragraphe 2, du RGPD oblige les autorités de contrôle, lorsqu’elles estiment, au terme d’un examen diligent, que des données transférées vers un pays tiers ne bénéficient pas d’une protection appropriée en raison du non-respect des clauses contractuelles convenues, à prendre les mesures adéquates pour remédier à cette illégalité, si nécessaire en ordonnant la suspension du transfert.

141.

En premier lieu, j’observe que, contrairement à ce qu’avance le DPC, aucune disposition de la décision 2010/87 ne limite à des cas exceptionnels l’exercice des pouvoirs d’« imposer une limitation temporaire ou définitive, y compris une interdiction, du traitement » et d’« ordonner la suspension des flux de données adressés à un destinataire situé dans un pays tiers », dont disposent les autorités de contrôle en vertu de l’article 58, paragraphe 2, sous f) et j), du RGPD.

142.

La version initiale de l’article 4 de la décision 2010/87 confinait, certes, à son paragraphe 1, l’exercice par les autorités de contrôle de leurs pouvoirs de suspendre ou d’interdire des flux transfrontières de données à certaines hypothèses dans lesquelles il était établi qu’un transfert fondé sur des termes contractuels risquait d’avoir des conséquences négatives importantes pour les garanties destinées à protéger la personne concernée. Cependant, l’article 4 de cette décision, telle que modifiée par la Commission en 2016 aux fins de se conformer à l’arrêt Schrems ( 53 ), se borne désormais à faire référence à ces pouvoirs, sans aucunement les limiter. En tout état de cause, une décision d’exécution de la Commission, telle que la décision 2010/87, ne saurait valablement restreindre les pouvoirs conférés aux autorités de contrôle en vertu du RGPD lui-même ( 54 ).

143.

Cette conclusion n’est pas remise en cause par le considérant 11 de la décision 2010/87, lequel énonce que les pouvoirs de suspension et d’interdiction des transferts ne peuvent être exercés par les autorités de contrôle que dans des « cas exceptionnels ». Ce considérant, déjà présent dans la version initiale de cette décision, se rapportait à l’ancien article 4, paragraphe 1, de ladite décision qui limitait les pouvoirs des autorités de contrôle. Lors de la révision de la décision 2010/87 par la décision 2016/2297, la Commission a omis de retirer ou d’amender ledit considérant en vue d’en adapter le contenu au prescrit du nouvel article 4. Le considérant 5 de la décision 2016/2297 a pourtant réaffirmé le pouvoir des autorités de contrôle de suspendre ou d’interdire tout transfert qu’elles estiment contraire au droit de l’Union, notamment en raison du non-respect par l’importateur des clauses contractuelles types. Le considérant 11 de la décision 2010/87, en ce qu’il contredit désormais tant le libellé que l’objectif d’une disposition juridiquement contraignante de celle-ci, doit être qualifié d’obsolète ( 55 ).

144.

En second lieu, contrairement à ce que soutient également le DPC, l’exercice des pouvoirs de suspension et d’interdiction prévus à l’article 58, paragraphe 2, sous f) et j), du RGPD ne constitue pas davantage une simple faculté laissée à la discrétion des autorités de contrôle. Cette conclusion découle, selon moi, d’une interprétation de l’article 58, paragraphe 2, du RGPD à la lumière d’autres dispositions de ce règlement et de la Charte, de même que de l’économie générale et des objectifs de la décision 2010/87.

145.

En particulier, l’article 58, paragraphe 2, du RGPD doit être lu au regard de l’article 8, paragraphe 3, de la Charte et de l’article 16, paragraphe 2, TFUE. Conformément à ces dispositions, le respect des exigences qu’implique le droit fondamental à la protection des données à caractère personnel est soumis au contrôle d’autorités indépendantes. Cette mission de surveillance du respect des exigences relatives à la protection des données à caractère personnel, également mentionnée à l’article 57, paragraphe 1, sous a), du RGPD, implique une obligation pour les autorités de contrôle d’agir de façon à assurer la bonne application de ce règlement.

146.

Ainsi, une autorité de contrôle doit examiner avec toute la diligence requise la plainte introduite par une personne dont les données sont prétendument transférées vers un État tiers en méconnaissance des clauses contractuelles types applicables au transfert ( 56 ). L’article 58, paragraphe 1, du RGPD investit, à cet effet, les autorités de contrôle d’importants pouvoirs d’enquête ( 57 ).

147.

L’autorité de contrôle compétente est également tenue de réagir de manière appropriée aux éventuelles violations des droits de la personne concernée qu’elle aurait constatées à l’issue de son enquête. À cet égard, chaque autorité de contrôle dispose, en vertu de l’article 58, paragraphe 2, du RGPD, d’un large éventail de moyens – les divers pouvoirs d’adopter des mesures correctrices énumérés à cette disposition – pour accomplir la tâche qui lui a été impartie ( 58 ).

148.

Bien que le choix du moyen le plus efficace relève de la discrétion de l’autorité de contrôle compétente eu égard à toutes les circonstances du transfert en cause, celle-ci est tenue de s’acquitter pleinement de la mission de surveillance qui lui a été confiée. Le cas échéant, cette autorité doit suspendre le transfert si elle conclut que les clauses contractuelles types ne sont pas respectées et qu’une protection appropriée des données transférées ne peut pas être assurée par d’autres moyens, à défaut pour l’exportateur d’avoir lui-même mis fin au transfert.

149.

Cette interprétation est corroborée par l’article 58, paragraphe 4, du RGPD, lequel prévoit que l’exercice des pouvoirs conférés aux autorités de contrôle en application de cet article est subordonné à des garanties appropriées, incluant un droit à un recours juridictionnel effectif conformément à l’article 47 de la Charte. L’article 78, paragraphes 1 et 2, du RGPD reconnaît, par ailleurs, le droit pour toute personne de former un recours juridictionnel effectif contre une décision juridiquement contraignante d’une autorité de contrôle qui la concerne ou lorsque cette autorité omet de traiter sa réclamation ( 59 ).

150.

Ces dispositions impliquent, comme le font valoir, en substance, M. Schrems, la BSA, l’Irlande, les gouvernements polonais et du Royaume-Uni de même que la Commission, qu’une décision par laquelle une autorité de contrôle s’abstient d’interdire ou de suspendre un transfert vers un pays tiers, à la demande d’une personne invoquant un risque que des données la concernant y soient traitées en contrariété avec ses droits fondamentaux, peut faire l’objet d’un recours juridictionnel. Or, la reconnaissance d’un droit de recours juridictionnel suppose l’existence d’une compétence liée, et non purement discrétionnaire, des autorités de contrôle. En outre, M. Schrems et la Commission ont souligné, à juste titre, que l’exercice d’un contrôle juridictionnel effectif implique que l’autorité auteure de l’acte contesté motive celui-ci de façon adéquate ( 60 ). Cette obligation de motivation s’étend, à mon sens, au choix par les autorités de contrôle de faire usage de l’un ou de l’autre des pouvoirs que leur confère l’article 58, paragraphe 2, du RGPD.

151.

Encore faut-il, cependant, répondre aux arguments par lesquels le DPC fait valoir que, quand bien même les autorités de contrôle seraient tenues de suspendre ou d’interdire un transfert lorsque la protection des droits de la personne concernée l’exige, la validité de la décision 2010/87 n’en serait pas pour autant assurée.

152.

Premièrement, le DPC considère qu’une telle obligation ne remédierait pas aux problèmes systémiques relatifs à l’absence de garanties adéquates dans un pays tiers tel que les États-Unis. En effet, les pouvoirs des autorités de contrôle ne peuvent être exercés qu’au cas par cas, alors même que les lacunes caractérisant le droit américain revêtiraient une nature générale et structurelle. Il en résulterait un risque d’adoption, par différentes autorités de contrôle, de décisions divergentes concernant des transferts comparables.

153.

À ce sujet, je ne puis ignorer les difficultés pratiques liées au choix législatif de faire reposer sur les autorités de contrôle la responsabilité de veiller au respect des droits fondamentaux des personnes concernées dans le cadre de transferts spécifiques ou de flux vers un destinataire donné. Ces difficultés ne m’apparaissent cependant pas entraîner l’invalidité de la décision 2010/87.

154.

En effet, le droit de l’Union n’exige pas, me semble-t-il, qu’une solution globale et préventive soit apportée pour l’ensemble des transferts vers un pays tiers déterminé susceptibles d’emporter les mêmes risques de violation des droits fondamentaux.

155.

De surcroît, le risque de fragmentation des approches suivies par les différentes autorités de contrôle est inhérent à l’architecture de surveillance décentralisée voulue par le législateur ( 61 ). Au demeurant, comme l’a souligné le gouvernement allemand, le chapitre VII du RGPD, intitulé « Coopération et cohérence », institue des mécanismes destinés à éviter ce risque. L’article 60 de ce règlement prévoit, en cas de traitement transfrontalier de données, une procédure de coopération entre les autorités de contrôle concernées et l’autorité de contrôle de l’établissement du responsable du traitement, dite « autorité de contrôle chef de file » ( 62 ). En cas d’opinions divergentes, le désaccord doit être tranché par l’EDPB ( 63 ). Ce dernier est également compétent pour délivrer, à la demande d’une autorité de contrôle, des avis sur toute question dont l’intérêt s’étend à plusieurs États membres ( 64 ).

156.

Deuxièmement, le DPC excipe de l’invalidité de la décision 2010/87 au regard de l’article 47 de la Charte au motif que les autorités de contrôle ne peuvent protéger les droits des personnes concernées que pour l’avenir, sans offrir de solution à celles dont les données ont déjà été transférées. En particulier, le DPC relève que l’article 58, paragraphe 2, du RGPD ne prévoit pas de droit d’accès, de rectification et d’effacement des données collectées par les autorités publiques du pays tiers ni de possibilité d’indemnisation des dommages subis par les personnes concernées.

157.

S’agissant de l’absence alléguée d’un droit d’accès, de rectification et d’effacement des données collectées, force est de constater que, lorsqu’aucun recours effectif n’existe dans le pays tiers de destination, les voies de recours prévues au sein de l’Union contre le responsable du traitement ne permettent pas d’obtenir, de la part des autorités publiques de ce pays tiers, l’accès à ces données ou encore leur rectification ou leur effacement.

158.

À mon sens, cette objection ne justifie toutefois pas l’incompatibilité de la décision 2010/87 avec l’article 47 de la Charte. En effet, la validité de cette décision ne dépend pas du niveau de protection existant dans chaque pays tiers vers lequel des données pourraient être transférées sur le fondement des clauses contractuelles types qu’elle énonce. Si le droit de l’État tiers de destination empêche l’importateur d’observer ces clauses en exigeant qu’il concède aux autorités publiques un accès aux données qui ne s’accompagne pas de possibilités de recours appropriées, il incombe, à défaut pour l’exportateur d’avoir suspendu le transfert en vertu de la clause 5, sous a) ou b), figurant à l’annexe de la décision 2010/87, aux autorités de contrôle d’adopter des mesures correctrices.

159.

Par ailleurs, comme l’a souligné M. Schrems, les personnes dont les droits ont été violés bénéficient désormais, en vertu de l’article 82 du RGPD, d’un droit à la réparation du dommage matériel ou moral encouru du fait d’une violation de ce règlement à charge du responsable du traitement ou du sous-traitant ( 65 ).

160.

Ainsi qu’il ressort de l’ensemble de ces considérations, mon analyse n’a mis en lumière aucun élément de nature à affecter la validité de la décision 2010/87 au regard des articles 7, 8 et 47 de la Charte.

161.

Dans la présente section, j’expose les raisons, tenant principalement à la limitation de l’objet du litige au principal à la validité de la décision 2010/87, pour lesquelles j’estime qu’il n’y a pas lieu de répondre aux deuxième à cinquième ainsi qu’aux neuvième et dixième questions préjudicielles ni de se prononcer sur la validité de la décision « bouclier de protection des données ».

162.

La deuxième question préjudicielle a trait à l’identification des standards de protection qu’un pays tiers doit respecter pour que des données puissent légalement y être transférées sur la base de clauses contractuelles types lorsque ces données, après leur transfert, sont susceptibles d’être traitées à des fins de sécurité nationale par les autorités de ce pays tiers. La troisième question déférée à la Cour concerne la détermination des éléments caractérisant le régime de protection applicable dans l’État tiers de destination qui doivent être pris en compte en vue de vérifier s’il satisfait à ces standards.

163.

Par ses quatrième, cinquième et dixième questions, la juridiction de renvoi cherche essentiellement à savoir si, compte tenu des faits qu’elle a établis concernant le droit des États-Unis, des garanties appropriées y sont prévues contre les ingérences de la part des autorités de renseignement américaines dans l’exercice des droits fondamentaux au respect de la vie privée, à la protection des données à caractère personnel et à la protection juridictionnelle effective.

164.

La neuvième question préjudicielle porte sur l’incidence que revêt, dans le cadre de l’examen par lequel une autorité de contrôle vérifie si un transfert vers les États-Unis fondé sur les clauses contractuelles types prévues dans la décision 2010/87 s’accompagne de garanties appropriées, la circonstance selon laquelle la Commission, dans la décision « bouclier de protection des données », a constaté que les États-Unis offrent un niveau de protection adéquat des droits fondamentaux des personnes concernées contre de telles ingérences.

165.

La question de la validité de la décision « bouclier de protection des données » n’a, quant à elle, pas été explicitement posée par la juridiction de renvoi – bien que, comme expliqué ci-après ( 66 ), les quatrième, cinquième et dixième questions préjudicielles mettent, indirectement, en doute le bien-fondé du constat d’adéquation auquel s’est livrée la Commission dans cette décision.

166.

