CONCLUSIONS DE L’AVOCAT GÉNÉRAL M. PRIIT PIKAMÄE
présentées le 9 décembre 20211 Affaire C-184/20
OT contre
Vyriausioji tarnybinės etikos komisija, en présence de
Fondas „Nevyriausybinių organizacijų informacijos ir paramos centras“
[demande de décision préjudicielle formée par le Vilniaus apygardos administracinis teismas (tribunal administratif régional de Vilnius, Lituanie)]
« Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Directive 95/46/CE – Règlement (UE) 2016/679 – Législation nationale
prévoyant la publication de données à caractère personnel contenues dans des déclarations d’intérêts – Transparence dans l’utilisation des fonds publics – Prévention des conflits d’intérêts
et de la corruption dans le secteur public – Droits fondamentaux tenant au respect de la vie privée et à la protection des données à caractère personnel – Articles 7 et 8 de la charte des droits
fondamentaux de l’Union européenne – Notion de “catégories particulières de données à caractère personnel” »
1. Connu pour avoir imaginé le panoptique, un type d’architecture carcérale devant permettre à un gardien, logé dans une tour centrale, d’observer tous les prisonniers enfermés dans des cellules individuelles autour de la tour, sans que ceux-ci puissent savoir qu’ils sont observés, le philosophe anglais Jeremy Bentham appliquait également son souci de la transparence à la vie publique et considérait que « l’œil du public rend l’homme d’État vertueux »2. Des paroles assurément prophétiques, s’agissant à tout le moins du mécanisme proposé, si l’on en juge par le nombre important de législations au sein de l’Union européenne imposant aujourd’hui la publicité, au moins partielle, des déclarations d’intérêts et de patrimoine des responsables publics.
2. Tous ces textes sont à la recherche d’un équilibre entre publicité et préservation de la vie privée des personnes concernées. La présente affaire porte précisément sur la conformité avec le droit de l’Union d’un traitement de données à caractère personnel, caractérisé par la mise en ligne du contenu partiel de déclarations d’intérêts sur le site Internet de l’autorité publique chargée de les recueillir et de les contrôler. Son intérêt est également de donner l’occasion à la Cour de préciser la portée de la notion de catégories particulières de données dites « données sensibles ».
1 Langue originale : le français.
2 « If it be true, according to the homely proverb, “that the eye of the master makes the ox fat”, it is no less so that the eye of the public makes the statesman virtuous. » The Works of Jeremy Bentham, vol. 10, édité par John Bowring, William Tait-Simpkin, Marshall, Édimbourg-Londres, 1843.
Le cadre juridique
Le droit de l’Union
3. Outre certaines dispositions de droit primaire, à savoir les articles 7, 8 et l’article 51, paragraphe 2, de la charte des droits fondamentaux de l’Union européenne (ci-après la
« Charte »), sont pertinents dans le cadre de la présente affaire les articles 3 et 6 à 8 de la directive 95/46/CE3ainsi que les articles 2, 5, 6 et 9 du règlement (UE) 2016/6794.
Le droit lituanien
4. Le Lietuvos Respublikos viešųjų ir privačių interesų derinimo įstatymas Nr. VIII-371 (loi no VIII-371 de la République de Lituanie, sur la conciliation des intérêts publics et privés dans le service public), du 2 juillet 1997 (Žin., 1997, no 67-1659), dans sa version en vigueur à la date des faits au principal5 (ci-après la « loi sur la conciliation des intérêts »), prévoyait, à son article 1er, qu’elle vise à concilier les intérêts privés des personnes travaillant dans le service public et les intérêts publics de la société, à assurer, lors de la prise de décisions, la prévalence de l’intérêt public, à garantir l’impartialité des décisions prises et à prévenir l’apparition et l’essor de la corruption dans le service public6.
5. L’article 6 de ladite loi, intitulé « Contenu de la déclaration », prévoyait :
« 1. Le déclarant mentionne dans sa déclaration les renseignements suivants le concernant et concernant son conjoint, concubin ou partenaire :
1) prénom, nom, numéro d’identification personnel, numéro de sécurité sociale, employeur(s) et fonctions ;
2) personne morale dont le déclarant ou son conjoint, concubin ou partenaire a la qualité d’associé ou sociétaire ;
3) activité indépendante, telle que définie dans la loi de la République de Lituanie relative à l’impôt sur le revenu ;
4) appartenance à des entreprises, des établissements, des associations ou des fonds et fonctions y exercées, à l’exception de l’appartenance à des partis politiques et à des syndicats ;
3 Directive du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO 1995, L 281, p. 31).
4 Règlement du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, ci-après le « RGPD »).
5 Une nouvelle version de cette loi est entrée en vigueur le 1er janvier 2020, mais, selon la juridiction de renvoi, les dispositions pertinentes pour l’affaire au principal sont restées en substance inchangées, à l’exception de la liste des fonctions des personnes assujetties à l’obligation déclarative dans laquelle ne figurent plus celles du requérant au principal.
6 La mention explicite de la prévention des « conflits d’intérêts » a fait son apparition, selon les observations du gouvernement lituanien, dans la nouvelle version de la loi, simple précision formelle rétrospective d’un objet légal incontestable. Avant même sa modification, cette loi imposait aux assujettis d’éviter tout « conflit d’intérêts » selon les modalités et à l’aide des moyens prévus par la loi et de se comporter de sorte à ne pas faire naître de soupçon d’existence d’un tel conflit (article 3), de mentionner les personnes proches ou autres personnes ou données connues du déclarant susceptibles de donner lieu à un « conflit d’intérêts » (article 6, point 7) et l’autorité publique en charge de veiller au respect de ladite loi était déjà dénommée la Haute commission de « prévention des conflits d’intérêts » dans le service public.
5) cadeaux (autres que ceux de proches) reçus au cours des douze derniers mois civils si leur valeur est supérieure à 150 euros ;
6) informations sur les transactions conclues au cours des douze derniers mois civils et autres transactions en cours si la valeur de la transaction est supérieure à 3 000 euros ;
7) personnes proches ou autres personnes ou données connues du déclarant susceptibles de donner lieu à un conflit d’intérêts.
