Revue - Revue du droit public et de la science politique en France et à l'étranger N°4-2024 - 108

Articles
la liste des finalités pour lesquelles les services de renseignement
peuvent réaliser une collecte ciblée ou « en vrac » 25
.
Il a également été relevé que l'une des finalités de la section
702 du Foreign Intelligence Surveillance Act (FISA) 26
autorisant la collecte « en vrac » de données est la « conduite
des affaires étrangères des États-Unis » 27
. Ainsi, la collecte
ne se limite manifestement pas à ce que la CJUE considère
comme une finalité légitime de sécurité nationale, en particulier
les menaces aux « fonctions essentielles de l'État et les
intérêts fondamentaux de la société » 28
.
En outre, l'un des points qui pourraient être avancés 29
à l'encontre
du DPF est l'existence d'une divergence de signification
de la nécessité et de la proportionnalité d'un côté et de
l'autre de l'Atlantique. La doctrine le souligne 30
européen 31 et l'EDPB 32
. Le Parlement
ont par ailleurs invité la Commission
européenne à rester attentive à ce sujet.
Dans sa première évaluation périodique de l'adéquation du
DPF, la Commission a relevé la mise en place par l'exécutif
nord-américain de nombreuses garanties procédurales permettant
de rendre effectif le « test » de la nécessité et de la
proportionnalité à la fois lors d'une collecte ciblée et d'une
collecte « en vrac » 33
.
La question reste néanmoins entière : peut-on concilier différentes
sortes de « limites aux limites » 34
, en particulier le
concept de noyau essentiel (Kernbereich) d'un droit fondamental
avec celui de la proportionnalité ? A priori des mesures
affectant le noyau essentiel d'un droit fondamental ne peuvent
jamais peser dans la balance d'un test de proportionnalité
même lorsqu'il s'agit de sauvegarder la sécurité nationale.
En effet, la CJUE a pu indiquer qu'« une réglementation permettant
aux autorités publiques d'accéder de manière généralisée
au contenu de communications électroniques doit être
25 Executive Order 14086, Section 2(b)(i)(B) ; Section 2(c)(ii)(C) ; v. en ce sens
E. Goitein, « The Biden Administration's SIGINT Executive Order, Part I :
New Rules Leave Door Open to Bulk Surveillance », Just Security, 31 oct. 2022,
https://lext.so/I72r6R.
26 V. dans ce volume K. El Hilali, « La section 702 de la loi FISA : un outil de surveillance
domestique contraire à la Constitution ? », RDP déc. 2024, n° RDP200l4.
27 FISA, sect. 702, § 1801, para. (e)(1), cité par D. Korff, « The Inadequacy of the
October 2022 New US Presidential Executive Order on Enhancing Safeguards
for United States Signals Intelligence Activities », SSRN, 30 nov. 2022, https://
lext.so/ECDSWp, p. 10.
28 CJUE, 6 oct. 2020, nos C-511/18, C512/18 et C520/18, La Quadrature du Net
et al., pt 135.
29 NOYB, « European Commission gives EU-US data transfers third round at
CJEU », 10 juill. 2023, https://lext.so/wFJVPh.
30 D. Korff, « The Inadequacy of the October 2022 New US Presidential Executive
Order on Enhancing Safeguards for United States Signals Intelligence Activities »,
SSRN, 30 nov. 2022, https://lext.so/ECDSWp, p. 13-19.
31 À titre d'exemple, v. résolution du Parlement européen du 11 mai 2023 sur l'adéquation
de la protection assurée par le cadre de protection des données UE-ÉtatsUnis
(2023/2501(RSP)), P9_TA(2023)0204, pt 2.
32 EDPB, Opinion 5/2023 on the European Commission Draft Implementing
Decision on the adequate protection of personal data under the EU-US Data
Privacy Framework, 28 févr. 2023, p. 6, 25 et s.
33 Commission européenne, rapp., Report from the Commission to the European
Parliament and the Council on the first periodic review of the functioning of the
adequacy decision on the EU-US Data Privacy Framework, COM (2024) 451
final, 9.10.2024, p. 11.
