Oui, l’Union européenne peut parfois défendre les citoyens de ses pays membres… mais souvent contre elle-même. La Cour de justice de l’Union européenne vient de nous en donner un exemple inédit en punissant la Commission européenne d’avoir enfreint sa propre législation en matière de protection des données personnelles.

Et c’est un citoyen allemand qui a soulevé le lièvre un peu par hasard. Entre 2021 et 2022, celui-ci a voulu se rendre à plusieurs reprises sur le site internet de la Conférence sur l’avenir de l’Europe en s’identifiant à l’aide de l’option « se connecter à Facebook », afin de s’inscrire à un événement. C’est par ce biais que ses données personnelles (adresse IP, informations sur son navigateur et son terminal), ont atterri chez Meta, la maison mère de Facebook, aux États-Unis, après avoir transité par l’un des serveurs de l’autre géant américain, Amazon Web Services, l’opérateur du réseau de diffusion utilisé par le site de la Commission. Le tout sans le consentement explicite de l’internaute.

Condamnée pour avoir fait ce qu’elle condamne depuis des années

Ce mercredi 8 janvier, le juge européen a donné raison au demandeur allemand, au motif qu’« au moment de ce transfert (...), il n’existait aucune décision de la Commission constatant que les États-Unis assurent un niveau de protection adéquat des données à caractère personnel des citoyens de l’Union ». La CJUE a ainsi conclu que « la Commission a créé les conditions permettant que l’adresse IP de l’intéressé soit transmise » à Meta, la maison mère de Facebook, détaille-t-elle dans un communiqué. Bruxelles n’a pas su démontrer l’existence d’une clause type et de l’effectivité de la protection des données des utilisateurs sur l’espace numérique européen. De ce fait, la CJUE a jugé que la Commission n’a « pas respecté les conditions posées par le droit de l’Union » pour le...