Peter Puškár v Finančné riaditeľstvo Slovenskej republiky and Kriminálny úrad finančnej správy.

• Jurisdiction: European Union
• ECLI: ECLI:EU:C:2017:725
• Docket Number: C-73/16
• Celex Number: 62016CJ0073
• Court: Court of Justice (European Union)
• Procedure Type: Reference for a preliminary ruling
• Date: 27 September 2017

ARRÊT DE LA COUR (deuxième chambre)

27 septembre 2017 ( *1 )

« Renvoi préjudiciel – Charte des droits fondamentaux de l’Union européenne – Articles 7, 8 et 47 – Directive 95/46/CE – Articles 1er, 7 et 13 – Traitement des données à caractère personnel – Article 4, paragraphe 3, TUE – Établissement d’une liste de données à caractère personnel – Objet – Perception de l’impôt – Lutte contre la fraude fiscale – Contrôle juridictionnel – Protection des libertés et des droits fondamentaux – Subordination du recours juridictionnel à une exigence de réclamation administrative préalable – Admissibilité de ladite liste en tant que moyen de preuve – Conditions de licéité d’un traitement de données à caractère personnel – Exécution d’une mission d’intérêt public du responsable du traitement »

Dans l’affaire C‑73/16,

ayant pour objet une demande de décision préjudicielle au titre de l’article 267 TFUE, introduite par le Najvyšší súd Slovenskej republiky (Cour suprême de la République slovaque), par décision du 3 février 2016, parvenue à la Cour le 10 février 2016, dans la procédure

Peter Puškár

contre

Finančné riaditeľstvo Slovenskej republiky,

Kriminálny úrad finančnej správy,

LA COUR (deuxième chambre),

composée de M. M. Ilešič, président de chambre, Mme A. Prechal, M. A. Rosas (rapporteur), Mme C. Toader et M. E. Jarašiūnas, juges,

avocat général : Mme J. Kokott,

greffier : M. M. Aleksejev, administrateur,

vu la procédure écrite et à la suite de l’audience du 16 février 2017,

considérant les observations présentées :

– pour M. Puškár, par M. M. Mandzák, advokát,

– pour le gouvernement slovaque, par Mme B. Ricziová, en qualité d’agent,

– pour le gouvernement tchèque, par MM. M. Smolek et J. Vláčil, en qualité d’agents,

– pour le gouvernement espagnol, par Mme M. J. García-Valdecasas Dorrego, en qualité d’agent,

– pour le gouvernement italien, par Mme G. Palmieri, en qualité d’agent, assistée de M. P. Gentili, avvocato dello Stato ,

– pour le gouvernement polonais, par M. B. Majczyna, en qualité d’agent,

– pour la Commission européenne, par MM. H. Krämer, A. Tokár et H. Kranenborg, en qualité d’agents,

ayant entendu l’avocat général en ses conclusions à l’audience du 30 mars 2017,

rend le présent

Arrêt

1 La demande de décision préjudicielle porte sur l’interprétation des articles 7, 8 et 47 de la charte des droits fondamentaux de l’Union européenne (ci-après la « Charte »), de l’article 1er, paragraphe 1, de l’article 7, sous e) et de l’article 13, paragraphe 1, sous e) et sous f), de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO 1995, L 281, p. 31), ainsi que de l’article 4, paragraphe 3, TUE et de l’article 267 TFUE.

2 Cette demande a été présentée dans le cadre d’un litige opposant M. Peter Puškár au Finančné riaditel’stvo Slovenskej republiky (direction des finances de la République slovaque, ci-après la « direction des finances ») et au Kriminálny úrad finančnej správy (bureau de lutte contre la criminalité financière, Slovaquie) au sujet d’un recours visant à ordonner à ces derniers de supprimer le nom de M. Puškár d’une liste de personnes considérées par la direction des finances comme des prête-noms, établie par celle-ci dans le cadre de la perception de l’impôt et dont la mise à jour est assurée par la direction des finances, les bureaux des impôts qui lui sont subordonnés ainsi que le bureau de lutte contre la criminalité financière (ci-après la « liste litigieuse »).

Le cadre juridique

Le droit de l’Union

3 Aux termes de l’article 1er de la directive 95/46 : « 1. Les États membres assurent, conformément à la présente directive, la protection des libertés et droits fondamentaux des personnes physiques, notamment de leur vie privée, à l’égard du traitement des données à caractère personnel. 2. Les États membres ne peuvent restreindre ni interdire la libre circulation des données à caractère personnel entre États membres pour des raisons relatives à la protection assurée en vertu du paragraphe 1. »

4 L’article 2 de ladite directive énonce : « Aux fins de la présente directive, on entend par : a) “données à caractère personnel” : toute information concernant une personne physique identifiée ou identifiable (personne concernée) ; est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d’identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale ; b) “traitement de données à caractère personnel” (traitement) : toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction ; [...] d) “responsable du traitement” : la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement de données à caractère personnel ; lorsque les finalités et les moyens du traitement sont déterminés par des dispositions législatives ou réglementaires nationales ou communautaires, le responsable du traitement ou les critères spécifiques pour le désigner peuvent être fixés par le droit national ou communautaire ; [...] »

5 L’article 3 de la directive 95/46, intitulé « Champ d’application », prévoit : « 1. La présente directive s’applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu’au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier. 2. La présente directive ne s’applique pas au traitement de données à caractère personnel : – mis en œuvre pour l’exercice d’activités qui ne relèvent pas du champ d’application du droit communautaire, telles que celles prévues aux titres V et VI du traité sur l’Union européenne, et, en tout état de cause, aux traitements ayant pour objet la sécurité publique, la défense, la sûreté de l’État (y compris le bien-être économique de l’État lorsque ces traitements sont liés à des questions de sûreté de l’État) et les activités de l’État relatives à des domaines du droit pénal, [...] »

6 L’article 6 de cette directive énonce : « 1. Les États membres prévoient que les données à caractère personnel doivent être : a) traitées loyalement et licitement ; b) collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement de manière incompatible avec ces finalités. Un traitement ultérieur à des fins historiques, statistiques ou scientifiques n’est pas réputé incompatible pour autant que les États membres prévoient des garanties appropriées ; c) adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et pour lesquelles elles sont traitées ultérieurement ; d) exactes et, si nécessaire, mises à jour ; toutes les mesures raisonnables doivent être prises pour que les données inexactes ou incomplètes, au regard des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement, soient effacées ou rectifiées ; e) conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement. Les États membres prévoient des garanties appropriées pour les données à caractère personnel qui sont conservées au-delà de la période précitée, à des fins historiques, statistiques ou scientifiques. 2. Il incombe au responsable du traitement d’assurer le respect du paragraphe 1. »

7 L’article 7 de ladite directive est libellé comme suit : « Les États membres prévoient que le traitement de données à caractère personnel ne peut être effectué que si : a) la personne concernée a indubitablement donné son consentement ou [...] c) il est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis ou [...] e) il est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique, dont est investi le responsable du traitement ou le tiers auquel les données sont communiquées ou f) il est nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le ou les tiers auxquels les données sont communiquées, à condition que ne prévalent pas l’intérêt ou les droits et libertés fondamentaux de la personne concernée, qui appellent une protection au titre de l’article 1er paragraphe 1. »

8 L’article 10 de la directive 95/46 prévoit : « Les États membres prévoient que le responsable du traitement ou son représentant doit fournir à la personne auprès de laquelle il collecte des données la concernant au moins les...