Peter Nowak v Data Protection Commissioner.

• Jurisdiction: European Union
• ECLI: ECLI:EU:C:2017:994
• Docket Number: C-434/16
• Celex Number: 62016CJ0434
• Court: Court of Justice (European Union)
• Procedure Type: Reference for a preliminary ruling
• Date: 20 December 2017

ARRÊT DE LA COUR (deuxième chambre)

20 décembre 2017 ( *1 )

« Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Directive 95/46/CE – Article 2, sous a) – Notion de “données à caractère personnel” – Réponses écrites fournies par le candidat lors d’un examen professionnel – Annotations de l’examinateur relatives à ces réponses – Article 12, sous a) et b) – Étendue des droits d’accès et de rectification de la personne concernée »

Dans l’affaire C‑434/16,

ayant pour objet une demande de décision préjudicielle au titre de l’article 267 TFUE, introduite par la Supreme Court (Cour suprême, Irlande), par décision du 29 juillet 2016, parvenue à la Cour le 4 août 2016, dans la procédure

Peter Nowak

contre

Data Protection Commissioner,

LA COUR (deuxième chambre),

composée de M. M. Ilešič (rapporteur), président de chambre, M. A. Rosas, Mmes C. Toader, A. Prechal et M. E. Jarašiūnas, juges,

avocat général : Mme J. Kokott,

greffier : M. M. Aleksejev, administrateur,

vu la procédure écrite et à la suite de l’audience du 22 juin 2017,

considérant les observations présentées :

– pour M. Nowak, par M. G. Rudden, solicitor, et M. N. Travers, SC,

– pour le Data Protection Commissioner, par M. D. Young, solicitor, et M. P. A. McDermott, SC,

– pour l’Irlande, par Mmes E. Creedon et L. Williams ainsi que par M. A. Joyce, en qualité d’agents, assistés de Mme A. Caroll, barrister,

– pour le gouvernement tchèque, par MM. M. Smolek et J. Vláčil, en qualité d’agents,

– pour le gouvernement hellénique, par Mmes G. Papadaki et S. Charitaki, en qualité d’agents,

– pour le gouvernement hongrois, par M. M. Z. Fehér et Mme A. Pálfy, en qualité d’agents,

– pour le gouvernement autrichien, par M. G. Eberhard, en qualité d’agent,

– pour le gouvernement polonais, par M. B. Majczyna, en qualité d’agent,

– pour le gouvernement portugais, par MM. L. Inez Fernandes et M. Figueiredo ainsi que par Mme I. Oliveira, en qualité d’agents,

– pour la Commission européenne, par MM. D. Nardi et H. Kranenborg, en qualité d’agents,

ayant entendu l’avocat général en ses conclusions à l’audience du 20 juillet 2017,

rend le présent

Arrêt

1 La demande de décision préjudicielle porte sur l’interprétation de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO 1995, L 281, p. 31).

2 Cette demande a été présentée dans le cadre d’un litige opposant M. Peter Nowak au Data Protection Commissioner (commissaire à la protection des données, Irlande) au sujet du refus, par ce dernier, de donner à M. Nowak l’accès à une copie corrigée d’un examen auquel celui-ci était candidat, au motif que les informations qui y étaient contenues ne constituaient pas des données à caractère personnel.

