Affaire C-60/22, Bundesrepublik Deutschland (Boîte électronique judiciaire): Arrêt de la Cour (cinquième chambre) du 4 mai 2023 (demande de décision préjudicielle du Verwaltungsgericht Wiesbaden — Allemagne) — UZ / Bundesrepublik Deutschland [Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement (UE) 2016/679 – Article 5 – Principes relatifs au traitement – Responsabilité du traitement – Article 6 – Licéité du traitement – Dossier électronique relatif à une demande d’asile établi par une autorité administrative – Transmission à la juridiction nationale compétente via une boîte postale électronique – Violation des articles 26 et 30 – Absence d’accord déterminant la responsabilité conjointe du traitement et de la tenue du registre des activités de traitement – Conséquences – Article 17, paragraphe 1 – Droit à l’effacement («droit à l’oubli») – Article 18, paragraphe 1 – Droit à la limitation du traitement – Notion de «traitement illicite» – Prise en compte du dossier électronique par une juridiction nationale – Absence de consentement de la personne concernée]

1)

L’article 17, paragraphe 1, sous d), et l’article 18, paragraphe 1, sous b), du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données),

doivent être interprétés en ce sens que:

la méconnaissance, par le responsable du traitement, des obligations prévues aux articles 26 et 30 de ce règlement, relatives, respectivement, à la conclusion d’un accord déterminant la responsabilité conjointe du traitement et à la tenue d’un registre des activités de traitement, ne constitue pas un traitement illicite conférant à la personne concernée un droit à l’effacement ou à la limitation du traitement, dès lors qu’une telle méconnaissance n’implique pas, en tant que telle, une violation par le responsable du traitement du principe de «responsabilité» tel qu’énoncé à l’article 5, paragraphe 2, dudit règlement, lu conjointement avec l’article 5, paragraphe 1, sous a), et l’article 6, paragraphe 1, premier alinéa, de ce dernier.

2)

Le droit de l’Union doit être interprété en ce sens que, lorsque le responsable du traitement de données à caractère personnel a méconnu les obligations lui incombant en vertu des articles 26 ou 30 du règlement 2016/679, la licéité de la prise en compte de telles données par une juridiction nationale n’est pas subordonnée au consentement de la personne concernée.