L’obligation de respect des règles de la protection des données à caractère personnel dans l’arbitrage des litiges internes et internationaux ne fait pas débat. En revanche, la possibilité de soumettre la résolution d’un litige concernant les données à caractère personnel à l’arbitrage semble moins évidente, en raison, notamment de la nature juridique desdites données et des règles de l’arbitrabilité des litiges.

Dans le Data Privacy Framework, qui sert de support juridique de démonstration du niveau états-unien de protection substantiellement équivalent à celui garanti dans l’Espace économique européen par le Règlement général sur la protection des données à caractère personnel (RGPD), l’arbitrage est l’un des modes offerts aux personnes concernées pour la résolution d’éventuels litiges.

L’examen de ce dispositif commande d’analyser non seulement l’arbitrabilité des litiges relatifs au programme transatlantique de transfert des données européennes à caractère personnel, mais aussi l’organisation de l’arbitrage y afférent.

I. L’arbitrabilité des litiges concernant le programme transatlantique de transfert des données personnelles.

Au-delà de ses fondements, l’arbitrabilité est régie par des conditions qui tiennent à la fois de la matière et de la personne. L’on a ainsi l’arbitrabilité sur le plan personnel et l’arbitrabilité sur le plan matériel.

A. Les fondements et le droit applicable à l’arbitrabilité et à l’inarbitrabilité des litiges du programme transatlantique de transfert des données personnelles.

1. Les fondements de l’arbitrabilité et de l’inarbitrabilité des litiges des données à caractère personnel transférées aux Etats-Unis.

L’arbitrabilité et l’inarbitrabilité [1], en France par exemple, trouvent leurs fondements respectifs dans le RGPD [2], le Code civil, les règlements des institutions d’arbitrage et les conventions d’arbitrage des parties, le cas échéant. En outre, l’arbitrage est effectif s’il y a acceptation de la clause par la personne à qui on l’oppose, l’héritage de la clause dans une succession d’une personne qui l’a déjà acceptée et l’absence d’inopposabilité à la personne à qui l’on oppose la clause. La convention d’arbitrage [3] peut être le fait soit d’une clause compromissoire soit d’un compromis d’arbitrage [4].

Le Data Privacy Framework [5] et le règlement de l’American Arbitration Association [6] servent de fondements à l’arbitrabilité des litiges concernant le programme transatlantique de circulation des données à caractère personnel. Les Etats-Unis optent donc pour des fondements d’arbitrabilité hybrides. Quant à la personne victime, c’est elle qui peut introduire une procédure d’arbitrage. Sans aucune autre précision sur l’exigence d’une clause compromissoire, l’on pourrait subodorer que l’arbitrage considéré est possible via la clause compromissoire ou via le compromis d’arbitrage.

2. Le droit applicable et l’instance compétente pour les litiges de transferts des données personnelles aux Etats-Unis.

En matière d’arbitrage, le droit applicable peut être la loi de la convention d’arbitrage, la loi de la validité de la convention d’arbitrage, la loi du contrat objet du litige, la loi du siège de l’arbitrage, la loi du for, la loi choisie par les arbitres, la loi choisie par les parties, ou la loi des différents pays où la sentence arbitrale est susceptible d’être exécutée. En ce qui concerne l’instance compétente pour l’appréciation de l’arbitrabilité, on peut avoir le juge d’appui [7] dans le cas d’une action au fond, le juge d’un Etat étranger partie à la Convention de New York [8] pour constater la caducité, l’inopérabilité ou l’inapplicabilité de la convention d’arbitrage, ou le tribunal arbitral pour le contrôle de la validité de la convention d’arbitrage.

Les autorités américaines appliquent ici, à bon droit, la législation américaine et le règlement de l’American Arbitration Association, comme droit de l’arbitrage des litiges relatifs au programme transatlantique de transfert de données à caractère personnel. Cela se justifie par le fait que dans le cadre d’une décision d’adéquation, il ne s’agit pas d’appliquer le droit européen de la protection des données à caractère personnel, en l’occurrence le RGPD. Il est plutôt exigé que le droit du pays tiers, qui est applicable, offre un niveau de protection substantiellement équivalent à celui de l’Espace économique européen garanti par le RGPD.

B. L’arbitrabilité ratione materiae des litiges des transferts transatlantiques de données personnelles.

1. Les conditions classiques de l’arbitrabilité matérielle.

Sur le plan matériel, l’arbitrage est ouvert aux domaines ci-après : les droits que l’on peut exercer librement, les droits dont on peut disposer librement et les droits auxquels on peut librement renoncer. Mais en sont exclus, l’état et la capacité des personnes, le divorce, la séparation de corps, les contestations intéressant les collectivités publiques et les établissements publics, les matières intéressant l’ordre public, et le droit moral d’un auteur. Néanmoins, il est opportun de distinguer selon les matières et les disciplines.

