La Cour de justice de l’Union européenne, par un arrêt rendu le 7 mars 2024, précise les contours du traitement des données à caractère personnel. Cette décision répond à une demande de décision préjudicielle portant sur l’interprétation du règlement général sur la protection des données dans un contexte judiciaire.
Une société organisatrice d’un concours a sollicité oralement auprès d’une juridiction de première instance des informations relatives aux éventuelles condamnations pénales d’un participant. Cette demande visait à vérifier les antécédents judiciaires de l’intéressé, mais le tribunal a refusé de communiquer ces éléments sensibles en invoquant la protection des données.
La requérante a alors formé un recours devant la Cour d’appel de Finlande orientale le 21 octobre 2022 pour contester ce refus de communication. Les juges d’appel ont décidé d’interroger la Cour de justice sur l’application du règlement européen à une transmission purement orale d’informations contenues dans un fichier.
Le problème juridique posé porte sur le point de savoir si la communication orale de données pénales figurant dans un fichier judiciaire constitue un traitement soumis au droit européen. La Cour doit également déterminer si le principe de publicité des documents officiels permet une divulgation de ces données sans que le demandeur justifie d’un intérêt.
La juridiction européenne affirme que la communication orale constitue un traitement de données dès lors que les informations sont extraites d’un fichier structuré. Elle considère que la protection de la vie privée prévaut sur l’intérêt du public à accéder aux documents officiels pour ce type de données. L’analyse de cette solution impose d’étudier l’étendue de la notion de traitement avant d’envisager la conciliation entre publicité et protection des libertés.
I. L’appréhension extensive de la communication orale par le droit de l’Union
A. La qualification de traitement indépendante de la forme de transmission
La Cour souligne que la notion de traitement doit recevoir une interprétation large afin de garantir un niveau élevé de protection aux personnes physiques. L’article 4 du règlement définit le traitement comme « toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés ».
Cette définition inclut expressément la communication par transmission, la diffusion ou toute autre forme de mise à disposition de données personnelles identifiées. Le juge européen précise que l’énumération légale n’est pas exhaustive et que le législateur n’a posé aucune condition quant à la forme du traitement.
La possibilité de contourner le droit de l’Union en communiquant des informations oralement plutôt que par écrit serait manifestement incompatible avec les objectifs de la réglementation. La Cour affirme donc que « la notion de traitement visée à l’article 4, point 2, du règlement couvre nécessairement la communication orale de données à caractère personnel ».
B. L’intégration au champ d’application matériel par le critère du fichier
Le règlement s’applique aux traitements non automatisés de données à caractère personnel à la condition que celles-ci soient contenues ou appelées à figurer dans un fichier. Un fichier est défini comme tout ensemble structuré de données accessibles selon des critères déterminés, peu importe que cet ensemble soit centralisé ou réparti géographiquement.
La Cour rappelle que cette notion de fichier est définie de manière large pour ne pas faire dépendre la protection des techniques de gestion utilisées. L’exigence de structuration vise uniquement à permettre que les informations relatives à une personne physique puissent être retrouvées aisément par le responsable du traitement.
Dès lors que les données demandées sont contenues dans « un fichier de données à caractère personnel tenu par une juridiction », le règlement trouve à s’appliquer. Cette qualification demeure valable que les informations soient stockées dans des bases de données électroniques ou dans des registres physiques structurés selon des critères précis.
II. La prééminence de la protection des données sensibles sur la publicité
A. L’encadrement rigoureux du traitement des données relatives aux condamnations
Le traitement des données relatives aux condamnations pénales et aux infractions fait l’objet de restrictions additionnelles prévues par l’article 10 du règlement général. Ces informations particulièrement sensibles ne peuvent être traitées que sous le contrôle de l’autorité publique ou avec des garanties appropriées pour les intéressés.
La Cour relève que le traitement de telles données est susceptible de constituer une « ingérence particulièrement grave dans les droits fondamentaux au respect de la vie privée ». La divulgation de comportements entraînant la désapprobation de la société peut stigmatiser durablement la personne concernée dans sa vie privée ou sa carrière.
Une autorité publique ne peut donc communiquer ces éléments au public que si une telle mission d’intérêt public est prévue par une base juridique précise. La législation nationale doit alors impérativement prévoir des garanties adéquates afin de préserver l’essence même des droits fondamentaux des citoyens dont les données sont traitées.
B. L’exigence de proportionnalité limitant l’accès du public aux documents
L’accès du public aux documents officiels constitue un intérêt public légitime mais il doit nécessairement être concilié avec les exigences de la protection des données. L’article 86 du règlement impose cette conciliation en respectant le principe de proportionnalité et en limitant l’ingérence au strict nécessaire pour atteindre l’objectif.
Le juge européen considère que les droits à la vie privée et à la protection des données « prévalent sur l’intérêt du public à avoir accès aux documents ». La communication de données pénales à toute personne qui en fait la demande sans justification d’un intérêt spécifique est jugée contraire au droit.
Cette interdiction de communication systématique s’applique indépendamment de la qualité du demandeur, qu’il s’agisse d’un particulier ou d’une société commerciale agissant pour ses besoins. La protection accordée par le droit de l’Union demeure identique que la transmission des informations sensibles soit réalisée sous une forme écrite ou orale.
