CONCLUSIONS DE L’AVOCAT GÉNÉRAL
M. M. Poiares Maduro
présentées le 3 avril 2008 (1)
Affaire C‑524/06
Heinz Huber
contre
Bundesrepublik Deutschland
[demande de décision préjudicielle formée par l’Oberverwaltungsgericht für das Land Nordrhein-Westfalen (Allemagne)]
«Protection des personnes physiques – Traitement des données à caractère personnel»
1. La présente affaire concerne le traitement de données à caractère personnel des citoyens de l’Union européenne qui ne sont pas ressortissants allemands et qui résident en Allemagne. La juridiction de renvoi pose la question de savoir si le traitement des données dans un registre central tenu par le Bundesamt für Migration und Flüchtlinge (l’Office fédéral de la migration et des étrangers), auquel d’autres autorités publiques ont également accès, est compatible avec l’interdiction des discriminations fondées sur la nationalité, le droit d’établissement et la directive 95/46/CE (2), dès lors qu’un tel registre n’existe pas pour les ressortissants allemands.
I – Contexte factuel
2. Le demandeur au principal, M. Heinz Huber, est un ressortissant autrichien. Depuis 1996, il vit et travaille en Allemagne. Les données personnelles des ressortissants étrangers vivant en Allemagne sont conservées dans un registre central tenu par l’Office fédéral de la migration et des étrangers. Les informations relatives à M. Huber conservées dans le registre comprennent ses données personnelles et son état civil, les indications relatives à son passeport, la date de sa première entrée sur le territoire allemand, son statut de résident, ses différents changements de domicile sur le territoire allemand ainsi que 1a référence de l’autorité responsable du registre et la désignation des services administratifs qui ont communiqué les données. Les données personnelles des ressortissants allemands sont conservées uniquement dans des registres locaux, municipaux, car, pour eux, il n’existe pas de registre central au niveau fédéral.
3. En 2002, se fondant sur les articles 12 CE et 49 CE et sur la directive 95/46, M. Huber a demandé que toutes les données le concernant figurant dans le registre central soient effacées. Sa demande a été rejetée par le Bundesverwaltungsamt (service d’administration fédérale) et une réclamation administrative introduite contre cette décision auprès du même service a également été rejetée. M. Huber a alors introduit une action devant le Verwaltungsgericht (tribunal administratif), lui soumettant la même demande. Cette juridiction a fait droit à la demande, estimant que la conservation des données concernant le demandeur n’était pas compatible avec le droit communautaire. L’Office fédéral de la migration et des étrangers a interjeté appel de ce jugement devant l’Oberverwaltungsgericht für das Land Nordrhein‑Westfalen (juridiction administrative supérieure du Land de Rhénanie du Nord‑Westphalie), qui a sursis à statuer et a demandé à la Cour de justice de statuer sur les trois questions préjudicielles suivantes:
«Le traitement général de données à caractère personnel de citoyens de l’Union non ressortissants dans le cadre d’un registre central des étrangers est-il compatible avec:
a) l’interdiction de toute discrimination liée à la nationalité des citoyens de l’Union qui exercent leur droit de circuler librement sur le territoire des États membres et d’y séjourner (article 12, paragraphe 1, en lien avec les articles 17 CE et 18, paragraphe 1, CE);
b) l’interdiction de toute restriction à la liberté d’établissement des ressortissants d’un État membre dans le territoire d’un autre État membre (article 43, paragraphe 1, CE);
c) l’exigence de nécessité prévue à l’article 7, sous e), de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO L 281 du 23 novembre 1995, p. 31)?»
II – Analyse
4. Les deux premières questions soumises à la Cour par la juridiction nationale concernent la compatibilité du système allemand de traitement des données de citoyens de l’Union non ressortissants avec le principe général de non‑discrimination énoncé à l’article 12, premier alinéa, CE (en lien, respectivement, avec les articles 17 CE et 18, paragraphe 1, CE, relatifs à la citoyenneté de l’Union et au droit de circuler librement sur le territoire des États membres et d’y séjourner) et, en second lieu, avec le droit d’établissement garanti par l’article 43 CE. Je partage le point de vue de la Commission selon lequel l’article 12 CE est la base légale la mieux appropriée aux fins de l’analyse de la question posée, dès lors que le demandeur a manifestement exercé le droit que lui confère le droit communautaire, garanti par l’article 18, paragraphe 1, CE, de se rendre dans un autre État membre. Je pense en effet que la question de la discrimination est au centre de la présente affaire. Si nous considérons que le système allemand n’est pas compatible avec l’interdiction des discriminations en raison de la nationalité inscrite à l’article 12 CE, liée au droit de circuler et de résider librement sur le territoire d’un État membre, ce système ne peut être défendu sans que se pose la question de savoir s’il affecte ou est susceptible d’affecter les droits d’établissement du demandeur. C’est pourquoi j’examinerai en premier lieu la question de la discrimination et je me pencherai ensuite sur l’exigence de nécessité au titre de la directive, qui fait l’objet de la troisième question (3).
A – Le système allemand est-il discriminatoire à l’égard des ressortissants de l’UE qui ne sont pas allemands?
