Opinion of Advocate General Ćapeta delivered on 6 October 2022.

• Jurisdiction: European Union
• ECLI: ECLI:EU:C:2022:755
• Date: 06 October 2022
• Celex Number: 62021CC0268
• Court: Court of Justice (European Union)

Édition provisoire

CONCLUSIONS DE L’AVOCATE GÉNÉRALE

M^ME TAMARA ĆAPETA

présentées le 6 octobre 2022 (1)

Affaire C‑268/21

Norra Stockholm Bygg AB

contre

Per Nycander AB,

en présence de

Entral AB

[demande de décision préjudicielle formée par le Högsta domstolen (Cour suprême, Suède)]

« Renvoi préjudiciel – Règlement (UE) 2016/679 – Protection des données à caractère personnel – Article 6, paragraphes 3 et 4 – Traitement de données à caractère personnel – Article 23, paragraphe 1, sous f) – Protection de l’indépendance de la justice et des procédures judiciaires – Demande de la défenderesse dans le cadre d’une procédure civile d’injonction à la requérante de communiquer des informations sur les heures de travail de ses salariés »

I. Introduction

1. « Nous attachons de l’importance au respect de votre vie privée. Nous utilisons des cookies pour améliorer l’expérience de navigation de l’utilisateur. Veuillez consulter nos politiques en matière de respect de la vie privée et des cookies ». (2)

2. Un message similaire surgit à l’occasion de la consultation de tout site Internet.

3. Telle est la conséquence du règlement général sur la protection des données (ci-après le « RGPD ») (3) qui est devenu le principal instrument de protection des données à caractère personnel dans l’Union européenne.

4. Le RGPD surgit-il également devant les juridictions nationales ? Plus particulièrement, s’applique-t-il aux obligations de divulgation dans le cadre d’une procédure civile devant une juridiction nationale ? Dans l’affirmative, quelles obligations impose-t-il à ces juridictions ? Telles sont les problématiques que la Cour est invitée à clarifier dans la présente affaire.

II. Les faits du litige au principal et les questions préjudicielles

5. Ces questions préjudicielles ont été soulevées dans le cadre d’un litige pendant devant la juridiction de renvoi, le Högsta domstolen (Cour suprême, Suède). Les faits à l’origine du litige peuvent être résumés comme suit. Norra Stockholm Bygg AB (ci-après « Fastec »), partie requérante au principal, a réalisé la construction d’un immeuble de bureaux pour Per Nycander AB (ci-après « Nycander »), partie défenderesse au principal. Les salariés travaillant sur ce chantier ont enregistré leur présence au moyen d’un registre électronique à des fins fiscales. Ce registre était fourni par la société Entral AB (ci-après « Entral »), agissant pour le compte de Fastec.

6. La procédure au principal a débuté par un litige portant sur le paiement des travaux effectués. Nycander s’opposait à la demande de paiement de Fastec (d’une somme d’environ 2 000 000 couronnes suédoises (SEK), environ 190 133 euros) en faisant valoir que Fastec n’avait pas travaillé autant d’heures que ce qui était réclamé.

7. Pour prouver que tel était bien le cas, Nycander a demandé que Entral communique le registre du personnel qu’elle tenait pour le compte de Fastec. Fastec s’est opposée à cette demande en faisant valoir qu’une telle divulgation violerait le RGPD, les données demandées ayant été collectées à une autre fin et ne pouvant servir de preuve dans l’affaire au principal.

8. Le Tingsrätt (tribunal de première instance, Suède) a enjoint à Entral de communiquer le registre et cette décision a été confirmée en appel par le Svea hovrätt (Cour d’appel de Stockholm, Suède).

9. Fastec a formé un pourvoi contre cette décision devant le Svea Högsta domstolen (Cour suprême, Suède) en lui demandant de rejeter la demande d’injonction de Nycander et, à titre subsidiaire, d’enjoindre qu’une version anonymisée du registre du personnel soit communiquée. C’est dans le cadre de cette procédure que le Högsta domstolen (Cour suprême) a saisi la Cour de justice d’une demande de décision préjudicielle portant sur les questions suivantes :

« 1) Les dispositions de l’article 6, paragraphes 3 et 4, du [RGPD] visent‑elles également les règles procédurales nationales relatives aux obligations en matière d’obligation de communiquer des éléments de preuve ?

