| CELEX | 62024CJ0199 |
| Type | Jurisprudence CJUE |
| Date | jeudi 9 juillet 2026 |
ArrÊt de la Cour (cinquième chambre)
9 juillet 2026 (*)
« Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement (UE) 2016/679 – Champ d’application – Mise à la disposition du public, en ligne et contre rémunération, d’informations relatives à des condamnations pénales – Conciliation du droit à la protection des données à caractère personnel et du droit à la liberté d’expression et d’information – Article 79 – Droit à un recours juridictionnel effectif – Portée – Article 85 – Notion de traitement de données à caractère personnel réalisé à des “fins journalistiques” »
Dans l’affaire C‑199/24,
ayant pour objet une demande de décision préjudicielle au titre de l’article 267 TFUE, introduite par l’Attunda tingsrätt (tribunal de première instance d’Attunda, Suède), par décision du 1er mars 2024, parvenue à la Cour le 13 mars 2024, dans la procédure
ND
contre
Legal Newsdesk Sweden AB, anciennement Garrapatica AB,
LA COUR (cinquième chambre),
composée de Mme M. L. Arastey Sahún, présidente de chambre, MM. J. Passer, E. Regan (rapporteur), D. Gratsias et B. Smulders, juges,
avocat général : M. M. Szpunar,
greffier : Mme C. Strömholm, administratrice,
vu la procédure écrite et à la suite de l’audience du 14 mai 2025,
considérant les observations présentées :
– pour ND, par ND et Me J. Södergren, advokat,
– pour Legal Newsdesk Sweden AB, par Me J. Sundqvist, advokat,
– pour le gouvernement suédois, par Mmes F.-L. Göransson, C. Meyer-Seitz, M. J. Olsson et Mme A. M. Runeskjöld, en qualité d’agents,
– pour le gouvernement bulgare, par M. R. Stoyanov et Mme T. Tsingileva, en qualité d’agents,
– pour le gouvernement finlandais, par Mmes A. Laine et H. Leppo, en qualité d’agents,
– pour la Commission européenne, par MM. A. Bouchagiar, H. Kranenborg et Mme I. Söderlund, en qualité d’agents,
ayant entendu l’avocat général en ses conclusions à l’audience du 4 septembre 2025,
rend le présent
Arrêt
1 La demande de décision préjudicielle porte sur l’interprétation de l’article 85, paragraphes 1 et 2, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, et rectificatif JO 2018, L 127, p. 2, ci-après le « RGPD »).
2 Cette demande a été présentée dans le cadre d’un litige opposant ND à Legal Newsdesk Sweden AB, anciennement Garrapatica AB, au sujet du refus, opposé par cette société, à sa demande d’effacement de ses données à caractère personnel de la base de données intitulée « Lexbase » gérée par ladite société.
Le cadre juridique
Le droit de l’Union
La directive 95/46/CE
3 L’article 9 de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO 1995, L 281, p. 31), intitulé « Traitements de données à caractère personnel et liberté d’expression », disposait :
« Les États membres prévoient, pour les traitements de données à caractère personnel effectués aux seules fins de journalisme ou d’expression artistique ou littéraire, des exemptions et dérogations au présent chapitre, au chapitre IV et au chapitre VI dans la seule mesure où elles s’avèrent nécessaires pour concilier le droit à la vie privée avec les règles régissant la liberté d’expression. »
4 Cette directive a été abrogée et remplacée par le RGPD avec effet au 25 mai 2018.
Le RGPD
5 Le considérant 153 du RGPD énonce :
« Le droit des États membres devrait concilier les règles régissant la liberté d’expression et d’information, y compris l’expression journalistique, universitaire, artistique ou littéraire, et le droit à la protection des données à caractère personnel en vertu du présent règlement. Dans le cadre du traitement de données à caractère personnel uniquement à des fins journalistiques ou à des fins d’expression universitaire, artistique ou littéraire, il y a lieu de prévoir des dérogations ou des exemptions à certaines dispositions du présent règlement si cela est nécessaire pour concilier le droit à la protection des données à caractère personnel et le droit à la liberté d’expression et d’information, consacré par l’article 11 de la [charte des droits fondamentaux de l’Union européenne (ci-après la “Charte”)]. Tel devrait notamment être le cas des traitements de données à caractère personnel dans le domaine de l’audiovisuel et dans les documents d’archives d’actualités et bibliothèques de la presse. En conséquence, les États membres devraient adopter des dispositions législatives qui fixent les exemptions et dérogations nécessaires aux fins d’assurer un équilibre entre ces droits fondamentaux. [...] Pour tenir compte de l'importance du droit à la liberté d'expression dans toute société démocratique, il y a lieu de retenir une interprétation large des notions liées à cette liberté, telles que le journalisme. »
6 L’article 4 du RGPD, intitulé « Définitions », et figurant au chapitre I de ce règlement, lui-même intitulé « Dispositions générales », dispose :
« Aux fins du présent règlement, on entend par :
[...]
2) “traitement”, toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction ;
[...]. »
7 L’article 10 du RGPD, intitulé « Traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions », et figurant au chapitre II de ce règlement, lui-même intitulé « Principes », prévoit :
« Le traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions ou aux mesures de sûreté connexes fondé sur l’article 6, paragraphe 1, ne peut être effectué que sous le contrôle de l’autorité publique, ou si le traitement est autorisé par le droit de l’Union ou par le droit d’un État membre qui prévoit des garanties appropriées pour les droits et libertés des personnes concernées. Tout registre complet des condamnations pénales ne peut être tenu que sous le contrôle de l’autorité publique. »
8 L’article 55 du RGPD, intitulé « Compétence », et figurant au chapitre VI de ce règlement, lui-même intitulé « Autorités de contrôle indépendantes », énonce, à son paragraphe 1, que chaque autorité de contrôle est compétente pour exercer les missions et les pouvoirs dont elle est investie conformément au RGPD sur le territoire de l’État membre dont elle relève.
