YS v Minister voor Immigratie, Integratie en Asiel and Minister voor Immigratie, Integratie en Asiel v M and S.

• Jurisdiction: European Union
• ECLI: ECLI:EU:C:2013:838
• Docket Number: C‑372/12,C‑141/12
• Celex Number: 62012CC0141
• Court: Court of Justice (European Union)
• Procedure Type: Reference for a preliminary ruling
• Date: 12 December 2013

CONCLUSIONS DE L’AVOCAT GÉNÉRAL

M ME ELEANOR SHARPSTON

présentées le 12 décembre 2013 ( 1 )

Affaires jointes C‑141/12 et C‑372/12

YS

contre

Minister voor Immigratie, Integratie en Asiel (C‑141/12)

[demande de décision préjudicielle formée par le Rechtbank Middelburg (Pays‑Bas)]

et

Minister voor Immigratie, Integratie en Asiel

contre

M et S (C‑372/12)

[demande de décision préjudicielle formée par le Raad van State (Pays-Bas)]

«Données à caractère personnel et traitement — Analyse juridique»

1. YS, M et S sont des ressortissants de pays tiers ayant introduit des demandes de séjour régulier aux Pays-Bas. La demande d’YS a été rejetée. Celles de M et S ont été accueillies. Chacun d’eux invoque le droit de l’Union pour avoir accès à un document (ci-après la «minute») ( 2 ) rédigé par un fonctionnaire de l’autorité compétente et qui contient une analyse juridique sous la forme d’un avis interne portant sur la question de savoir s’il convient d’accorder un droit de séjour. Ils font valoir que l’analyse juridique est une donnée à caractère personnel et que, partant, le droit de l’Union leur donne le droit d’accéder à la minute.

I – Le droit de l’Union

A – Le traité FUE

2. L’article 16, paragraphe 1, TFUE prévoit que «[t]oute personne a droit à la protection des données à caractère personnel la concernant».

B – La charte des droits fondamentaux de l’Union européenne

3. L’article 8 de la charte des droits fondamentaux de l’Union européenne (ci‑après la «Charte»), intitulé «Protection des données à caractère personnel», s’énonce comme suit: «1. Toute personne a droit à la protection des données à caractère personnel la concernant. 2. Ces données doivent être traitées loyalement, à des fins déterminées et sur la base du consentement de la personne concernée ou en vertu d’un autre fondement légitime prévu par la loi. Toute personne a le droit d’accéder aux données collectées la concernant et d’en obtenir la rectification. 3. Le respect de ces règles est soumis au contrôle d’une autorité indépendante.»

4. L’article 41 de la Charte concerne le «Droit à une bonne administration»: «1. Toute personne a le droit de voir ses affaires traitées impartialement, équitablement et dans un délai raisonnable par les institutions, organes et organismes de l’Union. 2. Ce droit comporte notamment: […] b) le droit d’accès de toute personne au dossier qui la concerne, dans le respect des intérêts légitimes de la confidentialité et du secret professionnel et des affaires; c) l’obligation pour l’administration de motiver ses décisions.»

5. Conformément à l’article 47, premier alinéa, de la Charte, «[t]oute personne dont les droits et libertés garantis par le droit de l’Union ont été violés a droit à un recours effectif devant un tribunal dans le respect des conditions prévues au présent article».

6. L’article 51, paragraphe 1, de la Charte prévoit que «[l]es dispositions de la présente Charte s’adressent aux institutions, organes et organismes de l’Union dans le respect du principe de subsidiarité, ainsi qu’aux États membres uniquement lorsqu’ils mettent en œuvre le droit de l’Union. […]».

C – La directive 95/46/CE

7. Conformément à l’article 1er, paragraphe 1, de la directive 95/46/CE ( 3 ), «les États membres assurent […] la protection des libertés et droits fondamentaux des personnes physiques, notamment de leur vie privée, à l’égard du traitement des données à caractère personnel» ( 4 ).

8. L’article 2, sous a), de la directive 95/46 définit les «données à caractère personnel» comme «toute information concernant une personne physique identifiée ou identifiable (personne concernée)» ( 5 ) et une «personne identifiable» comme «une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d’identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale».

