College van burgemeester en wethouders van Rotterdam v M. E. E. Rijkeboer.

• Jurisdiction: European Union
• ECLI: ECLI:EU:C:2008:773
• Date: 22 December 2008
• Celex Number: 62007CC0553
• Court: Court of Justice (European Union)
• Procedure Type: Reference for a preliminary ruling
• Docket Number: C-553/07

CONCLUSIONS DE L’AVOCAT GÉNÉRAL

M. Dámaso Ruiz-Jarabo Colomer

présentées le 22 décembre 2008 (1)

Affaire C‑553/07

College van burgemeester en wethouders van Rotterdam

contre

M. E. E. Rijkeboer

[demande de décision préjudicielle formée par le Nederlandse Raad van State (Pays-Bas)]

«Protection des données – Droits fondamentaux – Directive 95/46/CE – Droit d’accès aux données à caractère personnel – Suppression – Communications à des tiers – Délai d’exercice du droit d’accès – Principe de proportionnalité»

I – Introduction

1. Le Nederlandse Raad van State (Conseil d’État, Pays-Bas) a saisi la Cour d’une question préjudicielle portant sur l’interprétation des articles 6 et 12 de la directive 95/46/CE, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (2). Ce renvoi préjudiciel est formé sur un terrain épineux: celui de la suppression et de la cession à des tiers de données à caractère personnel détenues par une administration municipale et celui du droit d’accès aux données relatives au traitement qui en découle.

2. En principe, la destruction de données constitue une action protectrice. Toutefois, elle entraîne d’autres conséquences, puisque la destruction des fichiers engendre également la perte des traces de leur usage. Ainsi, la personne qui était en apparence protégée se retrouve également lésée, car elle ne connaîtra jamais l’emploi que le possesseur de ses données personnelles a fait de ces dernières (3).

3. Sur fond de ce débat, la Cour doit statuer sur la question de savoir si le délai pour la suppression des données fait office de limite temporelle pour le droit d’accès aux informations relatives au traitement. Dans l’affirmative, il convient de déterminer si la période d’un an est suffisante et proportionnée pour la garantie des droits prévus par la directive 95/46.

II – Les faits

4. La décision de renvoi expose que M. M. E. E. Rijkeboer a demandé au College van burgemeester en wethouders van Rotterdam (mairie de Rotterdam, ci-après le «College»), sur la base des archives de l’administration communale, une liste des communications à des tiers d’informations le concernant réalisées au cours des deux années précédentes. Par décisions des 27 et 29 novembre 2005, le College a partiellement rejeté la demande de M. Rijkeboer en lui fournissant uniquement les données relatives à l’année précédente. En désaccord avec cette décision de la municipalité, M. Rijkeboer a introduit une réclamation, qui a également été rejetée le 13 février 2006.

5. Les voies de recours administratives étant épuisées, le Rechtbank Rotterdam (tribunal de Rotterdam) a fait droit au recours de M. Rijkeboer. Dans son arrêt du 17 novembre 2006, le Rechtbank Rotterdam a annulé la décision administrative rejetant certaines demandes de l’intéressé et a ordonné au College d’adopter une nouvelle décision.

6. Le 28 décembre 2006, le College a fait appel devant la section du contentieux administratif du Raad van State qui, par décision du 5 décembre 2007, a suspendu la procédure au principal et a saisi la Cour d’une question préjudicielle.

III – Le cadre juridique

A – Le cadre juridique communautaire

7. L’article 6, paragraphes 1 et 2, UE proclame l’attachement de l’Union aux droits fondamentaux dans les termes suivants:

«Article 6

1. L’Union est fondée sur les principes de la liberté, de la démocratie, du respect des droits de l’homme et des libertés fondamentales, ainsi que de l’État de droit, principes qui sont communs aux États membres.

2. L’Union respecte les droits fondamentaux, tels qu’ils sont garantis par la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, signée à Rome le 4 novembre 1950, et tels qu’ils résultent des traditions constitutionnelles communes aux États membres, en tant que principes généraux du droit communautaire.

