Demande de décision préjudicielle présentée par la Cour d'appel de Bruxelles (Belgique) le 10 décembre 2025 – État belge / Autorité de protection des données

(Affaire C-804/25, Autorité de protection des données)

Langue de procédure: le français

Juridiction de renvoi

Cour d'appel de Bruxelles

Parties à la procédure au principal

Partie requérante : État belge

Partie défenderesse : Autorité de protection des données

Autres parties à la procédure : JC, Accidental Americans Association of Belgium (AAAB)

Questions préjudicielles

Est-ce que, au regard de l’article 96 du Règlement (UE) 2016/679 du 27 avril 2016 du Parlement européen et du Conseil relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD)¹ , un accord international conclu par un Etat membre avant le 24 mai 2016 impliquant le transfert de données à caractère personnel vers un pays tiers respecte le droit de l’Union tel qu’il était applicable avant le 24 mai 2016, et plus spécifiquement les articles 6, §1, b), c) et e) de la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données² , lus le cas échéant en combinaison avec les articles 7, 8 et 52 de la Charte des droits fondamentaux, en ce que cet accord prévoit, à des fins fiscales et afin d’assurer l’observation des règles fiscales internationales et la mise en œuvre des obligations issues de la loi américaine FATCA visant à lutter contre l’évasion fiscale des ressortissants américains, le transfert automatique dans le respect des règles de confidentialité vers ce pays tiers de renseignements relatifs aux comptes financiers de tous les ressortissants de cet État (renseignements qui, en pratique, comportent notamment le nom, l’adresse, le Numéro d’Identification Fiscale (NIF) attribué au titulaire de compte par son État de résidence, la date de naissance, le numéro de compte, le solde ou la valeur portée sur le compte à la fin de l’année civile concernée ou d’une autre période de référence adéquate, certaines données dans le cas d’un compte-titres, d’un compte de dépôt ou d’un autre type de compte) sans sélection préalable de comptes présentant un risque d’évasion fiscale, sans limitation dans le temps de la conservation des données prévue dans cet accord et le plancher de 50.000 $ prévu dans l’annexe I étant subordonné au bon vouloir des institutions financières ?

Un tel accord peut-il être justifié sur la base de l’article 26, § 1er, d) de la directive 95/46/CE précitée si l’État tiers concerné ne garantit pas de réciprocité effective ?

L’article 26, §2 de la directive 95/46/CE précitée, lu en combinaison avec les articles 7, 8 et 52 de la Charte des droits fondamentaux, doit-il être interprété en ce sens que les garanties suffisantes visées par cette disposition :

visent notamment la mention de la durée de conservation des données au sens de l’article 6, § ler, e) de la directive et les droits à l’information visés par ses articles 10 et 11 ?

incluent la définition de la portée de la limitation du droit au respect de la vie privée et au droit à la protection des données à caractère personnel ?

doivent, en cas de convention prévoyant le transfert de données à caractère personnel, être reprises explicitement dans cette convention ?

En cas de réponse positive à tout ou partie de cette troisième question, est-ce que, au regard de l’article 96 du RGPD, un accord international conclu par un Etat membre avant le 24 mai 2016 impliquant le transfert de données à caractère personnel vers un pays tiers respecte le droit de l’Union tel qu’il était applicable avant le 24 mai 2016, et plus spécifiquement l’article 26, §2 de la directive 95/46/CE précité, lu le cas échéant en combinaison avec les articles 7, 8 et 52 de la Charte des droits fondamentaux s’il ne prévoit pas explicitement les garanties suffisantes visées par cette disposition ?

En cas de réponse positive à la première et/ou à la deuxième et/ou à la quatrième question, est-ce que le transfert de données à caractère personnel opéré en application de cet accord international doit néanmoins respecter, depuis le 24 mai 2018, les dispositions du RGPD en ce qui concerne les questions qui ne sont pas spécifiquement visées ou exclues par cet accord, et notamment ses articles 5.2, 12,14, 24 et 35 ?