Situations comparables
5. Les parties sont d’accord pour admettre l’existence de différences notables entre le traitement des données à caractère personnel des ressortissants allemands et celui des ressortissants d’autres États membres de l’UE. L’Allemagne ne possède pas de système centralisé d’enregistrement, de conservation et de traitement des données personnelles de ses ressortissants. Toutefois, il existe quelque 7 700 registres de population municipaux qui conservent les données personnelles de base des citoyens, mais qui ne sont pas reliés entre eux et qui ne sont pas susceptibles de faire l’objet d’une recherche centrale et simultanée. En revanche, les données personnelles des ressortissants étrangers, y compris celles des ressortissants d’États membres de l’UE, sont conservées non seulement dans les registres municipaux, mais aussi dans un registre central des ressortissants étrangers, tenu par l’Office fédéral de la migration et des étrangers. Par ailleurs, le registre central a une portée sensiblement plus étendue et comporte des informations supplémentaires qui ne sont pas enregistrées dans les registres municipaux, telles que les indications relatives au passeport, les dates d’entrée sur le territoire allemand et de sortie de ce territoire, le statut de résident, des indications sur une éventuelle demande d’obtention du statut de réfugié et son résultat, des indications relatives aux ordres d’expulsion et aux mesures d’exécution de ces ordres, des informations relatives à des activités criminelles soupçonnées de la personne concernée et des informations relatives aux condamnations pénales. Il existe donc une différence de traitement entre ressortissants nationaux et ressortissants non allemands de l’Union sous trois aspects: premièrement, les données personnelles des ressortissants étrangers sont enregistrées non seulement dans les registres municipaux, dans lesquels sont enregistrées également les données des ressortissants allemands, mais aussi dans le registre central des ressortissants étrangers; en deuxième lieu, le registre central contient plus d’informations sur les personnes concernées par les données que n’en contiennent les registres locaux et, en troisième lieu, les données relatives aux ressortissants étrangers sont aisément disponibles pour différentes autorités gouvernementales grâce au registre central, tandis qu’une telle possibilité n’existe pas en ce qui concerne les ressortissants allemands. Se pose la question de savoir si une telle différence de traitement est constitutive d’une discrimination prohibée.
6. Le gouvernement allemand nous rappelle que, pour qu’il y ait discrimination, il faut qu’il y ait deux situations comparables et que celles-ci soient traitées différemment. C’est ainsi que l’obligation, pour les États membres, de ne pas discriminer sur la base de l’origine nationale implique que les situations analogues, et elles seules, soient traitées de la même façon. Pour le gouvernement allemand, dès lors que le statut de résidence des ressortissants allemands diffère de celui des ressortissants étrangers, ces deux catégories de personnes ne se trouvent pas dans une situation analogue et, en conséquence, il ne saurait être question de discrimination. Ce point de vue est aussi celui du gouvernement danois, qui observe que les ressortissants d’un État ont toujours le droit d’entrer et de résider dans leur pays, lequel, en vertu de l’article 3 du quatrième protocole additionnel à la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, ne peut jamais les expulser ou les priver du droit d’entrer sur leur territoire, alors que les ressortissants non allemands de l’Union ne bénéficient des droits d’entrer et de résider qu’au titre du droit communautaire. Pour le gouvernement néerlandais, le critère le plus pertinent pour déterminer si les deux situations sont comparables est le traitement de données liées au droit d’établissement. Dès lors qu’un ressortissant allemand vivant en Allemagne et un ressortissant d’un autre État membre vivant en Allemagne ont des droits de résidence différents ─, le premier ayant un droit illimité fondé sur sa nationalité et le second ayant un droit limité conféré par le droit communautaire ─ leurs données personnelles peuvent être traitées différemment sans enfreindre le droit, pour des ressortissants étrangers, de ne pas faire l’objet de discriminations en raison de la nationalité. Pour l’essentiel, cet argument consiste à soutenir que, bien qu’il y ait deux systèmes différents de traitement des données en Allemagne qui s’appliquent en fonction de la nationalité de la personne dont les données sont concernées, il ne peut pas être question de discrimination en raison de la nationalité au motif que la situation des ressortissants allemands n’est pas comparable à celle des ressortissants de l’UE: les premiers ont un droit illimité de résider dans leur pays, tandis que les seconds ne possèdent pas un tel droit.
