Les frontières de l'espace européen de sécurité en matière de données à caractère personnel : droit international et données personnelles

The borders of Europe's data protection safety area in terms of personal data : international law and data protection

• Auteur / Autrice : Jòan Gondolo
• Direction : Pascal de Vareilles-Sommières
• Type : Thèse de doctorat
• Discipline(s) : Droit privé
• Date : Soutenance le 09/12/2024
• Etablissement(s) : Paris 1
• Ecole(s) doctorale(s) : École doctorale de droit de la Sorbonne (Paris ; 2015-....)
• Partenaire(s) de recherche : Laboratoire : Institut des sciences juridique et philosophique de la Sorbonne (Paris ; 2015-....)
• Jury : Président / Présidente : Marie-Élodie Ancel
• Jury : Examinateurs / Examinatrices : Pascal de Vareilles-Sommières, Étienne Pataut
• Jury : Rapporteurs / Rapporteuses : Sarah Laval, Étienne Farnoux

Mots clés

Mots clés contrôlés

Droit européen

Protection de l'information (informatique)

Mots clés libres

Droit international privé

Données à caractère personnel

Extraterritorialité

Droit international

RGPD

Données personnelles

Private international law

Data protection

Extraterritoriality

International law

GDPR

Conflicts of laws

Résumé

La présente thèse se situe à la croisée du droit international et du droit des données à caractère personnel. Elle se concentre sur le déploiement, dans l’espace, du droit européen des données à caractère personnel depuis les lois de première génération, jusqu’au RGPD. C’est en premier lieu la définition du champ d’application des textes relatifs aux données à caractère personnel qui interroge. Les critères de rattachement employés sont de moins en moins techniques et se concentrent désormais plutôt sur le responsable du traitement et la personne concernée. Les méthodes localisatrices traditionnelles du droit international qui sont remises en question. Plutôt, c’est à travers une approche fondamentale du droit des données à caractère personnel, que le droit international est mobilisé pour servir l’objectif substantiel d’assurer une protection effective de la personne concernée. La définition du champ d’application des textes se fait alors de manière large, unilatérale et extraterritoriale : elle démontre toute l’ambition de créer un espace européen de sécurité en matière de données à caractère personnel. L’ambition européenne interroge néanmoins quant à la capacité qu’ont l’Union et ses États membres à réaliser effectivement cet espace de sécurité. L’étude porte alors, en second lieu, sur la réalisation de l’espace de sécurité. Le droit international privé joue un rôle central par le recours direct de la personne concernée contre le responsable du traitement ou son sous-traitant. Ce recours soulève alors des questions relatives à la compétence des juridictions judiciaires et au droit national applicable. Si le RGPD traite de la première question, la seconde est passée sous silence. Plus largement, l’ambition européenne appelle des développements quant à la recherche d’efficacité des décisions européennes en contexte international. Nous analysons ainsi la manière dont le droit européen limite le recours à l’exécution des décisions administratives et judiciaires en dehors de l’Union mais aussi les mécanismes qu’il emploie quand une exécution hors du territoire de l’Union est nécessaire. Enfin, la relation complexe qu’entretiennent l’Union européenne et les États-Unis fait l’objet de développements spécifiques alors que les différents accords transatlantiques ont connu des échecs retentissants.

This dissertation lies at the intersection of international law and data protection law. It focuses on the expansion of the territorial scope of European data protection law, from the first-generation laws to the GDPR. The first question raised is that of the territorial scope of European data protection laws. The connecting factors used by European law have become less technical and now primarily focus on the data controller and the data subject. Traditional localization methods of international law are thus being challenged. Instead, through a fundamental approach of data protection, international law is mobilized to serve the substantive goal of ensuring effective protection for the data subject. The territorial scope of European laws in general, and more specifically of the GDPR, is then defined broadly, unilaterally, and extraterritorially, highlighting the ambition to create a European safety area in terms of personal data. However, this European ambition raises questions regarding the capacity of the Union and its Member States to effectively realize this safety area. The study then thus turns to the realization of this safety area. Private international law plays a central role by enabling the data subject to pursue a direct action against the data controller or their processor. This raises questions about the jurisdiction of judicial authorities and the applicable national law. While the GDPR addresses the first question, the second remains unanswered. More broadly, the European ambition calls for developments concerning the effectiveness of European decisions in an international context. Thus, we analyze how European law restricts the enforcement of administrative and judicial decisions outside the Union, as well as the mechanisms it uses when enforcement outside the Union's territory is necessary. Finally, the complex relationship between the European Union and the United States is specifically explored, as various transatlantic agreements have faced significant setbacks.