Dans l'affaire T-354/22 (Bindl / Commission), le Tribunal de l'Union européenne (TUE) a condamné la Commission européenne à verser des dommages et intérêts. La Commission européenne avait transmis à Facebook les données personnelles d'un visiteur d'un site web qu'elle gérait aux États-Unis.
Données personnelles transférées aux États-Unis
Le requérant, originaire d'Allemagne, avait visité en 2021 et 2022 le site web de la Conférence sur l'avenir de l'Europe, géré par la Commission européenne. Il s'était inscrit à l'événement "GoGreen" via ce site. Pour ce faire, il avait utilisé l'option d'authentification "Se connecter avec Facebook" via le service "EU Login".
Cela a permis de transmettre des données personnelles, dont l'adresse IP ainsi que des informations sur le navigateur et l'appareil, à la société américaine Meta Platforms Inc. Cette entreprise est la société mère de Facebook.
Le requérant a fait valoir que les États-Unis ne garantissaient pas un niveau de protection des données adéquat et qu'il existait un risque d'accès par les services de sécurité et de renseignement américains. Il demandait notamment la réparation du préjudice moral qu'il avait subi du fait des transferts de données, à hauteur de 400 euros.
Conseil de lecture : L'EDSA examine le cadre UE-États-Unis de la protection des données : Ce qui doit encore être amélioré
400 euros de dommages et intérêts pour préjudice moral
Le Tribunal a rejeté plusieurs demandes du requérant. Parmi celles-ci, la demande d'annulation des transferts de données et la demande de constatation de l'inaction de la Commission face à une demande d'information. Le recours en dommages et intérêts relatif aux transferts effectués via le service "Amazon CloudFront" a également été rejeté. Les données étaient restées dans l'UE ou avaient été transférées aux États-Unis en raison de réglages techniques effectués par le requérant lui-même.
En revanche, la demande d'indemnisation pour le transfert de l'adresse IP à Facebook via la fonction "Sign in with Facebook" a été acceptée. Le Tribunal a estimé qu'en fournissant cet hyperlien, la Commission avait créé les conditions d'un transfert de données à caractère personnel vers un pays tiers sans prévoir de garanties appropriées telles que des clauses contractuelles types. À cette date (30 mars 2022), il n'existait pas de décision d'adéquation pour les États-Unis.
La Commission a été condamnée pour une "violation suffisamment caractérisée" d'une règle de droit visant à conférer des droits aux individus. Le tribunal a également reconnu un préjudice moral au requérant, qui s'est trouvé dans une situation ambiguë en ce qui concerne le traitement de ses données. Il existait également un lien de causalité direct entre la violation et le préjudice subi. La Commission a donc été condamnée à verser au requérant des dommages et intérêts d'un montant de 400 euros.
Cet arrêt met en évidence les exigences strictes imposées par le RGPD et le règlement (UE) 2018/1725 en matière de transfert de données vers des pays tiers. Les institutions et organes de l'Union doivent veiller à ce que des garanties appropriées soient mises en place pour assurer le respect des droits des personnes concernées. Cette affaire souligne également les possibilités juridiques pour les personnes concernées de faire valoir des droits en matière de responsabilité non contractuelle de l'Union.
Source : Arrêt du TPICE T-354/22 (Bindl / Commission) du 8.01.2024
French 
German 
English 
Italian