Ligue des droits humains ASBL and BA v Organe de contrôle de l’information policière.

• Jurisdiction: European Union
• ECLI: ECLI:EU:C:2023:874
• Date: 16 November 2023
• Docket Number: C-333/22
• Celex Number: 62022CJ0333
• Court: Court of Justice (European Union)

ARRÊT DE LA COUR (cinquième chambre)

16 novembre 2023 ( *1 )

« Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Directive (UE) 2016/680 – Article 17 – Exercice des droits de la personne concernée par l’intermédiaire de l’autorité de contrôle – Vérification de la licéité du traitement des données – Article 17, paragraphe 3 – Obligation minimale d’information de la personne concernée – Portée – Validité – Article 53 – Droit de former un recours juridictionnel effectif contre l’autorité de contrôle – Notion de “décision juridiquement contraignante” – Charte des droits fondamentaux de l’Union européenne – Article 8, paragraphe 3 – Contrôle d’une autorité indépendante – Article 47 – Droit à une protection juridictionnelle effective »

Dans l’affaire C‑333/22,

ayant pour objet une demande de décision préjudicielle au titre de l’article 267 TFUE, introduite par la cour d’appel de Bruxelles (Belgique), par décision du 9 mai 2022, parvenue à la Cour le 20 mai 2022, dans la procédure

Ligue des droits humains ASBL,

BA

contre

Organe de contrôle de l’information policière,

LA COUR (cinquième chambre),

composée de M. E. Regan, président de chambre, MM. Z. Csehi, M. Ilešič, I. Jarukaitis et D. Gratsias (rapporteur), juges,

avocat général : Mme L. Medina,

greffier : Mme M. Siekierzyńska, administratrice,

vu la procédure écrite et à la suite de l’audience du 29 mars 2023,

considérant les observations présentées :

– pour Ligue des droits humains ASBL et BA, par Me C. Forget, avocate,

– pour l’Organe de contrôle de l’information policière (OCIP), par Mes J. Bosquet et J.-F. De Bock, advocaten,

– pour le gouvernement belge, par MM. P. Cottin, J.-C. Halleux, Mmes C. Pochet et A. Van Baelen, en qualité d’agents, assistés de Mes N. Cariat, C. Fischer, B. Lombaert et J. Simba, avocats,

– pour le gouvernement tchèque, par MM. O. Serdula, M. Smolek et J. Vláčil, en qualité d’agents,

– pour le gouvernement français, par M. J. Illouz, en qualité d’agent,

– pour le Parlement européen, par M. S. Alonso de León, Mmes O. Hrstková Šolcová, P. López-Carceller et M. Thibault, en qualité d’agents,

– pour la Commission européenne, par MM. A. Bouchagiar, H. Kranenborg, Mme A.-C. Simon et M. F. Wilman, en qualité d’agents,

ayant entendu l’avocate générale en ses conclusions à l’audience du 15 juin 2023,

rend le présent

Arrêt

1 La demande de décision préjudicielle porte, d’une part, sur l’interprétation de l’article 8, paragraphe 3, et de l’article 47 de la charte des droits fondamentaux de l’Union européenne (ci-après la « Charte ») et, d’autre part, sur la validité, au regard des dispositions susvisées de la Charte, de l’article 17 de la directive (UE) 2016/680 du Parlement européen et du Conseil, du 27 avril 2016, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (JO 2016, L 119, p. 89).

2 Cette demande a été présentée dans le cadre d’un litige opposant Ligue des droits humains ASBL et BA à l’Organe de contrôle de l’information policière (OCIP) (Belgique) au sujet de l’exercice, par l’intermédiaire de cet organe, des droits de BA relatifs aux données à caractère personnel le concernant, traitées par les services de police belges et sur la base desquelles l’Autorité nationale de sécurité (Belgique) a rejeté une demande d’habilitation de sécurité présentée par cette personne.

