European Commission v Hungary.

• Jurisdiction: European Union
• Court: Court of Justice (European Union)
• Date: 08 April 2014

ARRÊT DE LA COUR (grande chambre)

8 avril 2014 ( *1 )

«Manquement d’État — Directive 95/46/CE — Protection des personnes physiques à l’égard du traitement des données à caractère personnel et libre circulation de ces données — Article 28, paragraphe 1 — Autorités nationales de contrôle — Indépendance — Législation nationale mettant fin avant terme au mandat de l’autorité de contrôle — Création d’une nouvelle autorité de contrôle et nomination d’une autre personne en qualité de président»

Dans l’affaire C‑288/12,

ayant pour objet un recours en manquement au titre de l’article 258 TFUE, introduit le 8 juin 2012,

Commission européenne, représentée par Mme K. Talabér-Ritz et M. B. Martenczuk, en qualité d’agents, ayant élu domicile à Luxembourg,

partie requérante,

soutenue par:

Contrôleur européen de la protection des données (CEPD), représenté par Mmes I. Chatelier, A. Buchta et Z. Belényessy ainsi que M. H. Kranenborg, en qualité d’agents,

partie intervenante,

contre

Hongrie, représentée par M. M. Z. Fehér, en qualité d’agent,

partie défenderesse,

LA COUR (grande chambre),

composée de M. V. Skouris, président, M. K. Lenaerts, vice-président, MM. M. Ilešič, L. Bay Larsen, T. von Danwitz, E. Juhász, A. Borg Barthet, C. G. Fernlund et J. L. da Cruz Vilaça, présidents de chambre, MM. G. Arestis, J. Malenovský, Mmes M. Berger, A. Prechal, MM. E. Jarašiūnas (rapporteur) et C. Vajda, juges,

avocat général: M. M. Wathelet,

greffier: Mme C. Strömholm, administrateur,

vu la procédure écrite et à la suite de l’audience du 15 octobre 2013,

ayant entendu l’avocat général en ses conclusions à l’audience du 10 décembre 2013,

rend le présent

Arrêt

1 Par sa requête, la Commission européenne demande à la Cour de constater que, en mettant fin de manière anticipée au mandat de l’autorité de contrôle de la protection des données à caractère personnel, la Hongrie a manqué aux obligations qui lui incombent en vertu de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO L 281, p. 31).

Le cadre juridique

Le droit de l’Union

2 Le considérant 62 de la directive 95/46 énonce: «considérant que l’institution, dans les États membres, d’autorités de contrôle exerçant en toute indépendance leurs fonctions est un élément essentiel de la protection des personnes à l’égard du traitement des données à caractère personnel».

3 L’article 28 de la directive 95/46, intitulé «Autorité de contrôle», dispose à ses paragraphes 1 et 2: «1. Chaque État membre prévoit qu’une ou plusieurs autorités publiques sont chargées de surveiller l’application, sur son territoire, des dispositions adoptées par les États membres en application de la présente directive. Ces autorités exercent en toute indépendance les missions dont elles sont investies. 2. Chaque État membre prévoit que les autorités de contrôle sont consultées lors de l’élaboration des mesures réglementaires ou administratives relatives à la protection des droits et libertés des personnes à l’égard du traitement de données à caractère personnel.»

4 Le règlement (CE) no 45/2001 du Parlement européen et du Conseil, du 18 décembre 2000, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (JO 2001, L 8, p. 1), instaure, à son chapitre V, une autorité de contrôle indépendante, dénommée le Contrôleur européen de la protection des données (CEPD).

5 Aux termes de l’article 42 du même règlement, intitulé «Nomination»: «1. Le Parlement européen et le Conseil nomment, d’un commun accord, le [CEPD] pour une durée de cinq ans, sur la base d’une liste établie par la Commission à la suite d’un appel public à candidatures. [...] 3. Le mandat du [CEPD] est renouvelable. 4. En dehors des renouvellements réguliers et des décès, les fonctions du [CEPD] prennent fin en cas de démission ou de mise à la retraite d’office conformément au paragraphe 5. 5. Le [CEPD] peut être déclaré démissionnaire ou déchu du droit à pension ou d’autres avantages en tenant lieu par la Cour de justice, à la requête du Parlement européen, du Conseil ou de la Commission, s’il ne remplit plus les conditions nécessaires à l’exercice de ses fonctions ou s’il a commis une faute grave. [...]»

