ARRÊT DE LA COUR (grande chambre)
16 décembre 2008 (*)
«Protection des données à caractère personnel – Citoyenneté européenne – Principe de non-discrimination en raison de la nationalité – Directive 95/46/CE – Notion de ‘nécessité’ – Traitement général de données à caractère personnel relatives à des citoyens de l’Union ressortissants d’un autre État membre – Registre central des étrangers»
Dans l’affaire C‑524/06,
ayant pour objet une demande de décision préjudicielle au titre de l’article 234 CE, introduite par l’Oberverwaltungsgericht für das Land Nordrhein-Westfalen (Allemagne), par décision du 15 décembre 2006, parvenue à la Cour le 28 décembre 2006, dans la procédure
Heinz Huber
contre
Bundesrepublik Deutschland,
LA COUR (grande chambre),
composée de M. V. Skouris, président, MM. P. Jann, C. W. A. Timmermans et K. Lenaerts, présidents de chambre, MM. P. Kūris, G. Arestis, U. Lõhmus, E. Levits (rapporteur) et L. Bay Larsen, juges,
avocat général: M. M. Poiares Maduro,
greffier: M. B. Fülöp, administrateur,
vu la procédure écrite et à la suite de l’audience du 8 janvier 2008,
considérant les observations présentées:
– pour M. Huber, par Me A. Widmann, Rechtsanwalt,
– pour le gouvernement allemand, par M. M. Lumma et Mme C. Schulze-Bahr, en qualité d’agents, assistés de M. K. Hailbronner, professeur d’université,
– pour le gouvernement belge, par Mme L. Van den Broeck, en qualité d’agent,
– pour le gouvernement danois, par Mme B. Weis Fogh, en qualité d’agent,
– pour le gouvernement hellénique, par Mme E.-M. Mamouna et M. K. Boskovits, en qualité d’agents,
– pour le gouvernement italien, par M. I. M. Braguglia, en qualité d’agent, assisté de Mme W. Ferrante, avvocato dello Stato,
– pour le gouvernement néerlandais, par Mmes H. G. Sevenster, C. M. Wissels et C. ten Dam, en qualité d’agents,
– pour le gouvernement finlandais, par M. J. Heliskoski, en qualité d’agent,
– pour le gouvernement du Royaume-Uni, par Mme E. O’Neill, en qualité d’agent, assistée de Mme J. Stratford, barrister,
– pour la Commission des Communautés européennes, par MM. C. Docksey et C. Ladenburger, en qualité d’agents,
ayant entendu l’avocat général en ses conclusions à l’audience du 3 avril 2008,
rend le présent
Arrêt
1 La demande de décision préjudicielle porte sur l’interprétation de l’article 12, paragraphe 1, CE, lu en combinaison avec les articles 17 CE et 18 CE, de l’article 43, paragraphe 1, CE et de l’article 7, sous e), de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO L 281, p. 31).
2 Cette demande a été présentée dans le cadre d’un litige opposant M. Huber, ressortissant autrichien résidant en Allemagne, à la Bundesrepublik Deutschland, représentée par le Bundesamt für Migration und Flüchtlinge (Office fédéral de la migration et des réfugiés, ci-après le «Bundesamt»), au sujet de la demande de M. Huber visant à la radiation des données qui le concernent dans le registre central des étrangers (Ausländerzentralregister, ci-après l’«AZR»).
Le cadre juridique
La réglementation communautaire
3 Le huitième considérant de la directive 95/46 énonce:
«[C]onsidérant que, pour éliminer les obstacles à la circulation des données à caractère personnel, le niveau de protection des droits et libertés des personnes à l’égard du traitement de ces données doit être équivalent dans tous les États membres; […]»
4 Le dixième considérant de cette directive ajoute:
«[…] le rapprochement [des législations nationales relatives au traitement des données à caractère personnel] ne doit pas conduire à affaiblir la protection qu’elles assurent mais doit, au contraire, avoir pour objectif de garantir un niveau élevé de protection dans la Communauté».
5 L’article 1er de ladite directive, intitulé «Objet de la directive», prévoit en son paragraphe 1:
«Les États membres assurent, conformément à la présente directive, la protection des libertés et droits fondamentaux des personnes physiques, notamment de leur vie privée, à l’égard du traitement des données à caractère personnel.»
6 L’article 2 de cette même directive contient notamment les définitions suivantes:
«[…]
a) ‘données à caractère personnel’: toute information concernant une personne physique identifiée ou identifiable (personne concernée); est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d’identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale;
b) ‘traitement de données à caractère personnel’ (traitement): toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction;
[…]»
7 Le champ d’application de la directive 95/46 est défini à son article 3 en ces termes:
«1. La présente directive s’applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu’au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier.
2. La présente directive ne s’applique pas au traitement de données à caractère personnel:
– mis en œuvre pour l’exercice d’activités qui ne relèvent pas du champ d’application du droit communautaire, telles que celles prévues aux titres V et VI du traité sur l’Union européenne, et, en tout état de cause, aux traitements ayant pour objet la sécurité publique, la défense, la sûreté de l’État (y compris le bien-être économique de l’État lorsque ces traitements sont liés à des questions de sûreté de l’État) et les activités de l’État relatives à des domaines du droit pénal,
– effectué par une personne physique pour l’exercice d’activités exclusivement personnelles ou domestiques.»
8 L’article 7, sous e), de ladite directive dispose:
«Les États membres prévoient que le traitement de données à caractère personnel ne peut être effectué que si:
[…]
e) il est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique, dont est investi le responsable du traitement ou le tiers auquel les données sont communiquées
[…]»
9 Aux termes de l’article 4 de la directive 68/360/CEE du Conseil, du 15 octobre 1968, relative à la suppression des restrictions au déplacement et au séjour des travailleurs des États membres et de leur famille à l’intérieur de la Communauté (JO L 257, p. 13):
«1. Les États membres reconnaissent le droit de séjour sur leur territoire aux personnes visées à l’article 1er qui sont en mesure de présenter les documents énumérés au paragraphe 3.
