La Cour de justice de l’Union européenne, dans une décision rendue le 4 mai 2017, précise les conditions de licéité du traitement des données personnelles. En décembre 2012, un accident de la circulation survient entre un trolleybus et un taxi dont le passager a ouvert la portière de manière imprudente. L’assureur ayant refusé d’indemniser les dommages subis par le transporteur, celui-ci a sollicité auprès des autorités de police les coordonnées complètes de l’auteur des faits. L’administration a transmis l’identité du passager mais a refusé de communiquer son adresse ainsi que son numéro d’identification pour protéger sa vie privée. Le tribunal administratif de district a annulé ce refus partiel par un jugement du 16 mai 2014, entraînant un pourvoi devant la juridiction administrative suprême. Cette dernière a interrogé la Cour de justice sur l’existence d’une obligation de communication des données fondée sur l’intérêt légitime d’un tiers lésé. Les juges devaient déterminer si l’article 7 de la directive 95/46 impose la divulgation d’informations privées pour permettre l’introduction d’un recours en réparation civile. La Cour a répondu que le droit de l’Union n’impose pas cette communication, tout en précisant qu’il ne s’y oppose pas sous certaines conditions strictes. L’analyse portera sur la reconnaissance d’une simple faculté de traitement des données avant d’examiner les critères de proportionnalité encadrant cette transmission éventuelle.
I. La consécration d’une faculté de traitement des données personnelles
A. L’interprétation restrictive de la directive quant à l’obligation de communication
La Cour affirme que l’article 7 de la directive énumère de manière exhaustive les cas où le traitement des données est considéré comme étant licite. Elle précise d’emblée que cette disposition « ne prescrit pas, en soi, une obligation, mais exprime une faculté d’effectuer le traitement de données » par le responsable. Le droit de l’Union définit donc un cadre de légitimation pour la circulation des informations sans toutefois contraindre l’administration à une transparence totale systématique. Cette interprétation littérale protège l’autonomie des États membres qui conservent la liberté de préciser les conditions de transmission dans leur propre ordre juridique national. Le refus de l’autorité de police de communiquer l’adresse de l’auteur de l’accident ne constitue donc pas une violation directe des normes européennes précitées. Il appartient dès lors aux juridictions internes de vérifier si leur législation nationale autorise ou impose une telle communication dans l’intérêt des victimes de dommages.
B. La reconnaissance de l’intérêt légitime attaché à l’exercice d’une action en justice
Les juges européens considèrent que la volonté d’obtenir une indemnisation devant une juridiction civile constitue indubitablement un intérêt légitime pour le tiers demandeur. La décision souligne que le traitement est autorisé s’il est nécessaire à la « réalisation de l’intérêt légitime poursuivi par le responsable du traitement » ou par l’acquéreur. Cette analyse s’appuie sur la nécessité de garantir l’accès au juge et la protection du droit de propriété du demandeur ayant subi un préjudice matériel. Le droit fondamental à la protection des données doit ainsi composer avec le droit à un recours effectif pour les personnes victimes d’un dommage causé. L’intérêt privé du transporteur à identifier son débiteur est ici validé comme un motif sérieux justifiant potentiellement une dérogation au principe de confidentialité des informations. Cette validation de l’intérêt légitime ne constitue cependant que la première étape d’un examen plus global incluant le respect des nécessités procédurales et individuelles.
II. L’encadrement du traitement par le respect de la proportionnalité
A. Le caractère nécessaire des données d’identification pour l’accès au juge
La communication des informations nominatives doit rester limitée au strict nécessaire afin de ne pas porter une atteinte excessive à la vie privée d’autrui. La Cour observe que les seuls nom et prénom d’un individu ne permettent pas toujours de l’identifier avec une précision suffisante pour une assignation judiciaire. Elle estime qu’il « paraît nécessaire d’obtenir à cette fin également l’adresse et/ou le numéro d’identification de cette personne » pour garantir l’efficacité de l’action. Cette exigence de précision répond à une réalité pratique puisque de nombreux homonymes peuvent exister au sein des registres de la population d’un même État. Le traitement des données est donc conditionné par une utilité directe et indispensable à la poursuite du but légitime identifié lors de la première phase. La proportionnalité de la mesure dépend ainsi de l’incapacité du demandeur à obtenir ces renseignements essentiels par d’autres moyens moins intrusifs pour la personne concernée.
B. L’influence relative de la minorité de la personne concernée sur la pondération des droits
Le juge national doit effectuer une mise en balance entre les intérêts du demandeur et les droits fondamentaux de la personne dont les données sont traitées. L’âge de l’intéressé représente un élément pertinent dont il convient de tenir compte pour apprécier la gravité de l’atteinte portée à sa sphère privée. La Cour considère pourtant qu’il n’est pas justifié de refuser la communication au seul motif que l’auteur du dommage était mineur lors des faits litigieux. Elle rappelle que le recours peut être dirigé contre les parents exerçant l’autorité parentale, ce qui rend l’identification du mineur tout aussi indispensable pour la victime. La protection spécifique due à l’enfance ne saurait donc paralyser l’exercice des droits civils des tiers dès lors que le traitement demeure strictement proportionné. La décision finale appartient aux juges nationaux qui doivent évaluer chaque situation concrète pour assurer un équilibre juste entre la transparence et le secret.