9 L’article 57 du RGPD, intitulé « Missions », dispose, à son paragraphe 1, sous h), que, sans préjudice des autres missions prévues au titre de ce règlement, chaque autorité de contrôle, sur le territoire de l’État membre dont elle relève, a pour mission d’effectuer des enquêtes sur l’application du RGPD.
10 Les pouvoirs d’enquête des autorités de contrôle sont énumérés au paragraphe 1 de l’article 58 du RGPD, intitulé « Pouvoirs ». Le paragraphe 2 de cet article indique les mesures correctrices pouvant être adoptées par ces autorités. Le paragraphe 3 dudit article précise les pouvoirs d’autorisation et les pouvoirs consultatifs dont disposent lesdites autorités.
11 Le chapitre VIII du RGPD, intitulé « Voies de recours, responsabilité et sanctions », comprend, notamment, les articles 77 à 79 et 82 de ce règlement.
12 L’article 77 du RGPD, intitulé « Droit d’introduire une réclamation auprès d’une autorité de contrôle », dispose, à son paragraphe 1 :
« Sans préjudice de tout autre recours administratif ou juridictionnel, toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État membre dans lequel se trouve sa résidence habituelle, son lieu de travail ou le lieu où la violation aurait été commise, si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du présent règlement. »
13 L’article 78, intitulé « Droit à un recours juridictionnel effectif contre une autorité de contrôle », prévoit, à ses paragraphes 1 et 2 :
« 1. Sans préjudice de tout autre recours administratif ou extrajudiciaire, toute personne physique ou morale a le droit de former un recours juridictionnel effectif contre une décision juridiquement contraignante d’une autorité de contrôle qui la concerne.
2. Sans préjudice de tout autre recours administratif ou extrajudiciaire, toute personne concernée a le droit de former un recours juridictionnel effectif lorsque l’autorité de contrôle qui est compétente en vertu des articles 55 et 56 ne traite pas une réclamation ou n’informe pas la personne concernée, dans un délai de trois mois, de l’état d’avancement ou de l’issue de la réclamation qu’elle a introduite au titre de l’article 77. »
14 L’article 79 du RGPD, intitulé « Droit à un recours juridictionnel effectif contre un responsable du traitement ou un sous-traitant », énonce, à son paragraphe 1 :
« Sans préjudice de tout recours administratif ou extrajudiciaire qui lui est ouvert, y compris le droit d’introduire une réclamation auprès d’une autorité de contrôle au titre de l’article 77, chaque personne concernée a droit à un recours juridictionnel effectif si elle considère que les droits que lui confère le présent règlement ont été violés du fait d’un traitement de ses données à caractère personnel effectué en violation du présent règlement. »
15 L’article 82 du RGPD, intitulé « Droit à réparation et responsabilité », prévoit, à son paragraphe 1 :
« Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. »
16 L’article 85 du RGPD, intitulé « Traitement et liberté d’expression et d’information », dispose :
« 1. Les États membres concilient, par la loi, le droit à la protection des données à caractère personnel au titre du présent règlement et le droit à la liberté d’expression et d’information, y compris le traitement à des fins journalistiques et à des fins d’expression universitaire, artistique ou littéraire.
2. Dans le cadre du traitement réalisé à des fins journalistiques ou à des fins d’expression universitaire, artistique ou littéraire, les États membres prévoient des exemptions ou des dérogations au chapitre II (principes), au chapitre III (droits de la personne concernée), au chapitre IV (responsable du traitement et sous-traitant), au chapitre V (transfert de données à caractère personnel vers des pays tiers ou à des organisations internationales), au chapitre VI (autorités de contrôle indépendantes), au chapitre VII (coopération et cohérence) et au chapitre IX (situations particulières de traitement) si celles-ci sont nécessaires pour concilier le droit à la protection des données à caractère personnel et la liberté d’expression et d’information.
3. Chaque État membre notifie à la Commission [européenne] les dispositions légales qu’il a adoptées en vertu du paragraphe 2 et, sans tarder, toute disposition légale modificative ultérieure ou toute modification ultérieure les concernant. »
Le droit suédois
17 La protection de la liberté de la presse et de la liberté d’expression est régie par des lois de rang constitutionnel, à savoir le Tryckfrihetsförordningen (1949:105) [loi constitutionnelle sur la liberté de la presse (1949:105)] (SFS 1949, no 105, ci-après la « loi constitutionnelle sur la liberté de la presse ») et l’Yttrandefrihetsgrundlagen (1991:1469) [loi constitutionnelle sur la liberté d’expression (1991:1469)] (SFS 1949, no 1469, ci-après la « loi constitutionnelle sur la liberté d’expression »).
18 Selon les indications figurant dans la demande de décision préjudicielle, la loi constitutionnelle sur la liberté d’expression garantit la liberté d’expression, notamment au moyen de la radiodiffusion ou de certains types de sites Internet.
19 Selon l’article 1er du chapitre 9 de cette loi, une demande d’indemnisation pour exercice abusif de la liberté d’expression en raison du contenu d’un programme ne peut être fondé que sur le motif que ce programme constitue un délit d’abus de la liberté d’expression. Le fait de désigner une personne comme étant délinquante ou comme ayant un mode de vie répréhensible, ou de fournir des informations destinées à exposer cette personne à la déconsidération d’autrui, constitue un délit de diffamation et implique un délit d’abus de la liberté d’expression, au sens de l’article 1er du chapitre 5 de ladite loi et de l’article 3 du chapitre 7 de la loi constitutionnelle sur la liberté de la presse. Toutefois, un tel acte n’est pas punissable pénalement si la divulgation de cette information est, au vu des circonstances, justifiée et si la personne qui l’a divulguée prouve que celle-ci était vraie ou qu’elle avait des motifs raisonnables de la croire telle.
20 En vertu de l’article 4 du chapitre 1er de la loi constitutionnelle sur la liberté d’expression, la protection garantissant cette liberté s’exerce à l’égard de certains types de bases de données si l’activité concernée fait l’objet d’un certificat de protection constitutionnelle.