7. Je ne suis pas convaincu par la logique guidant ce raisonnement. Au départ de l’investigation, il me faut constater l’existence de deux systèmes de traitement de données, un pour les ressortissants allemands et un autre pour les autres ressortissants de l’Union. D’un point de vue purement descriptif, il sied de constater que les droits de résidence des ressortissants allemands et ceux des ressortissants étrangers ne sont pas les mêmes. Mais dire cela revient à constater l’évidence et à ne rien dire de la manière dont cette différence de statut de résidence devrait se répercuter sur la collecte et le traitement des données personnelles des ressortissants allemands et des ressortissants d’autres États membres. En d’autres termes, les gouvernements allemand, danois et néerlandais voudraient nous faire admettre que le fait que des ressortissants étrangers de l’UE ont des droits de résidence limités par rapport aux ressortissants nationaux règle le problème une fois pour toutes, alors que c’est le contraire qui est vrai: ce n’en est que le début. Pour constater l’absence de discrimination, il ne suffit pas de relever que les ressortissants allemands et les ressortissants étrangers ne se trouvent pas dans la même situation. Il est en outre nécessaire de démontrer que la différence de leurs situations respectives est susceptible de justifier la différence de traitement. En d’autres termes, la différence de traitement doit être liée et être proportionnée à la différence de leurs situations respectives. En accord avec la Commission des Communautés européennes, j’estime que, pour décider si un ressortissant allemand se trouve dans une situation comparable à celle d’un ressortissant de l’UE au regard de la collecte et du traitement de données personnelles effectués par les autorités allemandes, il faut examiner les objectifs poursuivis par cette collecte et ce traitement de données. Le gouvernement allemand soutient qu’un traitement systématique de données personnelles est nécessaire aux fins du droit de l’immigration et du statut de résidence, au nom du respect du droit en général et pour la collecte de données statistiques. J’examinerai successivement chacun de ces thèmes.
Statut de résidence et règles d’immigration
8. L’argument invoqué à titre primaire par le gouvernement allemand consiste à soutenir que le droit communautaire permet aux États membres d’imposer des limitations à l’entrée et à la résidence, sur leur territoire, des ressortissants d’autres États membres, qui peuvent même être expulsés. Pour être en mesure d’exercer cette compétence, les autorités allemandes ont besoin d’un mécanisme efficace de collecte des données à caractère personnel et de surveillance des mouvements des étrangers qui sont venus résider sur leur territoire; un tel mécanisme n’est pas nécessaire pour les Allemands, qui ont un droit illimité de résidence dans leur pays et qui ne peuvent jamais être expulsés. Le gouvernement allemand soulève deux arguments à l’appui de son point de vue. Tout d’abord, il soutient que, en donnant aux États membres la faculté d’exiger que les ressortissants étrangers de l’UE s’enregistrent auprès des autorités compétentes, la directive 2004/38/CE a implicitement autorisé la collecte et le traitement de leurs données (4). En second lieu, le gouvernement allemand s’appuie largement sur l’arrêt Watson et Belmann (5). Cette affaire concernait une loi italienne imposant à tous les étrangers l’obligation de se présenter à l’autorité de police locale dans les trois jours à compter de leur entrée sur le territoire italien et prévoyant une peine d’amende ou d’emprisonnement et une éventuelle expulsion pour les personnes qui n’observent pas cette formalité. La Cour a estimé que l’expulsion serait «certainement incompatible» (6) avec les dispositions du traité CE, tandis que toute autre sanction devait être proportionnée à la gravité de l’infraction et ne pas constituer une entrave à la libre circulation des personnes. Toutefois, la Cour a énoncé que, «attendu que le droit communautaire, en établissant la libre circulation des personnes et en conférant à toute personne relevant de son champ d’application le droit de trouver accès au territoire des États membres, aux fins voulues par le traité, n’a pas écarté la compétence des États membres en ce qui concerne les mesures destinées à assurer la connaissance exacte, par les autorités nationales, des mouvements de population affectant leur territoire» (7). Le gouvernement allemand soutient que, puisque les États membres ont la faculté d’adopter des mesures visant à connaître de manière précise les mouvements de population, il est manifeste qu’ils ont la faculté d’instaurer un registre contenant des informations relatives aux personnes qui entrent dans leur pays ou qui le quittent, même lorsque ce registre ne concerne que les ressortissants de l’UE.
9. Mais ni la directive 2004/38 ni l’arrêt Watson et Belmann ne confèrent aux États membres une compétence sans limites pour adopter des systèmes d’enregistrement et de contrôle des ressortissants d’autres États membres. Il est évident qu’une obligation d’enregistrement signifie nécessairement que certaines données personnelles de ressortissants de l’UE seront collectées, conservées et traitées. Or, la directive 2004/38 ne comporte pas de dispositions concernant la façon d’y procéder. C’est une compétence qui relève de chaque État membre, celui-ci étant tenu, toutefois, d’exercer ce pouvoir d’une manière qui soit compatible avec les obligations que lui impose le droit communautaire, qui incluent l’obligation de ne pas opérer de discriminations fondées sur l’origine nationale. C’est pourquoi le fait que le législateur communautaire ait implicitement admis la possibilité d’une collecte de données ne signifie pas qu’il autorise les États membres à instaurer tout système de collecte et de traitement des données qu’ils estiment approprié.
10. De la même façon, je pense que le gouvernement allemand interprète de façon trop extensive le passage de l’arrêt Watson et Belmann que je viens de citer. Cet arrêt ne fait autorité qu’en ce qu’il autorise les États membres à contrôler les mouvements de population. Cet arrêt n’institue pas un droit général habilitant les autorités nationales à exercer ce contrôle d’une façon, quelle qu’elle soit, qu’elles estiment appropriée ou commode et n’excuse certainement pas les États membres qui ne respecteraient pas les obligations qui leur incombent au titre du droit communautaire, et en particulier l’interdiction des discriminations en raison de la nationalité. Les autorités allemandes peuvent adopter des mesures destinées à contrôler les mouvements de population, mais de telles mesures doivent être compatibles avec le traité et avec toute autre disposition pertinente de droit communautaire.