2) S’il est répondu par l’affirmative à la première question, le [RGPD] implique‑t‑il que, lors de l’appréciation du point de savoir si la communication d’un acte contenant des données à caractère personnel doit être ordonnée, il faut également tenir compte des intérêts des personnes concernées ? Dans ce cas, le droit de l’Union impose‑t‑il des conditions relatives aux modalités de cette appréciation ? »

10. Au cours de la procédure, Fastec, les gouvernements tchèque, polonais et suédois ainsi que la Commission européenne ont présenté des observations écrites. Nycander, les gouvernements tchèque et suédois et la Commission européenne ont pris part à l’audience qui s’est tenue le 27 juin 2022.

III. Le cadre juridique

A. Le droit de l’Union

11. L’article 5 du RGPD détermine les principes selon lesquels tout traitement de données à caractère personnel doit respecter :

« 1. Les données à caractère personnel doivent être :

a) traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence) ;

b) collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités ; le traitement ultérieur à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques n’est pas considéré, conformément à l’article 89, paragraphe 1, comme incompatible avec les finalités initiales (limitation des finalités) ;

c) adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ;

d) exactes et, si nécessaire, tenues à jour ; toutes les mesures raisonnables doivent être prises pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder (exactitude) ;

e) conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ; les données à caractère personnel peuvent être conservées pour des durées plus longues dans la mesure où elles seront traitées exclusivement à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques conformément à l’article 89, paragraphe 1, pour autant que soient mises en œuvre les mesures techniques et organisationnelles appropriées requises par le présent règlement afin de garantir les droits et libertés de la personne concernée (limitation de la conservation) ;

f) traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d’origine accidentelle, à l’aide de mesures techniques ou organisationnelles appropriées (intégrité et confidentialité).

2. Le responsable du traitement est responsable du respect du paragraphe 1 et est en mesure de démontrer que celui-ci est respecté (responsabilité). »

12. L’article 6 du RGPD, intitulé « Licéité du traitement », dispose, à ses paragraphes 1, 3 et 4, ce qui suit :

« 1. Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :

[…]

c) le traitement est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis ;

[…]

e) le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ;

[…]

3. Le fondement du traitement visé au paragraphe 1, points c) et e), est défini par :

a) le droit de l’Union ; ou

b) le droit de l’État membre auquel le responsable du traitement est soumis.

Les finalités du traitement sont définies dans cette base juridique ou, en ce qui concerne le traitement visé au paragraphe 1, point e), sont nécessaires à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement. Cette base juridique peut contenir des dispositions spécifiques pour adapter l’application des règles du présent règlement, entre autres : les conditions générales régissant la licéité du traitement par le responsable du traitement ; les types de données qui font l’objet du traitement ; les personnes concernées ; les entités auxquelles les données à caractère personnel peuvent être communiquées et les finalités pour lesquelles elles peuvent l’être ; la limitation des finalités ; les durées de conservation ; et les opérations et procédures de traitement, y compris les mesures visant à garantir un traitement licite et loyal, telles que celles prévues dans d’autres situations particulières de traitement comme le prévoit le chapitre IX. Le droit de l’Union ou le droit des États membres répond à un objectif d’intérêt public et est proportionné à l’objectif légitime poursuivi.

4. Lorsque le traitement à une fin autre que celle pour laquelle les données ont été collectées n’est pas fondé sur le consentement de la personne concernée ou sur le droit de l’Union ou sur le droit d’un État membre qui constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir les objectifs visés à l’article 23, paragraphe 1, le responsable du traitement, afin de déterminer si le traitement à une autre fin est compatible avec la finalité pour laquelle les données à caractère personnel ont été initialement collectées, tient compte, entre autres :

(a) de l’existence éventuelle d’un lien entre les finalités pour lesquelles les données à caractère personnel ont été collectées et les finalités du traitement ultérieur envisagé ;

(b) du contexte dans lequel les données à caractère personnel ont été collectées, en particulier en ce qui concerne la relation entre les...