21 L’article 14 du chapitre 1er de la loi constitutionnelle sur la liberté d’expression prévoit qu’aucun organisme public ne peut, lorsque cette loi ne l’y autorise pas, prendre une mesure contre une personne parce que celle-ci aurait, dans un programme, abusé de la liberté d’expression ou contribué à un tel abus, ou prendre une mesure à l’égard de ce programme. En outre, il ressort de l’article 11 du chapitre 1er de ladite loi qu’il n’est pas permis à un organisme public d’interdire ou d’empêcher l’élaboration, la publicité ou la diffusion auprès du public d’un programme et des enregistrements de cette nature en raison de son contenu, à moins que la mesure concernée ne trouve un fondement dans la même loi.
22 En vertu de l’article 7, premier alinéa, du chapitre 1er du lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning [loi portant dispositions complémentaires au règlement général de l’Union européenne sur la protection des données (2018:218)], du 19 avril 2018 (SFS 2018, no 218), le RGPD n’est pas applicable, lorsque cette application serait contraire à la loi constitutionnelle sur la liberté de la presse ou à la loi constitutionnelle sur la liberté d’expression. Selon cet article 7, deuxième alinéa, certains articles du RGPD ne doivent pas s’appliquer en cas de traitement de données à caractère personnel effectué, notamment, à des fins journalistiques.
Le litige au principal et les questions préjudicielles
23 Legal Newsdesk Sweden gère la base de données Lexbase, qui permet notamment d’effectuer des recherches sur des personnes et des entreprises ayant fait l’objet de poursuites pénales devant un tribunal suédois. Cette base de données contient des données à caractère personnel.
24 ND, le requérant au principal, a été condamné pénalement par un jugement du 17 janvier 2011.
25 Legal Newsdesk Sweden a publié ce jugement sur la base de données Lexbase, où il est resté accessible jusqu’au mois de février 2024. Or, bien que le requérant au principal ait introduit, auprès de cette société, une demande d’effacement de ses données à caractère personnel, ces dernières n’ont pas été immédiatement effacées, et ne l’ont été que postérieurement, sur le fondement de sa politique interne de conservation des données.
26 Par un recours introduit devant l’Attunda tingsrätt (tribunal de première instance d’Attunda, Suède), qui est la juridiction de renvoi, ND a conclu à ce que Legal Newsdesk Sweden soit condamnée, pour violation du RGPD, au paiement de dommages et intérêts d’un montant de 300 000 couronnes suédoises (SEK) (environ 26 000 euros), majoré des intérêts.
27 Legal Newsdesk Sweden a contesté cette demande et, à cette occasion, s’est prévalue du certificat de protection constitutionnelle au titre de la liberté d’expression, appelé utgivningsbevis, qui a été délivré par le Myndigheten för press, radio och tv (agence nationale de la presse, de la radio et de la télévision, Suède), couvrant les informations publiées dans la base de données Lexbase. Or, la juridiction de renvoi relève que, selon le droit suédois, dans une telle situation, le RGPD n’est pas applicable, le droit à la protection des données à caractère personnel étant alors notamment garanti par la loi constitutionnelle sur la liberté de la presse et par la loi constitutionnelle sur la liberté d’expression, lesquelles ne prévoient, pour seules voies de droit, que la possibilité d’engager une procédure pénale pour diffamation et l’action en responsabilité civile pour diffamation.
28 À cet égard, après avoir rappelé le contenu de l’article 85, paragraphes 1 et 2, du RGPD et du considérant 153 de celui-ci, la juridiction de renvoi relève que ce règlement autorise expressément les États membres à prévoir des exemptions ou des dérogations en ce qui concerne le traitement de données à caractère personnel, notamment, à des « fins journalistiques ».
29 Toutefois, la juridiction de renvoi fait observer que le RGPD ne définit pas ce qu’il y a lieu d’entendre par un traitement de données à caractère personnel à des « fins journalistiques ». En outre, elle relève que, si la Cour a indiqué que cette notion doit être interprétée de manière large et que les activités visant à la divulgation au public d’informations, d’opinions ou d’idées, sous quelque moyen de transmission que ce soit, y compris s’agissant de données provenant de documents publics selon la législation nationale, doivent être considérées comme ayant une telle finalité, en revanche, il n’a pas été précisé si cette divulgation implique qu’il y ait eu une forme de rédaction ou d’adaptation de ces informations.
30 Dans ces conditions, l’Attunda tingsrätt (tribunal de première instance d’Attunda) a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :
« 1) L’article 85, paragraphe 1, du RGPD permet-il aux États membres d’adopter des mesures législatives allant au-delà de ce qui leur incombe en vertu de l’article 85, paragraphe 2, de ce règlement, et cela en ce qui concerne le traitement de données à caractère personnel à des fins autres que journalistiques ou d’expression universitaire, artistique ou littéraire ?
2) Pour le cas où la première question recevrait une réponse affirmative : l’article 85, paragraphe 1, du RGPD autorise-t-il une conciliation du droit à la protection des données à caractère personnel au titre [de ce] règlement et du droit à la liberté d’expression et d’information qui implique que la seule voie de droit ouverte à la personne dont les données à caractère personnel sont traitées par la mise à disposition du public sur l’internet, contre paiement, de condamnations pénales dont elle a fait l’objet est la faculté d’engager une procédure pénale pour diffamation ou de demander une indemnisation pour diffamation ?
