Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) (C-468/10) and Federación de Comercio Electrónico y Marketing Directo (FECEMD) (C-469/10) v Administración del Estado.

• Jurisdiction: European Union
• ECLI: ECLI:EU:C:2011:777
• Date: 24 November 2011
• Celex Number: 62010CJ0468
• Court: Court of Justice (European Union)
• Procedure Type: Reference for a preliminary ruling
• Docket Number: C-469/10,C-468/10

Affaires jointes C-468/10 et C-469/10

Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF)
et
Federación de Comercio Electrónico y Marketing Directo (FECEMD)

contre

Administración del Estado

(demandes de décision préjudicielle, introduites par le Tribunal Supremo)

«Traitement des données à caractère personnel — Directive 95/46/CE — Article 7, sous f) — Effet direct»

Sommaire de l'arrêt

1. Rapprochement des législations — Protection des personnes physiques à l'égard du traitement des données à caractère personnel — Directive 95/46 — Harmonisation complète — Liste limitative des cas de traitement licite de données à caractère personnel

(Directive du Parlement européen et du Conseil 95/46, art. 7)

2. Rapprochement des législations — Protection des personnes physiques à l'égard du traitement des données à caractère personnel — Directive 95/46 — Conditions de licéité d'un traitement de données à caractère personnel

(Charte des droits fondamentaux de l'Union européenne, art. 7 et 8; directive du Parlement européen et du Conseil 95/46, art. 5 et 7, f))

3. Rapprochement des législations — Protection des personnes physiques à l'égard du traitement des données à caractère personnel — Directive 95/46 — Marge d'appréciation des États membres — Portée

(Directive du Parlement européen et du Conseil 95/46, art. 5)

4. Rapprochement des législations — Protection des personnes physiques à l'égard du traitement des données à caractère personnel — Directive 95/46 — Conditions de licéité d'un traitement de données à caractère personnel

(Charte des droits fondamentaux de l'Union européenne, art. 7 et 8; directive du Parlement européen et du Conseil 95/46, art. 7, f))

5. Droits fondamentaux — Respect de la vie privée — Protection des données à caractère personnel — Limitations tolérées en vertu de la charte des droits fondamentaux de l'Union européenne

(Charte des droits fondamentaux de l'Union européenne, art. 7, 8 et 52, § 1)

6. Actes des institutions — Directives — Effet direct — Conditions

(Art. 249, al. 3, CE; directive du Parlement européen et du Conseil 95/46, art. 7, f))

1. L’harmonisation des législations nationales visée par la directive 95/46, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, ne se limite pas à une harmonisation minimale, mais aboutit à une harmonisation qui est, en principe, complète. Dans cette optique, cette directive entend assurer la libre circulation des données à caractère personnel, tout en garantissant un haut niveau de protection des droits et des intérêts des personnes visées par ces données. Dès lors, il découle de cet objectif que l’article 7 de ladite directive prévoit une liste exhaustive et limitative des cas dans lesquels un traitement de données à caractère personnel peut être considéré comme étant licite. Il s’ensuit que les États membres ne sauraient ni ajouter de nouveaux principes relatifs à la légitimation des traitements de données à caractère personnel à l’article 7 de cette directive ni prévoir des exigences supplémentaires qui viendraient modifier la portée de l’un des principes prévus à cet article.

Cette interprétation n'est pas remise en cause par la faculté qu'ont les États membres, en vertu de l'article 5 de la directive 95/46, de préciser les conditions dans lesquelles les traitements de données à caractère personnel sont licites. En effet, les États membres ne sauraient, en vertu de la marge d'appréciation dont ils disposent au titre de l'article 5 de la directive, introduire d’autres principes relatifs à la légitimation des traitements de données à caractère personnel que ceux énoncés à l’article 7 de cette directive ni modifier, par des exigences supplémentaires, la portée des principes prévus audit article 7.

(cf. points 29-30, 32-33, 35-36)

2. L’article 7, sous f), de la directive 95/46, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, doit être interprété en ce sens qu’il s’oppose à une réglementation nationale qui, en l’absence du consentement de la personne concernée et pour autoriser le traitement de ses données à caractère personnel nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable de ce traitement ou par le ou les tiers auxquels ces données sont communiquées, exige, outre le respect des droits et libertés fondamentaux de cette dernière, que lesdites données figurent dans des sources accessibles au public, excluant ainsi de façon catégorique et généralisée tout traitement de données ne figurant pas dans de telles sources.