2. Le déclarant peut omettre les données relatives à son conjoint, concubin ou partenaire s’ils vivent séparément, ne forment pas un ménage commun et qu’il n’est donc pas en possession de ces données. »
6. L’article 10 de la loi sur la conciliation des intérêts, intitulé « Publicité des données relatives aux intérêts privés », disposait :
« 1. Sont publiques et publiées sur le site Internet de la Haute commission, conformément aux modalités définies par cette dernière, les données figurant dans les déclarations des élus et personnes occupant des postes politiques, des fonctionnaires et agents de l’État, des juges, des directeurs et directeurs adjoints d’institutions de l’État ou d’une collectivité locale, des fonctionnaires et agents de confiance politique (personnelle), des fonctionnaires de l’État exerçant les fonctions de directeurs et directeurs adjoints de subdivisions d’institutions ou établissements, des directeurs et directeurs adjoints d’entreprises publiques et d’autorités budgétaires de l’État ou d’une collectivité locale, des directeurs et directeurs adjoints d’associations ou d’établissements publics recevant des fonds provenant du budget ou de fonds de l’État ou d’une collectivité locale, des employés de la Banque de Lituanie investis de compétences d’administration publique (chargés de la surveillance des marchés financiers, du règlement extrajudiciaire des litiges entre consommateurs et acteurs des marchés financiers et autres fonctions d’administration publique), des membres des conseils de surveillance ou d’administration et directeurs et directeurs adjoints de sociétés par actions ou à responsabilité limitée dont l’État ou une collectivité locale est propriétaire de parts lui conférant plus de la moitié des droits de vote à l’assemblée générale des associés, des membres du conseil d’administration d’entreprises publiques de l’État ou d’une collectivité locale, des présidents et vice-présidents de partis politiques, des consultants non rémunérés, assistants et conseillers des élus et personnes occupant des postes politiques, des experts agréés par les commissions du Parlement de la République de Lituanie, des membres des collèges ministériels, des membres du Conseil de l’assurance santé obligatoire, des conseillers non rémunérés du Conseil de l’assurance santé obligatoire, des membres du Conseil national de la santé, des médecins, dentistes et pharmaciens travaillant dans des autorités budgétaires ou publiques de l’État ou d’une collectivité locale, dans des entreprises publiques de l’État ou de collectivités locales ou dans des entreprises dont l’État ou une collectivité locale est propriétaire de parts lui conférant plus de la moitié des droits de vote à l’assemblée générale des associés, titulaires d’une licence d’établissement de santé ou de pharmacie, ainsi que des membres des commissions de passation de marchés publics, des personnes chargées par le directeur d’un pouvoir adjudicateur de passer des marchés suivant la procédure simplifiée et des experts intervenant dans des procédures de passation de marchés publics [à l’exception des données figurant dans les déclarations des personnes dont les données sont classifiées en vertu de la loi et (ou) qui exercent une activité de renseignement, de contre-espionnage ou de renseignement en matière criminelle]. Lorsqu’une personne dont les données sont publiques perd le statut de déclarant, la Haute commission, sur demande de l’intéressé, retire la déclaration de son site Internet.
2. Ne peuvent être rendues publiques les données suivantes fournies dans la déclaration : le numéro d’identification personnel, le numéro de sécurité sociale, des données à caractère personnel particulières ainsi que les autres renseignements dont la loi interdit la divulgation. En outre, les données de l’autre partie à une transaction, lorsqu’il s’agit d’une personne physique, ne sont pas publiées. »
Le litige au principal et les questions préjudicielles
7. La Vyriausioji tarnybinės etikos komisija (Haute commission de prévention des conflits d’intérêts dans le service public, ci-après la « Haute commission ») est une autorité publique chargée de veiller à l’application de la loi sur la conciliation des intérêts et, plus particulièrement, de recueillir les déclarations d’intérêts et d’en assurer le contrôle.
8. OT exerce les fonctions de directeur de QP, un établissement public de droit lituanien actif dans le domaine de la protection de l’environnement.
9. Par une décision du 7 février 2018, la Haute commission a constaté que, en ayant omis de déposer auprès d’elle une déclaration d’intérêts privés comme l’exigeait la loi sur la conciliation des intérêts, OT avait contrevenu à l’article 3, paragraphe 2, ainsi qu’à l’article 4, paragraphe 1, de cette loi.
10. Le 6 mars 2018, OT a introduit devant la juridiction de renvoi un recours en annulation contre cette décision. Il soutient, d’une part, qu’il ne relève pas des personnes soumises à l’obligation de déclaration des intérêts privés prévue à l’article 2, paragraphe 1, de la loi sur la conciliation des intérêts et, d’autre part, que la publication sur le site Internet de la Haute commission du contenu de sa déclaration porterait atteinte tant à son droit au respect de sa vie privée qu’à celui des autres personnes qu’il serait, le cas échéant, tenu de mentionner dans sa déclaration.
11. La Haute commission fait valoir que OT était tenu de déposer une déclaration d’intérêts privés comme étant investi de compétences administratives au sein de QP, établissement public bénéficiant d’un financement provenant de fonds structurels de l’Union et du budget de l’État lituanien. Elle admet que, si la publication d’une telle déclaration est susceptible de constituer une ingérence dans la vie privée de l’intéressé et de son conjoint, celle-ci est prévue par la loi sur la conciliation des intérêts.
12. La juridiction de renvoi considère que les données à caractère personnel figurant dans une déclaration d’intérêts privés, en vertu de l’article 6, paragraphe 1, de la loi sur la conciliation des intérêts, font partie intégrante de la vie privée du déclarant et des autres personnes concernées et que leur divulgation, s’agissant de données particulièrement sensibles, telles que la situation familiale ou l’orientation sexuelle, risquerait d’entraîner d’importants désagréments dans la vie de ces personnes. Les exceptions prévues à l’article 10 de cette loi seraient insuffisantes pour assurer la protection de ces données. En outre, la publication sur Internet de données relatives à des circonstances susceptibles d’influencer la prise de décisions dans l’exercice de fonctions publiques ne serait pas nécessaire à la réalisation de l’objectif poursuivi par ladite loi, soit la mise en œuvre du principe de transparence dans le service public. La communication des données à caractère personnel figurant dans la déclaration en cause à la Haute commission ainsi que la mission de surveillance assignée aux organes visés à l’article 22 de la même loi seraient des mesures suffisantes pour assurer la réalisation de cet objectif.
13. Ayant des doutes quant à la compatibilité du régime prévu par la loi sur la conciliation des intérêts avec les dispositions du RGPD, le Vilniaus apygardos administracinis teismas (tribunal administratif régional de Vilnius, Lituanie) a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :
« 1) Eu égard aux exigences énoncées à l’article 6, paragraphe 3, du [RGPD] et notamment à celle selon laquelle le droit des États membres doit répondre à un objectif d’intérêt public et être proportionné à l’objectif légitime poursuivi, ainsi qu’aux articles 7 et 8 de la [Charte], convient-il d’interpréter la condition énoncée à l’article 6, paragraphe 1, sous e), [du RGDP], selon laquelle le traitement [des données à caractère personnel] doit être nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement, en ce sens que le droit national ne saurait exiger la divulgation des données figurant dans des déclarations d’intérêts privés et la publication desdites données sur le site Internet du responsable du traitement – la [Haute commission] –, ce qui rend ces données accessibles à toutes les personnes qui ont la possibilité d’utiliser l’internet ?
