Contexte

1. En 2021, le plaignant, le Conseil irlandais des libertés civiles, a écrit à la Commission européenne au sujet de l’application du règlement général de l’UE sur la protection des données (RGPD)[1] en Irlande.

2. L’Irlande joue un rôle particulier dans la mise en œuvre du RGPD, car elle accueille la plupart des «grandes entreprises technologiques» de l’Union européenne [2]. Si une autorité de protection des données d’un autre État membre reçoit une plainte qui concerne essentiellement le travail d’une «grande entreprise technologique» en Irlande, la question est normalement transmise à la Commission irlandaise de protection des données. Il appartient ensuite à la Commission irlandaise de protection des données de déterminer comment la question est traitée.

3. Le plaignant a fait référence à la préoccupation largement répandue selon laquelle la Commission irlandaise de protection des données ne prenait pas les mesures adéquates pour faire respecter le RGPD [3]. Le plaignant s'est demandé si la Commission européenne avait recueilli suffisamment d'informations pour pouvoir suivre cette question.

4. La Commission a répondu, en résumé, qu’elle ne disposait d’aucun élément de preuve qui confirmerait cette préoccupation et qu’elle prenait des mesures adéquates pour contrôler l’application du RGPD en Irlande.

5. Le plaignant a exprimé son désaccord et s’est adressé au Médiateur européen en janvier 2022.

L'enquête

6. Dans sa lettre à la Commission européenne ouvrant cette enquête, la Médiatrice a exposé la portée de son enquête:

7. L’enquête porte sur la question de savoir si la Commission européenne a pris des mesures adéquates pour recueillir suffisamment d’éléments factuels qui lui permettraient de surveiller correctement la mise en œuvre du RGPD en Irlande. Il ne s'agit pas de savoir si la Commission européenne en fait généralement assez pour garantir l'application des RDA. La Commission européenne dispose d’un large pouvoir d’appréciation pour décider s’il y a lieu d’engager une procédure d’infraction et à quel moment. Le Médiateur ne peut demander à la Commission européenne de réexaminer des questions de fond dans des affaires d’infraction que s’il existe une indication qu’elle a commis une erreur manifeste dans sa présentation des faits ou du droit.

8. La Médiatrice a souligné que cette enquête était nécessaire parce que les citoyens sont tenus de se poser des questions si différents comptes rendus factuels circulent concernant la mise en œuvre du RGPD. Elle souligne que les organismes publics, ainsi que les organisations de la société civile, ont fait part de leurs préoccupations quant à l’application inadéquate du RGPD en Irlande.

9. La Médiatrice a donc demandé à la Commission européenne de fournir un compte rendu détaillé et complet des informations qu’elle avait recueillies afin de s’informer si le RGPD est appliqué à tous égards en Irlande. Elle demande à la Commission d’expliquer comment et à partir de quelles sources elle recueille les informations.

10. L'équipe d'enquête de la Médiatrice a tenu deux réunions avec des représentants de la Commission européenne. Le Médiateur a également reçu deux réponses formelles [4]. Le plaignant a fait part de ses observations sur les rapports de réunion et les réponses de la Commission européenne.

11. La question essentielle est de savoir si la collecte d’informations par la Commission européenne est suffisante en ce qui concerne la question mentionnée ci-dessus, à savoir si les citoyens peuvent réellement avoir confiance dans le fait que l’Irlande, par l’intermédiaire de sa commission de la protection des données, prend des mesures adéquates pour examiner et suivre les cas de protection des données que les autorités de protection des données d’autres États membres lui renvoient en ce qui concerne les «grandes entreprises technologiques» qui y sont situées (ci-après les «cas transfrontaliers»).