La charge de la preuve des conditions reprises dans l’article 96 du RGPD incombe-t-elle au responsable du traitement ?

a. L’article 96 du RGPD, pris isolément ou lu en combinaison avec l’article 4, alinéa 3 du Traité sur l’Union européenne, l’article 351 du Traité sur le fonctionnement de l’Union européenne et les articles 7, 8 et 52 de la Charte des droits fondamentaux doit-il être interprété en ce sens que les États membres ont l’obligation de déployer leurs meilleurs efforts afin de modifier, remplacer ou révoquer les traités internationaux auxquels ils sont parties qui ne respectent pas les dispositions de ce règlement ?

b. Est-ce qu’un État membre qui, en 2025, n’aurait pas déployé ses meilleurs efforts afin de modifier, remplacer ou révoquer un traité international, auquel il est partie, qui ne respecte pas les dispositions du RGPD, peut invoquer l’article 96 de ce règlement pour justifier un comportement incompatible avec ce règlement ?

En cas de réponse négative à la première, à la deuxième ou à la quatrième question :

a.    un tel accord doit-il être écarté d’office par le juge national ?

b.    le juge national doit-il vérifier la conformité d’un tel accord au RGPD ?

En cas de réponse négative à la première, à la deuxième ou à la quatrième question et de réponse positive à la huitième question sub b), est-ce qu’un accord international tel que décrit dans la première question respecte le RGPD, et plus spécifiquement les articles 5, §ler b) et c), lus le cas échéant en combinaison avec les articles 7, 8 et 52 de la Charte des droits fondamentaux ?

La décision d’exécution (UE) 2023/1795 de la Commission, du 10 juillet 2023, constatant, conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil, le niveau de protection adéquat des données à caractère personnel assuré par le cadre de protection des données UE - États-Unis¹ constitue-t-elle une décision d’adéquation au sens de l’article 45, §3 du RGPD en ce qui concerne les transferts de données litigieux, qui sont réalisés à des fins fiscales ?

En cas de réponse négative à la première, à la deuxième ou à la quatrième question, et de réponse positive à la huitième question sub b), l’article 46 du RGPD doit-il être interprété en ce sens que :

les garanties appropriées auxquelles il fait référence visent tout ou partie des garanties suivantes : (1) les définitions des notions élémentaires (ce qui inclut les notions suivantes : « donnée à caractère personnel », « traitement de données à caractère personnel », « responsable de traitement », « sous-traitant », « destinataire » et « données sensibles » (2), les principes élémentaires en matière de protection des données (parmi lesquels les principes de « limitation des finalités », « d’exactitude et de minimisation » (ou proportionnalité), de limitation dans le temps de la conservation des données (3) les droits des personnes concernées (notamment le droit à l’information, le droit d’accès, le droit de rectification, le droit à l’effacement, le droit à la limitation ou le droit d’opposition, le droit de ne pas faire l’objet d’une décision individuelle automatisée au sens de l’article 22 du RGPD, ainsi que les modalités d’exercice de ces droits) (4) la limitation du transfert ultérieur et du partage des données (5) les voies de recours effectives, (6) les mécanismes de contrôle et (7) le principe de responsabilité ?

ces garanties doivent être explicitement reprises dans l’instrument juridique contraignant visé par l’article 46, §2, a) du RGPD ?

cet instrument juridique contraignant est, lorsqu’il existe un traité régissant les transferts de données à caractère personnel vers des pays tiers, uniquement ce traité ou peut-il inclure son instrument national de transposition ?

En cas de réponse négative à la première, à la deuxième ou à la quatrième question, et de réponse positive à la huitième question sub b) :

a.    l’article 49, § 1er, d) du RGPD doit-il être interprété comme permettant ou comme interdisant un accord international impliquant le transfert de données à caractère personnel vers un pays tiers, qui prévoit, à des fins fiscales, le transfert automatique vers ce pays tiers de renseignements financiers de tous les ressortissants de cet État (tels que précisés dans la première question) ?

b.    Le niveau de réciprocité des échanges de données est-il un critère pertinent pour déterminer la réponse à cette question ?

En cas de réponse négative à la première, à la deuxième ou à la quatrième question, et de réponse positive à la huitième question sub b) :

a.    les « informations » visées par la dispense d’information prévue par l’article 14, §5, a) du RGPD peuvent-elles avoir été données par les responsables de traitement qui ont collecté les données directement auprès de la personne concernée ?

b.    Dans ce cas, qui a la charge a la charge de la preuve de ce que les informations ont été communiquées et ce, compte tenu notamment de l’article 5, §1er, a) et 5, §2 du RGPD ?

____________

¹ JO 2016, L 119, p. 1.

¹ JO 1995, L 281, p. 31.

¹ JO 2023, L 231, p. 118.