2. Le droit de séjour est constaté par la délivrance d’un document dénommé ‘carte de séjour de ressortissant d’un État membre de la C.E.E.’. […]
3. Pour la délivrance de la carte de séjour de ressortissant d’un État membre de la C.E.E., les États membres ne peuvent demander que la présentation des documents ci-après énumérés:
– au travailleur:
a) le document sous le couvert duquel il a pénétré sur leur territoire;
b) une déclaration d’engagement de l’employeur ou une attestation de travail;
– aux membres de la famille:
c) le document sous le couvert duquel ils ont pénétré sur le territoire;
d) un document délivré par l’autorité compétente de l’État d’origine ou de provenance prouvant leur lien de parenté;
e) dans les cas visés à l’article 10 paragraphes 1 et 2 du règlement (CEE) n° 1612/68 [du Conseil, du 15 octobre 1968, relatif à la libre circulation des travailleurs à l’intérieur de la Communauté (JO L 257, p. 2)], un document délivré par l’autorité compétente de l’État d’origine ou de provenance attestant qu’ils sont à la charge du travailleur ou qu’ils vivent sous son toit dans ce pays.
[…]»
10 L’article 10 de la directive 68/360 prévoit:
«Les États membres ne peuvent déroger aux dispositions de la présente directive que pour des raisons d’ordre public, de sécurité publique ou de santé publique.»
11 Aux termes de l’article 4, paragraphe 1, de la directive 73/148/CEE du Conseil, du 21 mai 1973, relative à la suppression des restrictions au déplacement et au séjour des ressortissants des États membres à l’intérieur de la Communauté en matière d’établissement et de prestation de services (JO L 172, p. 14):
«Chaque État membre reconnaît un droit de séjour permanent aux ressortissants des autres États membres qui s’établissent sur son territoire en vue d’y exercer une activité non salariée lorsque les restrictions afférentes à cette activité ont été supprimées en vertu du traité.
Le droit de séjour est constaté par la délivrance d’un document dénommé ‘carte de séjour de ressortissant d’un État membre des Communautés européennes’. Ce document a une durée de validité de cinq ans au moins à dater de sa délivrance; il est automatiquement renouvelable.
[…]»
12 L’article 6 de la directive 73/148 énonce:
«Pour la délivrance de la carte et du titre de séjour, l’État membre ne peut demander au requérant que:
a) de présenter le document sous le couvert duquel il a pénétré sur son territoire;
b) de fournir la preuve qu’il entre dans l’une des catégories visées aux articles 1er et 4.»
13 L’article 8 de cette directive reprend la dérogation prévue à l’article 10 de la directive 68/360.
14 Le 29 avril 2004, le Parlement européen et le Conseil de l’Union européenne ont adopté la directive 2004/38/CE, relative au droit des citoyens de l’Union et des membres de leurs familles de circuler et de séjourner librement sur le territoire des États membres, modifiant le règlement n° 1612/68 et abrogeant les directives 64/221/CEE, 68/360, 72/194/CEE, 73/148, 75/34/CEE, 75/35/CEE, 90/364/CEE, 90/365/CEE et 93/96/CEE (JO L 158, p. 77, et rectificatif JO 2004, L 229, p. 35), dont la transposition devait être effective pour le 30 avril 2006. L’article 5 de cette directive dispose:
«1. Sans préjudice des dispositions concernant les documents de voyage, applicables aux contrôles aux frontières nationales, les États membres admettent sur leur territoire le citoyen de l’Union muni d’une carte d’identité ou d’un passeport en cours de validité ainsi que les membres de sa famille qui n’ont pas la nationalité d’un État membre et qui sont munis d’un passeport en cours de validité.
[…]
5. L’État membre peut imposer à l’intéressé de signaler sa présence sur son territoire dans un délai raisonnable et non discriminatoire. Le non-respect de cette obligation peut être passible de sanctions non discriminatoires et proportionnées.»
15 L’article 7, paragraphe 1, de cette directive réglemente le droit de séjour pour une durée supérieure à trois mois des citoyens de l’Union dans un État membre dont ils ne sont pas ressortissants dans les termes suivants:
«Tout citoyen de l’Union a le droit de séjourner sur le territoire d’un autre État membre pour une durée de plus de trois mois:
a) s’il est un travailleur salarié ou non salarié dans l’État membre d’accueil, ou
b) s’il dispose, pour lui et pour les membres de sa famille, de ressources suffisantes afin de ne pas devenir une charge pour le système d’assistance sociale de l’État membre d’accueil au cours de son séjour, et d’une assurance maladie complète dans l’État membre d’accueil, ou,
c) – s’il est inscrit dans un établissement privé ou public, agréé ou financé par l’État membre d’accueil sur la base de sa législation ou de sa pratique administrative, pour y suivre à titre principal des études, y compris une formation professionnelle et
– s’il dispose d’une assurance maladie complète dans l’État membre d’accueil et garantit à l’autorité nationale compétente, par le biais d’une déclaration ou par tout autre moyen équivalent de son choix, qu’il dispose de ressources suffisantes pour lui-même et pour les membres de sa famille afin d’éviter de devenir une charge pour le système d’assistance sociale de l’État membre d’accueil au cours de la période de séjour; ou
[…]»
16 Aux termes de l’article 8 de ladite directive:
«1. Sans préjudice de l’article 5, paragraphe 5, pour des séjours d’une durée supérieure à trois mois, l’État membre d’accueil peut imposer aux citoyens de l’Union de se faire enregistrer auprès des autorités compétentes.
2. Le délai imparti pour l’enregistrement ne peut pas être inférieur à trois mois à compter de la date d’arrivée. Une attestation d’enregistrement est délivrée immédiatement, qui précise le nom et l’adresse de la personne enregistrée ainsi que la date de l’enregistrement. Le non-respect de l’obligation d’enregistrement peut être passible de sanctions non discriminatoires et proportionnées.