Selon moi, au vu des éléments qui ressortent de l’analyse qui précède, l’éclairage de la Cour sur ces questions ne serait pas susceptible d’affecter sa conclusion relative à la validité in abstracto de la décision 2010/87 ni, dès lors, d’influer sur la résolution du litige au principal (section 1). Par ailleurs, si les réponses de la Cour auxdites questions pourraient, à un stade ultérieur, se révéler utiles au DPC aux fins de déterminer, dans le cadre de la procédure sous-jacente à ce litige, si les transferts en cause doivent, in concreto, être suspendus en raison de l’absence prétendue de garanties appropriées, il serait, à mes yeux, prématuré de les trancher dans le cadre de la présente affaire (section 2).

167.

Le litige au principal résulte, je le rappelle, de l’exercice par le DPC de la voie de recours décrite au point 65 de l’arrêt Schrems, aux termes duquel chaque État membre doit permettre à une autorité de contrôle, lorsqu’elle l’estime nécessaire aux fins du traitement d’une plainte dont elle est saisie, de demander à une juridiction nationale de déférer à la Cour une question préjudicielle relative à la validité d’une décision d’adéquation – ou, par analogie, d’une décision instituant des clauses contractuelles types.

168.

À cet égard, la High Court (Haute Cour) a souligné qu’elle disposait pour seules options, après avoir été saisie par le DPC, soit d’introduire le renvoi préjudiciel sur la validité de la décision 2010/87 demandé par le DPC dans l’hypothèse où elle aurait partagé ses doutes relatifs à la validité de cette décision, soit de refuser d’accéder à cette demande dans l’hypothèse contraire. Cette juridiction considère que, si elle avait emprunté cette seconde voie, elle aurait dû rejeter l’instance dès lors que la plainte du DPC n’avait pas d’autre objet ( 67 ).

169.

Sur cette même ligne, la Supreme Court (Cour suprême), saisie d’un appel interjeté par Facebook Ireland contre la décision de renvoi, a décrit le litige au principal comme une procédure déclaratoire par laquelle le DPC demandait à la juridiction de renvoi de poser à la Cour une question préjudicielle sur la validité de la décision 2010/87. Selon la juridiction suprême irlandaise, la seule question substantielle soulevée devant la juridiction de renvoi et devant la Cour concerne, dès lors, la validité de cette décision ( 68 ).

170.

Eu égard à l’objet du litige au principal ainsi circonscrit, la juridiction de renvoi a déféré à la Cour ses dix premières questions dans la mesure où elle considérait que leur examen participerait de l’évaluation d’ensemble nécessaire à la Cour pour se prononcer, en réponse à la onzième question, sur la validité de la décision 2010/87 au regard des articles 7, 8 et 47 de la Charte. Cette question représente, aux termes de la décision de renvoi, l’aboutissement logique des questions qui la précèdent.

171.

Dans cette optique, les deuxième à cinquième ainsi que les neuvième et dixième questions me paraissent être sous-tendues par la prémisse selon laquelle la validité de la décision 2010/87 dépendrait du niveau de protection des droits fondamentaux prévu dans chacun des État tiers vers lesquels des données peuvent être transférées sur la base des clauses contractuelles types qu’elle prévoit. Or, ainsi qu’il ressort de mon analyse de la septième question ( 69 ), cette prémisse est, à mon sens, erronée. L’examen du droit du pays tiers de destination n’entre en jeu que lorsque la Commission adopte une décision d’adéquation ou lorsque le responsable du traitement – ou, à défaut, l’autorité de contrôle compétente – vérifie si, dans le cadre d’un transfert fondé sur des garanties appropriées au sens de l’article 46, paragraphe 1, du RGPD, les obligations que le droit de ce pays tiers impose à l’importateur ne compromettent pas l’effectivité de la protection assurée par ces garanties.

172.

Par conséquent, les réponses de la Cour aux questions susmentionnées ne sont pas susceptibles d’influencer sa conclusion sur la onzième question ( 70 ). Aussi n’y a-t-il pas lieu d’y répondre du point de vue de l’objet du litige au principal.

173.

Je propose à la Cour de se limiter à traiter la présente affaire sous l’angle de l’objet de ce litige. La Cour ne devrait, à mon avis, pas dépasser ce que requiert la résolution dudit litige en abordant les questions préjudicielles du point de vue de la procédure sous-jacente en cours devant le DPC. Comme exposé ci-après, cette invitation à la retenue procède, d’une part, du souci de ne pas court-circuiter le déroulement normal de la procédure qui devra continuer devant le DPC après que la Cour aura statué sur la validité de la décision 2010/87. D’autre part, au vu des faits de l’espèce, il me paraîtrait quelque peu précipité, même du point de vue de l’enjeu de cette procédure, que la Cour examine les problématiques soulevées par les deuxième à cinquième ainsi que par les neuvième et dixième questions.

174.

Dans sa plainte auprès du DPC, M. Schrems demande à cette autorité de contrôle d’exercer les pouvoirs dont elle dispose en vertu de l’article 58, paragraphe 2, sous f), du RGPD en ordonnant à Facebook Ireland de suspendre le transfert vers les États-Unis, effectué sur la base de clauses contractuelles, des données personnelles le concernant. À l’appui de cette demande, M. Schrems invoque essentiellement le caractère inapproprié de ces garanties contractuelles au regard des ingérences dans l’exercice de ses droits fondamentaux découlant des activités des services de renseignement américains.

175.

L’argumentation de M. Schrems met en cause le constat, dressé par la Commission dans la décision « bouclier de protection des données », selon lequel les États-Unis assurent un niveau de protection adéquat des données transférées en vertu de cette décision eu égard aux restrictions apportées à l’accès à ces données et à leur utilisation par les autorités de renseignement américaines ainsi qu’à la protection juridique offerte aux personnes concernées ( 71 ). Les préoccupations exprimées par le DPC à titre provisoire ( 72 ), de même que par la juridiction de renvoi dans le cadre de ses quatrième, cinquième et dixième questions, jettent également, de manière indirecte, des doutes sur le bien-fondé de ce constat.

176.

Assurément, la décision « bouclier de protection des données » se limite à constater l’adéquation du niveau de protection des données personnelles transférées, conformément aux principes qu’elle énonce, vers une entreprise établie aux États-Unis ayant autocertifié son adhésion à ces principes ( 73 ). Cependant, les considérations qui y figurent dépassent le contexte des transferts couverts par cette décision dans la mesure où elles portent sur le droit et les pratiques en vigueur dans ce pays tiers concernant le traitement, à des fins de protection de la sécurité nationale, des données transférées. Comme l’ont observé en substance Facebook Ireland, M. Schrems, le gouvernement des États-Unis et la Commission, la surveillance exercée par les autorités de renseignement américaines, de même que les garanties contre les risques d’abus qu’elle comporte et les mécanismes visant à en contrôler le respect, s’appliquent quelle que soit, du point de vue du droit de l’Union, la base légale invoquée au soutien du transfert.

177.

Dans cette perspective, la question de savoir si les constats dressés à ce sujet dans la décision « bouclier de protection des données » lient les autorités de contrôle lorsqu’elles examinent la légalité d’un transfert opéré sur le fondement de clauses contractuelles types pourrait s’avérer pertinente aux fins du traitement par le DPC de la plainte de M. Schrems. En cas de réponse affirmative à cette question, se poserait celle de savoir si cette décision est bien valide.

178.

Toutefois, je déconseille à la Cour de statuer sur ces questions dans le seul but d’aider le DPC à traiter cette plainte, alors même qu’il n’y a pas lieu d’y répondre pour permettre à la juridiction de renvoi de résoudre le litige au principal. La procédure prévue à l’article 267 TFUE instituant un dialogue entre juges, la Cour n’est pas appelée à apporter un éclairage à l’unique fin d’assister une autorité administrative dans le cadre d’une procédure sous-jacente à ce litige.

179.

La réserve s’impose, selon moi, d’autant plus que la question de la validité de la décision « bouclier de protection des données » ne lui a pas été expressément déférée – cette décision faisant, par ailleurs, déjà l’objet d’un recours en annulation pendant devant le Tribunal de l’Union européenne ( 74 ).

180.

De surcroît, en se prononçant sur les problématiques susdécrites, la Cour perturberait, à mon sens, le cours normal de la procédure devant se dérouler après qu’elle aura rendu son arrêt dans la présente affaire. Dans le cadre de cette procédure, il incombera au DPC de traiter la plainte de M. Schrems en tenant compte de la réponse que la Cour apportera à la onzième question préjudicielle. Si la Cour juge, comme je le propose et contrairement à ce que le DPC a soutenu devant elle, que la décision 2010/87 n’est pas invalide au regard des articles 7, 8 et 47 de la Charte, le DPC devrait, à mes yeux, recevoir la possibilité de réexaminer le dossier de la procédure en cours devant lui. Dans l’hypothèse où le DPC estimerait ne pas être en mesure de statuer sur la plainte de M. Schrems sans que la Cour détermine au préalable si la décision « bouclier de protection des données » fait obstacle à l’exercice de ses pouvoirs de suspension du transfert en cause et confirmerait nourrir des doutes sur la validité de cette décision, il lui serait loisible de saisir à nouveau les tribunaux nationaux aux fins que ceux-ci interrogent la Cour à ce propos ( 75 ).

181.

Serait alors enclenchée une procédure permettant à toute partie et à tout intéressé visé à l’article 23, deuxième alinéa, du statut de la Cour de soumettre à la Cour des observations concernant spécifiquement la validité de la décision « bouclier de protection des données », en indiquant, le cas échéant, les appréciations particulières qu’il conteste ainsi que les raisons pour lesquelles il estime que la Commission y a outrepassé la marge d’appréciation réduite dont elle disposait ( 76 ). Dans le cadre d’une telle procédure, la Commission aurait l’opportunité de répondre précisément et en détail à chacune des critiques éventuelles dirigées contre ladite décision. Bien que la présente affaire ait fourni l’occasion aux parties et intéressés ayant soumis des observations à la Cour de débattre de certains aspects pertinents aux fins d’évaluer la conformité de la décision « bouclier de protection des données » aux articles 7, 8 et 47 de la Charte, cette question mérite, eu égard à son enjeu, que lui soit consacré un échange exhaustif et approfondi.

182.

À mon avis, la prudence commande d’attendre que ces étapes procédurales soient franchies avant que la Cour n’examine l’incidence qu’exerce la décision « bouclier de protection des données » sur le traitement par une autorité de contrôle d’une demande de suspension d’un transfert effectué vers les États-Unis au titre de l’article 46, paragraphe 1, du RGPD et ne se prononce sur la validité de cette décision.

183.

Il en va ainsi, à plus forte raison, dans la mesure où le dossier soumis à la Cour ne permet pas de conclure que le traitement par le DPC de la plainte de M. Schrems dépendra nécessairement du point de savoir si la décision « bouclier de protection des données » s’oppose à l’exercice par les autorités de contrôle de leur pouvoir de suspendre un transfert fondé sur des clauses contractuelles types.

184.

À cet égard, en premier lieu, il n’est pas exclu que le DPC soit amené à suspendre le transfert en cause pour d’autres motifs que ceux relatifs à la prétendue inadéquation du niveau de protection assuré aux États-Unis contre des atteintes aux droits fondamentaux des personnes concernées découlant des activités des services de renseignement américains. En particulier, la juridiction de renvoi a précisé que M. Schrems soutient, dans sa plainte auprès du DPC, que les clauses contractuelles invoquées par Facebook Ireland à l’appui de ce transfert ne reflètent pas fidèlement celles énoncées à l’annexe de la décision 2010/87. M. Schrems allègue, en outre, que ledit transfert relève du champ d’application non pas de cette décision, mais bien des autres décisions CCT ( 77 ).

185.

En second lieu, le DPC et la juridiction de renvoi ont souligné que Facebook Ireland n’a pas invoqué, à l’appui du transfert visé dans la plainte de M. Schrems, la décision « bouclier de protection des données » ( 78 ), ce qu’a confirmé cette société lors de l’audience. Bien que Facebook Inc. ait autocertifié son adhésion aux principes du bouclier de protection des données depuis le 30 septembre 2016 ( 79 ), Facebook Ireland affirme que cette adhésion ne concerne que le transfert de certaines catégories de données, à savoir celles concernant les partenaires commerciaux de Facebook Inc. Il me semblerait inopportun que la Cour anticipe les interrogations qui pourraient survenir à ce sujet en examinant si, à supposer que Facebook Ireland ne puisse pas se prévaloir de la décision 2010/87 au soutien du transfert en cause, ce transfert serait néanmoins couvert par la décision « bouclier de protection des données », alors même que cette dernière n’a soulevé cet argument ni devant la juridiction de renvoi ni devant le DPC.

186.

J’en conclus qu’il n’y a pas lieu de répondre aux deuxième à cinquième ainsi qu’aux neuvième et dixième questions préjudicielles ni d’examiner la validité de la décision « bouclier de protection des données ».

187.

Bien que l’analyse qui précède m’amène à proposer à la Cour, à titre principal, de s’abstenir de se prononcer sur l’incidence de la décision « bouclier de protection des données » sur le traitement d’une plainte telle que celle formée par M. Schrems devant le DPC et sur la validité de cette décision, il m’a semblé utile de développer, à titre subsidiaire et avec réserves, quelques observations non exhaustives à ce sujet.

188.

La neuvième question préjudicielle soulève le point de savoir si le constat opéré dans la décision « bouclier de protection des données » relatif au caractère adéquat, au vu des limitations apportées à l’accès aux données transférées et à leur utilisation par les autorités américaines à des fins de sécurité nationale ainsi qu’à la protection juridique des personnes concernées, du niveau de protection assuré aux États-Unis fait obstacle à ce qu’une autorité de contrôle suspende un transfert vers ce pays tiers exécuté en vertu de clauses contractuelles types.

189.

Cette problématique doit, me semble-t-il, être appréhendée au regard des points 51 et 52 de l’arrêt Schrems, dont il ressort qu’une décision d’adéquation s’impose aux autorités de contrôle aussi longtemps qu’elle n’est pas déclarée invalide. Une autorité de contrôle saisie de la plainte d’une personne dont les données sont transférées vers le pays tiers visé par une décision d’adéquation ne saurait, dès lors, suspendre le transfert au motif que le niveau de protection y est inadéquat, sans que la Cour ait au préalable déclaré cette décision invalide ( 80 ).

