Sommaire

Union Européenne

• Groupe 29

  • Lignes directrices concernant l'autorité de contrôle chef de file - wp244rev.01 (5 avril 2017)
  • Lignes directrices concernant l’analyse d’impact relative à la protection des données (AIPD) - wp248rev.01 (4 octobre 2017)

Belgique

• Autorité de protection des données

  • Recommandation relative à l’autorité chef de file - 04/2016 (19 décembre 2016)
  • Recommandation concernant l'analyse d'impact et la consultation préalable - 01/2018 (28 février 2018)

Sommaire

Union Européenne

• Jurisprudence de la CJUE

  • C-92/09 ; C-93/09 (9 novembre 2010) - Volker und Markus Schecke et Eifert

Belgique

• Jurisprudence belge

  • C. const. Be., n°118/2020 (24 septembre 2020)
  • C. const. Be., n°2/2021 (14 janvier 2021)

France

• Jurisprudence français

  • CE Fr., n°210412 (30 juin 2000)
  • Cass., n°04-80.048 (16 mars 2004)
  • Cass. Fr., n°03-86.604 (28 septembre 2004)
  • Cass. Fr., n°08-17-191 (8 décembre 2009)
  • Cass. Fr., n°10-81.748 (30 novembre 2011)
  • Cass. Fr., n°12-81.533 (19 mars 2013)
  • CE Fr., n°358876 (15 octobre 2014)
  • CE Fr., n°381254 (18 décembre 2015)
  • CE Fr., n°396669 (5 mai 2017)
  • CE Fr., n°406664 (6 avril 2018)
  • CE Fr., n°447513 (24 décembre 2021)

Union Européenne

Jurisprudence de la CJUE

C-92/09 ; C-93/09 (9 novembre 2010) - Volker und Markus Schecke et Eifert

1)      Les articles 42, point 8 ter, et 44 bis du règlement (CE) n° 1290/2005 du Conseil, du 21 juin 2005, relatif au financement de la politique agricole commune, tel que modifié par le règlement (CE) n° 1437/2007 du Conseil, du 26 novembre 2007, ainsi que le règlement (CE) n° 259/2008 de la Commission, du 18 mars 2008, portant modalités d’application du règlement n° 1290/2005 en ce qui concerne la publication des informations relatives aux bénéficiaires de fonds en provenance du Fonds européen agricole de garantie (FEAGA) et du Fonds européen agricole pour le développement rural (Feader), sont invalides dans la mesure où, s’agissant des personnes physiques bénéficiaires d’aides du FEAGA et du Feader, ces dispositions imposent la publication de données à caractère personnel relatives à tout bénéficiaire, sans opérer de distinction selon des critères pertinents, tels que les périodes pendant lesquelles elles ont perçu de telles aides, la fréquence ou encore le type et l’importance de celles-ci.

2)      L’invalidité des dispositions du droit de l’Union mentionnées au point 1 de ce dispositif ne permet pas de remettre en cause les effets de la publication des listes des bénéficiaires d’aides du FEAGA et du Feader effectuée par les autorités nationales, sur le fondement desdites dispositions, pendant la période antérieure à la date du prononcé du présent arrêt.

3)      L’article 18, paragraphe 2, second tiret, de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, doit être interprété en ce sens qu’il ne soumet pas le détaché à la protection des données à caractère personnel à une obligation de procéder à la tenue du registre prévue par cette disposition préalablement à la mise en œuvre d’un traitement de données à caractère personnel, tel que celui résultant des articles 42, point 8 ter, et 44 bis du règlement n° 1290/2005, tel que modifié par le règlement n° 1437/2007, ainsi que du règlement n° 259/2008.

4)      L’article 20 de la directive 95/46 doit être interprété en ce sens qu’il ne fait pas obligation aux États membres de soumettre aux contrôles préalables prévus par cette disposition la publication des informations résultant des articles 42, point 8 ter, et 44 bis du règlement n° 1290/2005, tel que modifié par le règlement n° 1437/2007, ainsi que du règlement n° 259/2008.

