Affaire C-169/23, Másdi: Arrêt de la Cour (troisième chambre) du 28 novembre 2024 (demande de décision préjudicielle de la Kúria – Hongrie) – Nemzeti Adatvédelmi és Információszabadság Hatóság / UC [Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel et libre circulation de ces données – Règlement (UE) 2016/679 – Données traitées lors de l’établissement d’un certificat COVID-19 – Données n’ayant pas été collectées auprès de la personne concernée – Informations à fournir – Exception à l’obligation d’information – Article 14, paragraphe 5, sous c) – Données générées par le responsable du traitement dans le cadre de son propre processus – Droit de réclamation – Compétence de l’autorité de contrôle – Article 77, paragraphe 1 – Mesures appropriées visant à protéger les intérêts légitimes de la personne concernée prévues par le droit de l’État membre auquel le responsable du traitement est soumis – Mesures visant la sécurité du traitement des données – Article 32]

1)

L’article 14, paragraphe 5, sous c), du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données),

doit être interprété en ce sens que :

l’exception à l’obligation d’information de la personne concernée par le responsable du traitement, prévue à cette disposition, concerne indistinctement toutes les données à caractère personnel que le responsable du traitement n’a pas collectées directement auprès de la personne concernée, que ces données aient été obtenues par le responsable du traitement auprès d’une personne autre que la personne concernée ou qu’elles aient été générées par le responsable du traitement lui-même, dans le cadre de l’exercice de ses missions.

2)

L’article 14, paragraphe 5, sous c), et l’article 77, paragraphe 1, du règlement 2016/679

doivent être interprétés en ce sens que :

dans le cadre d’une procédure de réclamation, l’autorité de contrôle est compétente pour vérifier si le droit de l’État membre auquel est soumis le responsable du traitement prévoit des mesures appropriées pour protéger les intérêts légitimes de la personne concernée, aux fins de l’application de l’exception prévue à cet article 14, paragraphe 5, sous c). Cette vérification ne porte toutefois pas sur le caractère approprié des mesures que le responsable du traitement est tenu de mettre en œuvre, en vertu de l’article 32 de ce règlement, afin de garantir la sécurité des traitements de données à caractère personnel.