Le droit hongrois

6 Jusqu’au 31 décembre 2011, l’autorité de contrôle de la protection des données à caractère personnel visée à l’article 28 de la directive 95/46 (ci-après l’«autorité de contrôle») était régie par la loi no LXIII de 1992, relative à la protection des données à caractère personnel et à l’accès aux données d’intérêt général, telle que modifiée (ci-après la «loi de 1992»). L’article 23 de cette loi était rédigé comme suit: «1. Le Parlement nomme un commissaire à la protection des données [(ci-après le ‘commissaire’)] afin de protéger le droit constitutionnel à la protection des données à caractère personnel et à l’accès aux données d’intérêt général [...] 2. Il convient d’appliquer au [commissaire] – sous réserve des dérogations prévues dans la présente loi – les dispositions de la loi relative au commissaire parlementaire chargé des droits des citoyens.»

7 Les missions du commissaire étaient précisées aux articles 24 et 25 de la loi de 1992. En particulier, ledit article 24 prévoyait, à son point a), qu’il «contrôle le respect de la présente loi et des autres normes de droit relatives au traitement des données, soit sur plainte, soit d’office, si aucune procédure judiciaire n’est en cours dans ledit dossier» et, à son point d), qu’il «favorise l’application uniforme des dispositions législatives relatives au traitement des données personnelles et à l’accès aux données d’intérêt général».

8 La loi de 1992 ne contenant pas de dispositions relatives à la durée ou à la cessation du mandat du commissaire, les dispositions de la loi no LIX de 1993, relative au commissaire parlementaire chargé des droits des citoyens, dans sa version en vigueur jusqu’au 31 décembre 2011 (ci-après la «loi de 1993»), étaient applicables. L’article 4, paragraphe 5, de cette loi disposait que le commissaire parlementaire était élu pour six ans et pouvait être réélu une fois. L’article 15 de cette loi réglementait la cessation du mandat comme suit: «1. Le mandat du commissaire parlementaire prend fin du fait: a) de l’arrivée à échéance de son mandat, b) de son décès, c) de sa démission, d) de la déclaration d’un conflit d’intérêts, e) de sa mise à la retraite d’office, f) de sa démission d’office. 2. Le président du Parlement constate la cessation du mandat du commissaire parlementaire conformément au paragraphe 1, sous a) à c). Concernant la cessation du mandat dans les cas visés au paragraphe 1, sous d) à f), le Parlement rend une décision. La déclaration de la cessation du mandat requiert la majorité des deux tiers des représentants. 3. La démission doit être présentée par écrit au président du Parlement. Le mandat du commissaire parlementaire prend fin à la date indiquée dans la démission. Aucune déclaration d’acceptation n’est nécessaire pour que la démission soit valable. [...]»

9 Les paragraphes 4 à 6 de cet article 15 détaillaient les hypothèses visées au paragraphe 1, sous d) à f), du même article. En particulier, l’article 15, paragraphe 5, de la loi de 1993 précisait que la mise à la retraite d’office ne pouvait intervenir que si le commissaire parlementaire était dans l’incapacité d’assumer les fonctions liées à son mandat durant plus de 90 jours, pour des raisons qui ne lui étaient pas imputables. Le paragraphe 6 de cet article indiquait pour sa part que la démission d’office pouvait être décidée si le commissaire parlementaire n’assumait pas les fonctions liées à son mandat durant plus de 90 jours, pour des raisons qui lui étaient imputables, s’il se soustrayait délibérément à son obligation de déclaration de patrimoine, s’il faisait intentionnellement état de données ou de faits essentiels inexacts dans ladite déclaration ou s’il avait commis un délit constaté par un jugement ayant acquis force de chose jugée.

10 La Loi fondamentale de la Hongrie est entrée en vigueur le 1er janvier 2012. Aux termes de son article VI, paragraphe 3, «une autorité indépendante instituée par une loi organique veille au respect des droits afférents à la protection des données à caractère personnel et à l’accès aux données d’intérêt général». Les points 3 et 5 des dispositions finales de la Loi fondamentale prévoient, respectivement, que le Parlement adoptera séparément des dispositions transitoires et que celles-ci feront partie de la Loi fondamentale.

11 L’article 16 de ces dispositions transitoires, adoptées par le Parlement, énonce: «L’entrée en vigueur de la présente Loi fondamentale met fin au mandat du [commissaire] en fonction.»

12 Le 1er janvier 2012, la réglementation hongroise relative à l’autorité de contrôle a ainsi été modifiée et la loi no CXII de 2011, sur l’autodétermination en matière d’information et la liberté de l’information (ci-après la «loi de 2011»), qui, aux termes de son article 77, sous a), transpose la directive 95/46 dans l’ordre juridique hongrois, est entrée en vigueur. Cette loi abroge la loi de 1992 et, à la place du commissaire, établit la Nemzeti Adatvédelmi és Információszabadság Hatóság (Autorité nationale chargée de la protection des données et de la liberté de l’information...