3) Pour le cas où la première question ou la deuxième question recevrait une réponse négative : une activité consistant à mettre à la disposition du public sur l’internet, contre paiement, des documents publics consistant en des condamnations pénales, sans que ceux-ci fassent l’objet d’une quelconque adaptation ou rédaction, peut-elle être considérée comme étant un traitement de données à caractère personnel aux fins visées à l’article 85, paragraphe 2, du RGPD ? »
Sur les questions préjudicielles
Sur la première question
31 Par sa première question, la juridiction de renvoi demande, en substance, si l’article 85, paragraphe 1, du RGPD doit être interprété en ce sens qu’il s’oppose à ce que les États membres adoptent, sur le fondement de cette disposition, des mesures législatives allant au-delà de ce que prévoit l’article 85, paragraphe 2, de ce règlement, en ce qu’elles introduisent des dérogations à certains chapitres dudit règlement pour les traitements de données à caractère personnel qui poursuivent des fins autres que journalistiques ou d’expression universitaire, artistique ou littéraire, au motif que ces mesures sont nécessaires pour concilier le droit à la protection des données à caractère personnel et le droit à la liberté d’expression et d’information.
32 À cet égard, il convient de rappeler que, conformément à l’article 85, paragraphe 1, du RGPD, les États membres concilient, par la loi, le droit à la protection des données à caractère personnel au titre de ce règlement et le droit à la liberté d’expression et d’information, y compris le traitement à des fins journalistiques ou d’expression universitaire, artistique ou littéraire.
33 À titre liminaire, il convient de rappeler que, selon une jurisprudence constante, une interprétation d’une disposition du droit de l’Union ne saurait avoir pour résultat de retirer tout effet utile au libellé clair et précis de cette disposition. Ainsi, dès lors que le sens d’une disposition du droit de l’Union ressort sans ambiguïté du libellé même de celle-ci, la Cour ne saurait se départir de l’interprétation qu’il convient de faire de cette disposition au regard de son seul libellé(voir, en ce sens, arrêt du 25 janvier 2022, VYSOČINA WIND, C‑181/20, EU:C:2022:51, point 39 et jurisprudence citée).
34 En l’occurrence, il convient de relever que l’article 85, paragraphe 1, du RGPD se limite à énoncer que les États membres concilient, par la loi, le droit à la protection des données à caractère personnel, au titre de ce règlement, et le droit à la liberté d’expression et d’information, sans prévoir que cette conciliation puisse avoir pour conséquence l’adoption d’exemptions ou de dérogations audit règlement.
35 Certes, comme M. l’avocat général l’a souligné, en substance, au point 17 de ses conclusions, il ressort sans ambiguïté de l’emploi de la locution « y compris », à l’article 85, paragraphe 1, du RGPD, que les traitements aux fins spécifiques mentionnées à cette disposition, à savoir les traitements réalisés à des fins journalistiques ou à des fins d’expression universitaire, artistique ou littéraire, ne sont qu’une partie des traitements susceptibles de faire l’objet de la conciliation visée à ladite disposition.
36 Toutefois, l’article 85, paragraphe 1, du RGPD doit être lu à la lumière de l’article 85, paragraphe 2, de ce règlement, en vertu duquel, dans le cadre du traitement réalisé à des fins journalistiques ou à des fins d’expression universitaire, artistique ou littéraire, les États membres prévoient des exemptions ou des dérogations aux chapitres II à VII et IX dudit règlement si elles sont nécessaires pour concilier le droit à la protection des données à caractère personnel et la liberté d’expression et d’information.
37 Il ressort donc clairement du libellé de l’article 85, paragraphes 1 et 2, du RGPD que, si le paragraphe 1 de cet article établit une règle générale imposant aux États membres de concilier, par des mesures législatives, le droit à la protection des données à caractère personnel et le droit à la liberté d’expression et d’information, y compris le traitement à des fins journalistiques et à des fins d’expression universitaire, artistique ou littéraire, la règle spéciale énoncée à son paragraphe 2, selon laquelle il leur appartient de prévoir des exemptions ou des dérogations à certains chapitres de ce règlement si cela est nécessaire pour permettre cette conciliation, ne vaut que pour ces finalités spécifiques.
38 Cette interprétation est confirmée, tout d’abord, par le considérant 153 du RGPD selon lequel l’objectif poursuivi par l’article 85 de ce règlement est de permettre aux États membres de prévoir des exemptions ou des dérogations à certaines dispositions de ce règlement « uniquement » dans le cadre du traitement de données à caractère personnel à des fins journalistiques ou à des fins d’expression universitaire, artistique ou littéraire.
39 Ensuite, l’article 85, paragraphe 2, dudit règlement définissant, de manière exhaustive, le cadre dans lequel les exemptions ou les dérogations à certains chapitres du même règlement doivent s’opérer, ces exemptions ou ces dérogations doivent recevoir une interprétation stricte (voir, par analogie, arrêt du 30 avril 2025, Inspektorat kam Visshia sadeben savet, C‑313/23, C‑316/23 et C‑332/23, EU:C:2025:303, point 101 ainsi que jurisprudence citée).
40 Enfin, il convient de rappeler que la conciliation de plusieurs droits fondamentaux garantis par la Charte, tels que le droit à la protection des données à caractère personnel ainsi que le droit à la liberté d’expression et d’information, garantis respectivement aux articles 8 et 11 de la Charte, doit s’opérer dans les limites d’un juste équilibre entre ces droits [voir, en ce sens, arrêt du 6 octobre 2020, État luxembourgeois (Droit de recours contre une demande d’information en matière fiscale), C‑245/19 et C‑246/19, EU:C:2020:795, point 50 ainsi que jurisprudence citée].
41 Or, selon une jurisprudence constante, conformément au principe de proportionnalité, la réalisation d’un tel juste équilibre suppose de tenir compte de la fonction des droits fondamentaux en cause dans la société [arrêts du 2 mars 2023, Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, point 49, et du 4 octobre 2024, Bezirkshauptmannschaft Landeck (Tentative d’accès aux données personnelles stockées sur un téléphone portable), C‑548/21, EU:C:2024:830, point 85 ainsi que jurisprudence citée].