Conclusions de l'Avocat général

Arrêt rendu

Retour au sommaire

Belgique

Jurisprudence belge

C. const. Be., n°118/2020 (24 septembre 2020)

1. Le règlement général sur la protection des données est directement applicable aux traitements de données à caractère personnel en droit interne. Ainsi, les obligations qu’il impose au responsable du traitement et les droits qu’il confère à la personne concernée sont directement applicables aux traitements de données à caractère personnel par les bureaux d’aide juridique.

Il s’ensuit que la disposition attaquée, qui se borne à habiliter le Roi à autoriser les bureaux d’aide juridique à procéder à un traitement de données à caractère personnel déterminé et à en organiser les modalités, ne viole pas les articles 10, 11 et 22 de la Constitution, combinés avec les articles 5, 6, 9, 10, 13 et 32 du règlement général sur la protection des données, avec les articles 7, 8 et 52 de la Charte des droits fondamentaux de l’Union européenne et avec l’article 8 de la Convention européenne des droits de l’homme.

2. Lorsque le traitement de données à caractère personnel est susceptible d’engendrer un « risque élevé pour les droits et libertés des personnes physiques », le responsable du traitement doit effectuer, préalablement au traitement, une analyse d’impact des opérations de traitement envisagées sur la protection des données à caractère personnel, conformément à l’article 35 du règlement général sur la protection des données. Ensuite, en vertu de l’article 36 du même règlement, lorsque l’analyse d’impact indique que le traitement présenterait un risque élevé si le responsable du traitement ne prenait pas de mesures pour atténuer le risque, le responsable du traitement doit consulter l’autorité de contrôle préalablement au traitement.

Sans se prononcer sur la compétence de la Cour à connaître de griefs relatifs au processus ou aux modalités d’élaboration de la disposition attaquée, il y a lieu de constater que la partie requérante n’indique pas en quoi l’autorisation, donnée aux bureaux d’aide juridique, de demander des pièces justificatives à des tiers engendrerait un « risque élevé pour les droits et libertés des personnes physiques » au sens du règlement général sur la protection des données.

Arrêt rendu

C. const. Be., n°2/2021 (14 janvier 2021)

1. Suivant l’article 35.10 du RGPD, la réalisation d’une analyse d’impact générale dans le cadre de l’adoption d’une disposition législative relative à un traitement susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques est facultative mais que si, néanmoins, une telle analyse d’impact est effectuée, il n’y a en principe pas lieu d’effectuer une nouvelle analyse d’impact avant le traitement.

L’article 35 du RGPD ne s’oppose donc pas à la réalisation d’une analyse d’impact lors de l’élaboration des arrêtés d’exécution de la disposition attaquée.

Ce constat ne porte pas préjudice à l’obligation pour les États membres de consulter

« l’autorité de contrôle dans le cadre de l’élaboration d’une proposition de mesure législative devant être adoptée par un parlement national, ou d’une mesure réglementaire fondée sur une telle mesure législative, qui se rapporte au traitement », conformément à l’article 36, paragraphe 4, du RGPD, obligation à laquelle le législateur a déféré en l’espèce.

2. La disposition attaquée est pertinente en vue de la réalisation des objectifs poursuivis, dès lors que la conservation de l’image numérisée des empreintes digitales sur la carte d’identité est susceptible, d’une part, de réduire le risque de falsification des cartes d’identité et de faciliter la tâche des autorités chargées d’examiner, notamment aux frontières, l’authenticité de celles-ci et, d’autre part, de prévenir l’utilisation frauduleuse des cartes d’identité.

L’absence de fiabilité totale du procédé et l’impossibilité corrélative d’exclure complètement la non-détection de certains cas de fraude à la ressemblance ne conduisent pas à une conclusion différente.

En ce qu’elle prévoit le prélèvement de deux empreintes digitales et la conservation de l’image numérisée de celles-ci sur la carte d’identité, la disposition attaquée ne viole pas le droit au respect de la vie privée et le droit à la protection des données à caractère personnel, tels qu’ils sont garantis par les articles 1er à 4, 25 et 32 du RGPD.

3. Les instances habilitées à lire les empreintes digitales le sont uniquement dans le cadre de l’exercice de leurs fonctions, telles que celles-ci sont légalement décrites.