2) Eu égard aux conditions énoncées à l’article 9, paragraphe 2, du [RGPD], notamment à celle énoncée [au point g) de cette disposition], selon laquelle le traitement [des données à caractère personnel] doit être nécessaire pour des motifs d’intérêt public important, sur la base du droit de l’Union ou du droit d’un État membre qui doit être proportionné à l’objectif poursuivi, respecter l’essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée, ainsi qu’aux articles 7 et 8 de la Charte, convient-il d’interpréter l’interdiction de traiter certaines catégories de données à caractère personnel énoncée à l’article 9, paragraphe 1, [du RGDP] en ce sens que le droit national ne peut exiger la divulgation de données figurant dans des déclarations d’intérêts privés qui sont susceptibles de révéler des données à caractère personnel, entre autres des données qui permettent de connaître les opinions politiques, l’appartenance syndicale ou l’orientation sexuelle ou d’autres informations de nature personnelle d’une personne, et la publication desdites données sur le site Internet du responsable du traitement – la [Haute commission] –, ce qui rend ces données accessibles à toutes les personnes qui ont la possibilité d’utiliser l’internet ? »
La procédure devant la Cour
14. En application de l’article 101 du règlement de procédure de la Cour, une demande d’éclaircissements a été adressée par la Cour à la juridiction de renvoi, qui y a répondu par courrier enregistré le 12 mai 2021. La Commission européenne ainsi que les gouvernements lituanien, italien et finlandais ont déposé des observations écrites. Le gouvernement lituanien a répondu aux questions écrites de la Cour dans un mémoire déposé le 30 juillet 2021.
Analyse
Sur la recevabilité
15. Il découle à la fois des termes et de l’économie de l’article 267 TFUE que la procédure préjudicielle présuppose qu’un litige soit effectivement pendant devant les juridictions nationales, dans le cadre duquel elles sont appelées à rendre une décision susceptible de prendre en considération l’arrêt de la Cour rendu à titre préjudiciel. Partant, la Cour est susceptible de vérifier d’office la persistance du litige au principal7.
16. En réponse à une interrogation de la Cour sur l’apparente exclusion du requérant au principal du champ d’application ratione personae de la loi sur la conciliation des intérêts, telle que modifiée le 1er janvier 2020, la juridiction de renvoi a fait état de la nécessaire réponse de la Cour aux fins de la résolution du litige au principal au regard de la réglementation nationale en vigueur à la date d’adoption de la décision de la Haute commission incriminée. Elle a ajouté que l’intéressé est encore susceptible de faire partie des personnes visées par ladite loi, dans sa version actuelle.
17. Cette même juridiction a précisé, également sur l’invitation de la Cour, que l’arrêt de la Cour constitutionnelle lituanienne du 20 septembre 2018, déclarant irrecevable sa demande d’appréciation de la constitutionnalité de l’article 10 de la loi sur la conciliation des intérêts au motif de l’inapplicabilité de cette disposition au litige au principal, est dépourvu d’incidence quant à la poursuite de la procédure préjudicielle. La juridiction de renvoi a indiqué que, même si la question à trancher est bien, comme l’a indiqué la juridiction constitutionnelle, celle d’une éventuelle violation de l’article 3, paragraphe 2, et de l’article 4, paragraphe 1, de cette loi pour non-respect par le requérant au principal de son obligation de dépôt de la déclaration d’intérêts, la vérification de la légalité de la décision incriminée implique la prise en compte des conséquences, découlant de l’application de l’article 10 de ladite loi, d’un tel dépôt, à savoir la divulgation publique de certaines données contenues dans la déclaration sur le site Internet de la Haute commission.
18. Compte tenu des indications fournies par la juridiction de renvoi, il convient de considérer que le litige au principal est toujours pendant devant celle-ci et qu’une réponse de la Cour aux questions posées demeure utile pour la solution de ce litige. Je rappelle, en outre, qu’il n’appartient pas à la Cour de se prononcer, dans le cadre d’un renvoi préjudiciel, sur l’interprétation des dispositions nationales8 et que les questions relatives à l’interprétation du droit de l’Union posées par le juge national dans le cadre réglementaire et factuel qu’il définit sous sa responsabilité bénéficient d’une présomption de pertinence. Il n’apparaît pas de manière manifeste, en l’espèce, que l’interprétation sollicitée du droit de l’Union n’ait aucun rapport avec la réalité ou l’objet du litige au principal, ni que les questions posées à la Cour revêtent un caractère hypothétique9.
19. À cet égard, me paraît infondée l’allégation du gouvernement lituanien quant au caractère
« théorique » de la seconde question préjudicielle, au motif pris de l’impossibilité d’identifier les données sensibles concernées par la publication, faute de dépôt préalable de la déclaration d’intérêts par le requérant au principal. J’observe que le cadre réglementaire national présenté
7 Voir arrêt du 13 septembre 2016, Rendón Marín (C-165/14, EU:C:2016:675, point 24).
8 Voir arrêt du 19 juin 2018, Gnandi (C-181/16, EU:C:2018:465, point 34).
9 Voir arrêt du 3 juin 2021, Ministero dell’Istruzione, dell’Università e della Ricerca - MIUR e.a. (Chercheurs universitaires) (C-326/19, EU:C:2021:438, points 36 et 38).
par la juridiction de renvoi permet d’identifier la nature des données devant figurer dans cette déclaration et de déterminer, avec une relative précision, celles échappant à la publication sur le site Internet de la Haute commission. La Cour me paraît disposer de tous les éléments de fait et de droit nécessaires pour apporter une réponse utile à la solution effective du contentieux.
Sur le cadre juridique d’analyse
20. Il ressort de la demande de décision préjudicielle que la juridiction de renvoi tient manifestement pour acquis que la réglementation nationale litigieuse relève du champ d’application du RGPD, tant sur le plan ratione materiae que ratione temporis, position me paraissant justifier quelques observations.
Sur l’applicabilité ratione materiae du RGPD
21. Conformément à l’article 2, paragraphe 1, du RGPD, ce dernier s’applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu’au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier, soit un champ d’application matériel identique à celui de la directive 95/46 qui a été abrogée et remplacée par ce règlement.
22. Il y a lieu de constater d’emblée que les données de la déclaration d’intérêts devant être publiées sur le site Internet de la Haute commission, à savoir, notamment, les noms de certaines personnes physiques, constituent des « données à caractère personnel » au sens de l’article 4, paragraphe 1, du RGPD ou de l’article 2, sous a), de la directive 95/46, puisqu’il s’agit d’« information[s] concernant une personne physique identifiée ou identifiable », la circonstance qu’une information s’inscrit, comme en l’espèce, dans le contexte d’une activité professionnelle n’étant pas de nature à lui ôter sa qualification de « donnée à caractère personnel »10. Tant leur collecte par cette entité publique que leur diffusion sous la forme d’une mise en ligne sur le site susmentionné présentent dès lors le caractère d’un « traitement de données à caractère personnel » au sens de l’article 4, paragraphe 2, de ce règlement ou de l’article 2, sous b), de cette directive11.
23. Il importe de souligner que, si, au regard de la définition très large de son champ d’application, le RGPD constitue en quelque sorte le droit commun de la protection des données à caractère personnel dans l’Union, d’autres normes de nature sectorielle qui le précisent et le complètent ont été adoptées, apparaissant ainsi comme des lex specialis. Il en va ainsi de la directive (UE) 2016/680 du Parlement européen et du Conseil, du 27 avril 2016, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil12.
10 Voir, en ce sens, arrêts du 27 septembre 2017, Puškár (C-73/16, EU:C:2017:725, point 33), et du 14 février 2019, Buivids (C-345/17, EU:C:2019:122, point 46).