11. C’est pourquoi il me faut examiner ces trois composantes du système allemand dont résulte une différence de traitement entre ressortissants nationaux et ressortissants de l’Union, et déterminer si elles sont justifiées au titre de moyens visant à faire respecter les règles en matière de résidence et d’immigration.
12. Manifestement, la mise des données relatives aux ressortissants de l’Union à la disposition non seulement des autorités compétentes en matière d’immigration, mais aussi de l’administration en général n’est justifiée par aucun impératif de mise en œuvre des règles en matière de résidence. Même si le système en cause est nécessaire pour permettre aux autorités compétentes en matière d’immigration d’exercer leurs fonctions, il n’en résulte pas moins que les données qui y sont conservées doivent être rendues disponibles pour d’autres autorités et agences, administratives et judiciaires. La décision de renvoi mentionne que les informations enregistrées dans le registre des ressortissants étrangers peuvent être utilisées non seulement par l’Office fédéral de la migration et des étrangers, mais aussi par de nombreuses autres autorités et agences publiques telles que la police, les services de sécurité, les parquets, les juridictions. Certaines de ces autorités peuvent en extraire des données en recourant à une procédure automatisée. L’accès à ces informations peut aussi être autorisé pour des organismes qui ne sont pas publics, des organismes philanthropiques, des autorités publiques d’autres États ainsi que des organisations internationales. Il est manifeste que le champ de la collecte et du traitement de données par l’intermédiaire du registre central des étrangers est très étendu et va au-delà des objectifs en matière d’immigration pour englober toutes les formes de rapports entre le particulier et l’État. Grâce au registre central, les différentes autorités allemandes sont en mesure d’extraire des données relatives au statut personnel des ressortissants de l’UE, de contrôler systématiquement et sans difficulté l’endroit où ceux-ci se trouvent et de se communiquer toutes les informations dont elles ont besoin pour exercer un tel contrôle. Le registre de l’Office fédéral de la migration et des étrangers est dès lors bien plus qu’un registre de l’immigration, c’est une base de données exhaustive qui permet aux autorités étatiques d’avoir à portée de la main les données personnelles des ressortissants de l’UE. Les ressortissants allemands sont traités de façon tout à fait différente, car un tel mécanisme de collecte de données n’existe pas en ce qui les concerne. Une agence administrative qui a besoin d’informations sur un ressortissant allemand doit entreprendre une recherche beaucoup plus lourde et compliquée, qui se fonde sur les registres municipaux, qui ne font pas l’objet d’une gestion commune, qu’il n’est pas possible d’examiner simultanément et qui contiennent moins d’informations que le registre des ressortissants étrangers.
13. Pour la même raison, je ne considère pas que le nombre de données enregistrées dans le registre central des étrangers puisse être justifié. La directive 2004/38 n’autorise l’enregistrement des ressortissants de l’Union que dans le but, exclusif, d’établir le statut de résidence et les droits d’une personne. L’article 8 de la directive 2004/38, qui prévoit, en son paragraphe 1, la possibilité pour les États d’exiger l’enregistrement, définit, en son paragraphe 3, les informations et les documents que les autorités nationales peuvent réclamer pour délivrer une attestation d’enregistrement. Il peut être demandé aux ressortissants de l’Union de prouver leur identité en présentant leur passeport ou leur carte d’identité et de fournir des documents relatifs à leur emploi ou à leurs études dans le pays d’accueil (s’ils viennent en tant qu’étudiants ou travailleurs) ou des preuves de leurs ressources financières; cette liste est exhaustive et non indicative. Dès lors, la collecte, la conservation et le traitement de plus de données que celles autorisées par l’article 8, paragraphe 3, de la directive 2004/38, comme le fait l’Allemagne à l’heure actuelle, ne sauraient être justifiés par le besoin de faire respecter les règles en matière de résidence et d’immigration.
14. Le troisième élément qui, dans le système allemand, conduit à une différence de traitement entre ressortissants allemands et ressortissants de l’Union, soit l’existence d’un registre central pour ces derniers au regard de registre locaux pour les premiers, soulève une question plus difficile à appréhender: le traitement systématique et centralisé des données à caractère personnel des ressortissants de l’Union est-il nécessaire pour assurer le respect des dispositions de droit communautaire en matière d’entrée et de résidence?