Il leur appartient de mettre en œuvre cette habilitation dans le respect des principes applicables en matière de protection des données à caractère personnel. Conformément à l’article 9, paragraphe 2, point g), du RGPD, il ne peut être procédé au traitement de données à caractère personnel sensibles que si ce traitement est nécessaire et proportionné aux motifs d’intérêt public important poursuivis, ce qui implique que la vérification des empreintes digitales ne doit intervenir qu’après vérification en priorité de l’image faciale et que si elle est « nécessaire pour confirmer sans aucun doute l’authenticité du document et l’identité du titulaire ».

La mise en œuvre de ces obligations relève de l’application de la loi, pour laquelle la Cour n’est pas compétente.

Pour le surplus, les parties requérantes n’expliquent pas en quoi, dans le cadre de l’exercice de leurs fonctions, les services de police pourraient lire l’image numérisée des empreintes digitales à d’autres fins que la vérification de l’authenticité de la carte d’identité ou de l’identité du titulaire.

Arrêt rendu

Retour au sommaire

France

Jurisprudence française

CE Fr., n°210412 (30 juin 2000)

a) La collecte des données individuelles concernant les cas de maladies visées à l'article L. 11 du code de la santé publique, en vue de leur transmission à l'autorité sanitaire, dont les modalités sont fixées par le décret du 6 mai 1999, constitue un traitement de données à caractère personnel au sens de la directive.

b) Le choix est laissé aux Etats membres de faire procéder à l'examen préalable des traitements qu'ils identifient comme présentant des risques particuliers, soit à la suite de leur notification à l'autorité de contrôle soit, plus tôt, lors de l'élaboration de la loi ou du règlement d'application qui définit la nature du traitement ainsi que les droits et garanties qui y sont attachés.

c) En prévoyant, aux quatrième et cinquième alinéas de l'article R. 11-3 au code de la santé publique, d'une part, "qu'à la demande du médecin destinataire du signalement, le déclarant est tenu de lui fournir toute information nécessaire à la mise en œuvre des mesures d'investigation et d'intervention, y compris l'identité et l'adresse du patient", d'autre part, que "ces informations peuvent être transmises à d'autres professionnels lorsque leur intervention est indispensable pour la mise en œuvre des mesures de prévention individuelle et collective", le gouvernement n'a pas excédé les limites de l'habilitation reçue du législateur, qui l'invitait au contraire, pour les maladies figurant au 1) de l'article L. 11, à concilier le principe de l'anonymat avec la nécessité de protéger la santé publique dans les cas où celle-ci requiert une intervention urgente. La règle qu'il a édictée, en la complétant au même article R. 11-3 de la précaution selon laquelle les informations ainsi communiquées ne sont conservées que "le temps nécessaire à l'intervention ou à l'investigation", est proportionnée à l'objectif poursuivi.

Arrêt rendu

Cass., n°04-80.048 (16 mars 2004)

Il résulte de l'arrêt attaqué et des pièces de la procédure que, pour les besoins d'une enquête préliminaire portant sur des faits de vols aggravés auxquels se seraient livrés des individus d'origine roumaine, les services de gendarmerie ont regroupé sous forme de tableaux des informations obtenues tant d'un officier d'état civil que d'un témoin, à partir desquels ils ont, dans un procès-verbal de synthèse, dégagé les liens existant entre des personnes, des véhicules et des domiciles ;

L'utilisation d'un appareillage informatique ne suffit pas, à elle seule, à caractériser un traitement automatisé au sens de l'article 5 de la loi "informatique et libertés", et que rien ne permet de retenir que les informations collectées aient fait l'objet d'un traitement automatisé, ni même qu'elles aient été conservées au-delà de leur édition sur support papier.

Arrêt rendu

Cass. Fr., n°03-86.604 (28 septembre 2004)

Justifie sa décision l'arrêt qui, pour condamner le président de l'Association spirituelle de l'église de scientologie d'Ile-de-France, pour entrave aux fonctions de la CNIL retient qu'il a envoyé volontairement à cet organisme des informations qu'il savait inexactes, dès lors que cette attitude démontre la volonté d'éluder le contrôle de cette commission.

