C/2024/3925

1.7.2024

—

annuler la décision du contrôleur européen de la protection des données, du 8 mars 2024, concernant son enquête sur l’utilisation de Microsoft 365 par la Commission européenne dans l’affaire 2021-0518, et

—

condamner la partie défenderesse aux dépens.

1.

Premier moyen tiré d’une interprétation et d’une application erronées de l’article 4, paragraphe 1, sous b), et des articles 6 et 9 du règlement (UE) 2018/1725 du Parlement européen et du Conseil, du 23 octobre 2018, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données (ci-après le « RPDUE ») en ce qu’il en est déduit que la Commission était tenue de définir de manière exhaustive les « types » de données à caractère personnel à traiter.

2.

Deuxième moyen tiré d’une interprétation et d’une application erronées de l’article 29, paragraphe 3, sous a), du RPDUE en ce qu’il est conclu que, dans l’accord de licence interinstitutionnel de 2021, la Commission n’a pas défini le type de données à caractère personnel traitées ni la finalité du traitement.

3.

Troisième moyen tiré d’une interprétation et d’une application erronées de l’article 9 du RPDUE en ce qu’il est considéré que cette disposition était applicable en l’espèce et, en tout état de cause, en ce qu’elle est appliquée de manière erronée.

4.

Quatrième moyen tiré d’une interprétation et d’une application erronées de l’article 29, paragraphe 3, sous a), du RPDUE en ce qu’il est conclu que la Commission n’a pas fourni d’instruction documentée suffisamment claire.

5.

Cinquième moyen tiré d’une interprétation et d’une application erronées de l’article 4, paragraphe 2, et de l’article 26, paragraphe 1, lus combinaison avec l’article 30 du RPDUE, en ce qu’il est conclu que la Commission ne s’est pas assurée que, afin de fournir ses services, Microsoft ne traite les données à caractère personnel que sur instruction documentée de la Commission.

6.

Sixième moyen tiré d’une interprétation et d’une application erronées de l’article 29, paragraphe 3, du RPDUE en ce qui concerne les transferts de données à caractère personnel vers des pays tiers.

7.

Septième moyen tiré d’une interprétation et d’une application erronées de l’article 4, paragraphe 2, et des articles 46 et 48 du RPDUE en ce qu’il est conclu à des lacunes dans le recensement des transferts.

8.

Huitième moyen tiré d’erreurs de droit et de fait dans l’interprétation et l’application de l’article 4, paragraphe 2, et des articles 46 et 48 du RPDUE.

9.

Neuvième moyen tiré de l’application erronée de l’article 4, paragraphe 2, et des articles 46 et 48, paragraphe 1 et paragraphe 3, sous a), du RPDUE en ce qu’il est présumé que les transferts de données à caractère personnel entre la Commission et Microsoft Corporation avaient lieu aux États-Unis.

10.

Dixième moyen tiré d’une interprétation et d’une application erronées de l’article 47 du RPDUE.

11.

Onzième moyen tiré d’erreurs de droit et de fait dans l’interprétation et l’application de l’article 4, paragraphe 1, sous f), de l’article 29, paragraphe 3, sous a), de l’article 33, paragraphes 1 et 2, et de l’article 36 du RPDUE.

12.

Douzième moyen tiré d’un manquement à l’obligation de motivation visée à l’article 296 TFUE, d’un défaut de compétence ainsi que d’une interprétation et d’une application erronées de l’article 52, paragraphe 3, du RPDUE en ce qu’il est recommandé à la Commission de tenir compte des articles 1er, 2 et 5 du protocole (no 7) sur les privilèges et immunités de l’Union européenne.

13.

Treizième moyen tiré de la violation du principe de proportionnalité en ce que la décision attaquée impose des mesures correctives.