František Ryneš v Úřad pro ochranu osobních údajů.

• Jurisdiction: European Union
• ECLI: ECLI:EU:C:2014:2428
• Date: 11 December 2014
• Celex Number: 62013CJ0212
• Court: Court of Justice (European Union)
• Procedure Type: Reference for a preliminary ruling
• Docket Number: C‑212/13

ARRÊT DE LA COUR (quatrième chambre)

11 décembre 2014 ( *1 )

«Renvoi préjudiciel — Directive 95/46/CE — Protection des personnes physiques — Traitement des données à caractère personnel — Notion d’‘exercice d’activités exclusivement personnelles ou domestiques’»

Dans l’affaire C‑212/13,

ayant pour objet une demande de décision préjudicielle au titre de l’article 267 TFUE, introduite par le Nejvyšší správní soud (République tchèque), par décision du 20 mars 2013, parvenue à la Cour le 19 avril 2013, dans la procédure

František Ryneš

contre

Úřad pro ochranu osobních údajů,

LA COUR (quatrième chambre),

composée de M. L. Bay Larsen, président de chambre, Mme K. Jürimäe, MM. J. Malenovský, M. Safjan (rapporteur), et Mme A. Prechal juges,

avocat général: M. N. Jääskinen,

greffier: M. I. Illéssy, administrateur,

vu la procédure écrite et à la suite de l’audience du 20 mars 2014,

considérant les observations présentées:

— pour M. Ryneš, par Me M. Šalomoun, advokát,

— pour l’Úřad pro ochranu osobních údajů, par Me I. Němec, advokát, et M. J. Prokeš,

— pour le gouvernement tchèque, par MM. M. Smolek et J. Vláčil, en qualité d’agents,

— pour le gouvernement espagnol, par M. A. Rubio González, en qualité d’agent,

— pour le gouvernement italien, par Mme G. Palmieri, en qualité d’agent, assistée de M. P. Gentili, avvocato dello Stato,

— pour le gouvernement autrichien, par MM. A. Posch et G. Kunnert, en qualité d’agents,

— pour le gouvernement polonais, par M. B. Majczyna, Mmes J. Fałdyga et M. Kamejsza, en qualité d’agents,

— pour le gouvernement portugais, par M. L. Inez Fernandes et Mme C. Vieira Guerra, en qualité d’agents,

— pour le gouvernement du Royaume-Uni, par M. L. Christie, en qualité d’agent, assisté de M. J. Holmes, barrister,

— pour la Commission européenne, par M. B. Martenczuk, Mmes P. Němečková et Z. Malůšková, en qualité d’agents,

ayant entendu l’avocat général en ses conclusions à l’audience du 10 juillet 2014,

rend le présent

Arrêt

1 La demande de décision préjudicielle porte sur l’interprétation de l’article 3, paragraphe 2, de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO L 281, p. 31).

2 Cette demande a été présentée dans le cadre d’un litige opposant M. Ryneš à l’Úřad pro ochranu osobních údajů (Office pour la protection des données à caractère personnel, ci-après l’«Úřad») au sujet de la décision par laquelle ce dernier a constaté que M. Ryneš avait commis plusieurs infractions en ce qui concerne la protection des données à caractère personnel.