Arrêt rendu

Cass. Fr., n°08-17-191 (8 décembre 2009)

Les mesures d'informations prévue par la loi du 6 janvier 1978 informatique et libertés et reprises par la délibération de la CNIL n° 2005-305 du 8 décembre 2005 portant autorisation unique pour assurer la protection des droits des personnes concernées, doivent être énoncées dans l'acte instituant la procédure d'alerte.

Arrêt rendu

Cass. Fr., n°10-81.748 (30 novembre 2011)

Le premier président retient, à bon droit, que les dispositions de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés sont inapplicables, dès lors que l'exécution d'une opération de visite et saisie, autorisée par le juge des libertés et de la détention, est réalisée sous son contrôle et son déroulement est susceptible d'un recours devant le premier président.

Arrêt rendu

Cass. Fr., n°12-81.533 (19 mars 2013)

1. Justifie sa décision la cour d'appel qui, saisie de la poursuite exercée pour refus de se soumettre à un prélèvement biologique contre une personne antérieurement condamnée du chef de destruction aggravée de biens destinés à l'utilité publique, rejette l'exception d'illégalité par elle présentée et visant l'article R. 53-10, II, du code de procédure pénale, dès lors, d'une part, qu'il résulte des dispositions de l'article 706-54, alinéa 1er, du code de procédure pénale que le fichier national automatisé des empreintes génétiques centralise les traces et empreintes génétiques de l'ensemble des personnes déclarées coupables des infractions mentionnées à l'article 706-55 dudit code, parmi lesquelles figurent les délits de destruction de biens destinés à l'utilité publique, et que, d'autre part, la décision que doit prendre le ministère public en application de l'article R. 53-10, II, du code de procédure pénale, de faire procéder à l'enregistrement, au même fichier, des résultats des analyses d'identification par empreintes génétiques des échantillons biologiques prélevés sur des personnes définitivement condamnées à raison des infractions susvisées, n'excède pas les limites de la délégation confiée au pouvoir réglementaire par le dernier alinéa dudit article 706-54.

2. Le prévenu ne saurait faire grief aux juges du fond l'ayant condamné pour refus de se soumettre à un prélèvement biologique d'avoir écarté son argumentation prise de la méconnaissance des prescriptions de l'article 6, 3°, de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés qui exigent que les données recueillies pour les fichiers soient adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs, dès lors que le fichier national automatisé des empreintes génétiques, qui a été institué par la loi et dont le fonctionnement a été fixé par le décret n° 2000-413 du 18 mai 2000 pris après avis de la CNIL, est régi par les dispositions de l'article 26 de la même loi.

3. Ne méconnaît pas les dispositions des articles 8 et 14 de la Convention européenne des droits de l'homme la cour d'appel qui déclare un prévenu coupable de refus de se soumettre à un prélèvement biologique, dès lors que s'il s'analyse en une ingérence dans l'exercice du droit au respect de la vie privée, l'enregistrement des empreintes génétiques constitue une mesure, non manifestement disproportionnée, qui, dans une société démocratique, est nécessaire notamment, à la sûreté publique et à la prévention des infractions pénales et qui s'applique, sans discrimination, à toutes les personnes condamnées pour les infractions mentionnées à l'article 706-55 du code de procédure pénale.

Arrêt rendu

CE Fr., n°358876 (15 octobre 2014)

1. En application des dispositions de l'article 28 de la loi n° 78-17 du 6 janvier 1978, un avis implicite favorable naît du silence gardé par la CNIL pendant les deux mois qui suivent la réception d'une saisine effectuée sur le fondement des articles 26 ou 27 de cette même loi. La loi a ainsi prévu que soient rendus des avis favorables implicites qui, par leur nature même, ne sauraient être motivés.

