Arrêt de la Cour (cinquième chambre) du 16 novembre 2023.#Ligue des droits humains ASBL et BA contre Organe de contrôle de l’information policière.#Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Directive (UE) 2016/680 – Article 17 – Exercice des droits de la personne concernée par l’intermédiaire de l’autorité de contrôle – Vérification de la licéité du traitement des données – Article 17, paragraphe 3 – Obligation minimale d’information de la personne concernée – Portée – Validité – Article 53 – Droit de former un recours juridictionnel effectif contre l’autorité de contrôle – Notion de “décision juridiquement contraignante” – Charte des droits fondamentaux de l’Union européenne – Article 8, paragraphe 3 – Contrôle d’une autorité indépendante – Article 47 – Droit à une protection juridictionnelle effective.#Affaire C-333/22.

Affaire C‑333/22

Ligue des droits humains ASBL
et
BA

contre

Organe de contrôle de l’information policière

(demande de décision préjudicielle, introduite par Cour d’appel de Bruxelles)

Arrêt de la Cour (cinquième chambre) du 16 novembre 2023

« Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Directive (UE) 2016/680 – Article 17 – Exercice des droits de la personne concernée par l’intermédiaire de l’autorité de contrôle – Vérification de la licéité du traitement des données – Article 17, paragraphe 3 – Obligation minimale d’information de la personne concernée – Portée – Validité – Article 53 – Droit de former un recours juridictionnel effectif contre l’autorité de contrôle – Notion de “décision juridiquement contraignante” – Charte des droits fondamentaux de l’Union européenne – Article 8, paragraphe 3 – Contrôle d’une autorité indépendante – Article 47 – Droit à une protection juridictionnelle effective »

1. Rapprochement des législations – Protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale – Directive 2016/680 – Exercice des droits de la personne concernée par l’intermédiaire de l’autorité de contrôle – Existence d’un droit à un recours juridictionnel effectif contre la décision de cette autorité – Notion de décision juridiquement contraignante – Décision de l’autorité de contrôle de clôturer le processus de vérification de la licéité du traitement des données – Inclusion

   [Charte des droits fondamentaux de l’Union européenne, art. 8 et 47 ; directive du Parlement européen et du Conseil 2016/680, considérants 48, 75 et 86 et art. 17, 46, § 1, g), 47, § 1 et 2, et 53, § 1]

   (voir points 38-52, 54, 55, disp. 1)

2. Rapprochement des législations – Protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale – Directive 2016/680 – Article 17, paragraphe 3 – Appréciation de la validité de ladite disposition au regard de l’article 8, paragraphe 3, et de l’article 47 de la charte des droits fondamentaux – Disposition prévoyant l’obligation de l’autorité de contrôle d’informer la personne concernée, d’une part, de la réalisation des vérifications nécessaires ou d’un examen, et, d’autre part, de son droit à former un recours juridictionnel – Validité

   (Charte des droits fondamentaux de l’Union européenne, art. 8, § 3, 47 et 52, § 1 ; directive du Parlement européen et du Conseil 2016/680, considérant 86 et art. 17, § 3, et 53, § 1)

   (voir points 60-72, disp. 2)

Résumé

En 2016, BA a sollicité, auprès de l’Autorité nationale de sécurité (Belgique), une habilitation de sécurité qui lui a été refusée notamment pour des raisons de sûreté de l’État et de pérennité de l’ordre démocratique constitutionnel, du fait de sa participation à des manifestations au courant de la dernière décennie. Concrètement, ce refus était fondé sur ses données personnelles, traitées par les services de police belges.

Par la suite, BA a demandé à l’Organe de contrôle de l’information policière (OCIP) (Belgique), en sa qualité d’autorité de contrôle, d’identifier les responsables du traitement de ses données et de leur enjoindre de lui donner accès à l’ensemble des informations le concernant, afin de lui permettre d’exercer ses droits. L’OCIP a procédé à une vérification de la légalité du traitement de données à caractère personnel de BA dans les banques de données policières conformément au droit belge ( 1 ). En s’appuyant sur ce droit qui n’accorde pas à la personne concernée un droit d’accès direct à ces données, l’OCIP s’est limité à informer BA qu’il avait procédé aux vérifications nécessaires.