3. Pour la délivrance de l’attestation d’enregistrement, les États membres peuvent seulement exiger:
– du citoyen de l’Union auquel s’applique l’article 7, paragraphe 1, point a), qu’il présente une carte d’identité ou un passeport en cours de validité, une promesse d’embauche délivrée par l’employeur, une attestation d’emploi ou une preuve attestant d’une activité non salariée;
– du citoyen de l’Union auquel s’applique l’article 7, paragraphe 1, point b), qu’il présente une carte d’identité ou un passeport en cours de validité et qu’il apporte la preuve qu’il satisfait aux conditions énoncées par cette disposition;
– du citoyen de l’Union visé à l’article 7, paragraphe 1, point c), qu’il présente une carte d’identité ou un passeport en cours de validité, qu’il apporte la preuve qu’il est inscrit dans un établissement agréé et qu’il a souscrit une assurance maladie complète, et qu’il produise la déclaration ou tout autre élément équivalent visés à l’article 7, paragraphe 1, point c). […]»
17 L’article 27 de cette même directive, intitulé «Principes généraux», prévoit:
«1. Sous réserve des dispositions du présent chapitre, les États membres peuvent restreindre la liberté de circulation et de séjour d’un citoyen de l’Union ou d’un membre de sa famille, quelle que soit sa nationalité, pour des raisons d’ordre public, de sécurité publique ou de santé publique. Ces raisons ne peuvent être invoquées à des fins économiques.
2. Les mesures d’ordre public ou de sécurité publique doivent respecter le principe de proportionnalité et être fondées exclusivement sur le comportement personnel de l’individu concerné. L’existence de condamnations pénales antérieures ne peut à elle seule motiver de telles mesures.
Le comportement de la personne concernée doit représenter une menace réelle, actuelle et suffisamment grave pour un intérêt fondamental de la société. Des justifications non directement liées au cas individuel concerné ou tenant à des raisons de prévention générale ne peuvent être retenues.
3. Aux fins d’établir si la personne concernée représente un danger pour l’ordre public ou la sécurité publique, l’État membre d’accueil peut, lors de la délivrance de l’attestation d’enregistrement ou, s’il n’existe pas de système d’enregistrement, au plus tard dans les trois mois suivant l’entrée de la personne concernée sur son territoire ou à compter de la date à laquelle cette personne a signalé sa présence sur son territoire conformément à l’article 5, paragraphe 5, ou encore lors de la délivrance de la carte de séjour et s’il le juge indispensable, demander à l’État membre d’origine et, éventuellement, à d’autres États membres des renseignements sur les antécédents judiciaires de la personne concernée. Cette consultation ne peut avoir un caractère systématique. [...]
[…]»
18 Enfin, le règlement (CE) n° 862/2007 du Parlement européen et du Conseil, du 11 juillet 2007, relatif aux statistiques communautaires sur la migration et la protection internationale, et abrogeant le règlement (CEE) n° 311/76 du Conseil relatif à l’établissement de statistiques concernant les travailleurs étrangers (JO L 199, p. 23), détermine le cadre dans lequel les États membres transmettent à la Commission des Communautés européennes les statistiques relatives aux flux migratoires sur leurs territoires respectifs.
La réglementation nationale
19 Conformément à l’article 1er, paragraphe 1, de la loi sur le registre central des étrangers (Gesetz über das Ausländerzentralregister) du 2 septembre 1994 (BGBl. 1994 I, p. 2265), telle que modifiée par la loi du 21 juin 2005 (BGBl. 1994 I, p. 1818, ci-après l’«AZRG»), le Bundesamt, qui relève du ministère fédéral de l’Intérieur, assure la gestion de l’AZR, registre centralisé qui rassemble certaines données à caractère personnel relatives aux étrangers qui, entre autres, résident sur le territoire allemand de manière non exclusivement temporaire. Sont visés les étrangers qui séjournent sur ce territoire pour une période supérieure à trois mois, ainsi qu’il résulte de la circulaire administrative générale du ministère fédéral de l’Intérieur relative à l’AZRG et au règlement d’application de cette loi (Allgemeine Verwaltungsvorschrift des Bundesministeriums des Innern zum Gesetz über das AZR und zur AZRG-Durchführungsverordnung) du 4 juin 1996. Ces informations sont regroupées dans deux bases de données gérées séparément. L’une comporte des données à caractère personnel relatives aux étrangers vivant ou ayant vécu en Allemagne, l’autre, à ceux ayant introduit une demande de visa.
20 En vertu de l’article 3 de l’AZRG, la première base de données contient notamment les informations suivantes:
– la dénomination de l’autorité qui a transmis les données;
– le numéro de référence attribué par le Bundesamt;
– les motifs de l’enregistrement;
– le nom de famille, le nom de naissance, les prénoms, la date et le lieu de naissance, le sexe, la nationalité;
– les anciens et autres patronymes, l’état civil, les informations relatives aux documents d’identité, la dernière résidence dans l’État d’origine, les informations fournies volontairement relatives à la religion et à la nationalité du conjoint ou du compagnon;
– les informations relatives aux entrées et aux sorties du territoire, le statut au regard du droit de séjour, les décisions de l’agence fédérale de l’emploi relatives à une autorisation de travail, la reconnaissance du statut de réfugié par un autre État, la date de décès;
– les décisions relatives, entre autres, à une demande d’asile, à une demande antérieure d’autorisation de séjour ainsi que les informations relatives notamment à une procédure d’éloignement, à un mandat d’arrêt, à des soupçons d’infraction aux lois sur les stupéfiants ou sur l’immigration, ou de participation à des activités terroristes, à une condamnation pour de telles activités, et
– les avis de recherche.
21 En tant qu’autorité chargée de la gestion de l’AZR, le Bundesamt est responsable de la justesse des données qui y sont enregistrées.