15. Il me faut relever dès le départ que l’existence de deux systèmes différents de traitement de données projette une ombre désobligeante sur les ressortissants de l’Union que le gouvernement allemand contrôle beaucoup plus strictement et systématiquement qu’il ne contrôle les ressortissants allemands. Alors que l’idée sous-tendant les dispositions de droit communautaire relatives à la citoyenneté et au droit d’accès et de résidence implique que les particuliers doivent pouvoir intégrer la société de l’État membre d’accueil et y jouir du même traitement que les ressortissants nationaux, le système en cause perpétue la distinction entre «nous» ─ les autochtones ─ et «eux» ─ les étrangers. Un tel système peut renforcer le préjugé nourri par des individus ou par certains segments de la société à l’encontre des étrangers et équivaut à stigmatiser les ressortissants de l’Union sur la seule considération de leur origine nationale. Il convient aussi de relever que, pour des raisons historiques, dans certains États européens, le contrôle systématique des personnes est associé à des régimes non démocratiques et totalitaires, ce qui explique en partie la raison pour laquelle, en Europe, tant de personnes trouvent ces systèmes particulièrement critiquables. D’autre part, il existe des États européens dans lesquels le traitement des données existe sans soulever de controverse sociale particulière. En l’espèce, la question est rendue plus sensible par le fait que ce sont uniquement les données relatives aux ressortissants d’autres États membres qui font l’objet d’un tel traitement centralisé. Dans le même temps, on pourrait y voir une conséquence de la différence du statut de résidence des ressortissants d’autres États membres en Allemagne.
16. À mon avis, le critère approprié en l’occurrence est un critère d’efficacité et c’est à la juridiction nationale qu’il appartient de l’appliquer. La question qu’elle doit se poser consiste à s’interroger quant à l’existence d’autres modes de traitement des données qui permettraient aux autorités en charge de l’immigration d’assurer le respect des règles du statut de résidence. Si la juridiction de renvoi répond à cette question par l’affirmative, la conservation et le traitement centralisés des données relatives aux ressortissants de l’Union doivent être déclarés illégaux. Il n’est pas nécessaire que le système substitué soit le plus efficace ou le plus approprié; il suffit qu’il soit en mesure de fonctionner de manière adéquate. En d’autres termes, même si le registre central est plus efficace, plus commode ou plus facile à utiliser que les solutions de substitution (tels des registres décentralisés, locaux), ce substitut doit être préféré s’il permet de fournir les données relatives au statut de résidence des ressortissants de l’Union.
17. Pour évaluer l’efficacité des différents systèmes d’enregistrement, la juridiction nationale doit prendre en compte la jurisprudence de la Cour relative au droit d’entrée et de résidence sur le territoire d’un État membre, car ce sont les arrêts de la Cour qui définissent la portée et les limites de ce système. C’est ainsi, par exemple, qu’il est désormais établi, depuis des années, qu’un État membre ne peut jamais faire obstacle de façon discrétionnaire à l’accès à son territoire d’un ressortissant d’un autre État membre ou l’expulser: seul un comportement personnel qui crée une menace réelle et suffisamment grave pour la société peut justifier une interdiction d’entrée ou un ordre d’expulsion (8). En outre, ce pouvoir doit être interprété strictement en ce qu’il constitue une dérogation au principe fondamental de libre circulation dans l’Union (9). La Cour a récemment affirmé ces principes dans les arrêts Commission/Espagne (10) et Commission/Allemagne (11) et le législateur communautaire leur a conféré une reconnaissance législative dans la directive 2004/38 (12) .
18. Bien entendu, tout débat ayant pour objet le droit de résider dans un État membre et ses limites doit s’inscrire dans le contexte du concept de citoyenneté européenne. Depuis le traité sur l’Union européenne, il n’est plus possible d’évoquer le statut des ressortissants de l’UE et leurs droits d’accéder à un État membre et d’y résider comme on le faisait antérieurement. Dans l’arrêt Baumbast et R, la Cour a commenté la règle dans les termes suivants: «[…] le statut de citoyen de l’Union a été introduit dans le traité CE et un droit a été reconnu, pour tout citoyen, de circuler et de séjourner librement sur le territoire des États membres par l’article 18, paragraphe 1, CE. En vertu de l’article 17, paragraphe 1, CE, est citoyen de l’Union toute personne ayant la nationalité d’un État membre. Le statut de citoyen de l’Union a vocation à être le statut fondamental des ressortissants des États membres» (termes que je souligne) (13). Comme la Cour l’a énoncé dans l’arrêt Grzelczyk, dans les litiges posant des problèmes de discrimination, il faut partir du principe qu’il convient de permettre aux ressortissants des États membres d’obtenir, sans préjudice des exceptions expressément prévues à cet égard, le même traitement juridique (14). L’interdiction des discriminations fondées sur la nationalité n’est plus simplement un instrument au service de la liberté de circulation; elle est au cœur du concept de citoyenneté européenne au point d’imposer aux États membres l’obligation de traiter les ressortissants de l’Union comme ressortissants nationaux. Bien que l’Union ne vise pas à substituer un «peuple européen» aux peuples nationaux, elle exige que les États membres ne pensent plus et n’agissent plus exclusivement en termes d’intérêts optimaux de leurs citoyens, mais aussi, dans la mesure du possible, en termes d’intérêts de tous les citoyens de l’UE.