11 Voir, en ce sens, arrêts du 27 septembre 2017, Puškár (C-73/16, EU:C:2017:725, points 33 et 34), et du 14 février 2019, Buivids (C-345/17, EU:C:2019:122, point 37), étant observé que le caractère automatisé ou non du traitement est indifférent quant à sa qualification réglementaire.
12 JO 2016, L 119, p. 89. Je relève que la décision-cadre 2008/977/JAI du Conseil, du 27 novembre 2008, relative à la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire en matière pénale (JO 2008, L 350, p. 60) excluait de son champ d’application, selon les termes de ses considérants 7 et 9, ce qui ne relevait pas des échanges entre États membres.
24. À cet égard, l’article 2, paragraphe 2, sous d), du RGPD, prévoit que ce dernier ne s’applique pas au traitement de données à caractère personnel effectué « par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre des menaces pour la sécurité publique et la prévention de telles menaces ». Cette exception à l’applicabilité du RGPD doit, à l’instar des autres exceptions prévues à l’article 2, paragraphe 2, de celui-ci, recevoir une interprétation stricte. Ainsi qu’il résulte du considérant 19 dudit règlement, ladite exception est motivée par la circonstance que les traitements, à de telles fins et par les autorités compétentes, de données à caractère personnel sont régis par un acte plus spécifique de l’Union, à savoir la directive 2016/68013.
25. Cette dernière, adoptée le même jour que le RGPD, définit, à son article 3, paragraphe 7, ce qu’il convient d’entendre par « autorité compétente », une telle définition devant être appliquée, par analogie, à l’article 2, paragraphe 2, sous d), dudit règlement. À cet égard, la Cour a jugé qu’il ressort du considérant 10 de la directive 2016/680 que la notion d’« autorité compétente » doit être comprise en lien avec la protection des données à caractère personnel dans le domaine de la coopération judiciaire en matière pénale et de la coopération policière, compte tenu des aménagements qui peuvent s’avérer nécessaires en raison de la nature spécifique de ces domaines14. En outre, le considérant 11 de cette directive précise que le RGPD s’applique au traitement de données à caractère personnel qui serait effectué par une « autorité compétente », au sens de l’article 3, paragraphe 7, de ladite directive, mais à d’autres fins que celles prévues dans celle-ci15.
26. Or, dans l’affaire au principal et selon les indications fournies par la juridiction de renvoi et le gouvernement lituanien, la réglementation nationale en cause vise à concilier les intérêts privés des personnes travaillant dans le service public et les intérêts de la société, à assurer la prévalence de l’intérêt public lors de la prise de décisions, à garantir l’impartialité de celles-ci et à « empêcher que de la corruption ne naisse et ne se développe dans le service public ». La corruption peut, notamment, correspondre à l’agissement d’une personne investie d’une fonction publique qui sollicite ou accepte un avantage en vue d’accomplir ou de s’abstenir d’accomplir un acte de sa fonction16, comportement susceptible de recouvrir la notion d’« infraction pénale » au sens de l’article 2, paragraphe 2, sous d), du RGPD.
27. Conformément à sa mission générale consistant à veiller à la bonne application de la loi sur la conciliation des intérêts, la Haute commission procède au recueil des déclarations d’intérêts des personnes travaillant dans le secteur public et à la publication de certaines informations y contenues sur son site Internet. L’article 22 de la loi sur la conciliation des intérêts révèle que, lorsqu’il existe des informations étayées selon lesquelles une personne ne respecte pas les exigences légales, la Haute commission a le pouvoir de faire procéder à une enquête sur le comportement de l’intéressé, de rectifier les conclusions de l’enquête, d’enquêter elle-même et d’adopter une décision. En l’absence de précision du dossier soumis à la Cour, la nature exacte des décisions pouvant être adoptées par la Haute commission n’apparaît pas clairement, l’affaire au principal démontrant, à tout le moins, la faculté pour cette entité de constater une abstention illicite de dépôt de la déclaration d’intérêts, se traduisant nécessairement par une obligation d’y remédier à la charge de l’intéressé.
13 Voir, en ce sens, arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité) (C-439/19, EU:C:2021:504, points 62 et 69).
14 Cette analyse me semble également confirmée par les termes du considérant 7 de la directive 2016/680.
15 Voir arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité) (C-439/19, EU:C:2021:504, points 69 et 70).
16 L’article 3 de la loi sur la conciliation des intérêts prévoit que, afin de garantir la primauté de l’intérêt public, les personnes travaillant dans le service public ne doivent pas utiliser leurs fonctions pour obtenir un bénéfice personnel.
28. Au vu de ces éléments, qui traduisent le caractère purement national du cadre réglementaire et la portée interne du traitement mis en œuvre par la Haute commission avec un objectif essentiel de dissuasion, à l’égard des personnes œuvrant dans le secteur public lituanien, de tout comportement illicite en lien avec l’exercice de leurs fonctions, il n’apparaît pas que cet organe puisse être considéré comme une « autorité compétente », au sens de l’article 3, paragraphe 7, de la directive 2016/680 et, partant, que ses activités puissent relever de l’exception prévue à l’article 2, paragraphe 2, sous d), du RGPD. En conséquence, la publication par la Haute commission sur son site Internet de données personnelles contenues dans des déclarations d’intérêts de personnes travaillant dans le secteur public relève bien du champ d’application matériel du RGPD.
29. Ainsi qu’il sera précisé ci-après, une réponse utile de la Cour aux questions préjudicielles implique qu’elle porte tant sur le RGPD que sur la directive 95/46. Je relève, à cet égard, que l’article 2, paragraphe 2, sous d), du RGPD s’inscrit partiellement dans la continuité de l’article 3, paragraphe 2, premier tiret, de la directive 95/46 selon lequel les traitements ayant pour objet la sécurité publique, la défense, la sûreté de l’État (y compris le bien-être économique de l’État lorsque ces traitements sont liés à des questions de sûreté de l’État) et les activités de l’État relatives à des domaines du droit pénal sont exclus du champ d’application de cette directive, exception devant faire l’objet d’une interprétation stricte. Il me semble clair que le traitement des données personnelles réalisé par la Haute commission n’a pas pour objet la sécurité publique, la défense ou la sûreté de l’État. En outre, même s’il n’apparaît pas exclu que lesdites données puissent être utilisées dans le cadre de poursuites pénales qui pourraient être exercées, en cas d’infractions de type corruption active ou passive, contre des déclarants, les données en cause au principal n’apparaissent pas avoir été collectées dans l’objectif spécifique de l’exercice de telles poursuites pénales ou dans le cadre des activités de l’État relatives à des domaines du droit pénal17.
Sur l’applicabilité ratione temporis
30. Il y a lieu de constater que les deux questions adressées à la Cour concernent l’interprétation de dispositions du RGPD, lequel est devenu applicable le 25 mai 2018 et a abrogé la directive 95/46 avec effet à cette même date18. Or, la décision en cause au principal a été adoptée le 7 février 2018, soit antérieurement au 25 mai 2018, ce qui doit conduire à la conclusion de l’applicabilité ratione temporis de ladite directive au litige au principal.