190.

La juridiction de renvoi souhaite essentiellement savoir si, s’agissant d’une décision d’adéquation – telle que la décision « bouclier de protection des données » ou, avant elle, la décision « sphère de sécurité » – reposant sur l’adhésion volontaire des entreprises aux principes qu’elle énonce, cette conclusion vaut uniquement dans la mesure où le transfert vers le pays tiers en cause est couvert par cette décision, ou également lorsqu’il repose sur une base légale distincte.

191.

Selon M. Schrems, les gouvernements allemand, néerlandais, polonais et portugais ainsi que la Commission, le constat d’adéquation opéré dans la décision « bouclier de protection des données » ne prive pas les autorités de contrôle de leur pouvoir de suspendre ou d’interdire un transfert vers les États-Unis exécuté en vertu de clauses contractuelles types. Lorsque le transfert vers les États-Unis ne se fonde pas sur la décision « bouclier de protection des données », les autorités de contrôle ne seraient pas formellement liées par cette décision dans le cadre de l’exercice des pouvoirs que leur confère l’article 58, paragraphe 2, du RGPD. Ces autorités pourraient, en d’autres termes, se distancer des constatations effectuées par la Commission concernant l’adéquation du niveau de protection contre les ingérences des autorités publiques américaines dans l’exercice des droits fondamentaux des personnes concernées. Le gouvernement néerlandais et la Commission précisent que les autorités de contrôle doivent, néanmoins, en tenir compte lorsqu’elles font usage de ces pouvoirs. De l’avis du gouvernement allemand, ces autorités ne pourraient se livrer à des appréciations contraires qu’au terme d’un examen sur le fond, comportant les investigations pertinentes, des constatations opérées par la Commission.

192.

En revanche, Facebook Ireland et le gouvernement des États-Unis font valoir, en substance, que l’effet contraignant d’une décision d’adéquation implique, à la lumière des impératifs de sécurité juridique et d’application uniforme du droit de l’Union, que les autorités de contrôle ne sont pas habilitées à remettre en cause, même dans le cadre du traitement d’une plainte visant à obtenir la suspension de transferts effectués vers le pays tiers en cause sur un autre fondement que cette décision, les constatations figurant dans ladite décision.

193.

Je souscris à la première de ces deux approches. Le champ d’application de la décision « bouclier de protection des données » étant limité aux transferts exécutés vers une entreprise autocertifiée au titre de cette décision, ladite décision ne saurait contraindre formellement les autorités de contrôle s’agissant des transferts qui ne relèvent pas de ce champ d’application. La décision « bouclier de protection des données » n’a, corrélativement, pour prétention d’assurer la sécurité juridique qu’au bénéfice des exportateurs qui transfèrent des données dans le cadre qu’elle institue. À mes yeux, l’indépendance que l’article 52 du RGPD reconnaît aux autorités de contrôle tend également à s’opposer à ce qu’elles soient liées par les constats dressés par la Commission dans une décision d’adéquation au-delà même de son champ d’application.

194.

Bien évidemment, les constatations figurant dans la décision « bouclier de protection des données » relatives à l’adéquation du niveau de protection assuré aux États-Unis contre les ingérences liées aux activités de leurs services de renseignement, constituent le point de départ de l’analyse par laquelle une autorité de contrôle évalue, au cas par cas, si un transfert fondé sur des clauses contractuelles types doit être suspendu en raison de telles ingérences. Toutefois, si elle estime, au terme d’une enquête approfondie, ne pas pouvoir se rallier à ces constatations en ce qui concerne le transfert porté à son attention, l’autorité de contrôle compétente conserve, selon moi, la faculté d’exercer les pouvoirs que lui confère l’article 58, paragraphe 2, sous f) et j), du RGPD.

195.

Cela étant, dans l’hypothèse où la Cour réserverait à la question ici examinée une réponse contraire à celle que je défends, il y aurait lieu d’examiner si ces pouvoirs ne devraient pas néanmoins être restaurés en raison de l’invalidité de la décision « bouclier de protection des données ».

196.

Les observations qui suivent soulèveront certaines interrogations quant au bien-fondé des appréciations figurant dans la décision « bouclier de protection des données » en ce qui concerne le caractère adéquat, au sens de l’article 45, paragraphe 1, du RGPD, du niveau de protection assuré par les États-Unis au regard des activités de surveillance des communications électroniques menées par les autorités de renseignement américaines. Ces observations n’ont pas vocation à exposer une position définitive ou exhaustive sur la validité de cette décision. Elles se borneront à fournir certaines réflexions qui pourraient se révéler utiles à la Cour dans l’hypothèse où elle souhaiterait, contrairement à ce que je préconise, statuer sur ce point.

197.

À ce propos, il ressort du considérant 64 et du point I.5 de l’annexe II de la décision « bouclier de protection des données » que l’adhésion des entreprises aux principes énoncés dans cette décision peut être limitée, notamment, par des exigences relatives à la sécurité nationale, à l’intérêt public et au respect de la législation ou par des obligations contradictoires tirées du droit américain.

198.

La Commission a, dès lors, évalué les garanties prévues dans le droit des États-Unis en ce qui concerne l’accès aux données transférées et leur utilisation par les autorités publiques américaines à des fins, en particulier, de sécurité nationale ( 81 ). Elle a obtenu de la part du gouvernement américain certains engagements concernant, d’une part, les limitations à l’accès et à l’utilisation par les autorités américaines des données transférées ainsi que, d’autre part, la protection juridique offerte aux personnes concernées ( 82 ).

199.

Devant la Cour, M. Schrems excipe de l’invalidité de la décision « bouclier de protection des données » au motif que les garanties ainsi décrites ne suffisent pas à assurer un niveau adéquat de protection des droits fondamentaux des personnes dont les données sont transférées vers les États-Unis. Le DPC, l’EPIC ainsi que les gouvernements autrichien, polonais et portugais, sans directement mettre en cause la validité de cette décision, contestent les appréciations que la Commission y a effectuées concernant l’adéquation du niveau de protection contre les ingérences découlant des activités des services de renseignement américains. Ces doutes relayent les préoccupations exprimées par le Parlement ( 83 ), l’EDPB ( 84 ) et le CEPD ( 85 ).

200.

Avant d’examiner le bien-fondé du constat d’adéquation opéré dans la décision « bouclier de protection des données », il est nécessaire de préciser la méthodologie devant guider cet examen.

201.

Conformément à l’article 45, paragraphe 3, du RGPD et à la jurisprudence de la Cour ( 86 ), la Commission ne peut constater qu’un pays tiers assure un niveau de protection adéquat que pour autant qu’elle ait conclu, de manière dûment motivée, que le niveau de protection des droits fondamentaux des personnes concernées y est « substantiellement équivalent » à celui qui est requis dans l’Union en vertu de ce règlement lu à la lumière de la Charte.

202.

Ainsi, la vérification du caractère adéquat du niveau de protection assuré dans un pays tiers implique nécessairement une comparaison entre les règles et les pratiques prévalant dans ce pays tiers, d’une part, et les standards de protection en vigueur dans l’Union, d’autre part. Par sa deuxième question, la juridiction de renvoi demande à la Cour de préciser les termes de cette comparaison ( 87 ).

203.

Plus spécifiquement, cette juridiction cherche à savoir si la réserve de compétence que l’article 4, paragraphe 2, TUE et l’article 2, paragraphe 2, du RGPD reconnaissent aux États membres en matière de protection de la sécurité nationale implique que l’ordre juridique de l’Union ne comporte pas de standards de protection auxquels devraient être comparées, en vue d’en évaluer le caractère adéquat, les garanties encadrant dans un pays tiers le traitement par les autorités publiques, à des fins de protection de la sécurité nationale, des données qui y sont transférées. Dans l’affirmative, ladite juridiction souhaite savoir comment le cadre de référence pertinent doit être déterminé.

204.

À cet égard, il convient de garder à l’esprit que la raison d’être des restrictions que le droit de l’Union apporte aux transferts internationaux de données à caractère personnel, en exigeant que soit assurée la continuité du niveau de protection des droits des personnes concernées, tient à éviter le risque de contournement des standards applicables au sein de l’Union ( 88 ). Ainsi que l’a fait valoir en substance Facebook Ireland, il ne serait aucunement justifié, au regard de cet objectif, d’escompter de la part d’un pays tiers le respect d’exigences qui ne correspondent pas à des obligations incombant aux États membres.

205.

Or, conformément à son article 51, paragraphe 1, la Charte s’applique aux États membres uniquement lorsqu’ils mettent en œuvre le droit de l’Union. Par conséquent, la validité d’une décision d’adéquation au regard des restrictions à l’exercice des droits fondamentaux des personnes concernées découlant de la réglementation du pays tiers de destination dépend d’une comparaison entre ces restrictions et celles qu’autoriseraient de la part des États membres les dispositions de la Charte dans la seule mesure où une réglementation similaire d’un État membre relèverait du champ d’application du droit de l’Union.

206.

Cependant, l’adéquation du niveau de protection assuré dans l’État tiers de destination ne saurait être appréciée en ignorant les éventuelles ingérences dans l’exercice des droits fondamentaux des personnes concernées qui résulteraient de mesures étatiques, notamment dans le domaine de la sécurité nationale, qui, si elles étaient adoptées par un État membre, tomberaient en dehors du champ d’application du droit de l’Union. Aux fins de cette appréciation, l’article 45, paragraphe 2, sous a), du RGPD requiert la prise en compte, sans limitation aucune, des réglementations en matière de sécurité nationale en vigueur dans cet État tiers.

207.

L’évaluation du caractère adéquat du niveau de protection au regard de telles mesures étatiques implique, à mon avis, de comparer les garanties dont elles sont assorties avec le niveau de protection exigé au sein de l’Union en vertu du droit des États membres, en ce compris de leurs engagements au titre de la CEDH. Dès lors que l’adhésion des États membres à la CEDH oblige ceux-ci à mettre leurs droits internes en conformité avec les dispositions de cette convention et constitue ainsi, comme l’ont souligné en substance Facebook Ireland, les gouvernements allemand et tchèque de même que la Commission, un dénominateur commun aux États membres, je considérerai ces dispositions comme le comparateur pertinent aux fins de cette évaluation.

208.

En l’occurrence, comme évoqué ci-avant ( 89 ), les exigences relatives à la sécurité nationale des États-Unis priment les obligations des entreprises autocertifiées au titre de la décision « bouclier de protection des données ». Aussi la validité de cette décision dépend-elle du point de savoir si ces exigences sont entourées de garanties offrant un niveau de protection substantiellement équivalent à celui qui doit être assuré dans l’Union.

209.

La réponse à cette question nécessite, au préalable, d’identifier les standards – à savoir ceux tirés de la Charte ou bien de la CEDH – auxquels devraient répondre, au sein de l’Union, des réglementations en matière de surveillance des communications électroniques semblables à celles que la Commission a examinées dans la décision « bouclier de protection des données ». La détermination des standards applicables dépend du point de savoir si des réglementations telles que l’article 702 du FISA et l’EO 12333 tomberaient ou non, si elles émanaient d’un État membre, sous le coup de la limitation apportée au champ d’application du RGPD en vertu de l’article 2, paragraphe 2, de ce règlement, lu à la lumière de l’article 4, paragraphe 2, TUE.

210.

À ce propos, il ressort du libellé de l’article 4, paragraphe 2, TUE et de la jurisprudence constante que le droit de l’Union et, notamment, les instruments de droit dérivé concernant la protection des données à caractère personnel ne s’appliquent pas aux activités en matière de protection de la sécurité nationale dans la mesure où elles constituent des activités propres aux États ou aux autorités étatiques et étrangères aux domaines d’activité des particuliers ( 90 ).

211.

Ce principe implique, d’une part, qu’une réglementation dans le domaine de la protection de la sécurité nationale ne relève pas du champ d’application du droit de l’Union lorsqu’elle régit uniquement des activités étatiques, sans encadrer aucune activité exercée par des particuliers. En conséquence, ce droit ne s’applique pas, à mes yeux, à des mesures nationales relatives à la collecte et à l’utilisation de données personnelles directement mises en œuvre par l’État à des fins de protection de la sécurité nationale, sans imposer d’obligations spécifiques à des opérateurs privés. En particulier, comme l’a fait valoir la Commission lors de l’audience, une mesure adoptée par un État membre qui, à l’instar de l’EO 12333, autoriserait l’accès direct par ses services de sécurité aux données en transit, serait exclue du champ d’application du droit de l’Union ( 91 ).

212.

Autrement plus complexe est la question de savoir si, d’autre part, des dispositions nationales qui, de la même manière que l’article 702 du FISA, obligent les fournisseurs de services de communications électroniques à offrir leur support aux autorités compétentes en matière de sécurité nationale afin de leur permettre d’accéder à certaines données à caractère personnel tomberaient également en dehors du champ d’application du droit de l’Union.

213.

Alors que l’arrêt PNR plaide en faveur d’une réponse affirmative à cette question, le raisonnement adopté dans les arrêts Tele2 Sverige et Ministerio Fiscal pourrait justifier qu’une réponse négative lui soit apportée.

214.

Dans l’arrêt PNR, la Cour a annulé la décision dans laquelle la Commission avait constaté l’adéquation du niveau de protection des données à caractère personnel contenues dans les dossiers des passagers aériens (Passenger Name Records, PNR) transférés à l’autorité américaine compétente en matière de douanes et de protection des frontières ( 92 ). La Cour a jugé que le traitement sur lequel portait cette décision – à savoir le transfert des données PNR par les compagnies aériennes vers l’autorité en cause – tombait, eu égard à son objet, sous le coup de l’exclusion du champ d’application de la directive 95/46 prévue à son article 3, paragraphe 2. Selon la Cour, ce traitement était nécessaire non pas à la réalisation d’une prestation de services, mais bien à la sauvegarde de la sécurité publique et à des fins répressives. Dès lors que le transfert en cause s’inscrivait dans un cadre institué par les pouvoirs publics et visant la sécurité publique, il était exclu du champ d’application de cette directive en dépit du fait que les données PNR étaient initialement collectées par des opérateurs privés dans le cadre d’une activité commerciale relevant de ce champ d’application et que ce transfert était organisé par ces derniers ( 93 ).