19. Lorsque la Cour qualifie le statut de citoyen de l’Union de «statut fondamental» des ressortissants des États membres, elle ne fait pas une déclaration politique; elle se réfère à la citoyenneté de l’Union comme à un concept juridique qui s’accompagne de droits spécifiques pour les citoyens de l’Union. Le principal de ces droits est le droit d’entrer et de vivre dans un autre État membre. La directive 2004/38 reflète cette nouvelle règle dans son onzième considérant, qui énonce que «le droit fondamental et personnel de séjour dans un autre État membre est conféré directement aux citoyens de l’Union par le traité et ne dépend pas de l’accomplissement de procédures administratives».
20. À la lumière de l’analyse qui précède, je pense que deux des composantes du système de traitement de données examiné, à savoir son accessibilité pour des autorités autres que l’Office fédéral de la migration et des étrangers et l’inclusion de différents fragments d’informations personnelles allant au-delà de ceux autorisés par l’article 8, paragraphe 3, de la directive 2004/38 ne sauraient être justifiées par la nécessité d’assurer le respect des dispositions de la législation en matière d’immigration ou de statut de résidence. La nature centralisée du système ne peut se justifier que si la juridiction nationale conclut, après avoir pris en compte la jurisprudence de la Cour relative au droit d’accès et de résidence dans un État membre, qu’un registre central est le seul moyen réel d’assurer le respect de la législation en matière d’immigration ou de statut de résidence.
Le principe général de respect de la légalité et les données statistiques
21. Le gouvernement allemand soutient que, outre les questions relatives au statut de résidence et aux règles en matière d’immigration, il existe aussi des considérations générales inhérentes au souci d’assurer le respect de la légalité qui justifient la différence de traitement entre ressortissants allemands et ressortissants d’autres États membres. En effet, le respect de la légalité et la lutte contre la criminalité sont en principe susceptibles de constituer un motif licite de politique publique éligible pour des droits conférés par le droit communautaire. Mais ce que les États membres ne peuvent pas faire, c’est invoquer un tel motif de façon sélective, c’est-à-dire l’invoquer à l’encontre de ressortissants de l’UE vivant sur leur territoire, mais pas à l’encontre de leurs propres ressortissants. Si l’existence d’un registre central est si importante pour la garantie d’une sécurité générale réelle, ce registre doit évidemment concerner toutes les personnes vivant sur un territoire déterminé, indépendamment de leur nationalité. Les autorités nationales ne peuvent pas prétendre que la lutte contre la criminalité exige le traitement systématique des données personnelles des ressortissants de l’UE, mais pas de celles relatives aux ressortissants nationaux. Cela équivaudrait à soutenir que les ressortissants de l’UE représentent une menace plus grave pour la sécurité et sont davantage que les ressortissant nationaux susceptibles de commettre des délits, ce qui, comme le relève la Commission, est totalement inacceptable.
22. Se pose, évidemment, la question de la commodité. Avoir une base de données exhaustive contenant les données personnelles de tout étranger au pays permet à la police et aux services de sécurité de contrôler les mouvements et le comportement d’un individu. Être obligés d’examiner des milliers de registres locaux pour obtenir l’information qu’ils peuvent souhaiter comme ils doivent le faire s’agissant de ressortissants allemands est beaucoup plus compliqué et exige beaucoup plus de temps. Toutefois, tout d’abord, des raisons de commodité administrative ne peuvent jamais constituer un motif justifiant un traitement discriminatoire fondé en raison de la nationalité ou toute autre restriction des droits conférés par le droit communautaire (15); en second lieu, s’il faut à la police une méthode commode de surveillance, il est clair qu’il faut que ce soit une et une seule méthode, la même pour les Allemands et pour les étrangers.
23. Enfin, le gouvernement allemand soutient que le registre central des ressortissants de l’UE est nécessaire pour collecter des informations statistiques relatives aux mouvements de migration et de population en Europe. Il cite, à cet effet, le règlement (CE) n° 862/2007 du Parlement européen et du Conseil, du 11 juillet 2007, relatif aux statistiques communautaires sur la migration et la protection internationale, et abrogeant le règlement n° 311/76 du Conseil relatif à l’établissement de statistiques concernant les travailleurs étrangers (16). Or, le règlement n’exige ni n’autorise l’établissement d’une base de données contenant les données à caractère personnel des ressortissants de l’UE qui ont exercé leurs droits de liberté de circulation. Par définition, les statistiques sont anonymes et impersonnelles. Tout ce que les autorités allemandes ont à faire pour respecter leurs obligations au titre du règlement est de rassembler ces informations anonymes en matière de migration.
24. C’est pourquoi nous pensons que la Cour devrait répondre à la question de savoir si le système allemand constitue une discrimination fondée sur la nationalité dans les termes suivants:
Un système de conservation et de traitement de données tel que celui en cause dans la procédure au principal n’est pas compatible avec l’interdiction des discriminations fondées sur la nationalité, dès lors qu’il inclut des données qui vont au-delà de celles spécifiées à l’article 8, paragraphe 3, de la directive 2004/38 et qu’il est accessible à des autorités publiques autres que les autorités en charge de l’immigration. Le traitement centralisé de données personnelles qui ne s’applique qu’aux ressortissants des autres États membres ne sera pas non plus compatible avec l’interdiction des discriminations fondées sur la nationalité s’il existe d’autres moyens efficaces d’assurer le respect des règles relatives au statut d’immigration et de résidence, ce qu’il appartient à la juridiction nationale de déterminer.