Le cadre juridique

Le droit de l’Union

3 Les considérants 10, 12 et 14 à 16 de la directive 95/46 énoncent: «(10) [...] l’objet des législations nationales relatives au traitement des données à caractère personnel est d’assurer le respect des droits et libertés fondamentaux, notamment du droit à la vie privée reconnu également dans l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales et dans les principes généraux du droit communautaire; [...] pour cette raison, le rapprochement de ces législations ne doit pas conduire à affaiblir la protection qu’elles assurent mais doit, au contraire, avoir pour objectif de garantir un niveau élevé de protection dans la Communauté; [...] (12) [...] doit être exclu le traitement de données effectué par une personne physique dans l’exercice d’activités exclusivement personnelles ou domestiques, telles la correspondance et la tenue de répertoires d’adresses; [...] (14) [...] compte tenu de l’importance du développement en cours, dans le cadre de la société de l’information, des techniques pour capter, transmettre, manipuler, enregistrer, conserver ou communiquer les données constituées par des sons et des images, relatives aux personnes physiques, la présente directive est appelée à s’appliquer aux traitements portant sur ces données; (15) [...] les traitements portant sur de telles données ne sont couverts par la présente directive que s’ils sont automatisés ou si les données sur lesquelles ils portent sont contenues ou sont destinées à être contenues dans un fichier structuré selon des critères spécifiques relatifs aux personnes, afin de permettre un accès aisé aux données à caractère personnel en cause; (16) [...] les traitements des données constituées par des sons et des images, tels que ceux de vidéo-surveillance, ne relèvent pas du champ d’application de la présente directive s’ils sont mis en œuvre à des fins de sécurité publique, de défense, de sûreté de l’État ou pour l’exercice des activités de l’État relatives à des domaines du droit pénal ou pour l’exercice d’autres activités qui ne relèvent pas du champ d’application du droit communautaire».

4 Aux termes de l’article 2 de cette directive: «Aux fins de la présente directive, on entend par: a) ‘données à caractère personnel’: toute information concernant une personne physique identifiée ou identifiable (personne concernée); est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence [...] à un ou plusieurs éléments spécifiques, propres à son identité physique [...] b) ‘traitement de données à caractère personnel’ (traitement): toute opération ou [tout] ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction; c) ‘fichier de données à caractère personnel’ (fichier): tout ensemble structuré de données à caractère personnel accessibles selon des critères déterminés, que cet ensemble soit centralisé, décentralisé ou réparti de manière fonctionnelle ou géographique; d) ‘responsable du traitement’: la personne physique [...] qui, seul[e] ou conjointement avec d’autres, détermine les finalités et les moyens du traitement de données à caractère personnel [...]»

5 L’article 3 de ladite directive dispose: «1. La présente directive s’applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu’au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier. 2. La présente directive ne s’applique pas au traitement de données à caractère personnel: — mis en œuvre pour l’exercice d’activités qui ne relèvent pas du champ d’application du droit communautaire, telles que celles prévues aux titres V et VI du traité sur l’Union européenne, et, en tout état de cause, aux traitements ayant pour objet la sécurité publique, la défense, la sûreté de l’État (y compris le bien-être économique de l’État lorsque ces traitements sont liés à des questions de sûreté de l’État) et les activités de l’État relatives à des domaines du droit pénal, — effectué par une personne physique pour l’exercice d’activités exclusivement personnelles ou domestiques.»

6 L’article 7 de cette même directive est libellé comme suit: «Les États membres prévoient que le traitement de données à caractère personnel ne peut être effectué que si: a) la personne concernée a indubitablement donné son consentement ou [...] f) il est nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le ou les tiers auxquels les données sont communiquées, à condition que ne prévalent pas l’intérêt ou les droits et libertés fondamentaux de la personne concernée, qui appellent une protection au titre de l’article 1er paragraphe 1.»

7 L’article 11 de la directive 95/46 prévoit: «1. Lorsque les données n’ont pas été collectées auprès de la personne concernée, les États membres prévoient que le responsable du traitement [...] doit, dès l’enregistrement des données [...], fournir à la personne concernée au moins les informations énumérées ci-dessous, sauf si la personne en est déjà informée: a) l’identité du responsable du traitement [...] b) les finalités du traitement; c) toute information supplémentaire telle que: — les catégories de données concernées, — les destinataires ou les catégories de destinataires des données, — l’existence d’un droit d’accès aux données la concernant et de rectification de ces données, dans la mesure où, compte tenu des circonstances particulières dans lesquelles les données sont collectées, ces informations supplémentaires sont...