Par une décision du 4 mai 2022, la Cour de justice de l’Union européenne a été amenée à se prononcer sur la notion de personne identifiable au sens du droit de la protection des données personnelles. L’affaire concernait la publication par un organe de l’Union d’un communiqué de presse relatif à une enquête pour fraude, sans nommer explicitement la personne visée.
En l’espèce, une chercheuse, responsable d’un projet de recherche financé par une subvention de l’Union européenne, a fait l’objet d’une enquête de l’Office européen de lutte antifraude (OLAF) pour des irrégularités financières présumées. À l’issue de cette enquête, l’OLAF a publié un communiqué de presse détaillant les faits de fraude complexe, le montant de la subvention, la nationalité de la chercheuse, sa qualité de « jeune scientifique prometteuse », ainsi que le fait que son père travaillait dans l’université d’accueil du projet. La chercheuse, estimant que ce communiqué permettait son identification et portait atteinte à sa réputation et à sa présomption d’innocence, a saisi le Tribunal de l’Union européenne d’un recours en indemnité contre la Commission européenne. Le Tribunal a rejeté son recours par un arrêt du 4 mai 2022, au motif principal que les informations contenues dans le communiqué de presse ne permettaient pas de l’identifier, même indirectement, et ne constituaient donc pas des données à caractère personnel. La requérante a alors formé un pourvoi devant la Cour de justice de l’Union européenne, soutenant que le Tribunal avait interprété de manière erronée la notion de « personne physique identifiable ».
Le problème de droit soumis à la Cour consistait donc à déterminer si des informations factuelles diffuses, contenues dans une communication publique d’une institution, qui ne permettent d’identifier une personne qu’au moyen d’informations complémentaires et de recherches externes, peuvent être qualifiées de « données à caractère personnel ». Il s’agissait également de savoir si la diffusion de telles informations, qui suggèrent la culpabilité d’une personne avant toute condamnation, peut constituer une violation du principe de la présomption d’innocence.
La Cour de justice annule l’arrêt du Tribunal. Elle juge que pour déterminer si une personne est identifiable, il convient de prendre en considération « l’ensemble des moyens raisonnablement susceptibles d’être utilisés par le responsable du traitement ou par toute autre personne pour identifier la personne physique directement ou indirectement ». La Cour précise que la nécessité de recourir à des informations externes ne fait pas obstacle à cette qualification, dès lors que l’effort requis pour l’identification n’est pas démesuré. En conséquence, les informations du communiqué litigieux constituaient bien des données à caractère personnel, et le Tribunal ne pouvait rejeter le grief tiré de la violation de la présomption d’innocence sans l’examiner au fond.
La Cour de justice, en censurant le raisonnement du Tribunal, affirme une conception extensive de la notion de personne identifiable (I), ce qui conduit à renforcer la protection des individus face à la communication des institutions de l’Union (II).
La Cour de justice consacre une lecture large de la notion de « donnée à caractère personnel » en rejetant l’approche restrictive du Tribunal quant aux critères d’identification (A) et en privilégiant une appréciation objective du risque réel d’identification (B).
Le Tribunal avait estimé que l’identification de la requérante devait découler du seul communiqué de presse et ne pouvait résulter d’éléments extérieurs à celui-ci. Il avait ainsi écarté la possibilité d’une identification par un journaliste d’investigation qui, contrairement à un « lecteur moyen », disposait de connaissances externes. La Cour de justice censure cette approche, la qualifiant d’erreur de droit. Elle rappelle que la notion même d’identification « indirectement » implique la possibilité de croiser les informations publiées avec des données supplémentaires. La Cour souligne que la question de la qualification des informations en données personnelles est une étape préalable et distincte de celle de l’imputabilité d’une faute à l’Union. Elle juge ainsi que « la question de savoir si des informations figurant dans un communiqué de presse […] relèvent de la notion de “données à caractère personnel” […] ne saurait être confondue avec celle relative aux conditions nécessaires à l’engagement de la responsabilité extracontractuelle de l’Union ». En affirmant qu’il « est inhérent à l’« identification indirecte » d’une personne que des informations supplémentaires doivent être combinées avec les données en cause aux fins de l’identification », la Cour refuse de limiter l’analyse au contenu intrinsèque du document publié.
Cette clarification est essentielle, car elle aligne l’interprétation du règlement 2018/1725 sur celle du Règlement Général sur la Protection des Données (RGPD), assurant une protection cohérente au sein de l’Union. Le fait que les informations additionnelles soient détenues par « toute autre personne » que le responsable du traitement, comme le prévoit le considérant 16 du règlement, est donc un élément central de l’analyse, que le Tribunal avait à tort ignoré.