31. Cela étant, il ressort également du dossier soumis à la Cour que, par sa décision, la Haute commission a déclaré que, en omettant de déposer une déclaration d’intérêts, le requérant au principal avait enfreint la loi sur la conciliation des intérêts, plaçant ainsi l’intéressé dans la situation de devoir fournir cette déclaration. Aucun élément de ce dossier n’indiquant qu’une telle transmission a bien eu lieu avant le 25 mai 2018, il n’est pas exclu que, en l’occurrence, le RGPD soit applicable ratione temporis. Dans ces conditions, afin de permettre à la Cour de fournir des réponses utiles aux questions posées par la juridiction de renvoi, il y a lieu de répondre à ces questions sur le fondement tant de la directive 95/46 que du RGPD19. Je rappelle que, dès lors que le RGPD a abrogé et remplacé la directive 95/46 et que les dispositions
17 Voir, en ce sens, arrêt du 27 septembre 2017, Puškár (C-73/16, EU:C:2017:725, points 38 et 39).
18 Voir, respectivement, article 99, paragraphe 2, et article 94, paragraphe 1, du RGPD.
19 Voir, par analogie, arrêt du 11 novembre 2020, Orange Romania (C-61/19, EU:C:2020:901, points 29 à 32).
pertinentes de ce règlement ont une portée en substance identique à celle des dispositions pertinentes de cette directive, la jurisprudence de la Cour relative à ladite directive est également applicable, en principe, en ce qui concerne ledit règlement20.
Sur les questions préjudicielles
Sur la portée de la demande de décision préjudicielle
32. Dans la décision de renvoi, qui exprime les doutes éprouvés par la juridiction nationale quant à la compatibilité avec le droit de l’Union du traitement de données à caractère personnel mis en œuvre par la Haute commission, il est sollicité l’interprétation par la Cour de l’article 6, paragraphe 1, et de l’article 9, paragraphe 1, du RGPD dans le cadre de deux questions préjudicielles distinctes. Ces dernières ne me paraissent pas se prêter à un examen conjoint en raison de la spécificité de l’objet de la seconde question. La problématique y soulevée est celle de la détermination de la portée de la notion de « catégories particulières de données à caractère personnel » au sens de l’article 9, paragraphe 1, du RGPD et de l’article 8, paragraphe 1, de la directive 96/46, dans le contexte d’une réglementation nationale interdisant précisément la divulgation de données relevant de ces catégories.
33. Cette discussion se distingue, dès lors, de celle de la licéité du traitement en cause21induite par la première question préjudicielle portant sur l’interprétation de l’article 6, paragraphe 1, du RGPD qui reprend avec des modifications l’article 7 de la directive 95/46. À cet égard, il ressort de la demande de décision préjudicielle que la juridiction de renvoi cherche à établir plus généralement si le traitement des données à caractère personnel en cause au principal peut être considéré comme régulier au regard de l’ensemble des principes relatifs au traitement des données à caractère personnel et, notamment, au regard du principe de proportionnalité. Il s’ensuit qu’il convient de tenir compte également, dans la réponse à fournir à cette juridiction, des principes énoncés à l’article 5, paragraphe 1, de ce règlement et à l’article 6, paragraphe 1, de cette directive, en particulier du principe de la « minimisation des données », selon lequel les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées et qui donne expression audit principe de proportionnalité22.
Sur la première question préjudicielle
34. Par sa première question, la juridiction de renvoi demande, en substance, si les articles 5 et 6 du RGPD, lus à la lumière des articles 7 et 8 de la Charte, doivent être interprétés en ce sens qu’ils s’opposent à une réglementation nationale en vertu de laquelle une partie des données à caractère personnel contenues dans la déclaration d’intérêts dont le dépôt est imposé à tout directeur d’un établissement public percevant des fonds publics doit faire l’objet d’une publication sur le site Internet de l’autorité étatique chargée de collecter ces déclarations et d’en contrôler la teneur.
20 Voir arrêt du 17 juin 2021, M.I.C.M. (C-597/19, EU:C:2021:492, point 107).
21 Dans cette mesure, la référence dans la seconde question préjudicielle à l’article 9, paragraphe 2, du RGPD qui prévoit les dérogations à l’interdiction de principe de traitement des données sensibles ne me paraît pas pertinente.
22 Voir, en ce sens, arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité) (C-439/19, EU:C:2021:504, points 97 et 98).
– Sur les conditions de licéité d’un traitement de données à caractère personnel
35. Conformément au considérant 10 et à l’article 1er de la directive 95/46 ainsi qu’au considérant 4 et à l’article 1er du RGPD, ces deux normes visent à garantir un niveau élevé de protection des libertés et des droits fondamentaux des personnes physiques, notamment de leur vie privée, à l’égard du traitement des données à caractère personnel les concernant23. Ces droits, respectivement consacrés aux articles 7 et 8 de la Charte, le second étant étroitement lié au premier, ne sont pas des prérogatives absolues, mais doivent être pris en considération par rapport à leur fonction dans la société et être mis en balance avec d’autres droits fondamentaux.
L’article 8, paragraphe 2, de la Charte autorise ainsi le traitement des données à caractère personnel si certaines conditions sont réunies, à savoir que les données à caractère personnel
« doivent être traitées loyalement, à des fins déterminées et sur la base du consentement de la personne concernée ou en vertu d’un autre fondement légitime prévu par la loi ». Par ailleurs, l’article 52, paragraphe 1, de la Charte admet que des limitations peuvent être apportées à l’exercice de droits tels que ceux consacrés aux articles 7 et 8 de celle-ci, pour autant que ces limitations sont prévues par la loi, qu’elles respectent le contenu essentiel desdits droits et libertés et que, dans le respect du principe de proportionnalité, elles sont nécessaires et répondent effectivement à des objectifs d’intérêt général reconnus par l’Union ou au besoin de protection des droits et libertés d’autrui. Elles doivent s’opérer dans les limites du strict nécessaire et la réglementation comportant l’ingérence doit prévoir des règles claires et précises régissant la portée et l’application de la mesure en cause24.
36. Ainsi que cela ressort notamment de l’objectif du RGPD et de la directive 95/46, pour autant que les conditions d’un traitement légal de données à caractère personnel en vertu de ces normes sont remplies, ce traitement est réputé satisfaire également aux exigences fixées aux articles 7 et 8 de la Charte. Certaines exigences énoncées au paragraphe 2 de ce dernier article sont d’ailleurs mises en œuvre notamment aux articles 6 et 7 de la directive 95/46 ainsi qu’aux articles 5 et 6 du RGPD25. À cet égard, il y a lieu de rappeler que, sous réserve des dérogations admises au titre de l’article 13 de cette directive et de l’article 23 de ce règlement, tout traitement de données à caractère personnel doit, d’une part, être conforme aux principes relatifs à la qualité des données énoncés à l’article 6 de la directive 95/46 ou à l’article 5 du RGPD et, d’autre part, répondre à l’un des principes relatifs à la légitimation des traitements de données énumérés à l’article 7 de cette directive ou à l’article 6 de ce règlement, ces deux dernières dispositions prévoyant une liste exhaustive des cas dans lesquels un traitement de données à caractère personnel peut être considéré comme étant licite26.