22 Conformément à l’article 1er, paragraphe 2, de l’AZRG, par l’enregistrement et la transmission des données à caractère personnel relatives aux étrangers, le Bundesamt assiste les administrations publiques en charge de l’application des dispositions en matière de droit des étrangers et de droit d’asile ainsi que d’autres entités publiques.
23 Selon l’article 10, paragraphe 1, de cette loi, toute demande émanant d’une administration publique visant à la consultation de l’AZR ou à la transmission de données à caractère personnel y contenues doit répondre à différentes conditions dont la réunion doit être vérifiée par le Bundesamt au cas par cas. Ce dernier doit, en particulier, examiner si les données demandées par une administration sont nécessaires à l’accomplissement des missions de cette dernière et l’usage précis auquel ces données sont destinées. Le Bundesamt est habilité à rejeter une demande si elle ne remplit pas les conditions prescrites.
24 Les articles 14 à 21 et 25 à 27 de ladite loi énoncent les données à caractère personnel susceptibles d’être transmises en fonction de l’entité qui en fait la demande.
25 Ainsi, d’après l’article 14, paragraphe 1, de l’AZRG, peuvent être communiquées à l’ensemble des administrations publiques allemandes les données relatives à l’identité et au domicile, de même que la date de décès ainsi que les informations sur l’administration en charge du dossier et la décision de non-communication des données.
26 L’article 12 de cette loi soumet les demandes dites de groupe, c’est-à-dire portant sur un groupe de personnes présentant une ou des caractéristiques communes, à différentes conditions de fond et de forme. Une telle possibilité n’est ouverte qu’à un nombre limité d’entités publiques. Par ailleurs, toute transmission de données à caractère personnel à la suite d’une telle demande doit être notifiée aux contrôleurs fédéral et régional pour la protection des données à caractère personnel.
27 Au demeurant, l’article 22 de ladite loi permet à des entités publiques disposant d’une habilitation à cette fin de consulter directement l’AZR en recourant à une procédure automatisée. Cette faculté n’est toutefois ouverte que dans des situations strictement définies et après mise en balance, par le Bundesamt, des intérêts de la personne concernée et de l’intérêt général. Par ailleurs, une telle consultation n’est pas possible dans le cadre des demandes dites de groupe. Les entités publiques habilitées au titre de l’article 22 de l’AZRG sont, en vertu de l’article 7 de cette loi, également autorisées à introduire directement des données et des informations dans l’AZR.
28 Finalement, les articles 25 à 27 de l’AZRG définissent les entités privées susceptibles d’obtenir certaines données contenues dans l’AZR.
29 La juridiction de renvoi a ajouté que, en Allemagne, tout habitant, qu’il soit de nationalité allemande ou non, doit s’inscrire sur le registre tenu par l’administration de la commune dans laquelle il réside (Einwohnermelderegister). La Commission a précisé, à cet égard, que ce type de registre ne comporte qu’une partie des données contenues dans l’AZR, celles relatives, notamment, au statut au regard du droit de séjour n’y apparaissant pas. Il existe actuellement environ 7 700 registres communaux.
Les faits à l’origine du litige et les questions préjudicielles
30 M. Huber, ressortissant autrichien, s’est installé en Allemagne en 1996 pour y exercer la profession d’agent d’assurance indépendant.
31 Les données suivantes le concernant sont conservées dans l’AZR:
– nom, prénom, date et lieu de naissance, nationalité, état civil, sexe;
– historique des entrées sur le territoire allemand et des sorties de ce territoire, statut de résident;
– indications relatives aux passeports successifs;
– historique des déclarations de domicile antérieures, et
– références de le Bundesamt, indications des services qui ont transmis les données ainsi que références de ces services.
32 S’estimant discriminé du fait du traitement dont font l’objet les données le concernant contenues dans l’AZR, en particulier parce qu’une telle base de données n’existe pas pour les ressortissants allemands, M. Huber a demandé la suppression de ces données le 22 juillet 2000. Cette requête a été rejetée le 29 septembre 2000 par l’autorité administrative qui était à cette époque responsable de la tenue de l’AZR.
33 La réclamation présentée contre cette décision ayant subi le même sort, M. Huber a introduit un recours devant le Verwaltungsgericht Köln (tribunal administratif de Cologne) qui a fait droit à sa demande par jugement du 19 décembre 2002. Ce faisant, le Verwaltungsgericht Köln a considéré que le traitement général des données relatives à un citoyen de l’Union non-ressortissant allemand dans le cadre de ce registre est constitutif d’une restriction aux articles 49 CE et 50 CE non susceptible d’être justifiée par l’objectif de traitement rapide des affaires relatives au droit de séjour des étrangers. De surcroît, cette juridiction a estimé que la conservation et le traitement des données litigieuses étaient contraires aux articles 12 CE et 18 CE ainsi qu’aux articles 6, paragraphe 1, sous b), et 7, sous e), de la directive 95/46.
34 La Bundesrepublik Deutschland, agissant par l’intermédiaire du Bundesamt, a interjeté appel de ce jugement devant l’Oberverwaltungsgericht für das Land Nordrhein-Westfalen (tribunal administratif supérieur du Land de Rhénanie-du-Nord-Westphalie) qui considère que les différentes questions de droit soulevées devant lui nécessitent une interprétation du droit communautaire par la Cour.
35 Premièrement, la juridiction de renvoi souligne que, conformément à la jurisprudence de la Cour, un citoyen de l’Union qui réside légalement sur le territoire d’un État membre dont il n’est pas ressortissant peut se prévaloir de l’article 12 CE dans toutes les situations relevant du domaine d’application du droit communautaire. Elle se réfère, à cet égard, aux arrêts du 12 mai 1998, Martínez Sala (C‑85/96, Rec. p. I‑2691, point 63); du 20 septembre 2001, Grzelczyk (C‑184/99, Rec. p. I‑6193, point 32), et du 15 mars 2005, Bidar (C‑209/03, Rec. p. I‑2119, point 32). Dès lors, ayant exercé son droit à la libre circulation tel que celui-ci lui est conféré par l’article 18, paragraphe 1, CE, M. Huber pourrait se fonder sur l’interdiction de discrimination prévue à l’article 12 CE.
