College van burgemeester en wethouders van Rotterdam v M. E. E. Rijkeboer.

• Jurisdiction: European Union
• ECLI: ECLI:EU:C:2009:293
• Docket Number: C-553/07
• Celex Number: 62007CJ0553
• Court: Court of Justice (European Union)
• Procedure Type: Reference for a preliminary ruling
• Date: 07 May 2009

Affaire C-553/07

College van burgemeester en wethouders van Rotterdam

contre

M. E. E. Rijkeboer

(demande de décision préjudicielle, introduite par le Raad van State)

«Protection des personnes physiques à l'égard du traitement des données à caractère personnel — Directive 95/46/CE — Protection de la vie privée — Effacement des données — Droit d'accès aux données et à l'information sur les destinataires des données — Délai d'exercice du droit d'accès»

Sommaire de l'arrêt

Rapprochement des législations — Protection des personnes physiques à l'égard du traitement des données à caractère personnel — Directive 95/46

(Directive du Parlement européen et du Conseil 95/46, art. 12, a))

Le droit au respect de la vie privée, énoncé à l'article 1er, point 1, de la directive 95/46, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, implique que la personne concernée puisse s'assurer que ses données à caractère personnel sont traitées de manière exacte et licite, c'est-à-dire, en particulier, que les données de base la concernant sont exactes et qu'elles sont adressées à des destinataires autorisés. Ainsi qu'il est énoncé au quarante et unième considérant de la directive, afin de pouvoir effectuer les vérifications nécessaires, la personne concernée doit disposer d'un droit d'accès aux données la concernant qui font l'objet d'un traitement.

L'article 12, sous a), de la directive 95/46 impose aux États membres de prévoir un droit d'accès à l'information sur les destinataires ou les catégories de destinataires des données ainsi qu'au contenu de l'information communiquée non seulement pour le présent, mais aussi pour le passé. Il appartient aux États membres de fixer un délai de conservation de cette information ainsi qu'un accès corrélatif à celle-ci qui constituent un juste équilibre entre, d'une part, l'intérêt de la personne concernée à protéger sa vie privée, notamment au moyen des voies d'intervention et de recours prévus par la directive 95/46, et, d'autre part, la charge que l'obligation de conserver cette information représente pour le responsable du traitement.

Une réglementation limitant la conservation de l'information sur les destinataires ou les catégories de destinataires des données et le contenu des données transmises à une durée d'un an et limitant corrélativement l'accès à cette information, alors que les données de base sont conservées beaucoup plus longtemps, ne saurait constituer un juste équilibre des intérêt et obligation en cause, à moins qu'il ne soit démontré qu'une conservation plus longue de cette information constituerait une charge excessive pour le responsable du traitement. Il appartient à la juridiction nationale d'effectuer les vérifications nécessaires.

(cf. points 49, 70 et disp.)

ARRÊT DE LA COUR (troisième chambre)

7 mai 2009 (*)

«Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Directive 95/46/CE – Protection de la vie privée – Effacement des données – Droit d’accès aux données et à l’information sur les destinataires des données – Délai d’exercice du droit d’accès»

Dans l’affaire C‑553/07,

ayant pour objet une demande de décision préjudicielle au titre de l’article 234 CE, introduite par le Raad van State (Pays-Bas), par décision du 5 décembre 2007, parvenue à la Cour le 12 décembre 2007, dans la procédure

College van burgemeester en wethouders van Rotterdam

contre

M. E. E. Rijkeboer,

LA COUR (troisième chambre),

composée de M. A. Rosas, président de chambre, MM. A. Ó Caoimh, J. Klučka, U. Lõhmus et M^me P. Lindh (rapporteur), juges,

avocat général: M. D. Ruiz-Jarabo Colomer,

greffier: M^me M. Ferreira, administrateur principal,

vu la procédure écrite et à la suite de l’audience du 20 novembre 2008,

considérant les observations présentées:

– pour le College van burgemeester en wethouders van Rotterdam, par M^e R. de Bree, advocaat,

– pour M. E. E. Rijkeboer, par M. W. van Bentem, juridisch adviseur,

– pour le gouvernement néerlandais, par M^mes C. M. Wissels et C. ten Dam, en qualité d’agents,