2. Un décret autorise la mise en œuvre, par le ministère de la défense, d'un traitement automatisé de données à caractère personnel qui a pour finalités, d'une part, la gestion administrative des demandes de pensions d'invalidité présentées en application du code des pensions militaires d'invalidité et des victimes de la guerre et, d'autre part, la préparation et le suivi de la liquidation des dossiers des pensions attribuées au titre du même code. Ce décret, eu égard à son objet et à ses finalités, est justifié par un intérêt public et échappe ainsi, en application du IV de l'article 8 de la loi n° 78-17 du 6 janvier 1978, à l'interdiction de collecte et de traitement des données à caractère personnel relatives à la santé prévue par le I du même article. Compte tenu des dispositions de l'article 5 de la loi n°55-356 du 3 avril 1955, qui autorisent la communication de renseignements médicaux ou de pièces médicales susceptibles de faciliter l'instruction d'une demande de pension aux services administratifs chargés de l'instruction des demandes, dont les agents sont eux-mêmes tenus au secret professionnel, le décret n'a par lui-même et ne pourrait d'ailleurs avoir légalement ni pour objet ni pour effet d'autoriser les services du ministère de la défense à accéder à des données personnelles relatives à la santé dans des conditions dérogeant aux exigences de protection du secret médical garanti par les dispositions de l'article L 1110-4 du code de la santé publique.

Arrêt rendu

CE Fr., n°381254 (18 décembre 2015)

Pour déterminer si des traitements doivent être soustraits du régime de la décision unique prévu par le II de l'article 25 de la loi n° 78-17 du 6 janvier 1978, il appartient à la CNIL d'apprécier la proportionnalité des données collectées à la finalité poursuivie par ces traitements et de rechercher si la mise en œuvre des traitements doit faire l'objet d'une autorisation spécifique, eu égard à la nature des données collectées, lui permettant d'exercer, au cas par cas, le contrôle prévu par l'article 6 de la loi.

Arrêt rendu

CE Fr., n°396669 (5 mai 2017)

Formation spécialisée ayant procédé à l'examen de l'acte réglementaire autorisant la création du fichier litigieux et des éléments fournis par le ministre et la Commission nationale de l'informatique et des libertés (CNIL). Cet examen a révélé que des données concernant le requérant figuraient illégalement dans le fichier litigieux. Par suite, il y a lieu d'ordonner l'effacement de ces données.

Arrêt rendu

CE Fr., n°406664 (6 avril 2018)

1. Les données susceptibles de figurer dans les traitements créés par le décret du 28 décembre 2016, qui sont, ainsi que le prévoit le 2° de l'article R. 332-15 du code du sport créé par ce dernier, relatives à des manquements aux dispositions des conditions générales de vente ou du règlement intérieur concernant la sécurité des manifestations sportives, sont collectées dans le seul but d'assurer la sécurité des manifestations sportives en permettant aux organisateurs de telles manifestations d'empêcher certaines personnes d'accéder à leurs enceintes sportives, en raison de comportements dangereux correspondant à des manquements à des obligations de nature contractuelle.

2. Il s'ensuit qu'alors même que certains faits ou comportements susceptibles d'être enregistrés dans ces traitements sont pénalement réprimés, les données ayant vocation à figurer dans les traitements en cause ne sont pas relatives à des infractions au sens de l'article 25 la loi n° 78-17 du 6 janvier 1978 dès lors qu'elles ne sont pas collectées dans le but d'établir l'existence ou de prévenir la commission d'infractions, et ne sauraient d'ailleurs être mobilisées au soutien d'une plainte déposée devant le juge pénal. Ces traitements ne relèvent par suite pas du régime d'autorisation prévu par cet article mais du régime de déclaration prévu par l'article 22 de la même loi.

Arrêt rendu

CE Fr., n°447513 (24 décembre 2021)

Il résulte de l'article 90 de la loi n° 78-17 du 6 janvier 1978, applicable aux traitements de données à caractère personnel relevant de la directive (UE) 2016/80 du 27 avril 2016, mis en œuvre à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces, que, lorsqu'est exigée une analyse d'impact préalablement à la création ou à la modification d'un tel traitement mis en œuvre pour le compte de l'Etat, il appartient à l'administration, à peine d'irrégularité de l'acte instituant ou modifiant ce traitement, de la réaliser et de la transmettre à la CNIL dans le cadre de la demande d'avis prévue à l'article 33 de la loi du 6 janvier 1978.

Arrêt rendu

Retour au sommaire