Au-delà de la prise en compte des informations externes, la Cour précise la méthode d’évaluation du caractère identifiable. Le critère pertinent n’est pas la facilité d’identification pour un lecteur moyen, mais l’existence de « moyens raisonnablement susceptibles d’être mis en œuvre » pour y parvenir. La Cour se réfère à sa jurisprudence antérieure pour préciser ce qu’est un moyen non raisonnable : celui qui impliquerait un « effort démesuré en termes de temps, de coût et de main-d’œuvre ». Si l’identification est interdite par la loi ou si le risque est « en réalité insignifiant », alors la personne n’est pas identifiable. En l’espèce, la Cour examine concrètement les informations contenues dans le communiqué : genre, nationalité, profession, nature du projet, montant de la subvention, localisation de l’université, et lien de parenté avec un membre de cette université. Elle conclut que cet ensemble d’éléments, combiné à la possibilité de recherches sur le site de l’organisme subventionneur, « n’apparaît aucunement démesuré, de sorte que le risque d’identification de la requérante […] ne pouvait être qualifié d’insignifiant ».
La Cour opère donc une appréciation pragmatique et réaliste du risque. Elle reconnaît implicitement qu’une communication publique, surtout lorsqu’elle allègue une fraude, suscite la curiosité et incite à des recherches, notamment de la part de journalistes ou de pairs du domaine concerné. En considérant ces acteurs comme faisant partie de « toute autre personne » susceptible de procéder à l’identification, la Cour adopte une vision protectrice qui correspond à la réalité de la circulation de l’information à l’ère numérique.
En qualifiant les informations de données à caractère personnel, la Cour ouvre la voie à une application étendue du principe de la présomption d’innocence (A) et exerce un contrôle rigoureux sur l’exactitude des informations diffusées par une autorité publique (B).
La conséquence directe de la qualification de « données à caractère personnel » est que les garanties associées au traitement de ces données deviennent applicables. Parmi celles-ci figure la protection de la réputation et des droits fondamentaux de la personne concernée. Le Tribunal avait écarté le grief tiré de la violation de la présomption d’innocence au motif que la requérante n’était pas identifiable. Cette conclusion étant erronée, la Cour logiquement censure l’arrêt sur ce point. Elle juge que « le Tribunal a commis une erreur de droit en jugeant, au point 106 de l’arrêt attaqué, que la requérante n’était pas identifiée ou identifiable dans le communiqué de presse litigieux et qu’elle n’avait, de ce fait, pas pu démontrer une atteinte à sa présomption d’innocence ».
Cette décision a une portée significative. Elle confirme que le principe de la présomption d’innocence, consacré par la Charte des droits fondamentaux, protège non seulement contre les déclarations de culpabilité formelles, mais aussi contre les insinuations publiques émanant d’une autorité, même lorsque la personne n’est pas nommément désignée. En liant étroitement le droit à la protection des données et la présomption d’innocence, la Cour contraint les institutions de l’Union à une prudence accrue dans leur communication sur des enquêtes en cours, les obligeant à évaluer soigneusement le risque d’identification indirecte avant toute publication.
La Cour ne se limite pas à la question de l’identification. Elle examine également le grief tiré de la dénaturation des preuves par le Tribunal, en lien avec le droit à une bonne administration. La requérante reprochait au communiqué de presse d’affirmer qu' »[a]ucun » des chercheurs contactés ne savait que son nom était lié au projet, alors que le rapport d’enquête de l’OLAF indiquait le contraire. La Cour constate que le Tribunal a effectivement dénaturé le sens du communiqué de presse et les conclusions du rapport final. Elle relève que « contrairement à ce qui ressort du communiqué de presse litigieux, ce n’est pas la totalité des chercheurs avec lesquels l’OLAF avait pris contact qui ne savaient pas que leurs noms étaient liés au projet ». Par conséquent, « le Tribunal a donc dénaturé les conclusions dudit rapport final, en jugeant, au point 157 de l’arrêt attaqué, que l’OLAF n’avait pas divulgué d’informations inexactes ».
En exerçant un contrôle aussi précis sur la concordance entre un rapport d’enquête et le communiqué de presse qui le résume, la Cour rappelle les institutions à leur devoir de diligence et de rigueur. La diffusion d’informations non seulement identifiantes mais également inexactes constitue un manquement aggravé au droit à une bonne administration. Cette jurisprudence renforce la responsabilité des organes de l’Union, qui ne peuvent se contenter de résumés approximatifs ou tendancieux, surtout lorsque la réputation d’une personne est en jeu.