215.

Dans l’arrêt subséquent Tele2 Sverige ( 94 ), la Cour a jugé que des dispositions nationales, fondées sur l’article 15, paragraphe 1, de la directive 2002/58/CE ( 95 ), régissant tant la conservation, par les fournisseurs de services de télécommunications, de données de trafic et de localisation, que l’accès par les autorités publiques aux données conservées aux fins mentionnées à cette disposition – lesquelles incluent la répression pénale et la protection de la sécurité nationale – relèvent du champ d’application de cette directive et, partant, de la Charte. Selon la Cour, ni les dispositions relatives à la conservation des données, ni celles concernant l’accès aux données conservées ne sont couvertes par l’exclusion du champ d’application de cette directive prévue à son article 1er, paragraphe 3, lequel fait référence, notamment, aux activités de l’État en matière de répression et de protection de la sécurité nationale ( 96 ). La Cour a confirmé cette jurisprudence dans l’arrêt Ministerio Fiscal ( 97 ).

216.

L’article 702 du FISA diffère, cependant, d’une telle réglementation en ce que cette disposition ne fait peser sur les fournisseurs de services de communications électroniques aucune obligation de conserver les données ni de se livrer à un quelconque autre traitement en l’absence d’une demande d’accès aux données émanant des autorités de renseignement.

217.

Se pose, dès lors, la question de savoir si relèvent du champ d’application du RGPD et, partant, de la Charte, des mesures nationales qui imposent à ces fournisseurs une obligation de mettre des données à disposition des autorités publiques à des fins de sécurité nationale indépendamment de toute obligation de conservation ( 98 ).

218.

Une première approche pourrait consister à concilier, autant que possible, les deux lignes de jurisprudence susmentionnées en interprétant la conclusion tirée par la Cour dans les arrêts Tele2 Sverige et Ministerio Fiscal, relative à l’applicabilité du droit de l’Union aux mesures régissant l’accès aux données par des autorités nationales à des fins, notamment, de protection de la sécurité nationale ( 99 ), comme étant limitée aux cas de figure dans lesquels les données ont été conservées en vertu d’une obligation légale instituée au titre de l’article 15, paragraphe 1, de la directive 2002/58. Cette conclusion ne s’appliquerait pas, en revanche, au contexte factuel distinct de l’arrêt PNR, lequel concernait le transfert à une autorité américaine compétente en matière de sécurité intérieure de données conservées par les compagnies aériennes, dans un but commercial, à leur propre initiative.

219.

Selon une seconde approche, que la Commission préconise et que j’estime plus convaincante, le raisonnement adopté dans les arrêts Tele2 Sverige et Ministerio Fiscal justifierait l’applicabilité du droit de l’Union à des règles nationales imposant aux fournisseurs de services de communication électroniques d’apporter leur assistance aux autorités en charge de la sécurité nationale afin que celles-ci puissent accéder à certaines données, sans qu’il importe que ces règles accompagnent ou non une obligation de conservation préalable des données.

220.

Le cœur de ce raisonnement repose, en effet, non pas sur l’objet des dispositions en cause comme dans l’arrêt PNR, mais bien sur le fait que ces dispositions régissaient les activités des fournisseurs en leur enjoignant de se livrer à un traitement de données. Ces activités ne constituaient pas des activités de l’État dans les domaines visés à l’article 1er, paragraphe 3, de la directive 2002/58 et à l’article 3, paragraphe 2, de la directive 95/46, dont l’article 2, paragraphe 2, du RGPD reprend essentiellement le contenu.

221.

Ainsi, dans l’arrêt Tele2 Sverige, la Cour a observé que « l’accès aux données conservées par [les] fournisseurs porte sur des traitements de données à caractère personnel par ces derniers, traitements qui relèvent du champ d’application de cette directive » ( 100 ). De la même manière, elle a jugé, dans l’arrêt Ministerio Fiscal, que des mesures législatives imposant aux fournisseurs d’accorder aux autorités compétentes l’accès aux données conservées « impliquent nécessairement un traitement, par ces fournisseurs, [de ces] données » ( 101 ).

222.

Or, la mise à disposition de données par le responsable du traitement au bénéfice d’une autorité publique répond à la définition du « traitement » prévue à l’article 4, point 2, du RGPD ( 102 ). Il en va de même du filtrage préalable des données au moyen de critères de recherche aux fins d’isoler celles auxquelles les autorités publiques ont sollicité l’accès ( 103 ).

223.

J’en conclus que, suivant le raisonnement adopté par la Cour dans les arrêts Tele2 Sverige et Ministerio Fiscal, le RGPD et, partant, la Charte s’appliquent à une réglementation nationale obligeant un fournisseur de services de communications électroniques à offrir son concours aux autorités en charge de la sécurité nationale en mettant des données à leur disposition, le cas échéant après les avoir filtrées, même indépendamment de toute obligation légale de conservation de ces données.

224.

De surcroît, cette interprétation semble découler, du moins implicitement, de l’arrêt Schrems. Comme l’ont souligné le DPC, les gouvernements autrichien et polonais ainsi que la Commission, la Cour, dans le cadre de l’examen de la validité de la décision « sphère de sécurité », y a jugé que le droit du pays tiers visé par une décision d’adéquation doit prévoir, contre les ingérences de ses autorités publiques dans les droits fondamentaux des personnes concernées à des fins de sécurité nationale, des garanties substantiellement équivalentes à celles qui découlent, notamment, des articles 7, 8 et 47 de la Charte ( 104 ).

225.

Il s’ensuit, de manière plus spécifique, qu’une mesure nationale imposant aux fournisseurs de services de communications électroniques de répondre à une demande d’accès, émanant des autorités compétentes en matière de sécurité nationale, à certaines données conservées par ces fournisseurs dans le cadre de leurs activités commerciales indépendamment de toute obligation légale, en identifiant au préalable les données demandées par l’application de sélecteurs (comme dans le cadre du programme PRISM), ne tomberait pas sous le coup de l’article 2, paragraphe 2, du RGPD. Il en irait de même d’une mesure nationale exigeant des entreprises exploitant la « dorsale » des télécommunications qu’elles donnent accès aux autorités en charge de la sécurité nationale à des données transitant par les infrastructures qu’elles exploitent (comme dans le cadre du programme Upstream).

226.

En revanche, une fois les données en cause parvenues entre les mains des autorités étatiques, leur conservation et leur utilisation ultérieure par ces autorités à des fins de sécurité nationale sont, à mon sens, pour les mêmes raisons que celles évoquées au point 211 des présentes conclusions, couvertes par la dérogation prévue à l’article 2, paragraphe 2, du RGPD, de sorte qu’elles ne relèvent pas du champ d’application de ce règlement ni, partant, de la Charte.

227.

Au vu de tout ce qui précède, j’estime que le contrôle de la validité de la décision « bouclier de protection des données » au regard des limitations aux principes y énoncés qui sont susceptibles de découler des activités des autorités de renseignement américaines implique une double vérification.

228.

Il conviendra, en premier lieu, d’examiner si les États-Unis assurent un niveau de protection substantiellement équivalent à celui qui découle des dispositions du RGPD et de la Charte contre les limitations résultant de l’application de l’article 702 du FISA, en ce que cette disposition permet à la NSA d’imposer aux fournisseurs de mettre des données personnelles à sa disposition.

229.

En second lieu, les dispositions de la CEDH constitueront le cadre de référence pertinent afin d’évaluer si les limitations que pourrait entraîner la mise en œuvre de l’EO 12333, en ce qu’il autorise les autorités de renseignement à collecter elles-mêmes, sans le concours d’opérateurs privés, des données à caractère personnel, mettent en cause l’adéquation du niveau de protection assuré aux États-Unis. Ces dispositions fourniront également les standards de comparaison permettant d’apprécier le caractère adéquat de ce niveau de protection au regard de la conservation et de l’utilisation des données acquises par ces autorités à des fins de sécurité nationale.

230.

Encore faut-il, cependant, déterminer si un constat d’adéquation suppose que la collecte de données au titre de l’EO 12333 s’accompagne d’un niveau de protection substantiellement équivalent à celui qui doit être assuré au sein de l’Union même dans la mesure où cette collecte aurait lieu en dehors du territoire des États-Unis, au cours de la phase de transit des données depuis l’Union vers ce pays tiers.

231.

Trois positions distinctes ont été défendues devant la Cour en ce qui concerne la nécessité ou non pour la Commission de tenir compte, aux fins d’évaluer l’adéquation du niveau de protection assuré dans un pays tiers, de mesures nationales relatives à l’accès aux données par les autorités de ce pays tiers, en dehors de son territoire, au cours de la phase de transit des données depuis l’Union vers ce territoire.

232.

Premièrement, Facebook Ireland ainsi que les gouvernements des États-Unis et du Royaume-Uni soutiennent, en substance, que l’existence de telles mesures est sans incidence dans le cadre d’un constat d’adéquation. Ces derniers se prévalent, au soutien de cette approche, de l’impossibilité pour un État tiers de contrôler l’ensemble des voies de communication situées en dehors de son territoire par lesquelles transitent les données en provenance de l’Union, si bien qu’il ne pourrait par hypothèse jamais être garanti qu’un autre État tiers ne collecte pas secrètement des données au cours de leur transit.

233.

Deuxièmement, le DPC, M. Schrems, l’EPIC, les gouvernements autrichien et néerlandais, le Parlement et l’EDPB font valoir que l’impératif de continuité du niveau de protection, énoncé à l’article 44 du RGPD, implique que ce niveau doit être adéquat tout au long du transfert, y compris lorsque les données transitent par des câbles sous-marins avant d’atteindre le territoire du pays tiers de destination.

234.

Tout en reconnaissant ce principe, la Commission soutient, troisièmement, que l’objet d’un constat d’adéquation se cantonne à la protection assurée par le pays tiers visé à l’intérieur de ses frontières, si bien que la circonstance selon laquelle un niveau adéquat de protection n’est pas garanti au cours du transit vers ce pays tiers ne remet pas en cause la validité d’une décision d’adéquation. Il incomberait néanmoins au responsable du traitement, conformément à l’article 32 du RGPD, de veiller à la sécurité du transfert en protégeant autant que possible les données à caractère personnel pendant la phase de transit vers ledit pays tiers.

235.

À cet égard, j’observe que l’article 44 du RGPD subordonne un transfert vers un pays tiers au respect des conditions énoncées aux dispositions du chapitre V de ce règlement dans la mesure où les données sont susceptibles de faire l’objet d’un traitement « après ce transfert ». Ces termes pourraient être compris comme signifiant soit, comme l’a soutenu le gouvernement des États-Unis dans sa réponse écrite aux questions de la Cour, que ces conditions doivent être respectées une fois les données parvenues à destination, soit qu’elles s’imposent après que le transfert a été initié (y compris au cours de la phase de transit).

236.

Le libellé de l’article 44 du RGPD n’étant pas concluant, une interprétation téléologique m’amène à faire mienne la seconde de ces interprétations et, dès lors, à me rallier à la deuxième des approches susmentionnées. En effet, s’il était considéré que l’exigence de continuité du niveau de protection prévue à cette disposition ne couvre que les mesures de surveillance mises en œuvre à l’intérieur du territoire du pays tiers de destination, elle pourrait être contournée lorsque ce pays tiers applique de telles mesures en dehors de son territoire au cours de la phase de transit des données. Afin d’éviter ce risque, l’évaluation de l’adéquation du niveau de protection assuré par un pays tiers doit porter sur l’ensemble des dispositions, notamment en matière de sécurité nationale, de l’ordre juridique de ce pays tiers ( 105 ), parmi lesquelles figurent aussi bien celles relatives à la surveillance mise en œuvre sur son territoire que celles qui permettent la surveillance des données en transit vers ce territoire ( 106 ).

237.

Cela étant, nul ne conteste que, comme l’a souligné l’EDPB, l’évaluation du caractère adéquat du niveau de protection porte uniquement, ainsi qu’il ressort de l’article 45, paragraphe 1, du RGPD, sur les dispositions de l’ordre juridique du pays tiers de destination des données. L’impossibilité, dont excipent Facebook Ireland ainsi que les gouvernements des États-Unis et du Royaume-Uni, de garantir qu’un autre État tiers ne collecte pas secrètement ces données au cours de leur transit n’affecte pas cette évaluation. Au demeurant, un tel risque ne saurait être exclu même après que les données sont parvenues sur le territoire de l’État tiers de destination.

238.

Il est vrai également, par ailleurs, que la Commission, lorsqu’elle apprécie l’adéquation du niveau de protection garanti par un pays tiers, pourrait le cas échéant être confrontée à l’omission, de la part de ce pays tiers, de dévoiler à cette dernière l’existence de certains programmes de surveillance secrets. Il n’en découle cependant pas que, lorsque de tels programmes sont portés à sa connaissance, la Commission peut s’abstenir d’en tenir compte dans le cadre de son examen d’adéquation. De même, si, après l’adoption d’une décision d’adéquation, l’existence de certains programmes de surveillance secrets, mis en œuvre par le pays tiers visé sur son territoire ou au cours du transit vers celui-ci, lui est révélée, la Commission est tenue de réexaminer son constat relatif à l’adéquation du niveau de protection assuré par ce pays tiers si une telle révélation fait naître un doute à ce sujet ( 107 ).

239.

S’il est constant que la Cour n’est pas compétente pour procéder à une interprétation du droit d’un pays tiers qui s’imposerait dans l’ordre juridique de celui-ci, la validité de la décision « bouclier de protection des données » dépend du bien-fondé des appréciations effectuées par la Commission concernant le niveau de protection, assuré par le droit et les pratiques des États-Unis, des droits fondamentaux des personnes dont les données sont transférées vers ce pays tiers. En effet, la Commission était tenue de motiver son constat d’adéquation au regard des éléments, portant notamment sur le contenu du droit dudit pays tiers, mentionnés à l’article 45, paragraphe 2, du RGPD ( 108 ).