34 Sur cette notion, v. O. Pfersmann, in L. Favoreu, Droit des libertés fondamentales,
4e
éd., 2024, Dalloz, p. 100 ; K. Chrisogonos, Droits individuels et sociaux, 2e
2002, Sakkoulas, p. 85 et s.
éd.,
considérée comme portant atteinte au contenu essentiel du
droit fondamental au respect de la vie privée, tel que garanti
par l'article 7 de la Charte » 35
.
Dès lors, soit le concept de noyau essentiel n'est pas pertinent
à l'ère numérique, soit il convient de le respecter après avoir
pris le temps de le délimiter.
B. L'Order n° 5517-2022 consacrant un mécanisme
de réparation effectif
L'ordonnance du procureur général n° 5517-2022 28 (Code of
Federal Regulations Part 201) 36
a instauré une Data Protection
Review Court (DPRC) au sein du Department of Justice.
Agissant en tant que juge d'appel, cette juridiction a été dotée
de garanties d'indépendance (discutables).
Dès lors, le mécanisme de recours (redress mechanism) comprend
désormais les étapes suivantes : toute personne dans
l'UE est autorisée à déposer une plainte concernant une violation
présumée de la loi nord-américaine régissant les activités
de renseignement (par exemple : EO 14086, Section 702
FISA 37
, EO 12333 38) en ce qui concerne les données à caractère
personnel transférées aux États-Unis lorsque ce transfert
porte atteinte à ses intérêts en matière de vie privée et
de libertés. Cette plainte est déposée auprès d'une autorité
de protection des données d'un État membre de l'UE qui
la transmet, via l'EDPB, au « mécanisme de recours ». Le
mécanisme de recours se déroule de la manière suivante : une
enquête initiale sur les plaintes est menée par le Civil Liberties
Protection Officer (CLPO) et les individus concernés ont la
possibilité de faire appel de la décision du CLPO devant la
DPRC. Après examen du CLPO, et éventuellement de la
DPRC, les personnes concernées sont informées, par l'intermédiaire
de l'autorité nationale que « l'examen n'a pas révélé
de violations couvertes ou que le CLPO/la DPRC a émis
une décision exigeant des mesures correctives appropriées ».
Les décisions du CLPO et de la DPRC sont contraignantes
pour les agences de renseignement. Le Privacy Civil Liberties
Oversight Board (PCLOB) est l'autorité qui assure de façon
indépendante le respect de ce mécanisme de recours instauré
par l'EO n° 14086.
La DPRC se compose de huit juges 39
spécialisés dans la protection
des données, nommés par le procureur général pour
des mandats de quatre ans renouvelables. Son indépendance
est assurée, comme a pu le relever la Commission européenne,
par plusieurs mesures : l'exécutif ne peut ni interférer
ni influencer de manière inappropriée les délibérations de la
DPRC ; celle-ci est tenue de rendre ses décisions en toute
35 CJUE, 8 avr. 2014, nos C-293/12 et C594/12, Digital Rights Ireland e.a., pt 39 -
CJUE, 6 oct. 2015, n° C-362/14, Schrems vs Data Protection Commissioner,
(dite Schrems I), pt 94.
36 Department of Justice Office of the Attorney General, 28 CFR Part, https://lext.
so/BnhQ9m.
37 FISA (Foreign Intelligence Surveillance Act), 50 U.S.C. § 1801.
38 Executive Order 12333, United States Intelligence Activities, Federal Register,
vol. 40, n° 235 (8 déc. 1981, mod. 30 juill. 2008).
39 Au lieu de six initialement prévus : https://lext.so/PtlkUF.
108
Re vue du dr oit public * Déc embr e 2024
https://www.lext.so/I72r6R http://https:// http://www.lext.so/ECDSWp https://www.lext.so/wFJVPh https://www.lext.so/ECDSWp https://lext https://www.lext.so/PtlkUF
Revue - Revue du droit public et de la science politique en France et à l'étranger N°4-2024

Table des matières de la publication Revue - Revue du droit public et de la science politique en France et à l'étranger N°4-2024