37. Plus particulièrement, les données à caractère personnel doivent, en vertu de l’article 6, paragraphe 1, sous b) et c), de la directive 95/46 ou de l’article 5, paragraphe 1, sous b) et c), du RGPD, d’une part, être collectées pour des finalités déterminées, explicites et légitimes ainsi qu’adéquates et ne pas être traitées ultérieurement de manière incompatible avec ces finalités et, d’autre part, être pertinentes et limitées à ce qui est nécessaire au regard desdites finalités. En outre, selon l’article 7, sous c) et e), de ladite directive et l’article 6, paragraphe 1, sous c) et e), dudit règlement, le traitement de données à caractère personnel est licite respectivement s’« il est
23 Voir, en ce sens, arrêt du 13 mai 2014, Google Spain et Google (C-131/12, EU:C:2014:317, point 66).
24 Voir arrêts du 9 novembre 2010, Volker und Markus Schecke et Eifert (C-92/09 et C-93/09, EU:C:2010:662, point 49) ; du 24 novembre 2011, Asociación Nacional de Establecimientos Financieros de Crédito (C-468/10 et C-469/10, EU:C:2011:777, point 41), et du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité) (C-439/19, EU:C:2021:504, point 105).
25 Voir, en ce sens, arrêts du 9 mars 2017, Manni (C-398/15, EU:C:2017:197, points 40 et 41), et du 27 septembre 2017, Puškár (C-73/16, EU:C:2017:725, point 102).
26 Voir arrêts du 16 janvier 2019, Deutsche Post (C-496/17, EU:C:2019:26, point 57), et du 11 novembre 2020, Orange Romania (C-61/19, EU:C:2020:901, point 34).
nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est tenu » ou s’« il est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique, dont est investi le responsable du traitement ou le tiers auquel les données sont communiquées »27.
38. Il importe de souligner que tant le RGPD que la directive 95/46 prévoient que les États membres peuvent déroger, notamment et respectivement, à l’article 5 et à l’article 6, paragraphe 1, de ces actes, lorsque cela est nécessaire pour sauvegarder certains objectifs importants d’intérêt public général dont, pour le cas de figure qui nous intéresse, la prévention et la détection d’infractions pénales, ainsi que les enquêtes et les poursuites en la matière ou l’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces. En effet, l’article 23, paragraphe 1, sous d), du RGPD, qui reprend, en la modifiant, la disposition figurant antérieurement à l’article 13, paragraphe 1, sous d), de la directive 95/46, énonce que le droit de l’Union et le droit des États membres peuvent, par la voie de mesures législatives, limiter la portée des obligations et des droits qui y sont visés, lorsqu’une telle limitation respecte l’essence des libertés et des droits fondamentaux et qu’elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir certains objectifs importants d’intérêt public général tels que celui susmentionné28. 39. Ainsi, l’article 23 du RGPD et l’article 13 de la directive 95/46 ne sauraient être interprétés comme pouvant conférer aux États membres le pouvoir de porter atteinte au respect de la vie privée, en méconnaissance de l’article 7 de la Charte, tout comme aux autres garanties prévues par celle-ci. En particulier, à l’instar de ce qui vaut pour l’article 13, paragraphe 1, de la directive 95/46, le pouvoir que confère l’article 23, paragraphe 1, du RGPD aux États membres ne saurait être exercé que dans le respect de l’exigence de proportionnalité, selon laquelle les dérogations à la protection des données à caractère personnel et les limitations de celles-ci doivent s’opérer dans les limites du strict nécessaire29.
40. Je relève que, en l’état de la décision de renvoi, il ne me paraît pas possible de déterminer si les dispositions de la loi sur la conciliation des intérêts correspondent à une mise en œuvre de l’article 13 de la directive 95/46 ou de l’article 23 du RGPD. Il convient, dans ces circonstances, d’examiner la licéité du traitement en cause en considération des articles 5 et 6 du RGPD ainsi que des articles 6 et 7 de la directive 95/46, étant observé que les développements qui suivent seraient également pertinents dans l’hypothèse d’une réglementation nationale issue de la mise en œuvre de l’article 23 du RGPD ou de l’article 13 de la directive 95/46.
27 Voir, en ce sens, arrêt du 16 janvier 2019, Deutsche Post (C-496/17, EU:C:2019:26, point 58). La mention « ou le tiers auquel les données sont communiquées » figure seulement à l’article 7, sous e), de la directive 95/46.
28 Voir, en ce sens, arrêts du 20 mai 2003, Österreichischer Rundfunk e.a. (C-465/00, C-138/01 et C-139/01, EU:C:2003:294, point 67), et du 6 octobre 2020, État luxembourgeois (Droit de recours contre une demande d’information en matière fiscale) (C-245/19 et C-246/19, EU:C:2020:795, point 13). Ces dispositions de restriction ou de limitation doivent être distinguées des dispositions d’exclusion de l’application de la directive 95/46 ou du RGPD, distinction dont l’appréhension est rendue complexe du fait d’une référence commune à des objectifs d’intérêt général similaires.
29 Voir, en ce sens, arrêt du 6 octobre 2020, La Quadrature du Net e.a. (C-511/18, C-512/18 et C-520/18, EU:C:2020:791, point 210 et jurisprudence citée concernant la directive 95/46).
– Sur la base juridique du traitement en cause
Un traitement fondé sur une obligation légale
41. L’exigence selon laquelle tout traitement de données à caractère personnel doit être licite, mentionnée à l’article 6, paragraphe 1, de la directive 95/46 et à l’article 5, paragraphe 1, du RGPD, se trouve être concrétisée, respectivement, aux articles 7 et 6 de ces normes qui énumèrent les différents fondements juridiques possibles assurant cette licéité.
42. Ainsi, le traitement des données est licite, selon l’article 7, sous c), de cette directive ou l’article 6, paragraphe 1, sous c), de ce règlement, s’il est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis. À cet égard, la mise en ligne de telles données sur le site Internet de la Haute commission me paraît clairement relever de cette disposition plutôt que de l’article 7, sous e), de ladite directive ou de l’article 6, paragraphe 1, sous e), dudit règlement, évoqué par la juridiction de renvoi.
43. En divulguant au grand public, sur son site Internet, une partie des données contenues dans les déclarations d’intérêts préalablement collectées, la Haute commission, responsable du traitement, remplit l’obligation spécifique qui lui est imposée par l’article 10, paragraphe 1, de la loi sur la conciliation des intérêts. Comme le souligne le gouvernement lituanien dans ses observations, cette obligation est incluse dans une disposition législative impérative qui impose un traitement particulier à la Haute commission, laquelle n’a pas le choix de s’acquitter ou non de cette obligation. Cette situation se distingue de celle visée à l’article 7, sous e), de la directive 95/46 ou à l’article 6, paragraphe 1, sous e), du RGPD qui n’exige pas que le responsable du traitement agisse en vertu d’une obligation légale30. En tout état de cause, s’il suffit, comme le confirme le libellé de l’article 6, paragraphe 1, du RGPD qui remplace l’article 7 de la directive 95/46, qu’un seul motif de légitimation puisse trouver à s’appliquer, la Cour a admis qu’un seul et même traitement pouvait répondre à plusieurs motifs de légitimation31.