[…]»

8. Le droit fondamental au respect de la vie privée, en tant que principe général du droit communautaire, a trouvé une expression normative dans la directive 95/46. Ce texte, dont les principes ont été repris par l’article 8 de la charte des droits fondamentaux de l’Union européenne, définit la notion de «données» et prévoit leur suppression à l’issue d’une certaine durée de traitement. Les articles 2, sous a), et 6 de ladite directive disposent:

«Article 2

[…]

a) ‘données à caractère personnel’: toute information concernant une personne physique identifiée ou identifiable (personne concernée); est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d’identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale;

[…]

Article 6

1. Les États membres prévoient que les données à caractère personnel doivent être:

[…]

e) conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement. Les États membres prévoient des garanties appropriées pour les données à caractère personnel qui sont conservées au-delà de la période précitée, à des fins historiques, statistiques ou scientifiques.»

9. Pour garantir une transparence du traitement de données, les articles 10 et 11 de la directive 95/46 prévoient des obligations d’information en faveur de la personne concernée par les données, qui dépendent de la question de savoir si les données ont été collectées auprès de cette personne ou non. Le responsable de la gestion des fichiers est notamment soumis aux obligations suivantes:

«Article 10

Informations en cas de collecte de données auprès de la personne concernée

Les États membres prévoient que le responsable du traitement ou son représentant doit fournir à la personne auprès de laquelle il collecte des données la concernant au moins les informations énumérées ci-dessous, sauf si la personne en est déjà informée:

a) l’identité du responsable du traitement et, le cas échéant, de son représentant;

b) les finalités du traitement auquel les données sont destinées;

c) toute information supplémentaire telle que:

– les destinataires ou les catégories de destinataires des données,

– le fait de savoir si la réponse aux questions est obligatoire ou facultative ainsi que les conséquences éventuelles d’un défaut de réponse,

– l’existence d’un droit d’accès aux données la concernant et de rectification de ces données,

dans la mesure où, compte tenu des circonstances particulières dans lesquelles les données sont collectées, ces informations supplémentaires sont nécessaires pour assurer à l’égard de la personne concernée un traitement loyal des données.

Article 11

Informations lorsque les données n’ont pas été collectées auprès de la personne concernée

1. Lorsque les données n’ont pas été collectées auprès de la personne concernée, les États membres prévoient que le responsable du traitement ou son représentant doit, dès l’enregistrement des données ou, si une communication de données à un tiers est envisagée, au plus tard lors de la première communication de données, fournir à la personne concernée au moins les informations énumérées ci-dessous, sauf si la personne en est déjà informée:

a) l’identité du responsable du traitement et, le cas échéant, de son représentant;

b) les finalités du traitement;

c) toute information supplémentaire telle que:

– les catégories de données concernées,

– les destinataires ou les catégories de destinataires des données,

– l’existence d’un droit d’accès aux données la concernant et de rectification de ces données,

dans la mesure où, compte tenu des circonstances particulières dans lesquelles les données sont collectées, ces informations supplémentaires sont nécessaires pour assurer à l’égard de la personne concernée un traitement loyal des données.

[…]»

10. Les personnes concernées par les données peuvent veiller à leur bon usage en exerçant leur «droit d’accès», dont les caractéristiques principales sont définies à l’article 12 de la directive 95/46. Le premier cas de figure prévu par cet article est pertinent aux fins de la présente affaire:

«Article 12

Droit d’accès

Les États membres garantissent à toute personne concernée le droit d’obtenir du responsable du traitement:

a) sans contrainte, à des intervalles raisonnables et sans délais ou frais excessifs:

– la confirmation que des données la concernant sont ou ne sont pas traitées, ainsi que des informations portant au moins sur les finalités du traitement, les catégories de données sur lesquelles il porte et les destinataires ou les catégories de destinataires auxquels les données sont communiquées,

– la communication, sous une forme intelligible, des données faisant l’objet des traitements, ainsi que de toute information disponible sur l’origine des données,

– la connaissance de la logique qui sous-tend tout traitement automatisé des données la concernant, au moins dans le cas des décisions automatisées visées à l’article 15 paragraphe 1;

[…]».

11. Dans les cas de figure énumérés à l’article 13 de la directive 95/46, les États membres peuvent limiter l’obligation de suppression des données ainsi que le droit d’accès:

«Article 13

[…]

1. Les États membres peuvent prendre des mesures législatives visant à limiter la portée des obligations et des droits prévus à l’article 6 paragraphe 1, à l’article 10, à l’article 11 paragraphe 1 et aux articles 12 et 21, lorsqu’une telle limitation constitue une mesure nécessaire pour sauvegarder:

a) la sûreté de l’État;

b) la défense;

c) la sécurité publique;

d) la prévention, la recherche, la détection et la poursuite d’infractions pénales ou de manquements à la déontologie dans le cas des professions...