62

Les Lignes directrices 05/2021 sur l’interaction entre l’application de l’article 3 et les dispositions sur les transferts internationaux prévues au chapitre V du RGPD du Comité européen de protection des données poursuivent l’approche territoriale maximaliste adoptée par l’UE au moins depuis Google Spain (2014) mais elles reflètent surtout la reconnaissance dans l’arrêt Schrems II (2020) du fait que la simple extension d’une loi protectrice à un autre pays ne se traduit pas nécessairement dans les faits par une protection équivalente pour les utilisateurs si le cadre juridique général de ce pays la dénature dans son exercice même. Ce constat implique ainsi l’idée selon laquelle être soumis au RGPD en vertu de l’article 3 ne saurait avoir pour effet d’écarter les dispositions du chapitre V relatives aux transferts si le traitement des données a lieu dans un pays tiers. En effet, ces dispositions relatives aux transferts sont spécifiquement axées sur la réalisation effective des obligations et des droits prévus par le RGPD dans le pays tiers. Implicitement, cette approche est une preuve qu’un large champ d’application territorial ne constitue pas une panacée en termes d’efficacité dans des ordres juridiques et politiques parfois lointains, bien souvent fondamentalement différents. Pourtant, il est tout aussi incertain qu’une approche cumulative tienne la promesse d’une protection accrue.

The European Data Protection Board’s Guidelines 05/2021 on the Interplay between the application of Article 3 and the provisions on international transfers as per Chapter V of the GDPR continue the maximalist territorial approach the EU has taken at least since Google Spain (2014) but speak particularly to the recognition in Schrems II (2020) that the simple extension of a protective law to another country does not necessarily translate into equivalent protection if the wider legal landscape in that country distorts the law in its actual operation. This recognition necessarily entails that being subject to the GDPR (Art 3) should not displace the transfers rules in Chapter V if the processing occurs in a third country, given that only the transfer rules are directed towards the actual reception of GDPR normativity in the third country. Whilst implicitly the cumulative approach acknowledges that giving the GDPR a wide territorial scope hardly delivers a panacea of effectiveness on far away shores in fundamentally different legal and political orders, whether it will redress that weakness is equally doubtful.