36 Or la juridiction de renvoi relève que le traitement général des données à caractère personnel relatives à M. Huber dans l’AZR comporte deux différences par rapport au traitement des données relatives à un ressortissant allemand, à savoir, d’une part, certaines des données relatives au requérant au principal sont conservées non seulement dans le registre de la commune où il réside, mais également dans l’AZR, et, d’autre part, ce dernier contient des données supplémentaires.
37 La juridiction de renvoi doute qu’une telle différence de traitement puisse être justifiée par la nécessité de contrôler le séjour des étrangers sur le territoire allemand. Elle se demande également si le traitement général de données à caractère personnel relatives à des citoyens de l’Union non-ressortissants allemands ayant séjourné ou séjournant sur le territoire allemand est proportionné à l’objectif de sauvegarde de la sécurité publique, dans la mesure où l’AZR concerne l’ensemble desdits citoyens, et pas seulement ceux faisant l’objet d’une mesure d’éloignement du territoire allemand ou d’une interdiction de séjour sur ce territoire.
38 Deuxièmement, la juridiction de renvoi est d’avis que M. Huber relève, dans les circonstances de la cause au principal, du champ d’application de l’article 43 CE. Dès lors que la liberté d’établissement concerne non seulement le démarrage d’une activité professionnelle indépendante, mais également les conditions d’encadrement de celle-ci, il se demande si le traitement général des données relatives à M. Huber dans l’AZR est susceptible d’influencer ces conditions dans une mesure telle qu’elle entraîne une restriction à l’exercice de cette liberté.
39 Troisièmement, la juridiction de renvoi se demande si le critère de nécessité qui résulte de l’article 7, sous e), de la directive 95/46 peut constituer un critère d’appréciation d’un système de traitement général de données tel que celui mis en place dans le cadre de l’AZR. En effet, elle n’écarte pas l’hypothèse que cette directive ne préjudicie pas à la compétence du législateur national de définir lui-même cette exigence de nécessité. Si cela ne devait toutefois pas être le cas, se poserait alors la question de la manière dont doit être comprise cette exigence, plus particulièrement quant au point de savoir si l’objectif de simplification administrative ne pourrait justifier un traitement de données tel que celui mis en place par l’AZRG.
40 Dans ce contexte, l’Oberverwaltungsgericht für das Land Nordrhein-Westfalen a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes:
«1) Le traitement général de données à caractère personnel relatives à des citoyens de l’Union non-ressortissants dans le cadre d’un registre central des étrangers est-il compatible avec [...] l’interdiction de toute discrimination liée à la nationalité des citoyens de l’Union qui exercent leur droit de circuler librement sur le territoire des États membres et d’y séjourner (article 12, paragraphe 1, CE, combiné avec les articles 17 CE et 18, paragraphe 1, CE)[?]
2) [Un tel traitement est-il compatible avec] l’interdiction de toute restriction à la liberté d’établissement des ressortissants d’un État membre sur le territoire d’un autre État membre (article 43, paragraphe 1, CE)[?]
3) [Un tel traitement est-il compatible avec] l’exigence de nécessité prévue à l’article 7, sous e), de la directive 95/46[…]?»
Sur les questions préjudicielles
Observations liminaires
41 Par ses questions, la juridiction de renvoi interroge la Cour sur la compatibilité avec le droit communautaire du traitement de données à caractère personnel auquel il est procédé dans un registre tel que l’AZR.
42 À cet égard, il y a lieu de relever que l’article 1er, paragraphe 2, de l’AZRG prévoit que, par la conservation de certaines données à caractère personnel relatives aux étrangers dans l’AZR et la transmission de ces données, le Bundesamt, responsable de la tenue de ce registre, assiste les administrations publiques ayant pour fonction la mise en œuvre de la réglementation en matière de droit des étrangers et de droit d’asile ainsi que d’autres entités publiques. En particulier, le gouvernement allemand a précisé dans ses observations écrites que l’AZR est utilisé à des fins statistiques et lors de l’exercice, par les services de sécurité et de police ainsi que les autorités judiciaires, de compétences en matière de poursuites et de recherches relatives à des agissements criminels ou mettant en danger la sécurité publique.
43 D’emblée, il convient de constater que des données telles que celles que, selon la décision de renvoi, l’AZR contient au sujet de M. Huber constituent des données à caractère personnel au sens de l’article 2, sous a), de la directive 95/46, puisqu’il s’agit d’«informations concernant une personne physique identifiée ou identifiable». Leur collecte, leur conservation et leur transmission par l’organisme chargé de la gestion du registre qui les rassemble présentent dès lors le caractère d’un «traitement de données à caractère personnel» au sens de l’article 2, sous b), de cette directive.
44 Toutefois, l’article 3, paragraphe 2, de la directive 95/46 exclut expressément du champ d’application de cette dernière, entre autres, les traitements de données à caractère personnel ayant pour objet la sécurité publique, la défense, la sûreté de l’État et les activités de l’État relatives à des domaines du droit pénal.
45 Il en résulte que, si le traitement de données à caractère personnel en vue de l’application de la réglementation sur le droit de séjour et à des fins statistiques relève du champ d’application de la directive 95/46, il n’en est pas de même s’agissant du traitement de telles données dans un objectif lié à la lutte contre la criminalité.
46 Par conséquent, il convient d’examiner la compatibilité avec le droit communautaire du traitement de données à caractère personnel opéré dans le cadre d’un registre tel que l’AZR, d’une part, considéré dans sa fonction de soutien des administrations en charge de l’application de la réglementation sur le droit de séjour et dans son utilisation à des fins statistiques, au regard des dispositions de la directive 95/46, et plus particulièrement, compte tenu de la troisième question préjudicielle, par rapport à la condition de nécessité inscrite en son article 7, sous e), interprétée à la lumière des exigences du traité, dont notamment l’interdiction de toute discrimination exercée en raison de la nationalité au sens de l’article 12, paragraphe 1, CE, et, d’autre part, considéré dans sa fonction de lutte contre la criminalité, au regard du droit communautaire primaire.