240.

La High Court (Haute Cour) a présenté, dans son jugement du 3 octobre 2017, des constatations détaillées décrivant les aspects pertinents du droit américain après avoir évalué les preuves apportées par les parties au litige ( 109 ). Cet exposé recoupe largement les constatations opérées par la Commission, dans la décision « bouclier de protection des données », relatives au contenu des règles entourant la collecte et l’accès par les autorités de renseignement américaines aux données transférées ainsi qu’aux voies de recours et aux mécanismes de supervision afférents à ces activités.

241.

La juridiction de renvoi, de même que plusieurs des parties et intéressés ayant soumis des observations à la Cour, mettent davantage en cause les conséquences juridiques que la Commission a tirées de ces constatations – à savoir la conclusion selon laquelle les États-Unis assurent un niveau adéquat de protection des droits fondamentaux des personnes dont les données sont transférées au titre de cette décision – que la description qu’elle a présentée du contenu du droit américain.

242.

Dans ces conditions, j’évaluerai essentiellement la validité de la décision « bouclier de protection des données » à la lumière des constatations opérées par la Commission elle-même en ce qui concerne le contenu du droit américain, en examinant si celles-ci justifiaient l’adoption de cette décision d’adéquation.

243.

À ce propos, je n’adhère pas au point de vue, défendu par le DPC et M. Schrems, selon lequel les constatations opérées par la High Court (Haute Cour) au sujet du droit des États-Unis lieraient la Cour dans le cadre de l’examen de la validité de la décision « bouclier de protection des données ». Ces derniers font valoir que, dès lors que le droit étranger constitue une question factuelle en vertu du droit procédural irlandais, la juridiction de renvoi est seule compétente pour en établir le contenu.

244.

La jurisprudence constante reconnaît, certes, à la juridiction nationale la compétence exclusive pour établir les éléments de fait pertinents ainsi que pour interpréter le droit d’un État membre et l’appliquer au litige pendant devant elle ( 110 ). Cette jurisprudence traduit la répartition des fonctions entre la Cour et la juridiction de renvoi dans le cadre de la procédure instituée à l’article 267 TFUE. Alors que la Cour est seule compétente pour interpréter le droit de l’Union et pour statuer sur la validité du droit dérivé, il appartient à la juridiction nationale, amenée à trancher un litige concret pendant devant elle, d’en établir le contexte factuel et réglementaire afin que la Cour puisse lui fournir une réponse utile.

245.

La raison d’être de cette compétence exclusive de la juridiction de renvoi ne me paraît pas transposable à l’établissement du droit d’un pays tiers en tant qu’élément de nature à influencer la conclusion de la Cour sur la validité d’un acte de droit dérivé ( 111 ). Dès lors qu’une déclaration d’invalidité d’un tel acte s’impose erga omnes dans l’ordre juridique de l’Union ( 112 ), la conclusion de la Cour ne saurait dépendre de l’origine du renvoi préjudiciel. Or, comme l’ont souligné Facebook Ireland et le gouvernement des États-Unis, elle en serait tributaire si la Cour était liée par les constats dressés par la juridiction de renvoi relatifs au droit d’un État tiers, ceux-ci étant susceptibles de varier en fonction de la juridiction nationale qui s’y livre.

246.

Au vu de ces considérations, j’estime que, lorsque la réponse à une question préjudicielle portant sur la validité d’un acte de l’Union implique que soit évalué le contenu du droit d’un État tiers, la Cour, bien qu’elle puisse en tenir compte, n’est pas liée par les constatations opérées par la juridiction de renvoi relatives au droit de cet État tiers. La Cour peut, le cas échéant, s’en écarter ou les compléter en prenant en considération, dans le respect du principe du contradictoire, d’autres sources aux fins d’établir les éléments nécessaires à l’évaluation de la validité de l’acte en cause ( 113 ).

247.

La validité de la décision « bouclier de protection des données » dépend, je le rappelle, du point de savoir si l’ordre juridique des États-Unis assure, au bénéfice des personnes dont les données sont transférées depuis l’Union vers ce pays tiers, un niveau de protection qui soit « substantiellement équivalent » à celui garanti au sein des États membres en vertu du RGPD et de la Charte ainsi que, dans les domaines exclus du champ d’application du droit de l’Union, de leurs engagements au titre de la CEDH.

248.

Comme la Cour l’a souligné dans l’arrêt Schrems ( 114 ), ce standard ne signifie pas que le niveau de protection doit être « identique » à celui qui est requis dans l’Union. Si les moyens auxquels un pays tiers a recours pour protéger les droits des personnes concernées peuvent différer de ceux que prescrit le RGPD lu à la lumière de la Charte, « ces moyens doivent […] s’avérer, en pratique, effectifs afin d’assurer une protection substantiellement équivalente à celle garantie au sein de l’Union ».

249.

Il en découle également, selon moi, que le droit de l’État tiers de destination peut refléter sa propre échelle de valeurs en fonction de laquelle le poids respectif des divers intérêts en présence peut diverger de celui qui leur est attribué dans l’ordre juridique de l’Union. Au demeurant, la protection des données personnelles qui prévaut au sein de l’Union répond à un standard particulièrement élevé en comparaison avec le niveau de protection en vigueur dans le reste du monde. Le critère de l’« équivalence substantielle » devrait, dès lors, à mon sens, être appliqué de manière à préserver une certaine souplesse pour tenir compte des diverses traditions juridiques et culturelles. Ce critère implique, cependant, sauf à le vider de sa substance, que certaines garanties minimales et exigences générales de protection des droits fondamentaux qui découlent de la Charte et de la CEDH trouvent leur équivalent dans l’ordre juridique du pays tiers de destination ( 115 ).

250.

À cet égard, conformément à l’article 52, paragraphe 1, de la Charte, toute limitation de l’exercice des droits et des libertés consacrés par celle-ci doit être prévue par la loi, respecter leur contenu essentiel et, dans le respect du principe de proportionnalité, être nécessaire et répondre effectivement à un objectif d’intérêt général reconnu par l’Union ou au besoin de protection des droits et libertés d’autrui. Ces exigences correspondent essentiellement à celles énoncées à l’article 8, paragraphe 2, de la CEDH ( 116 ).

251.

Conformément à l’article 52, paragraphe 3, de la Charte, dans la mesure où les droits garantis à ses articles 7, 8 et 47 correspondent à ceux consacrés aux article 8 et 13 de la CEDH, ils en partagent le sens et la portée, étant entendu que le droit de l’Union peut néanmoins leur accorder une protection plus étendue. Dans cette optique, ainsi que mon exposé le fera apparaître, les standards résultant des articles 7, 8 et 47 de la Charte, tels qu’interprétés par notre Cour, sont à certains égards plus stricts que ceux qui découlent de l’article 8 de la CEDH selon l’interprétation qu’en a donnée la Cour européenne des droits de l’homme (ci-après la « Cour EDH »).

252.

J’observe également que des affaires pendantes devant chacune de ces juridictions invitent celles-ci à reconsidérer certains aspects de leurs jurisprudences respectives. Ainsi, d’une part, deux arrêts récents de la Cour EDH en matière de surveillance des communications électroniques – à savoir les arrêts Centrüm för Rättvisa c. Suède ( 117 ) et Big Brother Watch c. Royaume-Uni ( 118 ) – ont fait l’objet d’un renvoi pour réexamen en grande chambre. D’autre part, trois juridictions nationales ont saisi notre Cour de renvois préjudiciels qui ouvrent le débat sur la nécessité ou non d’un infléchissement de sa jurisprudence issue de l’arrêt Tele2 Sverige ( 119 ).

253.

Ces précisions étant apportées, j’examine à présent la validité de la décision « bouclier de protection des données » au regard de l’article 45, paragraphe 1, du RGPD, lu à la lumière de la Charte et de la CEDH en ce qu’elles garantissent les droits, d’une part, au respect de la vie privée ainsi qu’à la protection des données à caractère personnel [section b)], et, d’autre part, à une protection juridictionnelle effective [section c)].

254.

Dans le cadre de sa quatrième question, la juridiction de renvoi met, essentiellement, en cause l’équivalence substantielle entre le niveau de protection assuré par les États-Unis et celui que les personnes concernées tirent, au sein de l’Union, de leurs droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel.

255.

Aux considérants 67 à 124 de la décision « bouclier de protection des données », la Commission fait état de la possibilité que les autorités publiques américaines accèdent aux données transférées depuis l’Union et utilisent celles-ci à des fins de sécurité nationale dans le cadre de programmes fondés, en particulier, sur l’article 702 du FISA ou sur l’EO 12333.

256.

La mise en œuvre de ces programmes entraîne des intrusions de la part des services de renseignement américains qui, si elles émanaient des autorités d’un État membre, seraient considérées comme des ingérences dans l’exercice du droit au respect de la vie privée garanti à l’article 7 de la Charte et à l’article 8 de la CEDH. Elle expose également les personnes concernées à un risque de voir leurs données à caractère personnel subir des traitements ne répondant pas aux exigences énoncées à l’article 8 de la Charte ( 120 ).

257.

Je précise d’emblée que les droits au respect de la vie privée et à la protection des données à caractère personnel englobent la protection non seulement du contenu des communications mais également les données de trafic ( 121 ) et de localisation (désignées, ensemble, par le terme « métadonnées »). Tant notre Cour que la Cour EDH ont, en effet, reconnu que les métadonnées, comme les données de contenu, sont susceptibles de révéler des informations très précises concernant la vie privée d’un individu ( 122 ).

258.

Selon la jurisprudence de la Cour, il importe peu, aux fins d’établir l’existence d’une ingérence dans l’exercice du droit garanti à l’article 7 de la Charte, que les données concernées présentent ou non un caractère sensible et que les personnes intéressées aient ou non subi d’éventuels inconvénients en raison de la mesure de surveillance en cause ( 123 ).

259.

Cela étant rappelé, les programmes de surveillance fondés sur l’article 702 du FISA entraînent, au premier chef, des ingérences dans l’exercice des droits fondamentaux des personnes dont les communications répondent aux sélecteurs choisis par la NSA et sont, en conséquence, transmises à cette dernière par les fournisseurs de services de communications électroniques ( 124 ). Plus précisément, l’obligation pesant sur les fournisseurs de mettre les données à la disposition de la NSA, dans la mesure où elle déroge au principe de confidentialité des communications ( 125 ), emporte en elle-même une ingérence quand bien même ces données ne seraient pas ultérieurement consultées et utilisées par les autorités de renseignement ( 126 ). La conservation et l’accès effectif par ces autorités aux métadonnées et au contenu des communications mises à leur disposition, de même que l’utilisation de ces données, constituent autant d’ingérences additionnelles ( 127 ).

260.

Qui plus est, selon les constatations de la juridiction de renvoi ( 128 ) et d’autres sources telles que le rapport du PCLOB sur les programmes mis en œuvre en vertu de l’article 702 du FISA porté à l’attention de la Cour par le gouvernement américain ( 129 ), la NSA aurait, dans le cadre du programme Upstream, déjà accès aux fins de leur filtrage à de vastes corpus (« paquets ») de données participant aux flux de communications traversant la « dorsale » des télécommunications et englobant des communications qui ne contiennent pas les sélecteurs identifiés par la NSA. La NSA ne pourrait examiner ces corpus de données que pour déterminer rapidement, de manière automatisée, s’ils contiennent ces sélecteurs. Seules les communications ainsi filtrées seraient alors sauvegardées dans les bases de données de la NSA. Cet accès aux données aux fins de leur filtrage constituerait également, à mon sens, une ingérence dans l’exercice du droit au respect de la vie privée des personnes concernées, quelle que soit l’utilisation ultérieure des données retenues ( 130 ).

261.

Par ailleurs, la mise à disposition et le filtrage des données en cause ( 131 ), l’accès à ces données par les autorités de renseignement, de même que la conservation, l’analyse et l’utilisation éventuelles desdites données relèvent de la notion de « traitement » au sens de l’article 4, point 2, du RGPD et de l’article 8, paragraphe 2, de la Charte. Ces traitements doivent, par suite, satisfaire aux exigences prévues par cette dernière disposition ( 132 ).

262.

La surveillance au titre de l’EO 12333 pourrait, quant à elle, impliquer l’accès direct, par les autorités de renseignement, aux données en transit, emportant une ingérence dans l’exercice du droit garanti à l’article 8 de la CEDH. À cette ingérence s’ajouterait celle que constituerait l’utilisation ultérieure éventuelle de ces données.

263.

En vertu de la jurisprudence de notre Cour ( 133 ) et de la Cour EDH ( 134 ), l’exigence selon laquelle toute ingérence dans l’exercice des droits fondamentaux doit être « prévue par la loi », au sens de l’article 52, paragraphe 1, de la Charte et de l’article 8, paragraphe 2, de la CEDH, implique non seulement que la mesure prévoyant l’ingérence doit avoir une base légale en droit interne, mais également que cette base légale doit revêtir certaines qualités d’accessibilité et de prévisibilité de façon à éviter le risque d’arbitraire.

264.

À cet égard, les parties et intéressés ayant soumis des observations à la Cour s’opposent, essentiellement, sur le point de savoir si l’article 702 du FISA et l’EO 12333 remplissent la condition relative à la prévisibilité de la loi.

265.

Cette condition, telle qu’interprétée par la Cour ( 135 ) et par la Cour EDH ( 136 ), requiert qu’une réglementation qui comporte une ingérence dans l’exercice du droit au respect de la vie privée institue des règles claires et précises régissant la portée et l’application de la mesure en cause et imposant un minimum d’exigences, de manière à fournir aux personnes concernées des garanties suffisantes pour protéger leurs données contre les risques d’abus ainsi que contre tout accès ou utilisation illicites de celles-ci. De telles règles doivent, en particulier, indiquer dans quelles circonstances et sous quelles conditions les autorités publiques peuvent conserver des données personnelles, y avoir accès et les utiliser ( 137 ). Par ailleurs, la base légale qui permet l’ingérence doit définir elle-même la portée de la limitation à l’exercice du droit au respect de la vie privée ( 138 ).

