Opinion of Advocate General Medina delivered on 6 June 2024.

• Jurisdiction: European Union
• Celex Number: 62023CC0169
• ECLI: ECLI:EU:C:2024:474
• Date: 06 June 2024
• Court: Court of Justice (European Union)

Édition provisoire

CONCLUSIONS DE L’AVOCATE GÉNÉRALE

M^ME LAILA MEDINA

présentées le 6 juin 2024 (1)

Affaire C-169/23 [Másdi] (i)

Nemzeti Adatvédelmi és Információszabadság Hatóság

contre

UC

[demande de décision préjudicielle formée par la Kúria (Cour suprême, Hongrie)]

« Renvoi préjudiciel – Protection des données à caractère personnel – Règlement (UE) 2016/679 – Traitement des données aux fins de la délivrance d’un certificat COVID-19 – Informations à fournir lorsque les données à caractère personnel n’ont pas été collectées auprès de la personne concernée – Article 14, paragraphe 1 – Dérogations à l’obligation d’information – Obtention ou communication expressément prévue par le droit de l’Union ou le droit d’un État membre – Mesures appropriées visant à protéger les intérêts légitimes de la personne concernée – Article 14, paragraphe 5, sous c) – Droit d’introduire une réclamation auprès d’une autorité de contrôle – Article 77 »

I. Introduction

1. L’une des obligations les plus importantes incombant au responsable du traitement est de fournir des informations à la personne concernée. C’est ce que M. l’avocat général Cruz Villalón a indiqué en des termes éloquents dans ses conclusions dans l’affaire Bara e.a., en affirmant que l’exigence d’information de la personne concernée « garantit la transparence de tout traitement » (2). L’obligation d’information correspond à un droit essentiel de la personne concernée d’obtenir des informations sur le traitement des données qui la concernent. La doctrine observe (3) que le droit à l’information « illustre » le principe de transparence et « constitue le creuset » de tous les autres droits. En effet, des exigences d’information étendues permettent à la personne concernée d’exercer d’autres droits importants reconnus par le règlement (UE) 2016/679 (4).

2. La présente affaire s’inscrit dans le contexte de la délivrance de certificats COVID-19. Elle invite la Cour, pour la première fois, à interpréter une dérogation importante à l’obligation d’information incombant au responsable du traitement, prévue à l’article 14, paragraphe 5, sous c), du RGPD. La dérogation en cause sera analysée eu égard aux pouvoirs de l’autorité de contrôle dans le cadre d’une réclamation introduite par la personne concernée.

II. Le cadre juridique

A. Le droit de l’Union

3. L’article 14 du RGPD, intitulé « Informations à fournir lorsque les données à caractère personnel n’ont pas été collectées auprès de la personne concernée », dispose, aux paragraphes 1, 2 et 5 :

« 1. Lorsque les données à caractère personnel n’ont pas été collectées auprès de la personne concernée, le responsable du traitement fournit à celle-ci toutes les informations suivantes :

a) l’identité et les coordonnées du responsable du traitement et, le cas échéant, du représentant du responsable du traitement ;

b) le cas échéant, les coordonnées du délégué à la protection des données ;

c) les finalités du traitement auquel sont destinées les données à caractère personnel ainsi que la base juridique du traitement ;

d) les catégories de données à caractère personnel concernées ;

e) le cas échéant, les destinataires ou les catégories de destinataires des données à caractère personnel ;

f) le cas échéant, le fait que le responsable du traitement a l’intention d’effectuer un transfert de données à caractère personnel à un destinataire dans un pays tiers ou une organisation internationale, et l’existence ou l’absence d’une décision d’adéquation rendue par la Commission [européenne] [...] [.]

2. En plus des informations visées au paragraphe 1, le responsable du traitement fournit à la personne concernée les informations suivantes nécessaires pour garantir un traitement équitable et transparent à l’égard de la personne concernée :

a) la durée pendant laquelle les données à caractère personnel seront conservées ou, lorsque ce n’est pas possible, les critères utilisés pour déterminer cette durée ;

b) lorsque le traitement est fondé sur l’article 6, paragraphe 1, point f), les intérêts légitimes poursuivis par le responsable du traitement ou par un tiers ;

c) l’existence du droit de demander au responsable du traitement l’accès aux données à caractère personnel, la rectification ou l’effacement de celles-ci, ou une limitation du traitement relatif à la personne concernée, ainsi que du droit de s’opposer au traitement et du droit à la portabilité des données ;

d) lorsque le traitement est fondé sur l’article 6, paragraphe 1, point a), ou sur l’article 9, paragraphe 2, point a), l’existence du droit de retirer le consentement à tout moment, sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le retrait de celui-ci ;

e) le droit d’introduire une réclamation auprès d’une autorité de contrôle ;

f) la source d’où proviennent les données à caractère personnel et, le cas échéant, une mention indiquant qu’elles sont issues ou non de sources accessibles au public ;

g) l’existence d’une prise de décision automatisée, y compris un profilage, visée à l’article 22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la logique sous‑jacente, ainsi que l’importance et les conséquences prévues de ce traitement pour la personne concernée.

