Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde v Rīgas pašvaldības SIA "Rīgas satiksme".

• Jurisdiction: European Union
• ECLI: ECLI:EU:C:2017:336
• Date: 04 May 2017
• Celex Number: 62016CJ0013
• Court: Court of Justice (European Union)
• Procedure Type: Reference for a preliminary ruling
• Docket Number: C-13/16

ARRÊT DE LA COUR (deuxième chambre)

4 mai 2017 ( *1 )

«Renvoi préjudiciel — Directive 95/46/CE — Article 7, sous f) — Données à caractère personnel — Conditions de licéité d’un traitement de données à caractère personnel — Notion de “nécessité à la réalisation de l’intérêt légitime d’un tiers” — Demande de communication des données personnelles d’une personne responsable d’un accident de la circulation afin d’exercer un droit en justice — Obligation du responsable du traitement de faire droit à une telle demande — Absence»

Dans l’affaire C‑13/16,

ayant pour objet une demande de décision préjudicielle au titre de l’article 267 TFUE, introduite par l’Augstākās tiesas Administratīvo lietu departaments (Cour suprême, département des affaires administratives, Lettonie), par décision du 30 décembre 2015, parvenue à la Cour le 8 janvier 2016, dans la procédure

Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde

contre

Rīgas pašvaldības SIA « Rīgas satiksme »,

LA COUR (deuxième chambre),

composée de M. M. Ilešič, président de chambre, Mme A. Prechal, M. A. Rosas (rapporteur), Mme C. Toader et M. E. Jarašiūnas, juges,

avocat général : M. M. Bobek,

greffier : M. M. Aleksejev, administrateur,

vu la procédure écrite et à la suite de l’audience du 24 novembre 2016,

considérant les observations présentées :

— pour Rīgas pašvaldības SIA « Rīgas satiksme » par M. L. Bemhens, en qualité d’agent,

— pour le gouvernement letton, par M. I. Kalniņš ainsi que par Mme A. Bogdanova, en qualité d’agents,

— pour le gouvernement tchèque, par MM. J. Vláčil et M. Smolek, en qualité d’agents,

— pour le gouvernement espagnol, par Mme M. J. García-Valdecasas Dorrego, en qualité d’agent,

— pour le gouvernement autrichien, par M. G. Eberhard, en qualité d’agent,

— pour le gouvernement portugais, par MM. L. Inez Fernandes et M. Figueiredo ainsi que par Mme C. Vieira Guerra, en qualité d’agents,

— pour la Commission européenne, par MM. D. Nardi et H. Kranenborg ainsi que par Mme I. Rubene, en qualité d’agents,

ayant entendu l’avocat général en ses conclusions à l’audience du 26 janvier 2017,

rend le présent

Arrêt

1 La demande de décision préjudicielle porte sur l’interprétation de l’article 7, sous f), de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO 1995, L 281, p. 31).

2 Cette demande a été présentée dans le cadre d’un litige opposant Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde (bureau d’examen des infractions administratives à la circulation du département de la police de maintien de l’ordre du département de la police nationale du district de Riga, Lettonie) (ci-après la « police nationale ») à Rīgas pašvaldības SIA « Rīgas satiksme » (ci-après « Rīgas satiksme »), société de trolleybus de la ville de Riga, relatif à une demande de communication des données d’identification de l’auteur d’un accident.

Le cadre juridique

Le droit de l’Union

3 L’article 1er de la directive 95/46, intitulé « Objet de la directive », prévoit : « 1. Les États membres assurent, conformément à la présente directive, la protection des libertés et droits fondamentaux des personnes physiques, notamment de leur vie privée, à l’égard du traitement des données à caractère personnel. 2. Les États membres ne peuvent restreindre ni interdire la libre circulation des données à caractère personnel entre États membres pour des raisons relatives à la protection assurée en vertu du paragraphe 1. »

4 L’article 2 de cette directive dispose : « Aux fins de la présente directive, on entend par : a) “données à caractère personnel” : toute information concernant une personne physique identifiée ou identifiable (personne concernée) ; est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d’identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale ; b) “traitement de données à caractère personnel” (traitement) : toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction ; [...] d) “responsable du traitement” : la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement de données à caractère personnel ; lorsque les finalités et les moyens du traitement sont déterminés par des dispositions législatives ou réglementaires nationales ou communautaires, le responsable du traitement ou les critères spécifiques pour le désigner peuvent être fixés par le droit national ou communautaire ; [...] »

5 L’article 5 de la directive 95/46 dispose : « Les États membres précisent, dans les limites des dispositions du présent chapitre, les conditions dans lesquelles les traitements de données à caractère personnel sont licites. »

6 Sous le chapitre II, section II, de la directive 95/46, intitulée « Principes relatifs à la légitimation des traitements de données », l’article 7 de cette directive dispose : « Les États membres prévoient que le traitement de données à caractère personnel ne peut être effectué que si : a) la personne concernée a indubitablement donné son consentement ou b) il est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de celle-ci ou c) il est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis ou d) il est nécessaire à la sauvegarde de l’intérêt vital de la personne concernée ou e) il est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique, dont est investi le responsable du traitement ou le tiers auquel les données sont communiquées ou f) il est nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le ou les tiers auxquels les données sont communiquées, à condition que ne prévalent pas l’intérêt ou les droits et libertés fondamentaux de la personne concernée, qui appellent une protection au titre de l’article 1er paragraphe 1. »

7 L’article 8, paragraphe 2, sous e), de la directive 95/46 prévoit que l’interdiction du traitement de certains types de données à caractère personnel, telles que celles qui révèlent l’origine raciale ou les convictions politiques, ne s’applique pas lorsque le traitement porte sur des données manifestement rendues publiques par la personne concernée ou est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice.

Le droit letton

8 L’article 6 de la Fizisko personu datu aizsardzības likums (loi relative à la protection des données des personnes physiques), du 23 mars 2000 (Latvijas Vēstnesis, 2000, no 123/124), dispose : « Toute personne physique a droit à la protection des données à caractère personnel la concernant. »

9 L’article 7 de cette loi, qui vise à transposer l’article 7 de la directive 95/46, prévoit que le traitement des données à caractère personnel n’est autorisé que si ladite loi n’en dispose pas autrement et si au moins l’une des conditions suivantes est remplie : « 1) la personne concernée a donné son consentement ; 2) le traitement des données résulte des obligations contractuelles de la personne concernée ou le traitement des données est nécessaire pour conclure le contrat en cause, à la demande de la personne concernée ; 3) le traitement des données est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis ; 4) le traitement des données est nécessaire à la sauvegarde de l’intérêt vital de la personne concernée, en ce compris la vie et la santé ; 5) le traitement des données est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique, dont est investi le responsable du traitement ou le tiers auquel les données sont communiquées ; 6) le traitement des données est nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le tiers auquel les données sont communiquées, en respectant les droits et libertés fondamentaux de la personne concernée. »

10 L’article 12 de cette loi prévoit que les données à caractère personnel, qui concernent des infractions pénales, des condamnations en matière pénale et en matière administrative, ainsi que des décisions judiciaires ou des dossiers judiciaires, ne peuvent être traitées que par les personnes prévues par la loi et dans les cas prévus par celle-ci.

11 Selon l’article 261 du Latvijas Administratīvo pārkāpumu kodekss (code...