9. L’article 2, sous b), de la directive 95/46 définit le «traitement de données à caractère personnel» ou simplement le «traitement» comme «toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction». Conformément à l’article 2, sous c), un «fichier de données à caractère personnel» ou «fichier» s’entend de «tout ensemble structuré de données à caractère personnel accessibles selon des critères déterminés, que cet ensemble soit centralisé, décentralisé ou réparti de manière fonctionnelle ou géographique».

10. Conformément à son article 3, paragraphe 1, la directive 95/46 s’applique, d’une part, au «traitement de données à caractère personnel, automatisé en tout ou en partie», et, d’autre part, au «traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier» ( 6 ). L’article 3, paragraphe 2, exclut certains types de traitement du champ d’application de la directive 95/46 et l’article 7 énumère les critères déterminant si les États membres peuvent ou non traiter des données à caractère personnel.

11. L’article 12 de la directive relatif au «droit d’accès» s’énonce comme suit ( 7 ): «Les États membres garantissent à toute personne concernée le droit d’obtenir du responsable du traitement: a) sans contrainte, à des intervalles raisonnables et sans délais ou frais excessifs: — la confirmation que des données la concernant sont ou ne sont pas traitées, ainsi que des informations portant au moins sur les finalités du traitement, les catégories de données sur lesquelles il porte et les destinataires ou les catégories de destinataires auxquels les données sont communiquées, — la communication, sous une forme intelligible, des données faisant l’objet des traitements, ainsi que de toute information disponible sur l’origine des données, — la connaissance de la logique qui sous-tend tout traitement automatisé des données la concernant, au moins dans le cas des décisions automatisées visées à l’article 15 paragraphe 1; b) selon le cas, la rectification, l’effacement ou le verrouillage des données dont le traitement n’est pas conforme à la présente directive, notamment en raison du caractère incomplet ou inexact des données; c) la notification aux tiers auxquels les données ont été communiquées de toute rectification, tout effacement ou tout verrouillage effectué conformément au point b), si cela ne s’avère pas impossible ou ne suppose pas un effort disproportionné.»

12. L’article 13, paragraphe 1, de la directive 95/46 mentionne des exceptions et limitations, notamment au droit d’accès ( 8 ): «Les États membres peuvent prendre des mesures législatives visant à limiter la portée des obligations et des droits prévus à l’article 6 paragraphe 1, à l’article 10, à l’article 11 paragraphe 1 et aux articles 12 et 21, lorsqu’une telle limitation constitue une mesure nécessaire pour sauvegarder: […] d) la prévention, la recherche, la détection et la poursuite d’infractions pénales ou de manquements à la déontologie dans le cas des professions réglementées; […] f) une mission de contrôle, d’inspection ou de réglementation relevant, même à titre occasionnel, de l’exercice de l’autorité publique, dans les cas visés aux points c), d) et e); g) la protection de la personne concernée ou des droits et libertés d’autrui.»

D – Les autres instruments du droit de l’Union

13. Le règlement (CE) no 45/2001 ( 9 ) concerne la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions de l’Union. Il définit les «données à caractère personnel» et le «traitement de données à caractère personnel», pour ainsi dire, dans les mêmes termes que la directive 95/46 ( 10 ). Il prévoit également un droit d’accès, notamment à une forme intelligible des données faisant l’objet des traitements ainsi qu’à toute information disponible sur l’origine de ces données ( 11 ).

14. Les instruments du droit de l’Union permettant un accès aux documents, tels que le règlement (CE) no 1049/2001 ( 12 ) et la décision relative à l’accès du public aux documents de la Cour de justice ( 13 ) contiennent des exceptions destinées à protéger la «vie privée et […] l’intégrité de l’individu, notamment en conformité avec la législation [de l’Union] relative à la protection des données à caractère personnel» ( 14 ) et permet de refuser l’accès dans le cas où il porterait atteinte à la protection des «procédures juridictionnelles et des avis juridiques» ( 15 ).

II – Le droit néerlandais et la procédure en cause

15. La loi relative à la protection des données à caractère personnel (Wet bescherming persoonsgegevens, ci-après le «Wbp») définit les données à caractère personnel ( 16 ), son champ d’application ( 17 ) et le droit d’accès ( 18 ) en des termes analogues à ceux utilisés dans la directive 95/46. Les requérants s’en prévalent pour accéder à la minute utilisée pour statuer sur leur demande de permis de séjour temporaire au titre de la loi relative aux étrangers de 2000 (Vreemdelingenwet 2000).

...