En considération des matières, plusieurs cas d’arbitrabilité existent. En matière de droit de la propriété littéraire et artistique et de la propriété intellectuelle, sont arbitrables l’exploitation, la contrefaçon de brevet, l’action civile en contrefaçon, le prix dû pour les expropriations, licences obligatoires et licences d’office. En revanche, ne sont pas arbitrables, la nullité de brevet (sauf si la question est soulevée de manière incidente), la contrefaçon (sauf Juridiction Unifiée du Brevet), la saisie-contrefaçon, l’expropriation. En matière de droit des baux, la révision de loyer et le principe du renouvellement du bail sont inarbitrables tandis que le loyer du bail renouvelé et les questions non statutaires comme le paiement sont arbitrables.

Dans le droit des groupements, les questions inarbitrables sont les restrictions liées aux procédures collectives et les litiges fiscaux avec l’administration, alors que sont arbitrables les litiges entre associés, la nullité et l’interprétation des statuts ou d’une assemblée générale ou d’un conseil d’administration, la sanction d’une clause léonine, l’exclusion d’un associé, la révocation d’un dirigeant, l’action en responsabilité des dirigeants, la révocation d’un dirigeant, les actions des associés en dissolution et liquidation, l’acte de cession de parts, les contestations pour des opérations effectives par une coopérative agricole avec adhérents, le pacte extra-statutaire, ou l’évaluation des droits sociaux.

En droit des entreprises en difficultés, sont arbitrables, les litiges non liés à la procédure collective, alors que les litiges ayant pour objet la procédure collective tels que l’ouverture, la nullité de la procédure suspecte et le dessaisissement des dirigeants, sont inarbitrables. En matière de droit du travail, il y a opposabilité de la clause compromissoire au salarié ayant saisi la juridiction française compétente [9], et il y a opposabilité du compromis au salarié [10]. En droit de la famille et des personnes, les questions inarbitrables sont celles relatives au divorce, l’établissement et la contestation de la filiation, l’adoption, l’état-civil et la capacité des personnes, mais en sont exclues les questions concernant les conséquences pécuniaires du divorce, la liquidation successorale, les régimes matrimoniaux, la liquidation et le partage de pacte civil de solidarité, l’accord d’indivision, la donation-partage, la société immobilière entre membres de la famille, les modalités de la garde des enfants et le testament.

En considération des disciplines, la question de l’arbitrabilité est aussi résolue selon les cas. En droit public, les questions arbitrables sont les opérations mettant en cause des intérêts du commerce international, les marchés publics, les marchés de partenariat, les marchés de défense et de sécurité, les contrats de concession, de délégation et d’occupation du domaine public, les marchés de défense et de sécurité.

Les questions inarbitrables sont les contestations intéressant les collectivités publiques et les établissements publics en général. Enfin, en matière pénale, l’action pénale n’est pas arbitrable et le principe selon lequel le civil tient le civil en l’état est une simple faculté pour l’arbitre. Cependant, les intérêts civils d’une action pénale sont arbitrables [11]. En droit de la consommation, est inarbitrable une contestation concernant un consommateur, étant donné qu’il n’a pas contracté dans le cadre de son activité professionnelle. C’est une hypothèse d’indisponibilité du droit sur le fondement de l’ordre public au bénéfice de la partie faible à savoir le consommateur. Par conséquent, il y a inarbitrabilité en interne ou en international par le biais d’une clause compromissoire [12] (Lire aussi, à ce sujet : Nouvel impact du principe compétence-compétence sur l’arbitrabilité consumériste concernant le marché de l’UE). En revanche, il y a arbitrabilité en cas de compromis, puisque l’on considère que le droit que l’on protégeait avant la conclusion du contrat est désormais exigible et donc disponible avec la survenance d’une contestation, et donc le consommateur peut recourir à un arbitrage.

2. Les conditions états-uniennes de l’arbitrabilité matérielle des données personnelles.

Dans le cadre des litiges concernant les données à caractère personnel européennes transférées sur la base de la décision d’adéquation adoptée par la Commission européenne au profit des Etats-Unis [13], deux conditions matérielles d’arbitralité doivent être remplies. Premièrement, il y a la condition matérielle de fond à savoir que l’arbitrage doit porter sur des réclamations dites résiduelles, autrement dit des réclamations qui n’ont pas pu, totalement ou partiellement, trouver de solution par les voies de recours préalables obligatoires à l’arbitrage. En second lieu, il y a la condition matérielle de forme qui exige l’introduction de l’arbitrage qu’après l’épuisement des autres voies de recours disponibles pour la résolution desdits litiges.