En effet, d'une part, il découle de l'objectif de cette directive d'assurer la libre circulation des données à caractère personnel, tout en garantissant un haut niveau de protection des droits et des intérêts des personnes visées par ces données, que son article 7 prévoit une liste exhaustive et limitative des cas dans lesquels un traitement de données à caractère personnel peut être considéré comme étant licite. Les États membres ne sauraient par conséquent ni ajouter de nouveaux principes relatifs à la légitimation des traitements de données à caractère personnel ni prévoir des exigences supplémentaires qui viendraient modifier la portée de l’un des principes prévus à cet article 7. En outre, les États membres ne sauraient non plus introduire, au titre de l’article 5 de ladite directive, d’autres principes relatifs à la légitimation des traitements de données à caractère personnel que ceux énoncés à l’article 7 ni modifier, par des exigences supplémentaires, la portée des principes prévus audit article 7.

D’autre part, pour effectuer la pondération nécessaire des droits et intérêts opposés en cause, prévue à l’article 7, sous f), de la même directive, les États membres peuvent établir des principes directeurs. Ils peuvent également prendre en considération le fait que la gravité de l’atteinte aux droits fondamentaux de la personne concernée par ledit traitement peut varier en fonction du fait de savoir si les données en cause figurent déjà, ou non, dans des sources accessibles au public. Dans ce dernier cas, l’atteinte sera plus grave.

Toutefois, il ne s’agit plus d’une simple précision mais d’une exigence supplémentaire, interdite par l’article 7, sous f), de cette directive, si une réglementation nationale exclut pour certaines catégories de données à caractère personnel la possibilité d’être traitées en prescrivant, pour ces catégories, de manière définitive le résultat de la pondération des droits et intérêts opposés, sans permettre un résultat différent en raison de circonstances particulières d’un cas concret.

(cf. points 29-30, 32, 36, 44-49, disp. 1)

3. La directive 95/46, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, comporte des règles caractérisées par une certaine souplesse et laisse dans de nombreux cas aux États membres le soin d’arrêter les détails ou de choisir parmi des options. Il importe ainsi de faire la distinction entre des mesures nationales qui prévoient des exigences supplémentaires modifiant la portée d’un principe visé à l’article 7 de cette directive, d’une part, et des mesures nationales qui prévoient une simple précision de l’un de ces principes, d’autre part. Le premier type de mesure nationale est interdit. Ce n’est que dans le cadre du second type de mesure nationale que, en vertu de l’article 5 de ladite directive, les États membres disposent d’une marge d’appréciation.

(cf. point 35)

4. L'article 7, sous f), de la directive 95/46, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, prévoit deux conditions cumulatives pour qu’un traitement de données à caractère personnel soit licite, à savoir, d’une part, que le traitement des données à caractère personnel doit être nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le ou les tiers auxquels les données sont communiquées et, d’autre part, que les droits et libertés fondamentaux de la personne concernée ne prévalent pas. La seconde de ces conditions nécessite une pondération des droits et intérêts opposés en cause qui dépend, en principe, des circonstances concrètes du cas particulier concerné et dans le cadre de laquelle la personne ou l'institution qui effectue la pondération doit tenir compte de l'importance des droits de la personne concernée résultant des articles 7 et 8 de la charte des droits fondamentaux de l'Union européenne.

(cf. points 38, 40)

5. Le respect du droit à la vie privée à l’égard du traitement des données à caractère personnel, reconnu par les articles 7 et 8 de la charte des droits fondamentaux de l'Union européenne, se rapporte à toute information concernant une personne physique identifiée ou identifiable. Toutefois, il résulte des articles 8, paragraphe 2, et 52, paragraphe 1, de la charte que, sous certaines conditions, des limitations peuvent être apportées audit droit.

(cf. point 42)

6. Dans tous les cas où les dispositions d’une directive apparaissent, du point de vue de leur contenu, inconditionnelles et suffisamment précises, les particuliers sont fondés à les invoquer devant les juridictions nationales à l’encontre de l’État, soit lorsque celui-ci s’est abstenu de transposer dans les délais la directive en droit national, soit lorsqu’il en a fait une transposition incorrecte. Tel est le cas de l'article 7, sous f), de la directive 95/46, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données. Si cette directive comporte, pour les États membres, une marge d’appréciation plus ou moins...