Sur le traitement des données à caractère personnel en vue de l’application de la réglementation sur le droit de séjour et à des fins statistiques
Notion de nécessité
47 L’article 1er de la directive 95/46 impose aux États membres d’assurer la protection des libertés et des droits fondamentaux des personnes physiques, notamment de leur vie privée, à l’égard du traitement des données à caractère personnel.
48 Conformément aux dispositions du chapitre II de la directive 95/46, intitulé «Conditions générales de licéité des traitements de données à caractère personnel», sous réserve des dérogations admises au titre de l’article 13 de cette directive, tout traitement de données à caractère personnel doit, d’une part, être conforme aux principes relatifs à la qualité des données énoncés à l’article 6 de ladite directive et, d’autre part, répondre à l’un des principes relatifs à la légitimation des traitements de données énumérés à l’article 7 de cette même directive (voir, en ce sens, arrêt du 20 mai 2003, Österreichischer Rundfunk e.a., C‑465/00, C‑138/01 et C‑139/01, Rec. p. I‑4989, point 65).
49 En particulier, le point e) dudit article 7 prévoit que le traitement de données à caractère personnel est licite s’«il est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique, dont est investi le responsable du traitement ou le tiers auquel les données sont communiquées».
50 Dans ce contexte, il faut rappeler que la directive 95/46 vise, ainsi qu’il ressort notamment de son huitième considérant, à rendre équivalent dans tous les États membres le niveau de protection des droits et des libertés des personnes à l’égard du traitement de données à caractère personnel. Son dixième considérant ajoute que le rapprochement des législations nationales applicables en la matière ne doit pas conduire à affaiblir la protection qu’elles assurent, mais doit, au contraire, avoir pour objectif de garantir un niveau élevé de protection dans la Communauté.
51 Ainsi, il a été jugé que l’harmonisation desdites législations nationales ne se limite pas à une harmonisation minimale, mais aboutit à une harmonisation qui est, en principe, complète (voir arrêt du 6 novembre 2003, Lindqvist, C‑101/01, Rec. p. I‑12971, point 96).
52 Dès lors, eu égard à l’objectif consistant à assurer un niveau de protection équivalent dans tous les États membres, la notion de nécessité telle qu’elle résulte de l’article 7, sous e), de la directive 95/46, qui vise à délimiter précisément une des hypothèses dans lesquelles le traitement de données à caractère personnel est licite, ne saurait avoir un contenu variable en fonction des États membres. Partant, il s’agit d’une notion autonome du droit communautaire qui doit recevoir une interprétation de nature à répondre pleinement à l’objet de cette directive tel que défini à l’article 1er, paragraphe 1, de celle-ci.
Appréciation du caractère nécessaire d’un traitement de données à caractère personnel tel que celui opéré dans le cadre de l’AZR en vue de l’application de la réglementation sur le droit de séjour et à des fins statistiques
53 Il ressort de la décision de renvoi que l’AZR est un registre centralisé contenant certaines données à caractère personnel relatives aux citoyens de l’Union non-ressortissants allemands et consultable par différentes entités publiques et privées.
54 S’agissant de l’utilisation d’un registre tel que l’AZR aux fins de l’application de la réglementation sur le droit de séjour, il importe de rappeler que, en l’état actuel du droit communautaire, le droit de séjour d’un citoyen de l’Union sur le territoire d’un État membre dont il n’est pas ressortissant n’est pas inconditionnel, mais peut être assorti des limitations et des conditions prévues par le traité ainsi que par les dispositions prises pour son application (voir, en ce sens, arrêt du 10 juillet 2008, Jipa, C‑33/07, non encore publié au Recueil, point 21 et jurisprudence citée).
55 Ainsi, l’article 4 de la directive 68/360, lu en combinaison avec l’article 1er de cette dernière, de même que l’article 6 de la directive 73/148, lu en combinaison avec l’article 1er de cette dernière, soumettaient le droit d’un ressortissant d’un État membre de séjourner plus de trois mois sur le territoire d’un autre État membre à l’appartenance à l’une des catégories consacrées par ces directives et la constatation de ce droit à certaines formalités, liées à la présentation ou à la communication, par le demandeur, d’une carte de séjour ainsi que de divers documents et informations.
56 En outre, en vertu des articles 10 de la directive 68/360 et 8 de la directive 73/148, les États membres pouvaient, pour des raisons d’ordre public, de sécurité publique ou de santé publique, déroger aux dispositions desdites directives et limiter le droit d’entrée et de séjour d’un ressortissant d’un autre État membre sur leur territoire.
57 La directive 2004/38, dont le délai de transposition a expiré le 30 avril 2006 et qui n’était donc pas d’application au moment des faits de l’espèce, a abrogé les deux directives susmentionnées, mais reprend globalement, en son article 7, des conditions équivalentes à celles établies par ces dernières en ce qui concerne le droit de séjour des ressortissants d’autres États membres ainsi que, en son article 27, paragraphe 1, les restrictions y afférentes. Elle prévoit, en outre, à son article 8, paragraphe 1, que l’État membre d’accueil peut imposer à tout citoyen de l’Union ressortissant d’un autre État membre qui souhaite séjourner sur son territoire pour une durée supérieure à trois mois l’obligation de se faire enregistrer auprès des autorités compétentes. À cet égard, l’État membre d’accueil peut, en vertu du paragraphe 3 dudit article 8, exiger la présentation de divers documents et informations permettant à ces autorités de constater que les conditions ouvrant un droit au séjour sont remplies.