12. Outre les observations formulées dans la lettre d’ouverture de la présente enquête, le Médiateur relève ce qui suit: la présente enquête ne porte pas sur la question de savoir si la Commission européenne pourrait ou devrait donner des instructions aux différentes autorités de contrôle en ce qui concerne le traitement de certaines enquêtes. Les autorités de contrôle nationales agissent de manière indépendante lors de la mise en œuvre du RGPD et les travaux de la Commission européenne en ce qui concerne les infractions potentielles sont en tout état de cause menés à l’égard des États membres, et non à l’égard d’organismes publics individuels. Cette enquête est plutôt axée sur la collecte d'informations. Le RGPD met fortement l'accent sur la fourniture d'informations, que ce soit par la publication ou par la divulgation obligatoire d'informations en réponse à des demandes. Dans l’exercice de ses pouvoirs de contrôle fondés sur le traité, la Commission européenne peut adresser les demandes d’informations nécessaires aux différentes autorités de contrôle.

La Commission européenne recueille-t-elle suffisamment d’informations?

Arguments présentés au Médiateur

13. Le principal argument de la plainte peut se résumer comme suit: En ce qui concerne les affaires transfrontalières, la Commission européenne ne peut contrôler l’application du RGPD par l’Irlande que si elle sait combien de ces affaires sont transférées vers l’Irlande; combien de temps leur temps de traitement est (selon les étapes clés du processus); quelles mesures concrètes sont prises (ou non) pour offrir réparation au citoyen et (le cas échéant) pour corriger les pratiques illégales des «grandes entreprises technologiques» en question [5]. Le plaignant n’a pas pu trouver ces informations dans les rapports annuels de la Commission irlandaise de protection des données, ni dans le premier rapport (communication) de la Commission européenne sur l’application du RGPD [6].

14. En 2020, le plaignant a publié son propre rapport sur la question [7], en s’appuyant, entre autres éléments, sur des données contenues dans une base de données de l’UE [8]. Elle a conclu que l’Irlande ne traitait pas correctement les affaires transfrontalières. Dans une correspondance ultérieure avec la Commission européenne, cette dernière a informé le plaignant que son rapport contenait des données inexactes et que la base de données de l’UE sur laquelle elle s’était appuyée ne sert pas à informer le public de la mise en œuvre du RGPD.

15. Au cours de cette enquête, la Commission irlandaise de protection des données a publié un rapport axé sur le traitement des affaires transfrontalières [9]. Le plaignant a informé la Commission européenne que, nonobstant ce rapport, il n'est toujours pas possible de connaître la réponse aux questions exposées au point 13 ci-dessus.

16. Dans ses réponses au Médiateur, la Commission européenne a décrit ses sources d'information dans ce domaine. Elle a notamment fait référence au comité européen de la protection des données [10] en tant que principale source d’informations sur la mise en œuvre du RGPD. La Commission européenne a estimé que les informations recueillies par le comité européen de la protection des données étaient substantiellement satisfaisantes, même si elles pouvaient être mieux présentées. En ce qui concerne les informations que la Commission européenne détient elle-même, la Commission a attiré l’attention sur son premier rapport (communication) sur l’application du RGPD et a indiqué que, lors de l’élaboration de ce rapport, elle avait recueilli des informations auprès des autorités nationales chargées de la protection des données, y compris la Commission irlandaise de protection des données. Il a également consulté les rapports annuels de cette Commission.

17. La Commission européenne a également informé la Médiatrice que la Commission irlandaise de protection des données lui envoyait un aperçu bimensuel des affaires de «grandes technologies» sur lesquelles elle enquêtait. Cette vue d’ensemble bimensuelle (dont le contenu est confidentiel) fournit à la Commission européenne des informations plus complètes et plus utiles que les statistiques ne peuvent fournir à elles seules [11]. La Commission européenne considère donc qu’elle prend des mesures adéquates pour s’informer si l’Irlande examine et agit de manière adéquate dans les affaires transfrontières au titre du RGPD.

18. Dans ses observations les plus récentes au Médiateur, le plaignant a soutenu, en résumé, qu’il n’était toujours pas clair si la Commission européenne détenait effectivement des informations correspondant à ce qui est exposé ci-dessus (point 13). Elle a également fait référence à une évolution législative qui s'était produite entre-temps, en fournissant des liens vers deux demandes récentes d'accès à des documents qu'elle avait présentées relativement à l'objet de la présente enquête.