42 En l’occurrence, si, ainsi qu’il résulte du libellé de l’article 85, paragraphe 2, du RGPD, concernant les traitements réalisés à des fins journalistiques ou d’expression universitaire, artistique ou littéraire, le législateur de l’Union a décidé d’imposer expressément aux États membres de prévoir des exemptions ou des dérogations à certains chapitres de ce règlement, dont l’ampleur peut toutefois varier d’un État membre à l’autre, ainsi que de mentionner un nombre important de ces chapitres sur lesquels peuvent porter ces exemptions ou ces dérogations, c’est dans la mesure où il a estimé que seules les expressions réalisées à ces fins, eu égard à leur fonction dans une société démocratique, justifiaient des exemptions ou des dérogations aussi importantes aux dispositions dudit règlement.
43 Il s’ensuit que la conciliation, par la loi, entre le droit à la protection des données à caractère personnel au titre du RGPD et le droit à la liberté d’expression et d’information que les États membres doivent réaliser conformément à l’article 85, paragraphe 1, de ce règlement, ne saurait aboutir à ce que ces États prévoient, sur le fondement de cette disposition, des exemptions ou des dérogations audit règlement pour des traitements de données à caractère personnel qui poursuivent des fins autres que journalistiques ou d’expression universitaire, artistique ou littéraire.
44 Eu égard à ce qui précède, il convient de répondre à la première question que l’article 85, paragraphe 1, du RGPD doit être interprété en ce sens qu’il s’oppose à ce que les États membres adoptent, sur le fondement de cette disposition, des mesures législatives allant au-delà de ce que prévoit l’article 85, paragraphe 2, de ce règlement, en ce qu’elles introduisent des dérogations à certains chapitres dudit règlement pour les traitements de données à caractère personnel qui poursuivent des fins autres que journalistiques ou d’expression universitaire, artistique ou littéraire, au motif que ces mesures sont nécessaires pour concilier le droit à la protection des données à caractère personnel et le droit à la liberté d’expression et d’information.
Sur la deuxième question
45 Par sa deuxième question, la juridiction de renvoi demande, en substance, si l’article 85, paragraphe 1, du RGPD doit être interprété en ce sens qu’il s’oppose à ce que les mesures adoptées par les États membres sur son fondement prévoient, en tant que concrétisation de la conciliation à laquelle ceux-ci doivent procéder entre le droit à la protection des données à caractère personnel et le droit à la liberté d’expression et d’information, que les seules voies de droit ouvertes à une personne ayant fait l’objet de condamnations pénales, lorsque des données à caractère personnel relatives à ces condamnations sont mises à la disposition du public sur Internet, contre paiement, sont la possibilité d’engager une procédure pénale pour diffamation ou une action en réparation du préjudice subi du fait d’avoir été diffamé.
46 À cet égard, il convient de rappeler que l’article 85, paragraphe 2, du RGPD autorise les États membres à adopter des mesures législatives dérogeant aux chapitres II à VII et IX de ce règlement si cela est nécessaire afin de concilier le droit à la protection des données à caractère personnel au titre dudit règlement et le droit à la liberté d’expression et d’information.
47 Or, force est de constater que le chapitre VIII du RGPD comprend l’article 77, paragraphe 1, l’article 78, paragraphes 1 et 2, l’article 79, paragraphe 1, ainsi que l’article 82, paragraphe 1, du RGPD, qui concernent les voies de droit dont doit disposer une personne à l’égard de traitements de ses données personnelles tels que ceux en cause au principal, en ce qu’ils garantissent respectivement, premièrement, le droit des personnes concernées d’introduire une réclamation auprès d’une autorité de contrôle, deuxièmement, le droit de toute personne physique ou morale de former un recours juridictionnel effectif contre une décision juridiquement contraignante d’une autorité de contrôle qui la concerne, troisièmement, le droit à un recours juridictionnel effectif de toute personne qui considère que les droits que lui confère ce règlement ont été violés du fait d’un traitement de ses données à caractère personnel effectué en violation dudit règlement par un responsable du traitement ou un sous-traitant ainsi que, quatrièmement, le droit de toute personne ayant subi un dommage matériel ou moral du fait d’une violation du même règlement d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi.
48 Ce chapitre VIII ne figurant pas parmi ceux mentionnés à l’article 85, paragraphe 2, du RGPD, il doit en être déduit que, puisque l’article 85, paragraphe 1, de ce règlement ne permet pas aux États membres de prévoir les exemptions ou les dérogations prévues à cet article 85, paragraphe 2, pour des traitements de données à caractère personnel poursuivant des fins autres que celles visées à ce dernier paragraphe, il ne saurait, à plus forte raison, les autoriser à déroger à l’article 77, paragraphe 1, à l’article 78, paragraphes 1 et 2, à l’article 79, paragraphe 1, ainsi qu’à l’article 82, paragraphe 1, dudit règlement.
49 Par conséquent, et puisque le RGPD ne contient pas d’indications relatives aux modalités procédurales d’exercice des voies de recours prévues par ce règlement, il revient aux États membres, conformément au principe de l’autonomie procédurale, de déterminer celles-ci pour autant qu’elles ne soit ni moins favorables que celles régissant les situations similaires soumises au droit interne (principe d’équivalence) ni de nature à rendre impossible en pratique ou excessivement difficile l’exercice des droits conférés par le droit de l’Union (principe d’effectivité) (voir, en ce sens, arrêt du 4 septembre 2025, Quirin Privatbank, C‑655/23, EU:C:2025:655, point 66 et jurisprudence citée).
50 En revanche, dans la mesure où l’article 77, paragraphe 1, l’article 78, paragraphes 1 et 2, l’article 79, paragraphe 1, ainsi que l’article 82, paragraphe 1, du RGPD, qui sont directement applicables, confèrent aux personnes concernées un droit d’exercer les voies de recours qu’ils prévoient, les États membres ne sauraient soumettre l’exercice de celles-ci à des conditions de fond autres que celles découlant de ce règlement.