266.

Je doute, à l’instar de M. Schrems et de l’EPIC, que l’EO 12333, de même que la PPD 28 qui énonce des garanties accompagnant l’ensemble des activités de renseignement portant sur les transmissions électromagnétiques ( 139 ), soient suffisamment prévisibles pour revêtir la « qualité de loi ».

267.

Ces instruments mentionnent expressément qu’ils ne confèrent pas de droits juridiquement exécutoires aux personnes concernées ( 140 ). Celles-ci ne peuvent donc pas se prévaloir des garanties prévues par la PPD 28 devant les tribunaux ( 141 ). La Commission a d’ailleurs considéré, dans la décision « bouclier de protection des données », que les garanties énoncées dans cette directive présidentielle, bien qu’elles revêtent un caractère contraignant pour les services de renseignement ( 142 ), « ne sont pas formulées dans un langage juridique » ( 143 ). L’EO 12333 et la PPD 28 s’apparentent davantage à des instructions administratives internes qui peuvent être révoquées ou modifiées par le président des États-Unis. Or, la Cour EDH a déjà jugé que des directives administratives internes ne présentent pas la qualité de « loi » ( 144 ).

268.

En ce qui concerne l’article 702 du FISA, le caractère prévisible de cette disposition est mis en cause par M. Schrems au motif qu’elle n’encadrerait pas le choix des critères de sélection utilisés pour filtrer les données par des garanties suffisantes contre les risques d’abus. Dans la mesure où cette problématique a également trait au caractère strictement nécessaire des ingérences prévues par l’article 702 du FISA, je l’examinerai dans la suite de mon exposé ( 145 ).

269.

La troisième question préjudicielle recoupe la thématique du respect de la condition relative à la « qualité de la loi ». Par cette question, la juridiction de renvoi cherche, en substance, à savoir si l’adéquation du niveau de protection assuré dans un pays tiers doit être examinée au regard uniquement des règles juridiquement contraignantes en vigueur dans ce pays tiers et des pratiques visant à en assurer le respect, ou bien également des divers instruments non contraignants et mécanismes de contrôle extrajudiciaires qui y sont appliqués.

270.

À ce sujet, l’article 45, paragraphe 2, sous a), du RGPD énonce une liste non exhaustive de circonstances dont la Commission doit tenir compte aux fins d’évaluer le caractère adéquat du niveau de protection offert par un pays tiers. Au nombre de ces circonstances figurent la législation applicable ainsi que la manière dont elle est mise en œuvre. Cette disposition mentionne également l’incidence d’autres types de normes, telles que les règles professionnelles et mesures de sécurité. Elle requiert, en outre, la prise en considération des « droits effectifs et opposables » et des « recours administratifs et judiciaires que peuvent effectivement introduire les personnes concernées dont les données à caractère personnel sont transférées » ( 146 ).

271.

Lue dans sa globalité et au regard du caractère non limitatif de la liste qu’elle contient, ladite disposition implique, à mes yeux, que des pratiques ou instruments non fondés sur une base légale accessible et prévisible peuvent être pris en compte dans le cadre de l’évaluation d’ensemble du niveau de protection assuré par le pays tiers en cause de façon à corroborer des garanties qui trouvent elles-mêmes un fondement juridique présentant ces caractères. En revanche, ainsi que l’ont essentiellement fait valoir le DPC, M. Schrems, le gouvernement autrichien et l’EDPB, pareils instruments ou pratiques ne sauraient se substituer à de telles garanties ni, partant, assurer en eux-mêmes le niveau de protection requis.

272.

L’exigence, énoncée à l’article 52, paragraphe 1, de la Charte, selon laquelle toute limitation aux droits ou libertés garantis par la Charte doit respecter le contenu essentiel de ceux-ci implique que, lorsqu’une ingérence y porte atteinte, aucun objectif légitime ne saurait la justifier. L’ingérence est alors jugée contraire à la Charte sans qu’il faille examiner si elle est apte et nécessaire à la réalisation de l’objectif poursuivi.

273.

À ce propos, la Cour a jugé qu’une réglementation nationale autorisant un accès généralisé au contenu des communications électroniques par les autorités publiques attente à l’essence même du droit au respect de la vie privée garanti à l’article 7 de la Charte ( 147 ). En revanche, tout en soulignant les risques associés à l’accès et à l’analyse des données de trafic et de localisation ( 148 ), la Cour a considéré que le contenu essentiel de ce droit n’est pas affecté lorsqu’une réglementation nationale autorise un accès généralisé par les autorités étatiques à ces données ( 149 ).

274.

L’article 702 du FISA ne saurait, à mon sens, être considéré comme habilitant les autorités de renseignement américaines à accéder de manière généralisée au contenu des communications électroniques.

275.

En effet, d’une part, l’accès aux données par les autorités de renseignement, au titre de l’article 702 du FISA, aux fins de leur analyse et de leur utilisation éventuelles est limité aux données répondant à des critères de sélection associés à des cibles individuelles.

276.

D’autre part, le programme Upstream pourrait, certes, impliquer un accès généralisé au contenu des communications électroniques en vue de leur filtrage automatisé dans l’hypothèse où des sélecteurs seraient appliqués non seulement aux champs « de » et « à », mais également à l’ensemble du contenu des flux de communications (recherche « concernant » le sélecteur) ( 150 ). Toutefois, comme le soutient la Commission et contrairement à ce qu’allèguent M. Schrems et l’EPIC, l’accès temporaire des autorités de renseignement à l’ensemble du contenu des communications électroniques aux seules fins de leur filtrage par l’application de critères de sélection ne saurait être assimilé à un accès généralisé à ce contenu ( 151 ). À mon avis, la gravité de l’ingérence découlant de cet accès limité dans le temps à des fins de filtrage automatisé n’atteint pas celle de l’ingérence qui résulte d’un accès généralisé à ce contenu par les autorités publiques en vue de son analyse et de son éventuelle utilisation ( 152 ). L’accès temporaire en vue du filtrage ne permet pas à ces autorités de conserver les métadonnées ou le contenu des communications qui ne répondent pas aux critères de sélection ni, en particulier, comme l’a fait remarquer le gouvernement américain, d’établir des profils concernant les individus non ciblés par ces critères.

277.

Cela étant, la question de savoir si le ciblage au moyen de sélecteurs dans le cadre des programmes fondés sur l’article 702 du FISA limite de façon effective les pouvoirs des autorités de renseignement dépend de l’encadrement du choix des sélecteurs ( 153 ). M. Schrems fait valoir, à ce sujet, que, faute d’un contrôle suffisant à cet effet, le droit américain ne prévoit pas de garantie contre un accès généralisé au contenu des communications déjà au stade du filtrage, si bien qu’il porte atteinte à l’essence même du droit au respect de la vie privée des personnes concernées.

278.

Ainsi que je l’exposerai plus en détail ci-après ( 154 ), j’incline à partager ces doutes quant au caractère suffisant de l’encadrement du choix des sélecteurs aux fins de répondre aux critères de prévisibilité et de proportionnalité des ingérences. Cependant, l’existence de cet encadrement, fût-il imparfait, s’oppose à la conclusion selon laquelle l’article 702 du FISA autorise un accès généralisé par les autorités publiques au contenu des communications électroniques et, partant, équivaut à une atteinte à l’essence même du droit consacré à l’article 7 de la Charte.

279.

Je souligne également que, dans l’avis 1/15, la Cour a considéré que le contenu essentiel du droit à la protection des données à caractère personnel, garanti à l’article 8 de la Charte, est préservé lorsque les finalités du traitement sont circonscrites et que le traitement s’accompagne de règles destinées à assurer, notamment, la sécurité, la confidentialité et l’intégrité des données, ainsi qu’à les protéger contre les accès et les traitements illégaux ( 155 ).

280.

Dans la décision « bouclier de protection des données », la Commission a constaté que tant l’article 702 du FISA que la PPD 28 délimitent les finalités pour lesquelles les données peuvent être collectées dans le cadre des programmes mis en œuvre au titre de l’article 702 du FISA ( 156 ). La Commission y a également relevé que la PPD 28 prévoit des règles encadrant l’accès aux données ainsi que leur stockage et leur diffusion afin d’en assurer la sécurité et de les prémunir contre les accès non autorisés ( 157 ). Comme le montrera la suite de mon exposé ( 158 ), je nourris des doutes, en particulier, sur le point de savoir si les finalités des traitements en cause sont définies avec assez de clarté et de précision pour assurer un niveau de protection substantiellement équivalent à celui qui prévaut dans l’ordre juridique de l’Union. Toutefois, ces faiblesses éventuelles ne suffiraient pas, à mon sens, à autoriser le constat selon lequel pareils programmes violeraient, s’ils étaient déployés au sein de l’Union, le contenu essentiel du droit à la protection des données à caractère personnel.

281.

Par ailleurs, le caractère adéquat du niveau de protection assuré dans le cadre d’activités de surveillance au titre de l’EO 12333 doit, je le rappelle, être évalué au regard des dispositions de la CEDH. À ce propos, il ressort de la décision « bouclier de protection des données » que les seules restrictions apportées à la mise en œuvre de mesures fondées sur l’EO 12333 pour collecter les données concernant des personnes non américaines sont celles que prévoit la PPD 28 ( 159 ). Cette directive présidentielle dispose que l’utilisation du renseignement extérieur doit être « aussi ciblée que possible ». Elle mentionne toutefois expressément la possibilité de collecter des données « en vrac », en dehors du territoire américain, aux fins de la poursuite de certains objectifs de sécurité nationale spécifiques ( 160 ). De l’avis de M. Schrems, les dispositions de la PPD 28, laquelle ne crée, du reste, pas de droits dans le chef des individus, ne protègent pas les personnes concernées contre le risque d’un accès généralisé au contenu de leurs communications électroniques.

282.

Je me limiterai à observer, à ce sujet, que la Cour EDH n’a, dans sa jurisprudence relative à l’article 8 de la CEDH, pas eu recours au concept d’atteinte au contenu essentiel, ou à la substance même, du droit au respect de la vie privée ( 161 ). Cette dernière n’a, jusqu’à présent, pas considéré que des régimes permettant l’interception des communications électroniques, même massive, excédaient en tant que tels la marge d’appréciation des États membres. La Cour EDH considère que de tels régimes sont compatibles avec l’article 8, paragraphe 2, de la CEDH pour autant qu’ils s’accompagnent d’un certain nombre de garanties minimales ( 162 ). Dans ces conditions, il ne me semble pas approprié de conclure qu’un régime de surveillance tel que celui prévu par l’EO 12333 dépasserait la marge d’appréciation des États membres sans se livrer à un quelconque examen des éventuelles garanties qui l’accompagnent.

283.

Aux termes de l’article 52, paragraphe 1, de la Charte, toute limitation à l’exercice des droits qu’elle consacre doit répondre effectivement à un objectif d’intérêt général reconnu par l’Union. L’article 8, paragraphe 2, de la Charte dispose également que tout traitement de données à caractère personnel qui ne repose pas sur le consentement de la personne concernée doit reposer sur un « fondement légitime prévu par la loi ». L’article 8, paragraphe 2, de la CEDH énumère, quant à lui, les buts susceptibles de justifier une ingérence dans l’exercice du droit au respect de la vie privée.

284.

En vertu de la décision « bouclier de protection des données », l’adhésion aux principes qu’elle énonce peut être limitée pour satisfaire à des obligations relatives à la sécurité nationale, à l’intérêt public et au respect de la législation ( 163 ). Les considérants 67 à 124 de cette décision examinent plus spécifiquement les limitations qui découlent de l’accès aux données et de leur utilisation par les autorités publiques américaines à des fins de sécurité nationale.

285.

Il est constant que la protection de la sécurité nationale constitue un objectif légitime susceptible de justifier des dérogations aux exigences tirées du RGPD ( 164 ), ainsi qu’aux droits fondamentaux consacrés aux articles 7 et 8 de la Charte ( 165 ) de même qu’à l’article 8, paragraphe 2, de la CEDH. Cependant, M. Schrems, le gouvernement autrichien et l’EPIC ont fait remarquer que les objectifs poursuivis dans le cadre des programmes de surveillance fondés sur l’article 702 du FISA et sur l’EO 12333 dépassent la seule sécurité nationale. En effet, ces instruments ont pour objet l’obtention de « renseignement extérieur », cette notion couvrant divers types d’informations qui incluent celles relatives à la sécurité nationale sans nécessairement y être limitées ( 166 ). Relèvent, ainsi, de la notion de « renseignement extérieur », au sens de l’article 702 du FISA, les données concernant la conduite des affaires étrangères ( 167 ). L’EO 12333 définit, quant à lui, cette notion comme englobant les informations relatives aux capacités, intentions ou activités de gouvernements étrangers, d’organisations étrangères et de personnes étrangères ( 168 ). M. Schrems met en question le caractère légitime de l’objectif ainsi visé en ce qu’il excéderait la sécurité nationale.

286.

À mes yeux, le périmètre de la sécurité nationale peut inclure, dans une certaine mesure, la protection d’intérêts relatifs à la conduite des affaires étrangères ( 169 ). Par ailleurs, il n’est pas inenvisageable que certaines des finalités autres que la protection de la sécurité nationale que recouvre la notion de « renseignement extérieur », telle que définie par l’article 702 du FISA et par l’EO 12333, correspondent à des objectifs importants d’intérêt général susceptibles de justifier une ingérence dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel. Ces objectifs pèseraient, en tout état de cause, moins lourd que la sauvegarde de la sécurité nationale dans le cadre d’une mise en balance entre les droits fondamentaux des personnes concernées et le but recherché par l’ingérence ( 170 ).