Particulièrement, pour ce qui est des obligations du responsable du traitement et/ou du sous-traitant et des principes [14] dont les violations sont susceptibles d’arbitrage, il s’agit de celles ci-après : la notification de la personne concernée ; l’information sur la possibilité offerte aux personnes concernées de choisir si leurs informations personnelles doivent être divulguées à un tiers ou être utilisées à des finalités ultérieures différentes ; la responsabilité pour transfert ultérieur ; les mesures de sécurité raisonnables et appropriées pour la protection des données à caractère personnel ; la limitation des finalités ; le droit d’accès aux données et ses corolaires ; le recours, l’exécution et la responsabilité pour une protection efficace de la vie privée des personnes concernées.

En revanche, l’inarbitrabilité matérielle concerne les points suivants : les réclamations introduites à d’autres fins ; les réclamations concernant les exceptions aux principes ; l’existence d’un arbitrage exécutoire antérieur sur la même violation ; l’existence d’une décision de justice en dernier ressort sur la même violation et dans laquelle la personne concernée était partie ; l’existence d’un règlement antérieur du litige relatif à la même violation par les parties ; les données relatives aux ressources humaines, en vertu du principe supplémentaire sur lesquelles une autorité de contrôle a autorité ; les cas de violation sur lesquels une autorité de contrôle a le pouvoir d’apporter une solution auprès du responsable du traitement et/ou du sous-traitant.

La solution américaine d’arbitrabilité des litiges relatifs aux données à caractère personnel, entérinée par la Commission européenne dans la décision d’adéquation, présente un double intérêt. D’abord, parce que cette arbitrabilité porte sur les données à caractère personnel, une matière traditionnellement extrapatrimoniale.

L’on se serait attendu à ce que l’arbitrabilité se limite aux litiges relatifs aux bases de données ou aux aspects patrimoniaux. Ensuite, l’arbitrage ne peut être introduit qu’après que la possibilité ait été donnée à l’organisation présumément en faute, responsable du traitement et/ou sous-traitant, de résoudre le problème, ou qu’après qu’il ait été laissé à l’autorité nationale de contrôle, dont relève la personne victime, de faire de son mieux pour résoudre le problème dans des délais prescrits par l’administration américaine. Ainsi, l’arbitrage se présente comme un degré supérieur de juridiction, lorsque toutes les voies de recours ont été épuisées et qu’elles n’ont pas satisfait totalement ou partiellement la victime de la ou des violation(s) des données à caractère personnel.

C. L’arbitrabilité ratione personae des litiges des transferts transatlantiques de données personnelles.

1. Les règles générales de l’arbitrabilité au regard de la personne.

Sur le plan personnel, en principe, toutes personnes peuvent compromettre ou conclure une clause d’arbitrage [15], sous réserves de certaines conditions. Il peut s’agir d’une personne physique ou d’une personne morale, y compris les établissements publics industriels et commerciaux, certaines sociétés publiques, certains établissements publics administratifs et les collectivités territoriales publiques, après autorisation par décret, le cas échéant pour le cas de la France [16]. Dans le cas contraire, ils ne peuvent pas être parties à une procédure d’arbitrage.

2. Les règles américaines de l’arbitrabilité des litiges des transferts transatlantiques de données personnelles au regard de la personne.

Pour le cas des Etats-Unis, les conditions personnelles de l’arbitrabilité exigent que l’arbitrage des litiges relatifs aux données à caractère personnel concerne la personne victime de violation, l’organisation responsable du traitement et/ou sous-traitant.

Mais, n’est pas concernée par ledit arbitrage, une entité juridique différente qui est en dehors de la compétence de l’autorité nationale de contrôle détentrice du pouvoir de résoudre le cas de violation signalé auprès de l’organisation responsable du traitement et/ou sous-traitant considéré.

II. L’organisation de l’arbitrage des litiges relatifs aux transferts transatlantiques des données personnelles de l’Espace Economique Européen.

C’est dans le Data Privacy Framework que les Etats-Unis ont organisé le dispositif d’arbitrage des litiges relatifs aux données à caractère personnel. Ce dispositif se voudrait une garantie de respect de la vie privée, des droits et des libertés fondamentales des citoyens de l’Espace économique européen dont les données à caractère personnel pourraient être transférées aux Etats-Unis sur la base de la décision d’adéquation accordée aux Etats-Unis. L’arbitrage considéré est de type institutionnel [17], administré par l’American Arbitration Association et peut être examiné sous trois angles : les procédures de l’arbitrage, les pouvoirs du tribunal arbitral et la portée de la sentence arbitrale.