51 Eu égard à ce qui précède, il convient de répondre à la deuxième question que l’article 85, paragraphe 1, du RGPD doit être interprété en ce sens qu’il s’oppose à ce que les mesures adoptées par les États membres sur son fondement prévoient, en tant que concrétisation de la conciliation à laquelle ceux-ci doivent procéder entre le droit à la protection des données à caractère personnel et le droit à la liberté d’expression et d’information, que les seules voies de droit ouvertes à une personne ayant fait l’objet de condamnations pénales, lorsque des données à caractère personnel relatives à ces condamnations sont mises à la disposition du public sur Internet, contre paiement, sont la possibilité d’engager une procédure pénale pour diffamation ou une action en réparation du préjudice subi du fait d’avoir été diffamé.
Sur la troisième question
Sur la recevabilité
52 Le gouvernement bulgare soutient que la troisième question est irrecevable, car les faits exposés dans la décision de renvoi ne permettraient ni de déterminer clairement la finalité des traitements des données à caractère personnel en cause au principal ni d’apprécier si ces traitements sont conformes à l’article 10 du RGPD.
53 Selon une jurisprudence constante, les questions relatives à l’interprétation du droit de l’Union posées par le juge national dans le cadre réglementaire et factuel qu’il définit sous sa responsabilité, et dont il n’appartient pas à la Cour de vérifier l’exactitude, bénéficient d’une présomption de pertinence. Le refus de la Cour de statuer sur une demande de décision préjudicielle formée par une juridiction nationale n’est possible que s’il apparaît de manière manifeste que l’interprétation sollicitée du droit de l’Union n’a aucun rapport avec la réalité ou l’objet du litige au principal, lorsque le problème est de nature hypothétique ou encore lorsque la Cour ne dispose pas des éléments de fait et de droit nécessaires pour répondre de façon utile aux questions qui lui sont posées [arrêt du 18 juin 2024, Bundesrepublik Deutschland (Effet d’une décision d’octroi du statut de réfugié), C‑753/22, EU:C:2024:524, point 44 et jurisprudence citée].
54 En particulier, s’agissant de cette dernière hypothèse, en vertu d’une jurisprudence constante, reflétée à l’article 94, sous a) et b), du règlement de procédure de la Cour, la nécessité de parvenir à une interprétation du droit de l’Union qui soit utile pour le juge national exige notamment que celui-ci, d’une part, expose les faits pertinents ou fournisse, à tout le moins, un exposé des données factuelles sur lesquelles les questions sont fondées et, d’autre part, définisse le cadre réglementaire dans lequel s’insèrent les questions qu’il pose (arrêt du 12 mars 2026, Marhaux, C‑150/25, EU:C:2026:188, point 27 et jurisprudence citée).
55 En l’occurrence, la troisième question porte sur l’interprétation des termes « fins journalistiques » employés à l’article 85, paragraphe 2, du RGPD et donc sur l’interprétation d’une disposition du droit de l’Union. Or, pour répondre à une telle question, il n’apparaît ni nécessaire de connaître la finalité des traitements des données à caractère personnel en cause au principal ni d’apprécier si ces traitements sont conformes à l’article 10 de ce règlement.
56 Étant donné que, par ailleurs, il ne ressort pas de manière manifeste du dossier que l’interprétation sollicitée du droit de l’Union n’a aucun rapport avec la réalité ou l’objet du litige au principal, il y a lieu de déclarer la troisième question recevable.
Sur le fond
57 Par sa troisième question, la juridiction de renvoi demande, en substance, si l’article 85, paragraphe 2, du RGPD doit être interprété en ce sens que la mise à la disposition du public sur Internet, contre paiement, des documents publics consistant en des condamnations pénales, sans que ceux-ci fassent l’objet d’une quelconque adaptation ou rédaction, peut être considérée comme étant un traitement de données à caractère personnel réalisé à des « fins journalistiques », au sens de cette disposition.
58 D’emblée, compte tenu de la jurisprudence de la Cour selon laquelle la notion de « traitement », au sens de l’article 4, point 2, du RGPD, a une portée large (arrêt du 5 décembre 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, point 50 et jurisprudence citée), il y a lieu de constater que le fait de mettre à la disposition du public sur Internet des documents publics consistant en des condamnations pénales doit être considéré comme constituant un traitement de données à caractère personnel au sens du RGPD.
59 Or, ainsi qu’il a été rappelé au point 36 du présent arrêt, lorsqu’un tel traitement est réalisé à des fins journalistiques ou à des fins d’expression universitaire, artistique ou littéraire, l’article 85, paragraphe 2, du RGPD énonce que les États membres prévoient des exemptions ou des dérogations aux chapitres II à VII et IX de ce règlement si celles-ci sont nécessaires pour concilier le droit à la protection des données à caractère personnel et la liberté d’expression et d’information.
60 Certes, ni l’article 85, paragraphe 2, du RGPD ni aucune autre disposition de ce règlement ne contient de définition de la notion de « fins journalistiques » ou un renvoi exprès au droit des États membres permettant de déterminer le sens ou la portée de cette notion.
61 Néanmoins, il convient de relever que, selon la jurisprudence de la Cour relative à la notion de « journalisme » employée à l’article 9 de la directive 95/46, laquelle peut être considérée comme étant transposable à l’interprétation de la notion de « fins journalistiques » figurant à l’article 85, paragraphe 2, du RGPD, des activités peuvent être qualifiées d’« activités de journalisme » si elles ont pour finalité la divulgation au public d’informations, d’opinions ou d’idées, par quelque moyen de transmission que ce soit (arrêt du 16 décembre 2008, Satakunnan Markkinapörssi et Satamedia, C‑73/07, EU:C:2008:727, point 61).
62 En outre, il ressort du considérant 153 du RGPD que, pour tenir compte de l’importance du droit à la liberté d’expression et d’information dans toute société démocratique, il y a lieu de retenir une interprétation large des notions liées à cette liberté, telles que celle de « journalisme ».
63 Il ressort également de ce considérant 153 que les exemptions et dérogations au titre de l’article 85, paragraphe 2, du RGPD visent à concilier le droit à la protection des données à caractère personnel et le droit à la liberté d’expression et d’information, consacré à l’article 11 de la Charte.