287.

Cependant, encore convient-il, conformément à l’article 52, paragraphe 1, de la Charte, que la sécurité nationale ou un autre objectif légitime soit effectivement poursuivi par les mesures prévoyant les ingérences en cause ( 171 ). En outre, les finalités des ingérences doivent être définies de manière à répondre aux exigences de clarté et de précision ( 172 ).

288.

Or, selon M. Schrems, la finalité des mesures de surveillance prévues par l’article 702 du FISA et par l’EO 12333 n’est pas énoncée avec une précision suffisante pour respecter les garanties de prévisibilité et de proportionnalité. Il en irait ainsi, en particulier, dans la mesure où ces instruments définissent la notion de « renseignement extérieur » de manière particulièrement large. De surcroît, la Commission a constaté au considérant 109 de la décision « bouclier de protection des données » que l’article 702 du FISA exige que la collecte d’informations en matière de renseignement extérieur constitue « un objectif important » de la collecte, cette formulation n’excluant pas, à première vue et comme l’a relevé l’EPIC, la poursuite d’autres objectifs non déterminés.

289.

Pour ces raisons, sans qu’il soit exclu que les mesures de surveillance au titre de l’article 702 du FISA ou de l’EO 12333 répondent à des objectifs légitimes, il est permis de se demander si ceux-ci sont définis de façon suffisamment claire et précise pour prévenir les risques d’abus et pour permettre un contrôle de la proportionnalité des ingérences qui en découlent ( 173 ).

290.

La Cour a itérativement souligné que les droits consacrés aux articles 7 et 8 de la Charte ne constituent pas des prérogatives absolues mais doivent être considérés par rapport à leur fonction dans la société et mis en balance avec d’autres droits fondamentaux, conformément au principe de proportionnalité ( 174 ). Comme l’a souligné Facebook Ireland, parmi ces autres droits figure le droit à la sûreté garanti à l’article 6 de la Charte.

291.

À cet égard, selon une jurisprudence tout aussi constante, toute ingérence dans l’exercice des droits garantis aux articles 7 et 8 de la Charte doit faire l’objet d’un contrôle strict de proportionnalité ( 175 ).

292.

En particulier, il ressort de l’arrêt Schrems que « n’est pas limitée au strict nécessaire une réglementation qui autorise de manière généralisée la conservation de l’intégralité des données […] sans qu’aucune différenciation, limitation ou exception soit opérée en fonction de l’objectif poursuivi et sans que soit prévu un critère objectif permettant de délimiter l’accès des autorités publiques aux données et leur utilisation ultérieure à des fins précises, strictement restreintes et susceptibles de justifier l’ingérence que comportent tant l’accès que l’utilisation de ces données » ( 176 ).

293.

La Cour a également jugé que, sauf cas d’urgence dûment justifiés, l’accès doit être subordonné à un contrôle préalable effectué soit par une juridiction, soit par une entité administrative indépendante dont la décision vise à limiter l’accès aux données et leur utilisation à ce qui est strictement nécessaire à la réalisation de l’objectif poursuivi ( 177 ).

294.

L’article 23, paragraphe 2, du RGPD établit désormais une série de garanties qu’un État membre doit prévoir lorsqu’il déroge aux dispositions de ce règlement. La réglementation permettant une telle dérogation doit contenir des dispositions relatives, notamment, aux finalités du traitement, à l’étendue de la dérogation, aux garanties destinées à prévenir les abus, aux durées de conservation ainsi qu’au droit des personnes concernées d’être informées de la dérogation, à moins que cela ne risque de nuire à la finalité de celle-ci.

295.

En l’espèce, M. Schrems soutient que l’article 702 du FISA ne s’accompagne pas de garanties suffisantes contre les risques d’abus et d’accès illicite aux données. En particulier, le choix des critères de sélection ne serait pas suffisamment encadré, si bien que cette disposition n’offrirait pas d’assurances contre un accès généralisé au contenu des communications.

296.

Le gouvernement des États-Unis et la Commission font valoir, au contraire, que l’article 702 du FISA limite par des critères objectifs le choix des sélecteurs dès lors que cette disposition permet uniquement la collecte des données de communications électroniques de personnes non américaines situées en dehors des États-Unis aux fins d’obtenir des informations en matière de renseignement extérieur.

297.

Il est, selon moi, permis de douter du caractère suffisamment clair et précis de ces critères ainsi que de l’existence de garanties suffisantes pour prévenir les risques d’abus.

298.

Tout d’abord, le considérant 109 de la décision « bouclier de protection des données » indique que les sélecteurs ne sont pas individuellement approuvés par le FISC ni par un autre organe judiciaire ou administratif indépendant préalablement à leur application. La Commission y a constaté que « le FISC n’autorise pas de mesures de surveillance individuelle, mais plutôt des programmes de surveillance […] sur la base de certifications annuelles », ce qu’a confirmé le gouvernement des États-Unis devant la Cour. Ce considérant précise que « les certifications qui doivent être approuvées par le FISC ne contiennent pas d’informations sur les personnes à cibler individuellement mais déterminent plutôt des catégories d’informations en matière de renseignement extérieur » pouvant être collectées. La Commission y constate également que « le FISC n’évalue pas, à l’aune d’une cause ou de tout autre critère, si les personnes sont correctement ciblées pour se procurer des informations en matière de renseignement extérieur », bien qu’il contrôle la condition qu’« un objectif important de l’acquisition soit d’obtenir des informations en matière de renseignement extérieur ».

299.

Ensuite, aux termes dudit considérant, l’article 702 du FISA n’autorise la NSA à collecter des communications « que s’il existe des motifs raisonnables de penser qu’un moyen de communication spécifique est utilisé pour communiquer des informations en matière de renseignement extérieur ». Le considérant 70 de la décision « bouclier de protection des données » ajoute que le choix des sélecteurs est effectué au sein du cadre des priorités de contrôle du renseignement national (National Intelligence Priorities Framework, NIPF). Cette décision ne fait pas état d’exigences de motivation ou de justification plus précises du choix des sélecteurs au regard de ces priorités administratives qui s’imposeraient à la NSA ( 178 ).

300.

Enfin, le considérant 71 de la décision « bouclier de protection des données » fait référence à l’exigence, prévue dans la PPD 28, selon laquelle la collecte de renseignement extérieur doit être « aussi ciblée que possible ». Outre le fait que cette directive présidentielle ne crée pas de droits dans le chef des individus, l’équivalence substantielle entre le critère d’une activité « aussi ciblée que possible » et celui de la « stricte nécessité » que l’article 52, paragraphe 1, de la Charte impose aux fins de justifier une ingérence dans l’exercice des droits garantis à ses articles 7 et 8 m’apparaît loin d’être évidente ( 179 ).

301.

Au vu de ces considérations, il n’est pas certain que, sur la base des éléments exposés dans la décision « bouclier de protection des données », les mesures de surveillance fondées sur l’article 702 du FISA s’accompagnent de garanties, relatives à la limitation des personnes susceptibles de faire l’objet d’une mesure de surveillance et des objectifs pour lesquels des données peuvent être collectées, substantiellement équivalentes à celles qui sont requises en vertu du RGPD, lu à la lumière des articles 7 et 8 de la Charte ( 180 ).

302.

Par ailleurs, en ce qui concerne l’évaluation du caractère adéquat du niveau de protection entourant la surveillance au titre de l’EO 12333, la Cour EDH reconnaît aux États membres une ample marge d’appréciation aux fins de choisir les moyens pour protéger leur sécurité nationale, cette marge étant toutefois limitée par l’exigence de prévoir des garanties adéquates et suffisantes contre les abus ( 181 ). Dans sa jurisprudence relative aux mesures de surveillance secrète, la Cour EDH vérifie si le droit interne sur lequel se fondent ces mesures contient des garanties et des garde-fous suffisants et effectifs propres à satisfaire aux exigences de « prévisibilité » et de « nécessité dans une société démocratique » ( 182 ).

303.

La Cour EDH énonce, à ce propos, un certain nombre de garanties minimales. Ces garanties concernent l’indication claire de la nature des infractions susceptibles de donner lieu à un mandat d’interception, la définition des catégories de personnes susceptibles de voir leurs communications interceptées, la fixation d’une limite à la durée de l’exécution de la mesure, la procédure à suivre pour l’examen, l’utilisation et la conservation des données recueillies, les précautions à prendre pour la communication des données à d’autres parties, et les circonstances dans lesquelles peut ou doit s’opérer l’effacement ou la destruction des enregistrements ( 183 ).

304.

Le caractère adéquat et effectif des garanties encadrant l’ingérence dépend de toutes les circonstances de la cause, en ce compris la nature, l’étendue et la durée des mesures, les raisons requises pour les ordonner, les autorités compétentes pour les permettre, les exécuter et les contrôler, et le type de recours fourni par le droit interne ( 184 ).

305.

En particulier, aux fins d’évaluer la justification d’une mesure de surveillance secrète, la Cour EDH tient compte de l’ensemble des contrôles exercés « lorsqu’on l’ordonne », « pendant qu’on la mène » et « après qu’elle a cessé » ( 185 ). S’agissant du premier de ces trois stades, la Cour EDH exige qu’une telle mesure soit autorisée par un organe indépendant. Bien que le pouvoir judiciaire représente selon elle les meilleures garanties d’indépendance, d’impartialité et de régularité de la procédure, l’organe en cause ne doit pas nécessairement appartenir à l’ordre judiciaire ( 186 ). Un contrôle juridictionnel approfondi à un stade ultérieur peut contrebalancer les éventuels défauts de la procédure d’autorisation ( 187 ).

306.

En l’occurrence, il ressort de la décision « bouclier de protection des données » que les seules garanties qui limitent la collecte et l’usage de données en dehors du territoire des États-Unis figurent dans la PPD 28, l’article 702 du FISA ne s’appliquant pas en dehors de ce territoire. Je ne suis pas persuadé que ces garanties puissent suffire à satisfaire aux conditions de « prévisibilité » et de « nécessité dans une société démocratique ».

307.

Tout d’abord, j’ai déjà relevé que cette directive présidentielle ne crée pas de droits dans le chef des individus. Ensuite, je doute que l’exigence d’assurer une surveillance « aussi ciblée que possible » soit formulée en termes suffisamment clairs et précis pour prémunir adéquatement les personnes concernées contre les risques d’abus ( 188 ). Enfin, la décision « bouclier de protection des données » n’établit pas que la surveillance fondée sur l’EO 12333 serait soumise à un contrôle préalable par un organe indépendant ou pourrait faire l’objet d’un contrôle juridictionnel a posteriori ( 189 ).

308.

Dans ces conditions, je m’interroge sur le bien-fondé du constat selon lequel les États-Unis assurent, dans le cadre des activités de leurs services de renseignement au titre de la section 702 du FISA et de l’EO 12333, un niveau adéquat de protection au sens de l’article 45, paragraphe 1, du RGPD, lu à la lumière des articles 7 et 8 de la Charte ainsi que de l’article 8 CEDH.

309.

La cinquième question préjudicielle invite la Cour à déterminer si les personnes dont les données sont transférées vers les États-Unis y bénéficient d’une protection juridictionnelle substantiellement équivalente à celle qui doit être assurée dans l’Union en vertu de l’article 47 de la Charte. Par sa dixième question, la juridiction de renvoi lui demande, en substance, si la cinquième question appelle une réponse affirmative compte tenu de l’introduction par la décision « bouclier de protection des données » du mécanisme de médiation.

310.

Je constate d’emblée que, au considérant 115 de cette décision, la Commission reconnaît que le système juridique américain comporte des lacunes dans la protection juridictionnelle des individus.

311.

Aux termes de ce considérant, premièrement, « au moins quelques bases juridiques pouvant être utilisées par les services de renseignement américains (comme l’EO 12333) ne sont pas couvertes » par les possibilités de recours juridictionnel. En effet, l’EO 12333 et la PPD 28 ne confèrent pas de droits aux personnes concernées et ne peuvent pas être invoqués par celles-ci devant les tribunaux. Or, une protection juridictionnelle effective présuppose, à tout le moins, que les particuliers disposent de droits pouvant être invoqués en justice.

312.

Deuxièmement, « même lorsque des possibilités de recours juridictionnel existent en principe pour des personnes non américaines, comme par exemple pour la surveillance FISA, les moyens d’action sont limités et les réclamations introduites […] seront déclarées irrecevables lorsqu’elles ne peuvent démontrer leur qualité pour agir, ce qui restreint l’accès aux juridictions ordinaires ».

313.

Il ressort des considérants 116 à 124 de la décision « bouclier de protection des données » que l’institution du médiateur vise à compenser ces limitations. La Commission conclut, au considérant 139 de cette décision, que « pris dans leur ensemble, les mécanismes de surveillance et de recours prévus par le bouclier de protection des données […] offrent aux personnes concernées des voies de droit afin d’avoir accès à des données à caractère personnel les concernant et, in fine, d’obtenir leur rectification ou leur suppression » (souligné par mes soins).

314.

Tout en rappelant les principes généraux qui se dégagent de la jurisprudence de notre Cour et de la Cour EDH relative au droit de recours contre des mesures de surveillance des communications, j’examinerai si les recours judiciaires prévus par le droit américain, tels que décrits dans la décision « bouclier de protection des données », permettent d’assurer une protection juridictionnelle adéquate des personnes concernées [section 1)]. Je déterminerai, par la suite, si l’introduction du mécanisme extrajudiciaire de médiation permet, le cas échéant, de combler les éventuelles lacunes caractérisant la protection juridictionnelle de ces personnes [section 2)].

315.

En premier lieu, l’article 47, premier alinéa, de la Charte consacre le droit de toute personne dont les droits et libertés garantis par le droit de l’Union ont été violés à un recours effectif devant un tribunal ( 190 ). Aux termes du deuxième alinéa de cet article, toute personne a droit à ce que sa cause soit entendue par un tribunal indépendant et impartial ( 191 ). L’accès à un tribunal indépendant relève du contenu essentiel du droit garanti à l’article 47 de la Charte ( 192 ).