19. L’évolution législative à laquelle le plaignant a fait référence a été l’adoption par l’UE de la législation sur les services numériques [12], qui prévoit une protection accrue des utilisateurs de l’internet et confère un rôle beaucoup plus important à la Commission européenne pour contrôler les entreprises de «grande technologie». Le plaignant a attiré l’attention sur un article de journal dans lequel l’un des vice-présidents exécutifs de la Commission européenne avait estimé que le renforcement du rôle de la Commission européenne résultait d’un manque de confiance en ce qui concerne le rôle de l’Irlande en matière d’application de la législation à l’égard des «grandes entreprises technologiques»[13].

20. Les demandes d’accès aux documents ont été adressées au comité européen de la protection des données et à la Commission européenne. La demande adressée au comité européen de la protection des données [14] visait, en résumé, à obtenir des informations que le comité détient sur les affaires transfrontières. Le plaignant semble conclure de ses échanges avec le comité que le comité ne détient pas le type d’informations de base que le plaignant estime devoir être à la disposition de la Commission européenne pour contrôler correctement l’application du RGPD en ce qui concerne les affaires transfrontières. Le plaignant semblait y voir une preuve que la Commission européenne avait conclu à tort que les données du comité sur la mise en œuvre du RGPD (à laquelle la Commission a accès) étaient adéquates.

21. La demande du plaignant à la Commission européenne était très large [15] et comprenait toutes les communications pertinentes entre la Commission et les autorités irlandaises. Le plaignant a semblé conclure de certains documents que la Commission avait adopté une attitude de tolérance à l'égard du travail des différentes autorités chargées de la protection des données dans les États membres [16].

Évaluation du Médiateur

22. Pour assurer le suivi du droit de l’Union, la Commission européenne recueille des informations sur un large éventail de questions. Elle le fait dans le cadre de son large pouvoir d’appréciation pour organiser ses travaux en vue d’assurer l’application du droit de l’Union. Bien que la législation de l’UE prévoie parfois des obligations de déclaration, elle prescrit rarement en détail quelles informations spécifiques la Commission européenne doit collecter.

23. Compte tenu du large pouvoir d’appréciation dont dispose la Commission européenne dans ce domaine, le Médiateur européen n’a pas tendance à examiner systématiquement et en détail les informations que la Commission européenne recueille pour contrôler l’application du droit de l’Union. Le Médiateur ne le fera normalement que lorsque les faits suggèrent qu’il existe des lacunes importantes en matière d’information qui n’ont pas été expliquées de manière adéquate, et/ou si des circonstances particulières l’exigent.

24. Lors de l’ouverture de cette enquête, la Médiatrice a conclu qu’il existait des circonstances particulières. Il existait une hypothèse largement répandue selon laquelle l’Irlande ne protégeait pas de manière adéquate les droits des citoyens au titre du RGPD. L’UE a célébré le RGPD comme une étape importante dans sa protection des droits fondamentaux des citoyens à l’ère numérique. Les citoyens de l'UE sont en droit de s'attendre à ce que la Commission européenne recueille suffisamment d'informations pour contrôler l'application de cette législation.

25. Les informations visées au point 13 sont le type d’informations que l’on s’attendrait à ce que la Commission européenne détienne, c’est-à-dire des informations de base aux fins de l’examen du traitement par l’Irlande des affaires transfrontalières. Les informations devraient être factuelles et permettre une vérification indépendante par la Commission européenne. En outre, la Commission européenne devrait exercer un degré élevé de contrôle sur la manière dont les informations sont définies et présentées. La Commission européenne pourrait, par exemple, établir un tableau indiquant les catégories d'informations factuelles et vérifiables que la Commission irlandaise de protection des données devrait fournir régulièrement.