Un traitement répondant à un objectif d’intérêt public légitime
44. Conformément à l’article 6, paragraphe 1, sous b), de la directive 95/46 ou à l’article 5, paragraphe 1, sous b), du RGPD, les données à caractère personnel doivent être traitées pour des finalités légitimes. Il importe de souligner que le RGPD est venu préciser que le fondement juridique du traitement de telles données tenant au respect d’une obligation imposée au responsable du traitement est défini par le droit de l’Union ou le droit de l’État membre concerné qui doit répondre à un « objectif d’intérêt public et être proportionné à l’objectif légitime poursuivi »32.
45. Ainsi qu’il a été préalablement mentionné, la divulgation publique par la Haute commission d’une partie des données à caractère personnel contenues dans les déclarations d’intérêts est nécessaire au respect d’une obligation légale à laquelle cette autorité est soumise. Cette obligation obéit elle-même à une finalité générale définie à l’article 1er de la loi sur la conciliation des intérêts, dont le caractère légitime apparaît objectivement incontestable. En effet, assurer la
30 Il ressort de l’avis 6/2014 du groupe de travail « Article 29 », organe consultatif indépendant institué en vertu de l’article 29 de la directive 95/46 et remplacé depuis l’adoption du RGPD par le Comité européen de la protection des données, que ce fondement de l’obligation légale ne pourrait pas être invoqué lorsque la loi ne fixe qu’un objectif général ou n’impose pas véritablement un traitement particulier au responsable du traitement.
31 Arrêt du 9 mars 2017, Manni (C-398/15, EU:C:2017:197, point 42).
32 Article 6, paragraphe 3, du RGPD.
prévalence de l’intérêt public lors de la prise de décisions des personnes travaillant dans le service public, garantir l’impartialité de ces décisions et prévenir les conflits d’intérêts ainsi que l’apparition et l’essor de la corruption dans le service public relèvent d’objectifs d’intérêt public, manifestement légitimes33, au sens de l’article 6, paragraphe 3, du RGPD et susceptibles, dès lors, de permettre qu’une limitation soit apportée à l’exercice des droits garantis par les articles 7 et 8 de la Charte.
Un traitement reposant sur une base juridique claire et précise
46. Il est constant que, dès lors que la collecte et la divulgation publique de données à caractère personnel contenues dans des déclarations d’intérêts sont prévues par la loi sur la conciliation des intérêts, l’ingérence dans le droit au respect de la vie privée qu’elle constitue doit être considérée comme étant formellement prévue par la loi, au sens de l’article 8, paragraphe 2, et de l’article 52, paragraphe 1, de la Charte. Toutefois, conformément à l’article 52, paragraphe 3, de la Charte, l’exigence de prévision légale doit se voir reconnaître la même portée que celle attribuée par la Cour européenne des droits de l’homme dans le cadre de son interprétation de l’article 8, paragraphe 2, de la convention de sauvegarde des droits de l’homme et des libertés fondamentales, signée à Rome le 4 novembre 1950, laquelle recouvre le défaut ou l’insuffisance de précision de la loi34.
47. Je relève, à cet égard, que le considérant 41 du RGPD énonce que la base juridique du traitement ou la mesure législative qui la définit doit être claire et précise et son application prévisible pour les justiciables, conformément à la jurisprudence de la Cour et de la Cour européenne des droits de l'homme. La jurisprudence de la Cour35 reflète effectivement cette exigence de prévisibilité qui a, notamment, pour objet de s’assurer que les règles régissant la portée et l’application de la mesure en cause sont suffisamment claires et précises36, de façon à permettre à la personne concernée de comprendre quels types de données seront traités, de quelle manière et dans quel but37.
48. En l’occurrence, si la réglementation nationale en cause me paraît satisfaire à l’exigence de prévisibilité en ce qui concerne la définition du type de traitement réalisé et de ses finalités, je nourris, en revanche, des interrogations s’agissant de la détermination des données, objet de ce traitement. Cette détermination implique une lecture combinée de l’article 6 de la loi sur la conciliation des intérêts décrivant le contenu de la déclaration d’intérêts et de l’article 10 de cette loi mentionnant les données « fournies dans cette déclaration » ne pouvant faire l’objet d’une divulgation sur le site Internet de la Haute commission. Outre le choix d’une technique
33 La lutte contre la corruption est un sujet de préoccupation internationale comme en atteste la convention des Nations unies contre la corruption adoptée par la résolution 58/4, du 31 octobre 2003, de l’Assemblée générale des Nations unies. Entrée en vigueur le 14 décembre 2005, elle a été ratifiée par l’ensemble des États membres et approuvée par l’Union européenne par la décision 2008/801/CE du Conseil, du 25 septembre 2008 (JO 2008, L 287, p. 1). Signalons également la convention relative à la lutte contre la corruption impliquant des fonctionnaires des Communautés européennes ou des fonctionnaires des États membres de l’Union européenne (JO 1997, C 195, p. 2) entrée en vigueur le 28 septembre 2005 et à laquelle tous les pays de l’Union ont adhéré.
Conformément à cette convention, chaque pays de l’Union doit prendre les mesures nécessaires pour criminaliser la corruption à la fois active et passive des fonctionnaires.
34 Cour EDH, 13 novembre 2012, M.M. c. Royaume-Uni (CE:ECHR:2012:1113JUD002402907).
35 Voir, notamment, arrêts du 20 mai 2003, Österreichischer Rundfunk e.a. (C-465/00, C-138/01 et C-139/01, EU:C:2003:294, point 77) ; du 6 octobre 2020, Privacy International (C-623/17, EU:C:2020:790, point 65), et du 6 octobre 2020, État luxembourgeois (Droit de recours contre une demande d’information en matière fiscale) (C-245/19 et C-246/19, EU:C:2020:795, point 76).
36 Voir, en ce sens, arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité) (C-439/19, EU:C:2021:504, point 105).
37 En application de l’article 6, paragraphe 3, du RGPD, la base juridique du traitement des données à caractère personnel doit en définir les finalités, lesquelles ne doivent pas seulement être légitimes mais aussi être déterminées et explicites selon les termes de l’article 5, paragraphe 1, sous b), de ce règlement qui reprennent ceux de l’article 6, paragraphe 1, sous b), de la directive 95/46.
rédactionnelle législative écartant l’énoncé positif des données de ladite déclaration devant être publiées, je constate que l’appréhension de la portée exacte de l’article 10 de ladite loi soulève de réelles difficultés. En effet, à l’exception de la mention explicite à son paragraphe 2 des numéros d’identification personnelle et de sécurité sociale, il est procédé par un renvoi générique aux
« donnés à caractère personnel particulières » ainsi qu’aux « autres renseignements dont la loi interdit la divulgation »38.