Dans ce contexte, la cour d’appel de Bruxelles (Belgique) a été saisie par Ligue des droits humains ASBL et BA à la suite d’une ordonnance du tribunal de première instance francophone de Bruxelles (Belgique) se déclarant « sans pouvoir de juridiction » pour connaître de la demande en référé présentée par ces derniers. À son tour, la Cour d’appel de Bruxelles a interrogé la Cour sur l’interprétation et la validité de l’article 17 de la directive 2016/680 ( 2 ) au regard des dispositions de la charte des droits fondamentaux de l’Union européenne (ci-après la « Charte »).

Dans son arrêt, la Cour se prononce, d’une part, sur le droit de la personne concernée de former un recours juridictionnel effectif contre la décision de l’autorité de contrôle lorsque les droits de cette personne ont été exercés par l’intermédiaire de cette autorité. D’autre part, elle conclut à la validité de l’article 17 de la directive 2016/680 dans la mesure où cette disposition ne prévoit qu’une obligation minimale de l’autorité de contrôle d’informer la personne concernée de l’exécution des vérifications nécessaires ou d’un examen par ses soins et de l’existence d’un droit de cette personne de former un recours juridictionnel.

Appréciation de la Cour

La Cour commence par rappeler que la directive 2016/680 impose aux États membres de prévoir qu’une personne physique ou morale a le droit de former un recours juridictionnel effectif contre une décision juridiquement contraignante d’une autorité de contrôle qui la concerne ( 3 ). Ainsi, il s’avère nécessaire de déterminer si cette autorité adopte une telle décision lorsque les droits de la personne concernée sont exercés par son intermédiaire.

À cet égard, tout d’abord, la Cour relève que, dans les cas prévus par la directive 2016/680 qui vise à protéger des objectifs d’intérêt public ( 4 ), les États membres doivent prévoir la possibilité d’un exercice indirect des droits de la personne concernée par l’autorité de contrôle. Cette possibilité offre à cette personne une garantie supplémentaire concernant le traitement licite de ses données lorsque le droit national limite l’exercice direct de ses droits auprès du responsable du traitement ( 5 ), ainsi que la directive 2016/680 l’autorise ( 6 ).

Ensuite, la Cour précise que, à cette fin, chaque autorité de contrôle doit, en vertu de l’article 17 de la directive 2016/680, être investie de la mission de vérifier la licéité du traitement et disposer non seulement de pouvoirs d’enquête effectifs, mais aussi de pouvoirs en matière de mesures correctrices ( 7 ). Dans ce cadre, sa mission s’inscrit pleinement dans la définition de son rôle par la Charte ( 8 ). En outre, toujours conformément à cette disposition, l’autorité de contrôle est obligée d’informer la personne concernée que l’ensemble des vérifications nécessaires a été effectué.

La Cour en déduit que, lorsque l’autorité de contrôle procède à cette information, elle porte à la connaissance de la personne concernée la décision adoptée à son égard de clôturer le processus de vérification, laquelle affecte nécessairement sa situation juridique. Cette décision constitue donc pour cette personne une décision juridiquement contraignante, indépendamment de la question de savoir si et dans quelle mesure cette autorité a constaté la licéité du traitement de ses données et a adopté des mesures correctrices.

Enfin, la Cour conclut que la personne concernée doit pouvoir obtenir un contrôle juridictionnel du bien-fondé d’une telle décision et, en particulier, de la manière dont l’autorité de contrôle s’est acquittée de son obligation de procéder à toutes les vérifications nécessaires et, le cas échéant, de l’exercice de ses pouvoirs en matière d’adoption de mesures correctrices. Cette conclusion est également conforme à l’article 47 de la Charte visant un droit à un recours juridictionnel effectif qui, selon une jurisprudence constante, doit être reconnu à toute personne se prévalant de droits ou de libertés garantis par le droit de l’Union contre une décision lui faisant grief, de nature à porter atteinte à ces droits ou à ces libertés.