316.

Ce droit à la protection juridictionnelle individuelle s’ajoute à l’obligation, pesant sur les États membres en vertu des articles 7 et 8 de la Charte, de soumettre toute mesure de surveillance, sauf cas d’urgence dûment justifiés, à un contrôle préalable par un tribunal ou une autorité administrative indépendante ( 193 ).

317.

Certes, comme l’ont fait valoir les gouvernements allemand et français, le droit à un recours juridictionnel effectif ne constitue pas une garantie absolue ( 194 ), ce droit pouvant être limité pour des raisons de sécurité nationale. Les dérogations ne sont cependant autorisées que pour autant qu’elles ne portent pas atteinte à son contenu essentiel et qu’elles soient strictement nécessaires à la réalisation d’un objectif légitime.

318.

À cet égard, la Cour a jugé, dans l’arrêt Schrems, qu’une réglementation ne prévoyant aucune possibilité pour le justiciable d’exercer des voies de droit afin d’avoir accès à des données à caractère personnel le concernant, ou d’obtenir la rectification ou la suppression de telles données, ne respecte pas le contenu essentiel du droit fondamental consacré à l’article 47 de la Charte ( 195 ).

319.

Je souligne que ce droit d’accès implique la possibilité pour une personne d’obtenir des autorités publiques, sous réserve des dérogations strictement nécessaires à la poursuite d’un intérêt légitime, la confirmation du fait qu’elles traitent ou non des données à caractère personnel la concernant ( 196 ). Telle est, à mon sens, la portée pratique du droit d’accès lorsque la personne intéressée ignore si les autorités publiques ont conservé des données personnelles la concernant à l’issue, notamment, d’un processus de filtrage automatisé des flux de communications électroniques.

320.

Par ailleurs, il ressort de la jurisprudence que les autorités d’un État membre sont, en principe, tenues de notifier l’accès aux données dès le moment où la notification n’est plus susceptible de compromettre les enquêtes menées ( 197 ). Une telle notification constitue, en effet, un prérequis à l’exercice du droit de recours au titre de l’article 47 de la Charte ( 198 ). Cette obligation est désormais reprise à l’article 23, paragraphe 2, sous h), du RGPD.

321.

Les considérants 111 à 135 de la décision « bouclier de protection des données » exposent succinctement l’ensemble des voies de recours disponibles aux personnes dont les données sont transférées lorsqu’elles craignent que ces données aient été traitées par les services de renseignement américains après le transfert. Ces voies de recours ont également été décrites dans le jugement de la High Court (Haute Cour) du 3 octobre 2017 ainsi que dans les observations, notamment, du gouvernement des États-Unis.

322.

Il n’est pas nécessaire de rappeler en détail la teneur de ces exposés. En effet, la juridiction de renvoi met en cause le caractère adéquat des garanties relatives à la protection juridique des personnes concernées au motif, essentiellement, que les exigences particulièrement strictes en matière de qualité pour agir (standing) ( 199 ), combinées à l’absence de toute obligation de notifier les personnes ayant fait l’objet d’une mesure de surveillance même lorsque la notification n’en mettrait plus en péril les objectifs, rendrait, en pratique, exagérément difficile l’exercice des voies de recours prévues dans le droit des États-Unis. Ces doutes sont partagés par le DPC, M. Schrems, les gouvernements autrichien, polonais et portugais ainsi que l’EDPB ( 200 ).

323.

Je me bornerai, à ce sujet, à rappeler que les règles en matière de qualité pour agir ne peuvent pas porter atteinte à la protection juridictionnelle effective ( 201 ), ainsi qu’à constater que la décision « bouclier de protection des données » ne mentionne aucune exigence d’informer les personnes concernées du fait qu’elles ont fait l’objet d’une mesure de surveillance ( 202 ). Dès lors qu’elle serait susceptible d’empêcher l’exercice des voies de recours juridictionnelles, l’absence d’obligation de notifier une telle mesure, même lorsque l’information de la personne concernée ne nuirait plus à son efficacité, apparaît problématique au regard de la jurisprudence mentionnée au point 320 des présentes conclusions.

324.

La note en bas de page 169 de la décision « bouclier de protection des données » reconnaît, en outre, que les procédures disponibles « nécessitent soit l’existence d’un dommage […], soit la preuve que le gouvernement envisage d’utiliser ou de divulguer à l’encontre d’une personne des informations obtenues sur celle-ci par surveillance électronique ». Ainsi que l’ont souligné la juridiction de renvoi, le DPC et M. Schrems, cette exigence contraste avec la jurisprudence de la Cour selon laquelle, aux fins d’établir une ingérence dans le droit au respect de la vie privée de la personne concernée, il n’est pas nécessaire que celle-ci ait subi d’éventuels inconvénients du fait de l’ingérence alléguée ( 203 ).

325.

Par ailleurs, le point de vue exprimé par Facebook Ireland et le gouvernement des États-Unis, selon lequel les faiblesses caractérisant la protection juridictionnelle des personnes dont les données sont transférées vers les États-Unis seraient compensées par les contrôles préalable et a posteriori exercés par le FISC ainsi que par les multiples mécanismes de surveillance établis au sein des pouvoirs exécutif et législatif ( 204 ), n’emporte pas ma conviction.

326.

J’ai déjà relevé que, d’une part, conformément aux constatations figurant dans la décision « bouclier de protection des données », le FISC ne contrôle pas les mesures individuelles de surveillance avant leur mise en œuvre ( 205 ). Ainsi que l’indique le considérant 109 de cette décision et que l’a confirmé le gouvernement des États-Unis dans sa réponse écrite aux questions posées par la Cour, le contrôle ex post de l’application des sélecteurs a, d’autre part, pour objet de vérifier, lorsqu’un incident relatif à la possible méconnaissance des procédures de ciblage et de minimisation est porté à l’attention du FISC par une agence de renseignement ( 206 ), le respect des conditions régissant le choix des sélecteurs prévues dans la certification annuelle. La procédure devant le FISC ne semble, dès lors, pas offrir de voie de recours individuelle effective aux personnes dont les données sont transférées vers les États-Unis.

327.

Les mécanismes de contrôle extrajudiciaires mentionnés aux considérants 95 à 110 de la décision « bouclier de protection des données », s’ils pourraient le cas échéant renforcer d’éventuelles voies de recours juridictionnelles, ne sauraient, à mes yeux, suffire à assurer un niveau de protection adéquat au regard du droit de recours des personnes concernées. En particulier, les inspecteurs généraux, appartenant à la structure interne de chaque agence, ne constituent pas, me semble-t-il, des mécanismes de contrôle indépendants. La surveillance exercée par le PCLOB et par les commissions du renseignement du Congrès n’équivaut pas, quant à elle, à un mécanisme de recours individuel contre des mesures de surveillance.

328.

Il conviendra dès lors d’examiner si l’institution du médiateur pallie ces lacunes en fournissant aux personnes concernées une voie de recours effective devant un organe indépendant et impartial ( 207 ).

329.

En second lieu, aux fins d’évaluer le bien-fondé du constat d’adéquation effectué dans la décision « bouclier de protection des données » au regard des voies de recours disponibles aux personnes qui pensent avoir fait l’objet d’une surveillance fondée sur l’EO 12333, le cadre de référence pertinent réside, je le rappelle, dans les dispositions de la CEDH.

330.

Comme exposé précédemment ( 208 ), la Cour EDH procède, aux fins d’évaluer si une mesure de surveillance répond aux conditions de « prévisibilité » et de « nécessité dans une société démocratique » au sens de l’article 8, paragraphe 2, CEDH ( 209 ), à un examen d’ensemble des mécanismes de contrôle et de supervision mis en œuvre « avant, pendant et après » son exécution. Lorsque l’exercice d’un recours individuel est empêché du fait que la notification de la mesure de surveillance n’est pas possible sans mettre en péril l’efficacité de celle-ci ( 210 ), cette lacune peut être contrebalancée par la mise en œuvre d’un contrôle indépendant préalablement à l’application de la mesure en cause ( 211 ). Ainsi, la Cour EDH, si elle juge une telle notification « souhaitable » dès qu’elle peut avoir lieu sans altérer l’efficacité de la mesure de surveillance, ne l’a pas érigée en exigence ( 212 ).

331.

À cet égard, la décision « bouclier de protection des données » ne fait pas apparaître que les mesures de surveillance fondées sur l’EO 12333 seraient notifiées aux individus concernés ou encadrées par des mécanismes de contrôle juridictionnel ou administratif indépendants à un quelconque stade de leur adoption ou de leur mise en œuvre.

332.

Dans ces conditions, il y a lieu d’examiner si le recours au médiateur permet néanmoins d’assurer un contrôle indépendant des mesures de surveillance, y compris lorsqu’elles se fondent sur l’EO 12333.

333.

Aux termes du considérant 116 de la décision « bouclier de protection des données », le mécanisme de médiation décrit à l’annexe III A de cette décision vise à fournir des voies de recours supplémentaires à toutes les personnes dont les données sont transférées depuis l’Union vers les États-Unis.

334.

Ainsi que l’a souligné le gouvernement des États-Unis, la recevabilité d’une plainte déposée auprès du médiateur n’est pas subordonnée au respect de règles en matière de qualité pour agir semblables à celles qui régissent l’accès aux tribunaux américains. Le considérant 119 de ladite décision précise, à ce propos, que le recours au médiateur ne présuppose pas que la personne intéressée démontre que le gouvernement des États-Unis a consulté des données personnelles la concernant.

335.

À l’instar du DPC, de M. Schrems, des gouvernements polonais et portugais ainsi que de l’EPIC, je doute de la capacité de ce mécanisme à compenser les insuffisances de la protection judiciaire offerte aux personnes dont les données sont transférées depuis l’Union vers les États-Unis.

336.

Tout d’abord, bien qu’un mécanisme de recours extrajudiciaire puisse constituer une voie de recours effective au sens de l’article 47 TFUE, tel n’est le cas que pour autant, en particulier, que l’organe en question trouve une origine légale et satisfasse à la condition d’indépendance ( 213 ).

337.

Or, il ressort de la décision « bouclier de protection des données » que le mécanisme de médiation, puisant sa source dans la PPD 28 ( 214 ), n’a pas d’origine dans la loi. Le médiateur est désigné par le secrétaire d’État et fait partie intégrante du département d’État des États-Unis ( 215 ). Cette décision ne comporte aucune indication selon laquelle la révocation du médiateur ou l’annulation de sa nomination seraient assorties de garanties particulières ( 216 ). Bien que le médiateur soit présenté comme étant indépendant de la « communauté du renseignement », il rend des comptes au secrétaire d’État et n’est, dès lors, pas indépendant du pouvoir exécutif ( 217 ).

338.

Ensuite, l’effectivité d’une voie de recours extrajudiciaire dépend également, me semble-t-il, de la capacité de l’organe en cause à adopter des décisions contraignantes et motivées. À ce sujet, la décision « bouclier de protection des données » ne comporte aucune indication selon laquelle le médiateur prendrait de telles décisions. Elle n’établit pas que l’institution du médiateur permettrait aux requérants d’accéder aux données les concernant et de les faire rectifier ou effacer, ni que le médiateur accorderait une réparation aux personnes lésées par une mesure de surveillance. En particulier, ainsi qu’il ressort de l’annexe III A, point 4, sous e), de cette décision, « le médiateur […] ne confirmera ni ne démentira que la personne a fait l’objet d’une surveillance, pas plus qu’il ne confirmera la mesure de réparation spécifique appliquée » ( 218 ). Si le gouvernement américain s’est engagé à ce que la composante concernée des services de renseignement soit tenue de corriger toute violation des normes applicables détectée par le médiateur ( 219 ), ladite décision ne fait pas état de garanties légales qui accompagneraient cet engagement et dont pourraient se prévaloir les individus concernés.

339.

Par conséquent, l’institution du médiateur ne fournit pas, à mon sens, une voie de recours devant un organe indépendant offrant aux personnes dont les données sont transférées une possibilité de faire valoir leur droit d’accès aux données ou de contester d’éventuels manquements aux règles applicables de la part des services de renseignement.

340.

Enfin, conformément à la jurisprudence, le respect du droit garanti à l’article 47 de la Charte supposerait alors que la décision de cette autorité administrative qui ne remplit pas elle-même la condition d’indépendance subisse le contrôle ultérieur d’un organe juridictionnel compétent pour se pencher sur toutes les questions pertinentes ( 220 ). Pourtant, selon les indications fournies dans la décision « bouclier de protection des données », les décisions du médiateur ne font pas l’objet d’un contrôle juridictionnel indépendant.

341.

Dans ces conditions, ainsi que l’ont fait valoir le DPC, M. Schrems, l’EPIC ainsi que les gouvernements polonais et portugais, l’équivalence substantielle entre la protection juridictionnelle offerte dans l’ordre juridique des États-Unis aux personnes dont les données y sont transférées depuis l’Union et celle qui découle du RGPD lu à la lumière de l’article 47 de la Charte et de l’article 8 CEDH me semble sujette à caution.

342.

Au vu de l’ensemble des considérations qui précèdent, je nourris certains doutes sur la conformité de la décision « bouclier de protection des données » à l’article 45, paragraphe 1, du RGPD, lu à la lumière des articles 7, 8 et 47 de la Charte ainsi que de l’article 8 CEDH.

343.

Je propose à la Cour de répondre comme suit aux questions préjudicielles posées par la High Court (Haute Cour, Irlande) :

L’analyse des questions préjudicielles n’a pas révélé d’élément de nature à affecter la validité de la décision 2010/87/UE de la Commission, du 5 février 2010, relative aux clauses contractuelles types pour le transfert de données à caractère personnel vers des sous-traitants établis dans des pays tiers en vertu de la directive 95/46/CE du Parlement européen et du Conseil, telle que modifiée par la décision d’exécution (UE) 2016/2297 de la Commission du 16 décembre 2016.