58 Il y a dès lors lieu de considérer qu’il est nécessaire, pour un État membre, de disposer des informations et des documents pertinents aux fins de vérifier, dans le cadre défini par la réglementation communautaire applicable, l’existence d’un droit de séjour sur son territoire dans le chef d’un ressortissant d’un autre État membre ainsi que l’absence de raisons justifiant une restriction à ce droit. Partant, l’utilisation d’un registre tel que l’AZR dans un but de soutien des autorités en charge de l’application de la réglementation sur le droit de séjour est, en principe, légitime et, vu sa nature, compatible avec l’interdiction de discrimination exercée en raison de la nationalité contenue à l’article 12, paragraphe 1, CE.
59 Il convient toutefois de relever qu’un tel registre ne peut contenir d’autres informations que celles qui sont nécessaires à cette fin. À cet égard, en l’état actuel du droit communautaire, le traitement des données à caractère personnel résultant des documents mentionnés aux articles 8, paragraphe 3, et 27, paragraphe 1, de la directive 2004/38 doit être considéré comme nécessaire, au sens de l’article 7, sous e), de la directive 95/46, à l’application de la réglementation sur le droit de séjour.
60 Par ailleurs, il convient de souligner que, si la collecte des données requises pour l’application de la réglementation sur le droit de séjour s’avérerait dépourvue d’efficacité à défaut de conservation de celles-ci, dans la mesure où un changement dans la situation personnelle du bénéficiaire d’un droit de séjour peut avoir des conséquences sur son statut au regard de ce droit, il appartient à l’autorité responsable d’un registre tel que l’AZR de veiller à ce que les données conservées soient, le cas échéant, actualisées, de sorte que, d’une part, elles correspondent à la situation effective des personnes concernées et, d’autre part, que les données superflues soient radiées dudit registre.
61 S’agissant des modalités d’utilisation d’un tel registre aux fins de l’application de la réglementation sur le droit de séjour, seul l’octroi d’un accès à des autorités ayant compétence en ce domaine peut être considéré comme nécessaire au sens de l’article 7, sous e), de la directive 95/46.
62 Enfin, en ce qui concerne la nécessité de disposer d’un registre centralisé tel que l’AZR pour les besoins des autorités en charge de l’application de la réglementation sur le droit de séjour, il y a lieu de considérer que, même à supposer que des registres décentralisés tels que les registres communaux de la population contiennent toutes les données pertinentes pour permettre auxdites autorités d’exercer leur mission, une centralisation de ces données peut s’avérer nécessaire au sens de l’article 7, sous e), de la directive 95/46 si elle contribue à une application plus efficace de cette réglementation en ce qui concerne le droit de séjour des citoyens de l’Union souhaitant séjourner sur le territoire d’un État membre dont ils ne sont pas ressortissants.
63 S’agissant de la fonction statistique d’un registre tel que l’AZR, il convient de rappeler que le droit communautaire, en établissant la libre circulation des personnes et en conférant à toute personne relevant de son champ d’application un droit d’accès au territoire des États membres aux fins voulues par le traité, n’a pas écarté la compétence de ces derniers en ce qui concerne l’adoption de mesures destinées à assurer la connaissance exacte, par les autorités nationales, des mouvements de population affectant leur territoire (voir arrêt du 7 juillet 1976, Watson et Belmann, 118/75, Rec. p. 1185, point 17).
64 De même, le règlement n° 862/2007 prévoyant la transmission de statistiques relatives aux flux migratoires sur le territoire des États membres présuppose la collecte par ces États des informations permettant l’établissement de ces statistiques.
65 Toutefois, l’exercice de cette compétence ne rend pas pour autant nécessaire, au sens de l’article 7, sous e), de la directive 95/46, la collecte et la conservation de données nominatives auxquelles il est procédé dans le cadre d’un registre tel que l’AZR. En effet, ainsi que l’a indiqué M. l’avocat général au point 23 de ses conclusions, un tel objectif ne nécessite que le traitement d’informations anonymes.
66 Il résulte de l’ensemble des considérations qui précèdent qu’un système de traitement de données à caractère personnel relatives aux citoyens de l’Union non-ressortissants de l’État membre concerné tel que celui mis en place par l’AZRG et ayant pour objectif le soutien des autorités nationales en charge de l’application de la réglementation sur le droit de séjour ne répond à l’exigence de nécessité prévue à l’article 7, sous e), de la directive 95/46, interprété à la lumière de l’interdiction de toute discrimination exercée en raison de la nationalité, que:
– s’il contient uniquement les données nécessaires à l’application par lesdites autorités de cette réglementation, et
– si son caractère centralisé permet une application plus efficace de cette réglementation en ce qui concerne le droit de séjour des citoyens de l’Union non-ressortissants de cet État membre.
67 Il appartient à la juridiction de renvoi de vérifier ces éléments en l’espèce au principal.
68 En tout état de cause, ne sauraient être considérés comme nécessaires au sens de l’article 7, sous e), de la directive 95/46 la conservation et le traitement de données à caractère personnel nominatives dans le cadre d’un registre tel que l’AZR à des fins statistiques.
Sur le traitement des données à caractère personnel relatives à des citoyens de l’Union ressortissants d’autres États membres à des fins de lutte contre la criminalité
69 À titre liminaire, il convient de rappeler que, selon une jurisprudence constante, le statut de citoyen de l’Union a vocation à être le statut fondamental des ressortissants des États membres permettant à ceux parmi ces derniers qui se trouvent dans la même situation d’obtenir, indépendamment de leur nationalité et sans préjudice des exceptions expressément prévues à cet égard, le même traitement juridique (voir, en ce sens, arrêts Grzelczyk, précité, points 30 et 31; du 2 octobre 2003, Garcia Avello, C‑148/02, Rec. p. I‑11613, points 22 et 23, ainsi que Bidar, précité, point 31).
70 À cet égard, un citoyen de l’Union qui réside légalement sur le territoire d’un État membre d’accueil peut se prévaloir de l’article 12 CE dans toutes les situations relevant du domaine d’application ratione materiæ du droit communautaire (voir arrêts précités Martínez Sala, point 63; Grzelzcyk, point 32, ainsi que Bidar, point 32).