Le cadre juridique

Le droit de l’Union

La directive 95/46

3 La directive 95/46 qui, selon son article 1er, a pour objet la protection des libertés et des droits fondamentaux des personnes physiques, notamment du droit à la vie privée, à l’égard du traitement des données à caractère personnel, ainsi que l’élimination des obstacles à la libre circulation de ces données, énonce, à ses considérants 25, 26 et 41 : « (25) considérant que les principes de la protection doivent trouver leur expression, d’une part, dans les obligations mises à la charge des personnes [...] qui traitent des données, ces obligations concernant en particulier la qualité des données, la sécurité technique, la notification à l’autorité de contrôle, les circonstances dans lesquelles le traitement peut être effectué, et, d’autre part, dans les droits donnés aux personnes dont les données font l’objet d’un traitement d’être informées sur celui-ci, de pouvoir accéder aux données, de pouvoir demander leur rectification, voire de s’opposer au traitement dans certaines circonstances ; (26) considérant que les principes de la protection doivent s’appliquer à toute information concernant une personne identifiée ou identifiable ; que, pour déterminer si une personne est identifiable, il convient de considérer l’ensemble des moyens susceptibles d’être raisonnablement mis en œuvre, soit par le responsable du traitement, soit par une autre personne, pour identifier ladite personne ; que les principes de la protection ne s’appliquent pas aux données rendues anonymes d’une manière telle que la personne concernée n’est plus identifiable ; [...] [...] (41) considérant que toute personne doit pouvoir bénéficier du droit d’accès aux données la concernant qui font l’objet d’un traitement, afin de s’assurer notamment de leur exactitude et de la licéité de leur traitement ; [...] »

4 La notion de « données à caractère personnel » est définie à l’article 2, sous a), de cette directive comme « toute information concernant une personne physique identifiée ou identifiable (personne concernée) ; est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d’identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale ».

5 L’article 6 de ladite directive, placé sous la section I, intitulée « Principes relatifs à la qualité des données », du chapitre II de cette directive, est libellé comme suit : « 1. Les États membres prévoient que les données à caractère personnel doivent être : a) traitées loyalement et licitement ; b) collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement de manière incompatible avec ces finalités. Un traitement ultérieur à des fins historiques, statistiques ou scientifiques n’est pas réputé incompatible pour autant que les États membres prévoient des garanties appropriées ; c) adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et pour lesquelles elles sont traitées ultérieurement ; d) exactes et, si nécessaire, mises à jour ; toutes les mesures raisonnables doivent être prises pour que les données inexactes ou incomplètes, au regard des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement, soient effacées ou rectifiées ; e) conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement. Les États membres prévoient des garanties appropriées pour les données à caractère personnel qui sont conservées au-delà de la période précitée, à des fins historiques, statistiques ou scientifiques. 2. Il incombe au responsable du traitement d’assurer le respect du paragraphe 1. »

6 L’article 7 de la directive 95/46, placée sous la section II, intitulée « Principes relatifs à la légitimation des traitements de données », du chapitre II de cette directive, dispose : « Les États membres prévoient que le traitement de données à caractère personnel ne peut être effectué que si : a) la personne concernée a indubitablement donné son consentement ou [...] c) il est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis ou [...] e) il est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique, dont est investi le responsable du traitement ou le tiers auquel les données sont communiquées ou f) il est nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le ou les tiers auxquels les données sont communiquées, à condition que ne prévalent pas l’intérêt ou les droits et libertés fondamentaux de la personne concernée, qui appellent une protection au titre de l’article 1er paragraphe 1. »

7 L’article 12 de cette directive, intitulé « Droit d’accès », énonce : « Les États membres garantissent à toute personne concernée le droit d’obtenir du responsable du traitement : a) sans contrainte, à des intervalles raisonnables et sans délais ou frais excessifs : – la confirmation que des données la concernant sont ou ne sont pas traitées, ainsi que des informations portant au moins sur les finalités du traitement, les catégories de données sur lesquelles il porte et les destinataires ou les catégories de destinataires auxquels les données sont communiquées, – la communication, sous une forme intelligible, des données faisant l’objet des traitements, ainsi que de toute information disponible sur l’origine des données, [...] b) selon le cas, la rectification, l’effacement ou le verrouillage des données dont le traitement n’est pas conforme à la présente directive, notamment en raison du caractère incomplet ou inexact des données ; c) la notification aux tiers auxquels les données ont été communiquées de toute rectification, tout effacement ou tout verrouillage effectué conformément au point b), si cela ne s’avère pas impossible ou ne suppose pas un effort disproportionné. »

8 L’article 13 de...