26. Au cours de cette enquête, la Commission européenne a expliqué qu’elle recevait régulièrement des informations actualisées de la Commission irlandaise de la protection des données sur le traitement par cette dernière des affaires relevant de la «grande technologie», y compris les affaires transfrontières. Dans sa deuxième réponse, la Commission européenne a souligné que cette vue d’ensemble bimensuelle lui fournit des informations plus complètes et plus utiles que ne le feraient les statistiques à elles seules [17].

27. La Médiatrice ne peut pas décrire en détail le contenu ou la nature de cet aperçu régulier, car des copies de celui-ci ont été remises à son bureau à titre confidentiel. La pratique de la Commission européenne consistant à obtenir une telle vue d’ensemble est toutefois un exemple encourageant d’une mesure de suivi ciblée spécifique qui, dans les circonstances de l’espèce, est appropriée et conforme à la bonne administration. En l’absence de cette mesure, le Médiateur aurait eu de sérieux doutes quant à l’adéquation des informations sur lesquelles la Commission européenne s’appuie [18].

28. Certaines améliorations pertinentes peuvent toutefois être apportées à la vue d'ensemble régulière. La Médiatrice adressera donc des suggestions d’amélioration à la Commission européenne lors de la clôture de cette enquête.

29. La Médiatrice encouragera également la Commission européenne à rendre publique la nature spécifique de l’aperçu régulier qu’elle reçoit de la Commission irlandaise de la protection des données (ou d’autres autorités nationales dans un scénario similaire). Le Médiateur formule une suggestion d'amélioration à cet égard.

Conclusion

Sur la base de l’enquête, la Médiatrice clôt cette affaire en concluant ce qui suit:

La pratique de la Commission européenne consistant à obtenir une vue d’ensemble bimensuelle de la Commission irlandaise de la protection des données sur le traitement par cette dernière des affaires relevant des «grandes technologies», y compris les affaires transfrontières, est appropriée et conforme à la bonne administration. En l’absence de cette mesure, le Médiateur aurait eu de sérieux doutes quant à l’adéquation des informations sur lesquelles la Commission européenne s’appuie.

Le plaignant et la Commission européenne seront informés de cette décision.

Suggestions d'amélioration

Vue d’ensemble régulière de l’affaire fournie par la commission irlandaise de la protection des données

La Médiatrice formule les suggestions détaillées suivantes pour l’aperçu bimensuel que la Commission européenne reçoit, à titre confidentiel, de la Commission irlandaise de la protection des données sur le traitement par cette dernière des affaires relevant de la «grande technologie», y compris les affaires transfrontières.

La Commission européenne pourrait établir un tableau avec une série de champs prédéterminés qui devraient être remplis par la Commission irlandaise de protection des données, avec des informations sur les cas transfrontaliers, contenant, pour chaque cas de ce type: le numéro du dossier, le responsable du traitement concerné, les autres autorités de protection des données concernées, les dates des principales mesures prises (conformément au RGPD) et leurs dates, ainsi que les mesures concrètes prises. Chaque fois que des cas individuels ont donné lieu à des enquêtes d’initiative, il convient de le noter également pour les cas individuels, ainsi qu’une référence à l’enquête d’initiative afin de permettre à la Commission européenne de contrôler la manière dont les cas individuels ont été traités.

Deuxième rapport de la Commission européenne sur l’application du RGPD

La Médiatrice suggère que la Commission européenne, dans son deuxième rapport (2024) sur l’application du RGPD, rende compte de sa pratique consistant à recevoir l’aperçu régulier susmentionné de la Commission irlandaise de la protection des données, et qu’elle y fournisse autant d’informations non confidentielles que possible. Il pourrait s’agir, par exemple, d’un aperçu des types spécifiques de données que la Commission européenne reçoit dans le cadre de cette vue d’ensemble régulière.