64 Cela étant, si la notion de « fins journalistiques » employée à l’article 85, paragraphe 2, du RGPD doit recevoir une interprétation large, il n’en demeure pas moins que cette interprétation ne saurait pour autant couvrir toute forme d’expression, mais doit être comprise d’une manière qui tienne compte de ce qui différencie, du point de vue de leurs modalités d’élaboration, l’expression journalistique des autres formes d’expression, et ce eu égard au rôle joué par cette notion dans l’économie générale de cette disposition.
65 Or, en vue de l’interprétation de l’article 11 de la Charte, il convient de prendre en considération, en vertu de l’article 52, paragraphe 3, de celle-ci, la jurisprudence de la Cour européenne des droits de l’homme relative à l’article 10 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, signée à Rome le 4 novembre 1950 (arrêt du 15 mars 2022, Autorité des marchés financiers, C‑302/20, EU:C:2022:190, point 67 et jurisprudence citée).
66 Premièrement, il est constant qu’une activité journalistique suppose un travail de rédaction ou d’adaptation des informations, des opinions ou des idées divulguées, opéré à titre régulier ou professionnel, ou, à tout le moins, un travail de mise à disposition de ces informations, de ces opinions ou de ces idées, opéré conformément à des choix éditoriaux (voir, par analogie et en ce sens, Cour EDH, 17 janvier 2023, Axel Springer SE c. Allemagne, CE:ECHR:2023:0117JUD000896418, § 33, et Cour EDH, 5 avril 2022, NIT S.R. L. c. République de Moldova, CE:ECHR:2022:0405JUD002847012, § 193).
67 Deuxièmement, même lorsqu’elle consiste à divulguer des opinions ou des idées, l’activité journalistique suppose que les allégations factuelles étayant de telles opinions ou de telles idées aient fait l’objet de vérifications de manière à être suffisamment fiables (voir, par analogie, Cour EDH, 21 janvier 1999, Fressoz et Roire c. France, CE:ECHR:1999:0121JUD002918395, § 52 et 54, ainsi que Cour EDH, 16 mars 2017, Ólafsson c. Islande, CE:ECHR:2017:0316JUD005849313, § 53).
68 Troisièmement, pour être considérée comme étant « journalistique », l’activité exercée doit être soumise au respect des règles déontologiques et éthique de la profession de journaliste (voir, par analogie, Cour EDH, 27 juin 2017, Satakunnan Markkinapörssi Oy et Satamedia Oy c. Finlande, CE:ECHR:2017:0627JUD000093113, § 183 et 186, ainsi que Cour EDH, 28 juin 2018, M. L. et W. W. c. Allemagne, CE:ECHR:2018:0628JUD006079810, § 105).
69 En revanche, étant donné que la notion de « journalisme » doit être interprétée de manière large, ainsi qu’il résulte du point 62 du présent arrêt, ni le fait que l’activité concernée, à l’occasion de laquelle des traitements de données sont réalisés, soit exercée sur Internet, contre paiement (voir, en ce sens, arrêt du 16 décembre 2008, Satakunnan Markkinapörssi et Satamedia, C‑73/07, EU:C:2008:727, points 59 à 62) ni le fait que ces traitements concernent des condamnations pénales ne sont de nature à exclure que lesdits traitements puissent être opérés à des « fins journalistiques ».
70 En effet, certes, la nature des données à caractère personnel concernées par un traitement, en particulier le caractère éventuellement sensible de celles-ci, ainsi que la nature et les modalités concrètes de ce traitement, en particulier le nombre de personnes qui ont accès à ces données ainsi que les modalités d’accès à ces dernières, doivent être pris en compte afin d’apprécier si la protection du droit à la liberté d’expression et d’information, notamment celle dont bénéficient les journalistes, permet de justifier qu’il soit dérogé à certaines dispositions du RGPD (voir, en ce sens, arrêt du 21 mars 2024, Landeshauptstadt Wiesbaden, C‑61/22, EU:C:2024:251, point 106), en particulier à l’article 10 de ce règlement, qui instaure une protection particulière pour les traitements de données à caractère personnel relatives à des condamnations pénales et à des infractions. Toutefois, la circonstance qu’un traitement porte sur de telles données est sans incidence pour déterminer si, en amont de cette appréciation, celui-ci peut être considéré comme ayant été réalisé à des « fins journalistiques ».
71 Cela étant, il convient encore de souligner que l’article 85, paragraphe 2, du RGPD se réfère au traitement de données à caractère personnel non pas effectué à l’occasion d’une activité journalistique, mais réalisé à des « fins journalistiques ». Or, la notion de « fins » implique que les traitements de données à caractère personnel susceptibles de relever de cette disposition ne se limitent pas à ceux survenant au stade de la publication d’informations, d’opinions ou d’idées et consistant, à cette occasion, à mettre à disposition du public des données à caractère personnel, mais incluent également les traitements nécessaires à une telle publication (voir, par analogie, arrêt du 15 mars 2022, Autorité des marchés financiers, C‑302/20, EU:C:2022:190, points 64 et 67 à 69).
72 Dans la mesure où le travail journalistique implique une sélection et une hiérarchisation des informations recueillies, sont ainsi susceptibles d’être qualifiés de traitement réalisé à des « fins journalistiques », au sens de l’article 85, paragraphe 2, du RGPD, non seulement les différents traitements de données à caractère personnel nécessaires afin de publier des informations, des opinions ou des idées, mais également ceux qui ont porté sur des données à caractère personnel contenues dans des informations n’ayant finalement pas été retenues à l’issue de cette sélection.
73 Par conséquent, pour relever de la notion de « fins journalistiques », au sens de cette disposition, un traitement portant sur des données à caractère personnel doit avoir pour fin la divulgation au public des informations, des opinions ou des idées, dans le respect de règles déontologiques et éthiques, après un travail de rédaction ou d’adaptation, ou du moins, conformément à une ligne éditoriale, et ce après vérification des allégations factuelles concernées.