49. Sur demande de la Cour, la juridiction de renvoi a précisé que les données particulières étaient a priori celles recensées à l’article 2, paragraphe 8, de la loi lituanienne sur la protection juridique des données à caractère personnel, à savoir celles concernant l’origine raciale ou ethnique, les convictions politiques, religieuses, philosophiques ou autres, l’appartenance syndicale, la santé, l’orientation sexuelle d’une personne, ainsi que des informations relatives à une condamnation pénale de cette personne, soit une définition se rapprochant de celle donnée par le droit de l’Union39. Cette juridiction a également indiqué que la législation lituanienne interdit de rendre publique une série non négligeable d’informations et s’est référée à plusieurs dispositions de la loi susmentionnée prohibant la divulgation de différents types de données, dont certaines déjà visées à l’article 10, paragraphe 2, de la loi sur la conciliation des intérêts et d’autres a priori non fournies dans la déclaration d’intérêts devant être déposée auprès de la Haute commission. La juridiction de renvoi s’est elle-même demandé si l’expression « autres renseignements dont la loi interdit la divulgation » ne renvoyait pas, en définitive, à la seule mention, figurant à l’article 10, paragraphe 1, de la loi sur la conciliation des intérêts, des informations figurant dans les déclarations des personnes dont les données sont classifiées en vertu de la loi et/ou qui exercent une activité de renseignement, de contre-espionnage ou de renseignement en matière criminelle40.
50. Il apparaît ainsi qu’une personne œuvrant au sein du secteur public lituanien, appelée à déposer une déclaration d’intérêts auprès de la Haute commission, se trouve confrontée à la nécessité de procéder à une analyse et des recherches pour essayer de déterminer les exclusions visées à l’article 10 de la loi sur la conciliation des intérêts et par là même les données finalement
« divulgables », sans certitude aucune sur le résultat de son appréciation.
51. Me paraît tout aussi douteux, au regard de l’exigence de prévisibilité, l’article 6, paragraphe 1, de la loi sur la conciliation des intérêts imposant dans la déclaration l’indication par le déclarant des « personnes proches ou autres personnes ou données connues [de lui] susceptibles de donner lieu à un conflit d’intérêts ». Le déclarant se trouve ainsi confronté à une tâche impossible ou à tout le moins périlleuse de devoir déterminer, en son âme et conscience, ce qu’il considère comme étant a priori de nature à influencer ou paraître influencer l’exercice indépendant et objectif de sa fonction, en sachant que toute omission sur ce point pourrait lui être ensuite reprochée. Cette détermination d’une situation de possible conflit d’intérêts relève du seul législateur et surtout pas du citoyen concerné.
38 L’article 10, paragraphe 2, de la loi sur la conciliation des intérêts prévoit encore que les données de l’autre partie à une transaction, lorsqu’il s’agit d’une personne physique, ne sont pas publiées.
39 Article 8, paragraphe 1, de la directive 95/46 et article 9, paragraphe 1, du RGPD. La question du traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions est régie par l’article 10 du RGPD.
40 On peut encore ajouter que la juridiction de renvoi s’interroge sur la portée de la prohibition de la divulgation des données à caractère personnel particulières au regard des déductions susceptibles d’être opérées par le public concernant la vie sexuelle ou l’orientation sexuelle du déclarant en cas de mise en ligne des données nominatives concernant son conjoint, concubin ou partenaire.
52. Dans ce contexte, il y a lieu de rappeler que la protection du droit fondamental au respect de la vie privée implique, notamment, que toute personne physique puisse s’assurer que les données à caractère personnel la concernant sont exactes et qu’elles sont traitées de manière licite41. L’exigence de prévisibilité a notamment pour objet de permettre une appréhension par cette personne de la mesure exacte du traitement de ses données et de prendre la décision, le cas échéant, de mettre en œuvre les droits qui sont les siens d’introduire une réclamation auprès de l’autorité de contrôle ou un recours juridictionnel contre un responsable du traitement si elle considère que le traitement des données la concernant constitue une violation du RGPD42. Il incombe à la juridiction de renvoi de vérifier, au regard du droit national, si la base juridique du traitement en cause répond à l’exigence de prévisibilité43.
– Sur la proportionnalité
Considérations liminaires
53. Il me paraît nécessaire d’évoquer les observations des gouvernements lituanien et finlandais mettant en exergue la marge d’appréciation laissée aux États membres dans la détermination des traitements de données à caractère personnel, telle que reconnue expressément à l’article 6, paragraphe 3, du RGPD. Il est certes constant que la législation nationale peut, en vertu de ce dernier, contenir des dispositions spécifiques pour adapter l’application de ce règlement et pouvant, notamment, porter sur les conditions générales régissant la licéité du traitement, les types de données traitées, les personnes concernées. Pour autant, l’article 6, paragraphe 3, dudit règlement énonce que, lorsque de telles données sont traitées en vertu d’une obligation légale à laquelle le responsable du traitement est soumis, le droit de l’État membre concerné doit répondre à un objectif d’intérêt public et être proportionné à l’objectif légitime poursuivi. En outre, la Cour a clairement jugé que, pour être licite, tout traitement de données à caractère personnel doit satisfaire à une double exigence, à savoir répondre à l’un des principes relatifs à la légitimation des traitements de données énumérés à l’article 7 de la directive 95/46 ou à l’article 6 du RGDP, mais aussi être conforme aux principes relatifs à la qualité des données énoncés à l’article 6 de cette directive ou à l’article 5 de ce règlement qui constituent une expression du principe de proportionnalité44.
54. Afin de répondre aux conditions posées par les dispositions susmentionnées, il est nécessaire que la mise en ligne sur le site de la Haute commission d’une partie des informations contenues dans les déclarations d’intérêts réponde effectivement à l’objectif d’intérêt général défini à l’article 1er de la loi sur la conciliation des intérêts, sans aller au-delà de ce qui est nécessaire pour réaliser cet objectif. Ainsi que le souligne le considérant 39 du RGPD, cette exigence de nécessité n’est pas remplie lorsque l’objectif d’intérêt général visé peut raisonnablement être atteint de manière aussi efficace par d’autres moyens moins attentatoires aux droits fondamentaux des personnes concernées, en particulier aux droits au respect de la vie privée et à la protection des données à caractère personnel garantis aux articles 7 et 8 de la Charte, les dérogations et les restrictions au principe de la protection de telles données devant s’opérer dans les limites du strict
41 Voir arrêt du 20 décembre 2017, Nowak (C-434/16, EU:C:2017:994, point 57).
42 Voir articles 77 et 79 du RGPD.
43 Dans l’arrêt du 20 mai 2003, Österreichischer Rundfunk e.a. (C-465/00, C-138/01 et C-139/01, EU:C:2003:294, points 79 et 80), la Cour a considéré que cette question ne se posait, éventuellement, qu’après l’examen de la satisfaction de l’exigence de proportionnalité, par rapport aux objectifs poursuivis.
44 Voir arrêt du 16 janvier 2019, Deutsche Post (C-496/17, EU:C:2019:26, point 57).