Emily O’Reilly Médiatrice
européenne

Strasbourg, le 19/12/2022

[1] Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données): https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32016R0679

[2] Comme mentionné dans le rapport (communication) 2020 de la Commission européenne sur la mise en œuvre du RGPD (cité ici sur la question des ressources des autorités nationales de surveillance, «Étant donné que les plus grandes multinationales de la grande technologie sont établies en Irlande et au Luxembourg, les autorités de protection des données de ces pays agissent en tant qu’autorités chef de file dans de nombreux cas transfrontaliers importants et peuvent avoir besoin de ressources plus importantes que ce que leur population ne le suggèrerait autrement» – p. 6, https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:52020DC0264&from=EN), et cf. également le « document de travail des services de la Commission », https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:52020DC0264&from=EN

[3] Voir, par exemple, les articles de presse de Politico, tels que «Comment un pays bloque le monde en matière de confidentialité des données» (24 avril 2019:  https://www.politico.com/story/2019/04/24/ireland-data-privacy-1270123), ou dans le Financial Times, «Fight breaks out between Ireland and Germany over Big Tech regulation» (17 mars 2021: https://www.ft.com/content/37705bcf-c5b6-4ef0-adb8-35a8680dbaec). La Commission irlandaise de protection des données elle-même a publié des informations sur la question en 2022 (« Le traitement des plaintes transfrontalières par la DPC continue de faire l’objet de commentaires publics, malheureusement sur la base d’informations incomplètes et dépourvues de contexte», https://www.dataprotection.ie/sites/default/files/uploads/2022-10/04.10.22%20Cross%20border%20complaint%20stats%202018%20to%20Sept%202022.pdf). Voir également les préoccupations exprimées dans la résolution du Parlement européen du 25 mars 2021 sur le rapport d’évaluation de la Commission sur la mise en œuvre du règlement général sur la protection des données deux ans après son application [2020/2717(RSP)], point 20. (https://www.europarl.europa.eu/doceo/document/TA-9-2021-0111_EN.html)

[4] Voir la page web du Médiateur consacrée à cette affaire («Autres documents», https://www.ombudsman.europa.eu/fr/case/en/60860 )

[5] Le plaignant a formulé des suggestions plus techniques quant à ce que la Commission européenne devrait retenir. Ils sont présentés ici sous forme de résumé.

[6] Voir note de bas de page 2 ci-dessus.

[7] « Europe’s enforcement paralysis – ICCL’s 2021 report on the enforcement capacity of data protection authorities » («Trois ans et demi après l’introduction du RGPD, l’application du RGPD de l’UE à l’encontre des grandes entreprises technologiques est paralysée par le fait que l’Irlande n’a pas rendu de projets de décision sur des affaires transfrontières majeures») : https://www.iccl.ie/digital-data/2021-gdpr-report/

[8] Informations à ce sujet: https://ec.europa.eu/internal_market/imi-net/news/2018/07/index_en.htm

[9] «One-Stop-Shop Cross Border Complaint Statistics – 25 mai 2018 – 19 septembre 2022»: https://www.dataprotection.ie/sites/default/files/uploads/2022-10/04.10.22%20Cross%20border%20complaint%20stats%202018%20to%20Sept%202022.pdf

[10] https://edpb.europa.eu/edpb_en

[11] «La Commission a demandé des informations à la DPC et reçoit, à titre confidentiel et environ tous les deux mois, un aperçu des enquêtes législatives à grande échelle. La Commission considère qu’il s’agit d’un aperçu détaillé de l’état d’avancement des enquêtes individuelles en cours, permettant de comprendre leur contenu et de mesurer les étapes de la procédure au niveau national, leurs progrès et le calendrier de leur soumission aux procédures prévues à l’article 60 et, éventuellement, à l’article 65 du RGPD. Il est important de noter que, grâce au document de synthèse susmentionné, la Commission dispose en fait de plus d’informations sur les actions de la DPC irlandaise contre les grandes entreprises technologiques multinationales qu’elle n’en disposerait au moyen de statistiques»(deuxième réponse de la Commission dans la présente enquête, partie II, p. 2).