74 Or, une activité, telle que celle en cause au principal, consistant à mettre à la disposition du public sur Internet, contre paiement, des documents publics relatifs à des condamnations pénales prononcées ne semble pas requérir de travail de rédaction ou d’adaptation ni n’apparaît comme étant effectuée conformément à une ligne éditoriale, ce qu’il appartient néanmoins à la juridiction de renvoi de vérifier. En outre, il ne ressort pas du dossier dont dispose la Cour que Legal Newsdesk Sweden serait soumis aux règles de déontologie et éthiques de la profession de journaliste, ce qu’il appartient également à la juridiction de renvoi de vérifier.
75 Certes, ces documents peuvent constituer des informations utiles aux fins de l’exercice d’une activité journalistique. Toutefois, il n’en demeure pas moins que les traitements de données à caractère personnel qu’impliquent notamment la mise à la disposition du public de tels documents ne sauraient être regardés comme ayant été réalisés « à des fins journalistiques », au sens de l’article 85 du RGPD, que si lesdits documents sont exclusivement destinés à une telle activité.
76 Toutefois, dans l’affaire en cause au principal, il ressort des éléments du dossier dont dispose la Cour, ce qu’il appartient néanmoins à la juridiction de renvoi de vérifier, que n’importe quelle personne peut accéder, en utilisant la base de donnée en cause, aux documents relatifs aux condamnations pénales des personnes concernées à la seule condition d’effectuer un paiement, si bien que les traitements de données à caractère personnel opérés afin de rendre possible un tel accès, telle que la mise à disposition des données à caractère personnel contenues dans ces documents, ne sauraient être regardés comme étant réalisés à des fins journalistiques.
77 Eu égard à ce qui précède, il convient de répondre à la troisième question que l’article 85, paragraphe 2, du RGPD doit être interprété en ce sens que la mise à la disposition du public sur Internet, contre paiement, des documents publics consistant en des condamnations pénales ne saurait être considérée comme étant un traitement de données à caractère personnel réalisé à des « fins journalistiques », au sens de cette disposition, que pour autant qu’il a pour fin la divulgation au public d’informations, d’opinions ou d’idées, dans le respect de règles déontologiques et éthiques de la profession de journaliste, après un travail de rédaction ou d’adaptation, ou du moins, conformément à une ligne éditoriale, et ce après vérification des allégations factuelles concernées.
Sur les dépens
78 La procédure revêtant, à l’égard des parties au principal, le caractère d’un incident soulevé devant la juridiction de renvoi, il appartient à celle-ci de statuer sur les dépens. Les frais exposés pour soumettre des observations à la Cour, autres que ceux desdites parties, ne peuvent faire l’objet d’un remboursement.
Par ces motifs, la Cour (cinquième chambre) dit pour droit :
1) L’article 85, paragraphe 1, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données),
doit être interprété en ce sens que :
il s’oppose à ce que les États membres adoptent, sur le fondement de cette disposition, des mesures législatives allant au-delà de ce que prévoit l’article 85, paragraphe 2, de ce règlement, en ce qu’elles introduisent des dérogations à certains chapitres dudit règlement pour les traitements de données à caractère personnel qui poursuivent des fins autres que journalistiques ou d’expression universitaire, artistique ou littéraire, au motif que ces mesures sont nécessaires pour concilier le droit à la protection des données à caractère personnel et le droit à la liberté d’expression et d’information.
2) L’article 85, paragraphe 1, du règlement 2016/679
doit être interprété en ce sens que :
il s’oppose à ce que les mesures adoptées par les États membres sur son fondement prévoient, en tant que concrétisation de la conciliation à laquelle ceux-ci doivent procéder entre le droit à la protection des données à caractère personnel et le droit à la liberté d’expression et d’information, que les seules voies de droit ouvertes à une personne ayant fait l’objet de condamnations pénales, lorsque des données à caractère personnel relatives à ces condamnations pénales sont mises à la disposition du public sur Internet, contre paiement, sont la possibilité d’engager une procédure pénale pour diffamation ou une action en réparation du préjudice subi du fait d’avoir été diffamé.
3) L’article 85, paragraphe 2, du règlement 2016/679
doit être interprété en ce sens que :
la mise à la disposition du public sur Internet, contre paiement, des documents publics consistant en des condamnations pénales ne saurait être considérée comme étant un traitement de données à caractère personnel réalisé à des « fins journalistiques », au sens de cette disposition, que pour autant qu’il a pour fin la divulgation au public d’informations, d’opinions ou d’idées, dans le respect de règles déontologiques et éthiques de la profession de journaliste, après un travail de rédaction ou d’adaptation, ou du moins, conformément à une ligne éditoriale, et ce après vérification des allégations factuelles concernées.
Signatures
* Langue de procédure : le suédois.
Ordonnance du président du Tribunal du 4 août 2026.#Christoph Klein contre Commission européenne.#Référé – Clause de sauvegarde – Dispositif médical – Demande de sursis à exécution – Demande de mesures provisoires – Défaut d’urgence.#Affaire T-267/26 R.
04/08/2026
Ordonnance du président du Tribunal du 3 août 2026.#Broadcom Inc. et VMware International Unlimited Company contre Commission européenne.#Référé – Concurrence – Article 18, paragraphe 3, du règlement (CE) no 1/2003 – Demande de renseignements – Demande de sursis à exécution et de mesures provisoires – Non-lieu à statuer partiel – Défaut de fumus boni juris – Mise en balance des intérêts.#Affaire T-280/26 R.
03/08/2026
Jurisprudence CJUE — 62026TO0017
22/07/2026
Ordonnance du président du Tribunal du 22 juillet 2026.#Marek Lovás contre Parquet européen.#Référé – Rejet du recours principal – Non-lieu à statuer.#Affaire T-272/26 R.
22/07/2026