– pour le gouvernement tchèque, par M. M. Smolek, en qualité d’agent,

– pour le gouvernement grec, par M^mes E.-M. Mamouna et V. Karra, en qualité d’agents,

– pour le gouvernement espagnol, par M. M. Muñoz Pérez, en qualité d’agent,

– pour le gouvernement du Royaume-Uni, par M^mes Z. Bryanston-Cross et H. Walker, en qualité d’agents, assistées de M. J. Stratford, barrister,

– pour la Commission des Communautés européennes, par MM. R. Troosters et C. Docksey, en qualité d’agents,

ayant entendu l’avocat général en ses conclusions à l’audience du 22 décembre 2008,

rend le présent

Arrêt

1 La demande de décision préjudicielle porte sur l’interprétation de l’article 12, sous a), de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO L 281, p. 31, ci-après la «directive»).

2 Cette demande a été présentée dans le cadre d’un litige opposant M. Rijkeboer au College van burgemeester en wethouders van Rotterdam (collège des bourgmestre et échevins de Rotterdam, ci-après le «College») au sujet du refus partiel de ce dernier de lui donner accès à l’information sur la communication faite à des personnes tierces de ses données personnelles au cours des deux années précédant sa demande d’information.

Le cadre juridique

La réglementation communautaire

3 Les deuxième et dixième considérants de la directive relatifs aux droits et libertés fondamentaux énoncent:

«(2) considérant que les systèmes de traitement de données sont au service de l’homme; qu’ils doivent, quelle que soit la nationalité ou la résidence des personnes physiques, respecter les libertés et droits fondamentaux de ces personnes, notamment la vie privée, et contribuer au progrès économique et social, au développement des échanges ainsi qu’au bien-être des individus;

[…]

(10) considérant que l’objet des législations nationales relatives au traitement des données à caractère personnel est d’assurer le respect des droits et libertés fondamentaux, notamment du droit à la vie privée reconnu également dans l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales et dans les principes généraux du droit communautaire [...]»

4 Aux termes du vingt-cinquième considérant de la directive, les principes de la protection des personnes doivent trouver leur expression, d’une part, dans les obligations mises à la charge des personnes qui traitent des données, ces obligations concernant en particulier la qualité des données et, d’autre part, dans les droits donnés aux personnes dont les données font l’objet d’un traitement d’être informées sur celui-ci, de pouvoir accéder aux données, de pouvoir demander leur rectification, voire de s’opposer au traitement dans certaines circonstances.

5 Le quarantième considérant de la directive, qui a trait à l’obligation d’informer la personne concernée lorsque les données n’ont pas été collectées auprès d’elle, énonce que cette obligation n’est pas prévue si cette information se révèle impossible ou implique des efforts disproportionnés et que, à cet égard, peuvent être pris en considération le nombre de personnes concernées, l’ancienneté des données ainsi que les mesures compensatrices qui peuvent être prises.

6 Aux termes du quarante et unième considérant de la directive toute personne doit pouvoir bénéficier du droit d’accès aux données la concernant qui font l’objet d’un traitement, afin de s’assurer notamment de leur exactitude et de la licéité de leur traitement.

7 L’article 1^er, intitulé «Objet de la directive», est rédigé dans les termes suivants:

«1. Les États membres assurent, conformément à la présente directive, la protection des libertés et droits fondamentaux des personnes physiques, notamment de leur vie privée, à l’égard du traitement des données à caractère personnel.

2. Les États membres ne peuvent ni restreindre ni interdire la libre circulation des données à caractère personnel entre États membres pour des raisons relatives à la protection assurée en vertu du paragraphe 1.»

8 La notion de «données à caractère personnel» est définie à l’article 2, sous a), de la directive comme toute information concernant une personne physique identifiée ou identifiable (personne concernée).

9 Par «traitement de données à caractère personnel», l’article 2, sous b), de la directive entend:

«toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction».

10 Selon l’article 2, sous d), de la directive, le «responsable du traitement» est la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement de données à caractère personnel.

11 L’article 2, sous g), de la directive définit le «destinataire» comme étant la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui reçoit communication de données, qu’il s’agisse ou non d’un «tiers», tel que celui-ci est défini à l’article 2, sous f)...