A. L’accessibilité et les règles procédurales de l’arbitrage des litiges relatifs aux données personnelles transférées aux Etats-Unis.

1. L’accessibilité à la justice arbitrage pour les personnes victimes de violations.

L’accessibilité à la justice arbitrale tient aux deux conditions ci-après : les facilités de saisine du tribunal arbitral et les coûts de l’arbitrage. En ce qui concerne les facilités de saisine du tribunal arbitral, un site Web fournit des informations claires et concises aux individus sur les mécanismes d’arbitrage et la procédure de demande d’arbitrage.

La procédure est introduite par la personne victime, sans frais. L’arbitrage peut se tenir par vidéo conférence ou par conférence téléphonique, et il n’est pas exigé la présence physique de la personne victime, même si elle est demanderesse. De même, le fait d’un délai relativement court de la procédure arbitrale - en l’occurrence 90 jours à compter de l’avis de l’organisation responsable du traitement et/ou sous-traitant mise en cause - participe des facilités d’accès à la justice arbitrale. Sur la question des coûts financiers de l’arbitrage comme facilité d’accès à la justice arbitrale, la loi américaine apporte les solutions ci-après : la minimisation des coûts de l’arbitrage, la mise en place d’un fonds alimenté par les organisations qui participent au cadre transatlantique de transferts des données à caractère personnel, et le paiement par chaque partie des honoraires de son ou ses propre(s) avocat(s).

L’essentiel des orientations états-unienne en matière d’accessibilité à la justice arbitrale sont louables, mais certaines sont discutables à plusieurs égards.

Premièrement, en conditionnant l’activation de l’option arbitrale à l’épuisement des voies de recours, l’arbitrage devient un pis-aller qui hérite des résidus d’autres procédures que l’on voudrait absolument raboter. L’arbitrage n’est pas facilement ou directement accessible et n’est donc plus une voie autonome de résolution des litiges.

Il aurait fallu que la clause compromissoire ou de compromis ne soit pas d’escalade [18], permettant ainsi que l’arbitrage puisse être accessible sans avoir à passer préalablement par d’autres voies. Pour ce qui est des coûts de l’arbitrage, les honoraires d’avocats représentent en général 85% des coûts de l’arbitrage. Les mettre à la charge de la victime est un facteur d’impécuniosité de cette dernière, et donc une cause de non-accessibilité à la justice. En outre, le choix de la possibilité de l’arbitrage à trois arbitres, au lieu d’un arbitre, pourrait contribuer à l’accroissement des coûts de l’arbitrage. Enfin, le fait d’avoir plafonné les montants payables par le fonds mis en place participe aussi de la non-accessibilité à la justice arbitrale.

2. Les règles procédurales applicables à l’arbitrage des litiges relatifs aux données à caractère personnel transférées aux Etats.

En premier lieu, nous avons les règles procédurales proprement dites qui sont les suivantes : les règles d’arbitrage sont celles américaines ; il n’y a pas de recours ou procédures faisant double emploi ; le siège de l’arbitrage est aux Etats-Unis ; il y a la procédure de discovery [19] ; et, les délais d’arbitrage sont fixés à 90 jours avec possibilité de prorogation sur accord des parties.

En second lieu, il y a d’autres règles à savoir : le caractère secret de l’arbitrage ; la possibilité d’arbitrage par vidéo ou par téléphone, avec ou non la présence de la personne concernée ; la langue de l’arbitrage est optionnelle ; la confidentialité des documents soumis à l’arbitrage. En somme, la loi américaine reprend ici les grands principes de la procédure de l’arbitrage international.

B. La composition et les pouvoirs du tribunal arbitral des litiges relatifs aux données personnelles transférées aux Etats-Unis.

1. La composition du tribunal arbitral des litiges relatifs aux données à caractère personnel transférées aux Etats-Unis.

Dans le cadre des litiges relatifs au programme transatlantique de transfert de données à caractère personnel, les arbitres sont choisis sur une liste périodique préalablement établie, à l’intention des parties, mais il appartient aux parties de constituer la composition du tribunal arbitral. L’exigence d’indépendance et d’éthique des arbitres est pratiquée, selon les règles de l’obligation de révélation [20]. De même, les arbitres devront obligatoirement justifier de leur expertise en droit américain et européen de la protection des données à caractère personnel, et exciper une autorisation d’exercer le droit américain.