Le cadre juridique

Le droit de l’Union

3 Les considérants 7, 10, 43, 46, 48, 75, 82, 85 et 86 de la directive 2016/680 énoncent : « (7) Il est crucial d’assurer un niveau élevé et homogène de protection des données à caractère personnel des personnes physiques et de faciliter l’échange de données à caractère personnel entre les autorités compétentes des États membres, afin de garantir l’efficacité de la coopération judiciaire en matière pénale et de la coopération policière. À cette fin, le niveau de protection des droits et libertés des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces, devrait être équivalent dans tous les États membres. Une protection effective des données à caractère personnel dans l’ensemble de l’Union [européenne] exige non seulement de renforcer les droits des personnes concernées et les obligations de ceux qui traitent les données à caractère personnel, mais aussi de renforcer les pouvoirs équivalents de suivi et de contrôle du respect des règles relatives à la protection des données à caractère personnel dans les États membres. [...] (10) Dans la déclaration no 21 sur la protection des données à caractère personnel dans le domaine de la coopération judiciaire en matière pénale et de la coopération policière, annexée à l’acte final de la Conférence intergouvernementale qui a adopté le traité de Lisbonne, la conférence a reconnu que des règles spécifiques sur la protection des données à caractère personnel et sur la libre circulation des données à caractère personnel dans les domaines de la coopération judiciaire en matière pénale et de la coopération policière se basant sur l’article 16 [TFUE] pourraient s’avérer nécessaires en raison de la nature spécifique de ces domaines. [...] (43) Une personne physique devrait avoir le droit d’accéder aux données qui ont été collectées la concernant et d’exercer ce droit facilement, à des intervalles raisonnables, afin de prendre connaissance du traitement et d’en vérifier la licéité. [...] [...] (46) Toute limitation des droits de la personne concernée doit respecter la Charte et la [convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, signée à Rome le 4 novembre 1950], telles qu’elles sont interprétées respectivement par la Cour de justice et par la Cour européenne des droits de l’homme dans leur jurisprudence, et notamment respecter l’essence desdits droits et libertés. [...] (48) Lorsque le responsable du traitement refuse à une personne concernée le droit à l’information, le droit d’accès aux données à caractère personnel, de rectification ou d’effacement de celles-ci ou le droit de limitation du traitement, la personne concernée devrait avoir le droit de demander à l’autorité de contrôle nationale de vérifier la licéité du traitement. [...] [...] (75) L’institution d’autorités de contrôle dans les États membres, qui sont en mesure d’exercer leurs fonctions en toute indépendance, est un élément essentiel de la protection des personnes physiques à l’égard du traitement des données à caractère personnel. Il y a lieu que les autorités de contrôle surveillent l’application des dispositions adoptées en vertu de la présente directive et contribuent à ce que son application soit cohérente dans l’ensemble de l’Union, afin de protéger les personnes physiques à l’égard du traitement de leurs données à caractère personnel. [...] [...] (82) Afin d’assurer l’efficacité, la fiabilité et la cohérence du contrôle du respect et de l’application de la présente directive dans l’ensemble de l’Union conformément au traité [FUE] tel qu’il est interprété par la Cour de justice, les autorités de contrôle devraient avoir, dans chaque État membre, les mêmes missions et les mêmes pouvoirs effectifs, dont celui d’enquêter, d’adopter des mesures correctrices et d’émettre des avis consultatifs, qui constituent les moyens nécessaires à l’accomplissement de leurs missions. [...] [...] (85) Toute personne concernée devrait avoir le droit d’introduire une réclamation auprès d’une autorité de contrôle unique et disposer du droit à un recours juridictionnel effectif conformément à l’article 47 de la Charte lorsqu’elle estime qu’il y a violation des droits que lui confèrent les dispositions adoptées en vertu de la présente directive, ou si l’autorité de contrôle ne donne pas [suite à] sa réclamation, la refuse ou la rejette, en tout ou en partie, ou si elle n’agit pas alors qu’une action est nécessaire pour protéger les droits de la personne concernée. [...] (86) Toute personne physique ou morale devrait disposer du droit à un recours juridictionnel effectif, devant la juridiction nationale compétente, contre une décision d’une autorité de contrôle qui produit des effets juridiques à son égard. Une telle décision concerne en particulier l’exercice, par l’autorité de contrôle, de pouvoirs d’enquête, du pouvoir d’adopter des mesures correctrices et du pouvoir d’autorisation ou le refus ou le rejet de réclamations. Toutefois, ce droit ne couvre pas d’autres mesures prises par les autorités de contrôle qui ne sont pas juridiquement contraignantes, telles que les avis émis ou les conseils fournis par l’autorité de contrôle. Les actions contre une autorité de contrôle devraient être intentées devant les juridictions de l’État membre sur le territoire duquel l’autorité de contrôle est établie et être menées conformément au droit de l’État membre en question. Ces juridictions devraient disposer d’une pleine compétence, et notamment de celle d’examiner toutes les...