Commission Implementing Decision (EU) 2016/2297 of 16 December 2016 amending Decisions 2001/497/EC and 2010/87/EU on standard contractual clauses for the transfer of personal data to third countries and to processors established in such countries, under Directive 95/46/EC of the European Parliament and of the Council (notified under document C(2016) 8471) (Text with EEA relevance )

• Published date: 17 December 2016
• Official Gazette Publication: Official Journal of the European Union, L 344, 17 December 2016

17.12.2016 FR Journal officiel de l'Union européenne L 344/100

---

DÉCISION D'EXÉCUTION (UE) 2016/2297 DE LA COMMISSION

du 16 décembre 2016

modifiant les décisions 2001/497/CE et 2010/87/UE relatives aux clauses contractuelles types pour le transfert de données à caractère personnel vers des pays tiers et vers des sous-traitants établis dans ces pays, en vertu de la directive 95/46/CE du Parlement européen et du Conseil

[notifiée sous le numéro C(2016) 8471]

(Texte présentant de l'intérêt pour l'EEE)

LA COMMISSION EUROPÉENNE,

vu le traité sur le fonctionnement de l'Union européenne,

vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (1), et notamment son article 26, paragraphe 4,

après consultation du Contrôleur européen de la protection des données,

considérant ce qui suit:

(1) Dans son arrêt du 6 octobre 2015 dans l'affaire C-362/14 Maximillian Schrems/Data Protection Commissioner (2), la Cour de justice de l'Union européenne a constaté qu'en adoptant l'article 3 de la décision 2000/520/CE (3), la Commission a outrepassé la compétence qui lui est attribuée à l'article 25, paragraphe 6, de la directive 95/46/CE, lu à la lumière de la charte des droits fondamentaux de l'Union européenne, et la Cour a déclaré l'article 3 de cette décision invalide.

(2) L'article 3, paragraphe 1, premier alinéa, de la décision 2000/520/CE établissait des conditions restrictives dans lesquelles les autorités nationales de contrôle pouvaient décider de suspendre les flux de données vers une entreprise américaine autocertifiée, nonobstant la constatation par la Commission d'un niveau de protection adéquat.

(3) Dans l'arrêt Schrems, la Cour de justice a précisé que les autorités nationales de contrôle restent compétentes pour assurer le contrôle des transferts de données à caractère personnel vers un pays tiers ayant fait l'objet d'une décision de la Commission constatant que celui-ci assure un niveau de protection adéquat et que la Commission n'a pas la compétence de restreindre les pouvoirs que leur confère l'article 28 de la directive 95/46/CE. Conformément audit article, ces autorités disposent, en particulier, de pouvoirs d'investigation, tels que le pouvoir de recueillir toutes les informations nécessaires à l'accomplissement de leur mission de contrôle, de pouvoirs effectifs d'intervention, tels que celui d'interdire temporairement ou définitivement un traitement de données, et du pouvoir d'ester en justice (4).

(4) Dans le même arrêt, la Cour de justice a rappelé que, conformément à l'article 25, paragraphe 6, second alinéa, de la directive 95/46/CE, les États membres et leurs organes doivent prendre les mesures nécessaires pour se conformer aux actes des institutions de l'Union, car ces derniers jouissent, en principe, d'une présomption de légalité et produisent, dès lors, des effets juridiques aussi longtemps qu'ils n'ont pas été retirés, annulés dans le cadre d'un recours en annulation ou déclarés invalides à la suite d'un renvoi préjudiciel ou d'une exception

...