B – L’exigence de nécessité de la directive
25. Aux fins de la présente, la disposition pertinente est celle de l’article 7, sous e), de la directive, qui dispose: «Les États membres prévoient que le traitement de données à caractère personnel ne peut être effectué que si […] il est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique, dont est investi le responsable du traitement ou le tiers auquel les données sont communiquées». Dès lors, la question qu’il me revient de soulever consiste à savoir si cette forme particulière de traitement centralisé est nécessaire à la mise en œuvre d’un objectif d’intérêt public fondé.
26. Dans ses observations écrites adressées à la Cour, le gouvernement allemand estime que l’intérêt public en cause en l’occurrence est l’exercice, par les États membres, de leur compétence visant à assurer le respect du droit communautaire en ce qui concerne l’accès et la résidence de ressortissants de l’Union sur leur territoire. Pour le gouvernement allemand, le système de traitement des données en vigueur à l’heure actuelle est nécessaire à l’exécution de cette mission dès lors qu’il n’existe pas d’autres mesures, moins contraignantes, qui pourraient permettre aux autorités nationales de faire respecter le droit de l’immigration.
27. Le concept de nécessité a une longue histoire en droit communautaire et il est bien établi en tant que partie intégrante du critère de proportionnalité. Il signifie que l’autorité qui adopte une mesure qui porte atteinte à un droit fondamental en vue de réaliser un objectif justifié doit démontrer que cette mesure est la mesure la moins restrictive permettant d’atteindre cet objectif (17). Par ailleurs, si le traitement de données personnelles peut être susceptible d’enfreindre le droit fondamental au respect de la vie privée, l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales (ci-après la «CEDH»), qui garantit le respect de la vie privée et familiale, devient lui aussi pertinent. Comme la Cour l’a énoncé dans l’arrêt Österreichischer Rundfunk e.a., si une mesure nationale est incompatible avec l’article 8 de la CEDH, cette mesure ne peut pas satisfaire à l’exigence de l’article 7, sous e), de la directive (18). L’article 8, paragraphe 2, de la CEDH prévoit qu’une ingérence dans la vie privée peut être justifiée si elle vise l’un des objectifs qui y sont énumérés et «dans une société démocratique, est nécessaire» à l’un de ces objectifs. La Cour européenne des droits de l’homme a jugé que la notion de «nécessité» implique qu’un «besoin social impérieux» soit en cause (19).
28. Il résulte de ces considérations que, eu égard aux faits de l’espèce, la réponse à la troisième question devrait dépendre d’une analyse en substance semblable à celle opérée en vue de répondre à la question relative à l’existence d’une discrimination en raison de la nationalité. J’ai déjà exposé que le système de traitement de données en cause en l’espèce comporte trois composantes critiquables. S’agissant des deux premières, la réponse à la question de leur nécessité au sens de la directive est la même que la conclusion à laquelle nous avons abouti en ce qui concerne le principe de non-discrimination sur la base de la nationalité: elles ne sont pas nécessaires, à tout le moins en vue d’assurer le respect des règles relatives au droit d’accès et de résidence de ressortissants étrangers de l’UE, qui constitue l’intérêt public revendiqué par le gouvernement allemand au titre de l’article 7, sous e), de la directive. La seule exigence liée à l’exécution de cette mission impose à l’autorité compétente, soit l’Office fédéral de la migration et des étrangers, de traiter les données personnelles des ressortissants de l’Union. La transmission (20) des données à d’autres autorités publiques ne répond pas à l’exigence de nécessité imposée par la directive. Il en va de même en ce qui concerne le nombre de données collectées dans le registre central. Les seules informations qui peuvent être légitimement conservées et traitées sont celles qui sont essentielles pour assurer le respect des dispositions relatives au statut d’immigration et de résidence. Pour les ressortissants de l’Union, ces informations sont énumérées de façon exhaustive à l’article 8, paragraphe 3, de la directive 2004/38; tout ce qui va au-delà ne peut pas être considéré comme nécessaire aux fins du droit de l’immigration. Dès lors, l’inclusion de données supplémentaires dans le registre central des étrangers ne répond pas à l’exigence de nécessité au titre de la directive 95/46.
29. Reste la troisième composante du système allemand, sa nature centralisée. Un tel mode de traitement de données est-il compatible avec l’exigence de nécessité au titre de la directive? De nouveau, la réponse ne s’écarte pas de celle donnée à la première question. J’estime que c’est à la juridiction nationale qu’il appartient de se prononcer sur ce point, sur la base des éléments évoqués précédemment (21) . Si le gouvernement allemand dispose d’une certaine marge d’appréciation pour décider de la manière dont il poursuit ses objectifs légitimes, l’exigence de nécessité au titre de la directive implique qu’il soit tenu de démontrer qu’il est impossible de faire respecter les dispositions de droit communautaire relatives à l’accès et à la résidence en Allemagne de ressortissants d’autres États membres sauf à traiter centralement les données qui les concernent. Un argument tel que celui consistant à prétendre que le traitement centralisé est plus commode, plus aisé ou plus rapide que les formes de traitement de substitution ne devrait pas être suffisant pour permettre au gouvernement allemand de répondre au critère de nécessité.
