L’autorité de protection des données irlandaise, cible de nombreuses controverses

Plusieurs organisations font état de défaillances de la Data Protection Commission (DPC), l’autorité de protection des données irlandaise, et estiment que cette dernière freine la bonne application du règlement général sur la protection des données (« RGPD ») et se rend coupable de faits de corruption.

L’autorité de protection des données irlandaise présente un rôle et un positionnement particulièrement stratégiques dans le cadre de la mise en œuvre du RGPD au sein de l’Union Européenne.

En effet, en vertu du mécanisme de guichet unique instauré par le RGPD, les responsables de traitement mettant en œuvre des traitements transfrontaliers de données peuvent bénéficier d’un seul interlocuteur en fonction du pays où se situent leur établissement principal. Dès lors, l’autorité de protection irlandaise dispose d’un rôle de « chef de file » dans de nombreuses procédures impliquant des entreprises majeures du secteur technologique telles que Google, Facebook, Apple, Twitter, Microsoft ou encore Oracle.

Une étude publiée en septembre 2021 par une organisation non gouvernementale irlandaise (« Irish Council for Civil Liberties ») considère que la Data Protection Commission n’agit pas suffisamment contre les éventuelles défaillances de ces entreprises en matière de protection des données.

Cette étude met ainsi en lumière qu’une grande majorité des dossiers transfrontaliers soumis à cette autorité ne sont pas résolus (98%). Il est également relevé que depuis l’entrée en application du RGPD, seuls quatre projets de décisions ont été envoyés au Comité Européen de Protection des Données.

Dans ce cadre, l’Irish Council for Civil Liberties a déposé plainte le 29 novembre 2021 contre la Commission Européenne pour ne pas avoir poursuivi l’autorité de contrôle irlandaise au titre de ces défaillances.

Il doit être souligné que des critiques similaires avaient été formulées en février 2021 par l’autorité de protection des données allemande qui blâmait les lenteurs de son homologue irlandais et la paralysie infligée aux dossiers soumis à sa gestion.

Outre les critiques liées à ses inactions, l’autorité de protection irlandaise a récemment été visée pour par une plainte pour corruption. Cette plainte intervient dans le contexte d’un contentieux initié par l’association autrichienne NOYB (My Privacy is None of Your Business) contre Facebook relativement à des transferts de données à caractère personnelles vers les Etats Unis.

La Data Protection Commission a en effet demandé à l’association de rédiger et signer un accord de non-divulgation dans le cadre de la procédure initiée. En l’absence d’un tel accord, l’autorité annonçait qu’elle n’entendrait pas l’association NOYB.

L’association autrichienne a alors déposé une plainte contre l’autorité de contrôle, considérant avoir été victime de chantage procédural et qu’exiger un avantage constitue un fait de corruption.

Force est de constater que cette nouvelle affaire alimente les controverses existantes et ternissent davantage l’image de l’autorité irlandaise.

A rapprocher : ICCL’s 2021 report on the enforcement capacity of data protection authorities ; Second noyb « Advent Reading » from Facebook/DPC Documents