Par un arrêt du 16 décembre 2008, la Cour de justice des Communautés européennes s’est prononcée sur l’articulation entre la protection des données à caractère personnel et la liberté d’information. En l’espèce, une société collectait des données fiscales concernant des personnes physiques à partir de documents publics de l’administration. Ces informations, relatives aux revenus et au patrimoine, étaient ensuite traitées, publiées sous forme de listes, et commercialisées sur support numérique ainsi que via un service par SMS. Saisie d’une plainte, l’autorité de protection des données nationale avait enjoint à la société de cesser ces traitements, estimant qu’ils violaient la législation sur la protection des données. La société a contesté cette décision devant une juridiction administrative, qui a alors décidé de surseoir à statuer. La juridiction nationale a saisi la Cour de justice de plusieurs questions préjudicielles visant à déterminer l’interprétation de la directive 95/46/CE du 24 octobre 1995. Il s’agissait de savoir si de telles activités constituaient un traitement de données à caractère personnel au sens de la directive, si elles pouvaient bénéficier de l’exception prévue pour l’exercice du journalisme, et si le caractère public de la source des données les soustrayait au champ d’application de la directive. La question de droit posée à la Cour était donc de déterminer dans quelle mesure la collecte et la diffusion commerciale de données personnelles, issues de sources publiques, relèvent du régime de protection européen et si la liberté d’expression peut justifier une dérogation à ces règles. La Cour répond que de telles opérations constituent bien un « traitement de données à caractère personnel » et que la directive s’applique même si les données proviennent de documents déjà publiés. Elle précise que ces activités ne peuvent être considérées comme exercées « aux seules fins de journalisme » que si leur unique finalité est la divulgation au public d’informations, d’opinions ou d’idées.
La solution retenue par la Cour de justice consacre une application extensive du régime de protection des données (I), tout en proposant une appréciation restrictive de l’exception journalistique qui y est attachée (II).
***
La Cour adopte une lecture large des notions fondamentales de la directive, en qualifiant sans équivoque les activités litigieuses de traitement de données personnelles (A) et en jugeant inopérant le fait que ces données soient issues de documents accessibles au public (B).
La Cour affirme qu’une activité consistant à « collecter dans les documents publics de l’administration fiscale des données relatives aux revenus du travail et du capital ainsi qu’au patrimoine de personnes physiques et à les traiter en vue de leur publication » doit être qualifiée de traitement de données à caractère personnel. En visant un ensemble d’opérations successives, de la collecte à la cession commerciale en passant par le traitement et la publication, la Cour rappelle l’ampleur de la définition posée par la directive. Le caractère systématique et organisé de ces activités, qui permettent de rendre des informations relatives à des personnes identifiées ou identifiables aisément accessibles et interrogeables, suffit à les faire entrer dans le champ d’application matériel du texte. Cette interprétation confirme que la protection n’est pas liée à la nature confidentielle de l’information, mais bien à son rattachement à une personne physique.
La Cour précise ensuite que les traitements de données personnelles, y compris ceux concernant des fichiers d’autorités publiques contenant des informations « déjà publiées telles quelles dans les médias, relèvent du champ d’application de la directive 95/46 ». Par cette assertion, elle établit que la protection des données ne cesse pas du simple fait que l’information a fait l’objet d’une première publication légale. Le fait de collecter, d’agréger et de diffuser ces données par de nouveaux canaux, notamment à des fins commerciales, constitue un traitement nouveau et distinct. Ce traitement secondaire est susceptible de porter une atteinte différente et potentiellement plus grave à la vie privée des personnes concernées, en facilitant l’accès et l’interconnexion d’informations qui, bien que publiques, n’étaient que difficilement accessibles. Le droit à la protection des données s’applique donc non seulement à la collecte initiale mais aussi à toute réutilisation ultérieure.
***
Après avoir confirmé l’applicabilité de la directive, la Cour encadre strictement la dérogation prévue pour la liberté d’expression, en la fondant sur la finalité exclusive de l’activité (A), ce qui l’amène à opérer une mise en balance délicate entre les droits fondamentaux en présence (B).
La Cour interprète la dérogation prévue pour les traitements de données effectués « aux seules fins de journalisme ». Elle estime que de telles activités doivent avoir « pour seule finalité la divulgation au public d’informations, d’opinions ou d’idées ». L’approche est téléologique et non organique : peu importe que l’auteur du traitement soit un journaliste professionnel ou une entreprise de presse. Seul le but poursuivi par le traitement est pertinent pour déterminer si l’exception peut être invoquée. En renvoyant à la juridiction nationale le soin d’apprécier si cette finalité est unique, la Cour l’invite à examiner si des objectifs commerciaux ou autres ne se superposent pas à l’intention d’informer le public. Cette lecture stricte de la condition de finalité limite considérablement la portée de l’exception et empêche qu’elle ne soit instrumentalisée pour couvrir des activités purement lucratives.
La solution de la Cour met en lumière la tension inhérente entre le droit à la protection des données, consacré comme un droit fondamental, et la liberté d’expression, qui inclut la liberté d’informer. En soumettant la réutilisation de données publiques aux exigences de la directive 95/46, tout en ménageant une exception pour le journalisme authentique, la Cour effectue une mise en balance. Elle réaffirme que la publication d’informations, même d’intérêt public, n’autorise pas une exploitation commerciale illimitée qui porterait atteinte au droit des personnes au respect de leur vie privée. Cet arrêt préfigure ainsi les principes qui seront plus tard renforcés par le Règlement général sur la protection des données, notamment celui de la limitation des finalités. Il établit clairement que la transparence administrative ne saurait servir de prétexte à la création d’un marché de l’information personnelle sans égard pour les droits fondamentaux des individus.
