La Cour de justice de l’Union européenne, par un arrêt du 30 mars 2023, précise les conditions de validité des normes nationales encadrant les données personnelles des salariés. Un litige opposait un comité du personnel à une autorité régionale concernant la mise en place de cours par vidéoconférence durant la crise sanitaire. L’administration avait autorisé la diffusion en direct des enseignements sans recueillir le consentement préalable des professeurs concernés. Elle s’appuyait sur une loi locale prévoyant le traitement des données dès lors que celui-ci s’avère nécessaire à l’exécution de la relation de travail.
Le Tribunal administratif de Wiesbaden, saisi de l’affaire, a observé que le législateur national qualifiait ces dispositions de règles spécifiques au sens du droit européen. Il s’interrogeait toutefois sur la conformité de ces textes avec les exigences de protection minimales imposées par le règlement général sur la protection des données. La juridiction de renvoi a donc demandé si une norme nationale doit impérativement respecter les garanties de transparence et de dignité pour être jugée valide. Elle souhaitait également connaître les conséquences juridiques d’une éventuelle incompatibilité du texte interne avec les prescriptions du droit de l’Union.
La question de droit posée à la Cour porte sur l’interprétation de la marge de manœuvre laissée aux États membres pour légiférer en matière de droit du travail. Une règle nationale de protection des données peut-elle se contenter de réitérer le critère de la nécessité contractuelle sans prévoir de mesures protectrices concrètes ?
La Cour de justice de l’Union européenne affirme qu’une réglementation nationale ne constitue une règle plus spécifique que si elle remplit les conditions de fond et de forme. Elle juge que l’application d’une disposition interne incompatible doit être écartée par le juge national, à moins qu’elle ne constitue une base juridique générale licite.
I. Les conditions de validité des règles nationales spécifiques
A. L’exigence de garanties protectrices substantielles
La Cour rappelle que la faculté laissée aux États membres d’adopter des règles plus précises est strictement encadrée par le droit de l’Union. Les dispositions nationales doivent impérativement « comporter des mesures appropriées et spécifiques pour protéger la dignité humaine, les intérêts légitimes et les droits fondamentaux des personnes concernées ». Cette exigence textuelle limite la liberté d’appréciation des législateurs nationaux qui souhaitent déroger au régime commun de protection des données à caractère personnel.
L’objectif recherché consiste à assurer un niveau de protection élevé des travailleurs tout en maintenant une harmonisation cohérente au sein du marché unique. Une attention particulière doit être accordée à la transparence du traitement ainsi qu’aux systèmes de contrôle mis en œuvre sur le lieu de travail effectif. La reconnaissance d’une autonomie législative nationale ne saurait ainsi conduire à un affaiblissement des droits garantis par le règlement européen dans la relation de travail.
B. L’insuffisance de la simple réitération des principes généraux
Une loi interne ne peut être qualifiée de règle spécifique si elle se borne à reprendre les conditions de licéité déjà présentes dans le règlement. La Cour observe que « les règles plus spécifiques visées par cette disposition doivent avoir un contenu normatif propre au domaine réglementé et distinct des règles générales ». La simple mention de la nécessité du traitement pour l’exécution du contrat de travail ne présente aucun caractère innovant ou protecteur supplémentaire.
Les juges européens considèrent que de telles dispositions ne font que réitérer une condition de licéité générale sans ajouter de garanties propres au secteur professionnel. Le législateur national doit donc apporter une valeur ajoutée normative pour justifier l’usage de la clause d’ouverture prévue par le droit de l’Union. À défaut de contenu propre, la loi nationale ne remplit pas sa fonction de protection renforcée des droits et des libertés des employés.
II. Les effets juridiques de l’incompatibilité des normes nationales
A. La mise en œuvre du principe de primauté du droit de l’Union
Le juge national a l’obligation de garantir le plein effet des normes européennes en laissant inappliquée toute disposition contraire de sa législation interne. La Cour énonce qu’une « réglementation nationale ne peut constituer une règle plus spécifique dans le cas où elle ne remplit pas les conditions posées ». L’incompatibilité d’un texte national avec les exigences de fond du règlement européen entraîne son éviction immédiate par les juridictions nationales saisies.
Cette sanction assure que le traitement des données des salariés ne soit pas soumis à des régimes nationaux moins protecteurs que le standard européen commun. L’absence de mesures spécifiques dans la loi interne prive celle-ci de sa base légale dérogatoire et impose le retour au droit commun. Le principe de primauté interdit ainsi de maintenir une norme nationale qui méconnaîtrait les limites imposées à la marge d’appréciation des États.
B. Le maintien subsidiaire d’une base juridique de droit commun
L’invalidation d’une règle en tant que norme spécifique n’entraîne pas nécessairement l’illicéité absolue du traitement des données personnelles par l’employeur. Les autorités nationales peuvent conserver l’application de la loi si celle-ci constitue une base juridique générale conforme aux principes de licéité du règlement. La Cour précise que l’application doit être écartée « à moins que lesdites dispositions constituent une base juridique visée à l’article 6, paragraphe 3 ».
Le traitement peut alors être validé s’il répond à une mission d’intérêt public ou à l’exécution d’une autorité publique dont est investi le responsable. Cette analyse permet de préserver la continuité du service public tout en soumettant l’administration aux exigences générales de proportionnalité et de nécessité. Le juge doit alors vérifier si le texte national, bien qu’insuffisant comme règle spécifique, demeure une base légale valide au sens large.