30. La question serait différente et notablement plus complexe et la réponse potentiellement plus difficile à donner si la juridiction nationale demandait à la Cour de se prononcer sur la compatibilité avec les exigences de l’article 7, sous e), de la directive d’un système centralisé de traitement des données applicable à toutes les personnes résidant en Allemagne; la nécessité d’un tel système devrait être soutenue en se fondant sur des intérêts publics autres que ceux inhérents à la politique d’immigration. Si la directive vise à faire disparaître les obstacles aux flux de données à caractère personnel susceptibles d’affecter les activités économiques, elle permet aussi d’atteindre un niveau élevé de protection des données dans la Communauté. Cette préoccupation de protection des données et de la vie privée n’est pas accessoire au regard de l’objectif visant à rendre plus facile la circulation des données; elle existe parallèlement à cet objectif et fonctionne comme la base sur laquelle tout traitement de données licite prend effet. En d’autres termes, dans le contexte de la directive, la protection des données n’est pas un simple accessoire de l’activité économique, qui peut être rendue plus facile par le traitement des données: elle en fait partie intégrante, ainsi que l’expriment l’intitulé de la directive («relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données»), ses deuxième, dixième, onzième et douzième considérants et, bien entendu, ses nombreuses dispositions imposant des obligations bien déterminées aux autorités en charge du contrôle des données. En outre, le droit à la vie privée, qui est essentiellement au cœur des affaires de protection des données, est protégé par l’article 7 de la charte des droits fondamentaux de l’Union européenne. En toute hypothèse, il n’est ni nécessaire ni opportun de formuler cette question hypothétique dans le contexte de la présente affaire.
31. En conséquence, j’estime que la Cour devrait répondre à la troisième question dans les termes suivants:
Un système de conservation et de traitement de données tel que celui en cause dans le litige au principal n’est pas compatible avec l’exigence de nécessité prévue à l’article 7, sous e), de la directive dans la mesure où il inclut des données allant au-delà de ce qui est spécifié à l’article 8, paragraphe 3, de la directive 2004/38 et dans la mesure où il est accessible à d’autres autorités que les autorités en charge de l’immigration. Le traitement central des données à caractère personnel qui ne s’applique qu’aux ressortissants d’autres États membres sera lui aussi incompatible avec l’exigence de nécessité prévue à l’article 7, sous e), de la directive, sauf à pouvoir démontrer qu’il n’existe aucun autre moyen d’assurer le respect des règles en matière de statut d’immigration et de résidence, ce qu’il appartient à la juridiction nationale d’apprécier.
III – Conclusion
32. Pour ces raisons, je propose à la Cour de donner les réponses suivantes aux questions déférées par l’Oberverwaltungsgericht für das Land Nordrhein‑Westfalen:
«1) Un système de conservation et de traitement de données tel que celui en cause dans la procédure au principal n’est pas compatible avec l’interdiction des discriminations fondées sur la nationalité, dès lors qu’il inclut des données qui vont au-delà de celles spécifiées à l’article 8, paragraphe 3, de la directive 2004/38/CE du Parlement européen et du Conseil, du 29 avril 2004, relative au droit des citoyens de l’Union et des membres de leurs familles de circuler et de séjourner librement sur le territoire des États membres, modifiant le règlement (CEE) n° 1612/68 et abrogeant les directives 64/221/CEE, 68/360/CEE, 72/194/CEE, 73/148/CEE, 75/34/CEE, 75/35/CEE, 90/364/CEE, 90/65/CEE et 93/96/CEE, et qu’il est accessible à des autorités publiques autres que les autorités en charge de l’immigration. Le traitement centralisé de données personnelles qui ne s’applique qu’aux ressortissants des autres États membres ne sera pas non plus compatible avec l’interdiction des discriminations fondées sur la nationalité s’il existe d’autres moyens efficaces d’assurer le respect des règles relatives au statut d’immigration et de résidence, ce qu’il appartient à la juridiction nationale de déterminer.
2) Un système de conservation et de traitement de données tel que celui en cause dans le litige au principal n’est pas compatible avec l’exigence de nécessité prévue à l’article 7, sous e), de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, dans la mesure où il inclut des données allant au-delà de ce qui est spécifié à l’article 8, paragraphe 3, de la directive 2004/38 et dans la mesure où il est accessible à d’autres autorités que les autorités en charge de l’immigration. Le traitement central des données à caractère personnel qui ne s’applique qu’aux ressortissants d’autres États membres sera lui aussi incompatible avec l’exigence de nécessité prévue à l’article 7, sous e), de la directive 95/46, sauf à pouvoir démontrer qu’il n’existe aucun autre moyen d’assurer le respect des règles en matière de statut d’immigration et de résidence, ce qu’il appartient à la juridiction nationale d’apprécier.»