2. Les pouvoirs du tribunal arbitral des litiges relatifs aux données à caractère personnel transférées aux Etats-Unis.

Le tribunal arbitral a de nombreux pouvoirs. Il peut imposer des mesures équitables, non monétaires et spécifiques, ci-après : l’accès aux données à caractère personnel, ainsi que leur correction, leur suppression ou et/ou leur restitution. Le tribunal arbitral est aussi tenu d’envisager d’autres recours déjà existants et imposés par d’autres mécanismes ou modes de résolution des litiges retenus dans le cadre de l’accord transatlantique de transfert des données à caractère personnel. Cependant, le tribunal arbitral ne peut pas accorder à la victime d’autres dommages, coûts, frais ou recours. C’est une curiosité que le tribunal arbitral ne puisse pas accorder des dommages et intérêts à la personne concernée, alors qu’il est admis en droit américain, pour les mêmes matières, qu’une juridiction étatique puisse le faire, si tant est que les deux modes de résolution de litiges concernant la violation des principes de protection des données à caractère personnel poursuivent le même objectif de rendre justice à la victime.

C. La portée de la sentence arbitrale des litiges relatifs aux données à caractère personnel transférées aux Etats-Unis.

1. La portée à l’égard des personnes concernées tierces : l’effet relatif.

La sentence arbitrale des litiges relatifs aux transferts transatlantiques de données à caractère personnel n’est contraignante qu’à l’égard des parties à l’arbitrage. Aussi, la sentence arbitrale ne peut pas servir de précédent dans d’autres arbitrages ou d’autres procès devant les tribunaux de l’Espace économique européen ou des Etats-Unis ou dans d’autres procédures devant la Federal Trade Commission [21].

2. La portée à l’égard d’autres voies de recours : l’effet exclusif.

La sentence arbitrale entraîne le renoncement, par la personne concernée, à la possibilité de demander réparation pour la même violation, auprès d’une autre instance. Toutefois, cette interdiction peut être évincée si une réparation non monétaire ne remédie pas entièrement à la violation alléguée. On notera aussi la possibilité d’introduire une demande de dommages-intérêts devant les juridictions étatiques.

Ce qu’il faut retenir.

Le dispositif d’arbitrage des litiges concernant la violation des principes de protection des données à caractère personnel transférées dans le cadre de l’échange transatlantique participe de l’exigence de mettre en place des mécanismes de recours indépendants et effectifs mis à la disposition de toute personne victime de violation des données à caractère personnel.

Bien que certains de ses aspects soient discutables, une telle orientation, de manière générale, accroît les chances de la victime de violation des données à caractère personnel d’obtenir justice et réparation de la part de l’organisation responsable du traitement et/ou sous-traitant. Il faudrait, néanmoins, nuancer le libéralisme que les Etats-Unis affichent avec l’option de l’arbitrage des litiges des données à caractère personnel, pour trois raisons.

D’abord, parce qu’ils optent pour l’arbitrage institutionnel exclusivement et ne font pas cas de l’arbitrage ad hoc, réputé moins coûteux et plus flexible que le premier.

Ensuite, les Etats-Unis, eu égard à leur politique législative, réglementaire et institutionnelle particulièrement intrusive dans la vie privée, les droits et libertés fondamentales des individus, misent sur la multiplicité des modes d’accès et voies de recours à la justice pour démontrer le respect desdits droits et libertés. Le but ici est de contrebalancer cette politique intrusive. Enfin, l’arbitrage porte sur des contestations résiduelles qui n’ont pas pu être résolues par d’autres modes de résolution des litiges considérés précédents l’arbitrage.

Quant à la question de l’arbitrabilité ou de l’inarbitrabilité, elle découle des choix de politiques juridiques et économiques étatiques. Au demeurant, lesdits choix sont révélateurs de leur rapport avec l’objet soumis à l’arbitrage. En tout état de cause, la sphère de l’inarbitrabilité s’est largement rétrécie, au détriment de la sacro-sainte extra patrimonialité, par exemple, considérée jusqu’ici comme le prolongement de la personne humaine, et donc hors du commerce. Les grands gagnants sont la compétence exclusive et la nécessité d’accès à la justice.

Laurent-Fabrice Zengue Data Privacy Manager, spécialiste de la protection des données personnelles Arbitre/Expert international, Chambre de Médiation, de Conciliation et d'Arbitrage d'Occitanie à Toulouse Diplômé de l'Université Paris 1 Panthéon-Sorbonne Diplômé de l'Université Toulouse 1 Capitole [->laurentfabricezengue@gmail.com]