[...]

5. Les paragraphes 1 à 4 ne s’appliquent pas lorsque et dans la mesure où :

[...]

c) l’obtention ou la communication des informations sont expressément prévues par le droit de l’Union ou le droit de l’État membre auquel le responsable du traitement est soumis et qui prévoit des mesures appropriées visant à protéger les intérêts légitimes de la personne concernée ;

[...] »

4. L’article 32 du RGPD, intitulé « Sécurité du traitement », énonce, à son paragraphe 1 :

« Compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque [...]

[…] »

5. L’article 77 du RGPD, intitulé « Droit d’introduire une réclamation auprès d’une autorité de contrôle », dispose, à son paragraphe 1 :

« Sans préjudice de tout autre recours administratif ou juridictionnel, toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État membre dans lequel se trouve sa résidence habituelle, son lieu de travail ou le lieu où la violation aurait été commise, si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du présent règlement. »

B. Le droit hongrois

6. L’article 2, paragraphe 1, sous a) à g), de l’a koronavírus elleni védettségi igazolásról szóló 60/2021. (II.12.) Korm. rendelet [décret gouvernemental 60/2021 (II.12.), du 12 février 2021, relatif à la preuve de l’immunité contre le coronavirus ; ci-après le « décret 60/2021 »], dans sa version applicable au litige au principal, prévoit :

« Le certificat d’immunité inclut :

a) le nom de la personne concernée,

b) le numéro du passeport de la personne concernée, le cas échéant,

c) le numéro de la carte d’identité permanente de la personne concernée, le cas échéant,

d) le numéro de série du certificat d’immunité,

e) en cas de preuve de vaccination, la date de la vaccination,

f) en cas de preuve de guérison d’une infection, la date d’expiration de la validité du certificat,

g) un code formé à partir des données visées sous a) à f), lisible optiquement par un dispositif informatique,

[...] »

7. En vertu de l’article 2, paragraphes 6 et 7, du décret 60/2021, le certificat d’immunité devait être délivré à la personne physique habilitée à le recevoir par le Budapest Főváros Kormányhivatal (services administratifs de Budapest-Capitale, Hongrie, ci-après l’« administration de Budapest »), soit d’office, soit sur demande.

8. L’article 3, paragraphe 3, du décret 60/2021 dispose :

« Par transmission automatique d’informations, le cas échéant par le biais des services de l’összerendelési nyilvántartás [répertoire électronique combiné des données d’identification], [l’administration de Budapest] – dans le cas visé à l’article 2, paragraphe 6, sous c) et d) – reprend

a) auprès de l’exploitant de la plate-forme EESZT [Elektronikus Egészségügyi Szolgáltatási Tér (Plateforme électronique des services de santé)], le numéro de sécurité sociale de la personne concernée, les données visées à l’article 2, paragraphe 1, sous e) et g), ainsi que les données visées au paragraphe 1,

b) auprès de l’organisme qui tient le registre des données à caractère personnel et des adresses, le nom de la personne concernée, le numéro ou identifiant de son passeport et de sa carte d’identité permanente, ainsi que son adresse. »

III. Le litige au principal et les questions préjudicielles

9. UC, une personne physique, a reçu de l’administration de Budapest un certificat d’immunité confirmant sa vaccination contre la COVID-19.

10. Le 30 avril 2021, sur la base de l’article 77, paragraphe 1, du RGPD, UC a introduit une réclamation auprès de la Nemzeti Adatvédelmi és Információszabadság Hatóság (Autorité nationale chargée de la protection des données et de la liberté d’information, Hongrie, ci-après l’« autorité de contrôle hongroise »). Il a demandé à cette autorité d’ordonner à l’administration de Budapest de mettre ses opérations de traitement en conformité avec les dispositions du RGPD. Dans la réclamation, UC a entre autres reproché à l’administration de Budapest de ne pas avoir rédigé ni publié d’avis de confidentialité relatif à la protection des données afférentes à la délivrance des certificats d’immunité, en faisant valoir qu’il n’y avait pas d’informations suffisantes sur la finalité et la base juridique du traitement, ainsi que sur...