Quant à la validité de l’article 17, paragraphe 3, de la directive 2016/680, la Cour relève que, dans la mesure où cette disposition ne s’oppose pas à ce que, dans certains cas, conformément aux règles adoptées par le législateur national pour la mettre en œuvre, l’autorité de contrôle puisse avoir la faculté, voire l’obligation de communiquer à la personne concernée les informations minimales prévues par cette disposition, en particulier lorsque ces règles visent à éviter de compromettre les objectifs d’intérêt public protégés par cette directive, elle est susceptible d’engendrer une limitation au droit à un recours juridictionnel effectif, garanti à l’article 47 de la Charte.

Cependant, cette limitation est expressément prévue par la loi et n’est pas absolue. En outre, pour ce qui est des autres critères susceptibles de justifier une telle limitation ( 9 ), la Cour souligne qu’il incombe aux États membres de veiller à ce que les dispositions nationales mettant en œuvre ledit article 17, paragraphe 3, d’une part, respectent le contenu essentiel du droit à la protection juridictionnelle effective et, d’autre part, reposent sur une pondération des objectifs d’intérêt public justifiant une limitation de cette information ainsi que des droits fondamentaux et des intérêts légitimes de la personne concernée, dans le respect des principes de nécessité et de proportionnalité. Ainsi, il leur appartient de prévoir que, sous certaines conditions, l’information de la personne concernée puisse aller au-delà des informations minimales, que l’autorité compétente dispose d’une certaine marge d’appréciation pour déterminer si elle peut communiquer à la personne concernée, au moins de manière succincte, le résultat de ses vérifications et que, dans le cas contraire, le juge compétent saisi d’un recours contre l’autorité de contrôle puisse, néanmoins, garantir à suffisance au justiciable le respect de ses droits procéduraux, tels que le droit d’être entendu ainsi que le principe du contradictoire, et exercer de manière efficace son contrôle juridictionnel.

Eu égard à l’ensemble de ces considérations, la Cour conclut à l’absence d’éléments remettant en cause la validité de l’article 17, paragraphe 3, de la directive 2016/680.

( 1 ) Article 42 de la loi relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, du 30 juillet 2018 (Moniteur belge du 5 septembre 2018, p. 68616).

( 2 ) L’article 17 de la directive (UE) 2016/680 du Parlement européen et du Conseil, du 27 avril 2016, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI (JO 2016, L 119, p. 89) prévoit : « 1. Dans les cas visés à l’article 13, paragraphe 3, à l’article 15, paragraphe 3, et à l’article 16, paragraphe 4, les États membres adoptent des mesures afin que les droits de la personne concernée puissent également être exercés par l’intermédiaire de l’autorité de contrôle compétente. […] 3. Lorsque le droit visé au paragraphe 1 est exercé, l’autorité de contrôle informe au moins la personne concernée du fait qu’elle a procédé à toutes les vérifications nécessaires ou à un examen. L’autorité de contrôle informe également la personne concernée de son droit de former un recours juridictionnel. »

( 3 ) Article 53, paragraphe 1, de la directive 2016/680.

( 4 ) Ces objectifs, énoncés à l’article 13, paragraphe 3, l’article 15, paragraphe 1, et l’article 16, paragraphe 4, de la directive 2016/680, visent à : « éviter de gêner des enquêtes, des recherches ou des procédures officielles ou judiciaires », « éviter de nuire à la prévention ou à la détection d’infractions pénales, aux enquêtes ou aux poursuites en la matière ou à l’exécution de sanctions pénales », « protéger la sécurité publique », « protéger la sécurité nationale », ou « protéger les droits et les libertés d’autrui ».

( 5 ) Concrètement, il s’agit du droit de recevoir des informations additionnelles, du droit d’accès à ses données ou du droit d’obtenir leur rectification, leur effacement ou la limitation du traitement, respectivement énoncés à l’article 13, paragraphe 2, l’article 14 et l’article 16, paragraphes 1 à 3, de la directive 2016/680.

( 6 ) Article 13, paragraphe 3, article 15, paragraphe 1, et article 16, paragraphe 4, de la directive 2016/680.

( 7 ) Article 46, paragraphe 1, sous g), et article 47, paragraphes 1 et 2, de la directive 2016/680.

( 8 ) Article 8 de la Charte.

( 9 ) Prévus par l’article 52, paragraphe 1, de la Charte.