La CJUE a annulé la décision d’adéquation adoptée par la Commission européenne, ainsi que l’accord international autorisant le transfert des données passager aux autorités américaines pris dans le cadre de la lutte contre le terrorisme. Les Etats-Unis ont adopté une législation prévoyant que les compagnies aériennes communiquent au service des douanes et de sécurité américain des informations personnelles relatives à leurs passagers sous peine de contrôles renforcés, d’amendes ou même d’interdiction du droit d’atterrir. Estimant que ces dispositions pouvaient entrer en conflit avec la législation communautaire en matière de protection des données personnelles, la Commission européenne a engagé des négociations avec les autorités américaines.
A l’issue de ces négociations, la Commission européenne a adopté, le 14 mai 2004, une décision (la décision d’adéquation) reconnaissant que les données des passagers communiquées aux autorités américaines bénéficiaient d’une protection adéquate. Parallèlement, les Etats-Unis et l’Union européenne ont signé, le 28 mai 2004, un accord international venant compléter la décision de la Commission européenne et permettant son entrée en vigueur. Le Parlement européen a saisi la CJCE, afin qu’elle se prononce sur la légalité de la décision d’adéquation et de l’accord international autorisant le transfert des données passager aux autorités américaines.
Par un arrêt du 30 mai 2006, la CJCE a annulé la décision d’adéquation et l’accord international. Elle a estimé que la Commission européenne, en adoptant une décision constatant le niveau de protection adéquat des données passager transférées aux autorités américaines, avait excédé ses compétences. En effet, les traitements ayant pour objet la sécurité publique et les activités de l’Etat relatives à des domaines du droit pénal ne relèvent pas de sa compétence. Sur l’accord international, la CJCE a souligné l’absence de bases juridiques dans l’Union européenne pour utiliser, à fin de sécurité publique, les données commerciales contenues dans les dossiers des passagers aériens et rappelé qu’une telle base juridique était indispensable pour modifier le but dans lequel les données ont été collectées à l’origine et permettre leur utilisation à des fins de sécurité publique. En conséquence, la CJCE a annulé la décision du conseil approuvant la conclusion de l’accord.