La communication orale de données personnelles est soumise au RGPD

Publié le 12/03/2024 par Etienne Wery 4036 vues

La communication orale d’informations relatives à d’éventuelles condamnations pénales en cours ou déjà purgées dont une personne physique a fait l’objet constitue un traitement de données à caractère personnel, au sens de l’article 4, point 2, de ce règlement, qui relève du champ d’application matériel de ce règlement dès lors que ces informations sont contenues ou appelées à figurer dans un fichier.

Les faits

Endemol Shine Finland, la requérante, a demandé oralement au tribunal de première instance de Savo méridional, en Finlande, des renseignements sur les condamnations pénales actuelles ou passées d’un individu participant à un de leurs concours.

L’objectif était de vérifier le casier judiciaire de cette personne.

Le tribunal a refusé la demande, arguant notamment que le RGPD s’y oppose.

Pas du tout répond Endemol Shine Finland ! Celle-ci soutient que la demande d’informations orales ne constitue pas un traitement de données personnelles au sens de l’article 4, point 2, du RGPD.

La cour d’appel se demande (notamment) si partager oralement des informations sur des condamnations pénales constitue un traitement de données personnelles selon le RGPD.

La communication orale de données personnelles est soumise au RGPD

La CJUE rappelle deux choses :

• Pour interpréter le RGPD, il faut considérer non seulement le texte de la loi mais aussi le contexte et les objectifs de cette réglementation ;
• Les informations demandées par la société sont reconnues comme des données personnelles selon le RGPD.

Le RGPD définit le traitement de données comme incluant toute opération effectuée sur des données personnelles, que ces opérations soient automatisées ou non. Cette définition large comprend la communication, la transmission, et la mise à disposition des données, indiquant que la communication orale est également considérée comme un traitement.

Pour la CJUE, exclure la communication orale du champ d’application du RGPD irait à l’encontre de l’objectif de protection voulu par le Règlement.

Le traitement des données couvert par le RGPD inclut à la fois les processus automatisés et non automatisés, à condition que les données soient contenues ou destinées à être contenues dans un fichier. Pour la Cour, le « fichier » doit être est défini de manière large comme tout ensemble structuré de données personnelles accessible selon certains critères, sans spécification de la forme que doit prendre ce fichier.

Dans le cas en question, les données demandées par la société semblent être contenues dans un fichier tenu par une juridiction, ce qui impliquerait que la communication orale de ces données est soumise au RGPD. Cependant, il appartient à la cour d’appel de vérifier si ces données font effectivement partie d’un fichier au sens du RGPD.

En résumé, la communication orale d’informations sur des condamnations pénales constitue un traitement de données personnelles selon le RGPD, et ce traitement est couvert par le champ d’application de la réglementation dès lors que les informations sont contenues ou destinées à être contenues dans un fichier.

Pas de communication d’une donnée sensible sans intérêt spécifique

Les deuxième et troisième questions adressées à la Cour demandent si, selon le RGPD et notamment son article 86, il est permis de communiquer oralement des informations sur des condamnations pénales d’une personne, contenues dans un fichier judiciaire, à quiconque souhaite garantir l’accès public à des documents officiels, sans que la personne qui fait cette demande doive justifier d’un intérêt spécifique. De plus, il est demandé si la réponse varie selon que le demandeur est une entreprise ou un individu.

La législation nationale concernée ne requiert pas le respect des règles sur la protection des données personnelles pour de telles communications orales. Cependant, les réglementations de l’UE, y compris le RGPD, sont directement applicables dans tous les États membres et doivent être pleinement respectées par les juridictions nationales, indépendamment de l’existence de dispositions nationales spécifiques.

La Cour rappelle que la communication (y compris orale ; voir première question) de données relatives à des condamnations pénales doit respecter les conditions du RGPD, notamment celles stipulées dans ses articles 5 et 6, qui définissent les principes et les conditions de licéité du traitement des données, et celles de l’article 10 du RGPD qui impose des restrictions supplémentaires sur le traitement de données relatives aux condamnations pénales, limitant un tel traitement au contrôle de l’autorité publique ou à des conditions strictement définies par la loi.

A cet égard, la CJUE rappelle avoir déjà jugé que :

• Ni l’article 6, paragraphe 1, sous e), du RGPD ni l’article 10 de ce règlement n’interdisent de manière générale et absolue qu’une autorité publique soit habilitée, voire contrainte, à communiquer des données à caractère personnel aux personnes qui en font la demande [voir, en ce sens, arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité), C‑439/19, EU:C:2021:504, point 103].
• Le RGPD ne s’oppose pas à ce que des données à caractère personnel soient communiquées au public lorsque cette communication est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique, au sens de l’article 6, paragraphe 1, sous e), de ce règlement. Il en va ainsi même lorsque les données en question relèvent de l’article 10 du RGPD, pourvu que la législation autorisant cette communication prévoie des garanties appropriées pour les droits et les libertés des personnes concernées [voir, en ce sens, arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité), C‑439/19, EU:C:2021:504, point 104].

La Cour considère que « si l’accès du public aux documents officiels, auquel se réfère la juridiction de renvoi, constitue, ainsi qu’il découle du considérant 154 du RGPD, un intérêt public susceptible de légitimer la communication de données à caractère personnel figurant dans de tels documents, cet accès doit néanmoins être concilié avec les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel, comme l’exige d’ailleurs expressément l’article 86 du RGPD. Or, eu égard notamment à la sensibilité des données relatives aux condamnations pénales et à la gravité de l’ingérence dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel des personnes concernées, que la divulgation de ces données provoque, il doit être considéré que ces droits prévalent sur l’intérêt du public à avoir accès aux documents officiels [voir, en ce sens, arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité), C‑439/19, EU:C:2021:504, point 120]. »

La Cour en conclut que : « l’article 6, paragraphe 1, sous e), et l’article 10 RGPD s’opposent à ce que des données relatives à des condamnations pénales d’une personne physique figurant dans un fichier tenu par une juridiction puissent être communiquées oralement à toute personne aux fins de garantir un accès du public à des documents officiels, sans que la personne demandant la communication ait à justifier d’un intérêt spécifique à obtenir lesdites données, la circonstance que cette personne soit une société commerciale ou un particulier n’ayant pas d’incidence à cet égard. » (nous mettons en gras)

La porte n’est donc pas fermée totalement, la Cour laissant ouverte la possibilité de démontrer un « intérêt spécifique ». Il est indifférent, sur cette question, que le demandeur soit une entreprise ou un individu.

Il appartiendra à la juridiction nationale d’appliquer cela en l’espèce, et de voir si la participation à une émission de télé réalité permet d’établir cet intérêt spécifique dans le chef de l’organisateur.

L’arrêt rendu est disponible en annexe.