[12] Règlement (UE) 2022/2065 du Parlement européen et du Conseil du 19 octobre 2022 relatif à un marché unique des services numériques et modifiant la directive 2000/31/CE (législation sur les services numériques): https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=uriserv:OJ.L_.2022.277.01.0001.01.ENG

«Législation sur les services numériques: La Commission se félicite de l’accord politique sur des règles garantissant un environnement en ligne sûr et responsable»: https://ec.europa.eu/commission/presscorner/detail/en/IP_22_2545

[13] «Vestager: Il y avait une «défiance à l’égard de l’Irlande en tant qu’autorité chargée de faire appliquer la législation» à l’égard des grandes technologies – Le vice-président exécutif de la Commission européenne déclare à Peter O’Dwyer que le nouveau régime de la législation sur les services numériques garantira la bonne mise en œuvre des règles», Business Post, Tech, 1er octobre 2022: https://www.businesspost.ie/news/vestager-there-was-a-distrust-of-ireland-as-an-enforcer-on-big-tech/#:~:text=The%20European%20Commission%20stepped%20in,executive%20vice%2Dpresident%20has%20said

[14] https://www.asktheeu.org/fr/request/lsa_csa_feedback_report_document#incoming-39411

[15] https://www.asktheeu.org/fr/request/irish_data_protection_commission#incoming-40159

[16] Le plaignant a cité une note d’information pour la réunion du commissaire responsable avec le ministre irlandais de la justice, décembre 2021: «Dans le cadre de l’adoption de la résolution du PE, vous avez participé à la session plénière du PE: vous avez défendu les conclusions du rapport de la Commission. Vous avez notamment affirmé que nous saluons les efforts déployés par le CEPD pour améliorer ses procédures relatives au guichet unique et que la Commission continuera de le soutenir et suivra attentivement les progrès accomplis.  Vous avez souligné dans le même temps que vous ne pensez pas que le fait de pointer du doigt les différentes autorités chargées de la protection des données ou de dénoncer les désaccords entre les autorités est propice à la recherche d’une solution constructive. Le mécanisme de coopération repose sur la recherche d'un consensus et non sur une concurrence entre les autorités chargées de la protection des données. Toutes les autorités sont indépendantes et jouissent d’une marge d’appréciation dans l’appréciation des affaires dont elles sont saisies. Pour que le nouveau système de gouvernance du RGPD fonctionne efficacement, il est essentiel de développer la confiance et un esprit européen de coopération, d’accepter les différences dans la mesure nécessaire et d’œuvrer à des solutions mutuellement acceptables. L’EDPB a été conçu pour être plus qu’une simple somme des APD.»

(15) Note d’information du 10 décembre 2021 pour la réunion de Csser Reynders et de la ministre irlandaise McEntee.pdf, p. 12:

https://www.asktheeu.org/fr/request/11728/response/39971/attach/5/documents.zip?cookie_passthrough=1).

[17] «La Commission a demandé des informations à la DPC et reçoit, à titre confidentiel et environ tous les deux mois, un aperçu des enquêtes législatives à grande échelle. La Commission considère qu’il s’agit d’un aperçu détaillé de l’état d’avancement des enquêtes individuelles en cours, permettant de comprendre leur contenu et de mesurer les étapes de la procédure au niveau national, leurs progrès et le calendrier de leur soumission aux procédures prévues à l’article 60 et, éventuellement, à l’article 65 du RGPD. Il est important de noter que, grâce au document de synthèse susmentionné, la Commission dispose en fait de plus d’informations sur les actions de la DPC irlandaise contre les grandes entreprises technologiques multinationales qu’elle n’en disposerait au moyen de statistiques»(deuxième réponse de la Commission dans la présente enquête, partie II, p. 2).

[18] Outre les références aux rapports annuels de la commission irlandaise de protection des données et les informations recueillies pour le premier rapport de la Commission sur l’application du RGPD, voir annexe de la lettre d’enquête complémentaire du Médiateur du 19 juillet 2022.

https://www.ombudsman.europa.eu/en/doc/correspondence/en/158576