71 Ces situations comprennent notamment celles relevant de l’exercice des libertés fondamentales garanties par le traité, parmi lesquelles celles relevant de l’exercice de la liberté de circuler et de séjourner sur le territoire des États membres telle que conférée par l’article 18 CE (voir, en ce sens, arrêt Bidar, précité, point 33 et jurisprudence citée).
72 Il ressort de l’article 1er de l’AZRG, lu en combinaison avec la circulaire administrative générale du ministère fédéral de l’Intérieur du 4 juin 1996 relative à l’AZRG et au règlement d’application de cette loi, que le système de conservation et de traitement de données à caractère personnel mis en œuvre dans le cadre de l’AZR concerne l’ensemble des citoyens de l’Union non-ressortissants de la République fédérale d’Allemagne qui résident pour une période supérieure à trois mois sur le territoire allemand indépendamment des raisons qui les conduisent à y séjourner.
73 Dans ces conditions, M. Huber ayant exercé sa liberté de circuler et de séjourner sur ce territoire telle que conférée par l’article 18 CE, c’est, en considération du contexte de l’espèce au principal, au regard de l’article 12, paragraphe 1, CE qu’il convient d’examiner si un système de conservation et de traitement de données à caractère personnel tel que celui en cause au principal est compatible avec le principe interdisant toute discrimination exercée en raison de la nationalité pour ce qui est des données conservées et traitées à des fins de lutte contre la criminalité.
74 Dans ce contexte, il convient de remarquer que la décision de renvoi ne comporte pas d’indications précises permettant d’établir si la situation en cause au principal relève des dispositions de l’article 43 CE. Toutefois, quand bien même la juridiction de renvoi considèrerait que tel est le cas, l’application du principe de non-discrimination ne saurait différer suivant qu’il se fonde sur cette disposition ou sur l’article 12, paragraphe 1, CE, lu en combinaison avec l’article 18, paragraphe 1, CE.
75 En effet, il est de jurisprudence constante que le principe de non-discrimination, qu’il trouve son fondement dans l’article 12 CE ou dans l’article 43 CE, exige que des situations comparables ne soient pas traitées de manière différente et que des situations différentes ne soient pas traitées de manière égale. Un tel traitement ne pourrait être justifié que s’il se fondait sur des considérations objectives indépendantes de la nationalité des personnes concernées et proportionnées à l’objectif légitimement poursuivi (voir, en ce sens, arrêt du 5 juin 2008, Wood, C‑164/07, non encore publié au Recueil, point 13 et jurisprudence citée).
76 Il y a donc lieu de comparer, dans un contexte tel que celui de la cause au principal, la situation des citoyens de l’Union non-ressortissants de l’État membre concerné résidant sur le territoire de cet État membre avec celle des ressortissants dudit État membre par rapport à l’objectif de lutte contre la criminalité. De fait, le gouvernement allemand s’est borné à invoquer cet aspect de la sauvegarde de l’ordre public.
77 Si un tel objectif présente un caractère légitime, il ne saurait être invoqué pour justifier le traitement systématique de données à caractère personnel limité à celles des seuls citoyens de l’Union non-ressortissants de l’État membre concerné.
78 En effet, ainsi que l’a souligné M. l’avocat général au point 21 de ses conclusions, la lutte contre la criminalité, dans l’acception générale présentée par le gouvernement allemand dans ses observations, vise nécessairement la poursuite des crimes et des délits commis, indépendamment de la nationalité de leurs auteurs.
79 Partant, pour un État membre, la situation de ses ressortissants ne saurait être différente de celle des citoyens de l’Union non-ressortissants de cet État membre séjournant sur son territoire au regard de l’objectif de lutte contre la criminalité.
80 Dès lors, la différence de traitement entre ces ressortissants et ces citoyens de l’Union induite par le traitement systématique des données à caractère personnel relatives aux seuls citoyens de l’Union non-ressortissants de l’État membre concerné dans un objectif de lutte contre la criminalité constitue une discrimination prohibée par l’article 12, paragraphe 1, CE.
81 Par conséquent, il convient d’interpréter l’article 12, paragraphe 1, CE en ce sens qu’il s’oppose à l’instauration par un État membre d’un système de traitement de données à caractère personnel spécifique aux citoyens de l’Union non-ressortissants de cet État membre dans l’objectif de lutter contre la criminalité.
Sur les dépens
82 La procédure revêtant, à l’égard des parties au principal, le caractère d’un incident soulevé devant la juridiction de renvoi, il appartient à celle-ci de statuer sur les dépens. Les frais exposés pour soumettre des observations à la Cour, autres que ceux desdites parties, ne peuvent faire l’objet d’un remboursement.
Par ces motifs, la Cour (grande chambre) dit pour droit:
1) Un système de traitement de données à caractère personnel relatives aux citoyens de l’Union non-ressortissants de l’État membre concerné tel que celui mis en place par la loi sur le registre central des étrangers (Gesetz über das Ausländerzentralregister) du 2 septembre 1994, telle que modifiée par la loi du 21 juin 2005, et ayant pour objectif le soutien des autorités nationales en charge de l’application de la réglementation sur le droit de séjour ne répond à l’exigence de nécessité prévue à l’article 7, sous e), de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, interprété à la lumière de l’interdiction de toute discrimination exercée en raison de la nationalité, que:
– s’il contient uniquement les données nécessaires à l’application par lesdites autorités de cette réglementation, et
– si son caractère centralisé permet une application plus efficace de cette réglementation en ce qui concerne le droit de séjour des citoyens de l’Union non-ressortissants de cet État membre.
Il appartient à la juridiction de renvoi de vérifier ces éléments en l’espèce au principal.
En tout état de cause, ne sauraient être considérés comme nécessaires au sens de l’article 7, sous e), de la directive 95/46 la conservation et le traitement de données à caractère personnel nominatives dans le cadre d’un registre tel que le registre central des étrangers à des fins statistiques.
2) Il convient d’interpréter l’article 12, paragraphe 1, CE en ce sens qu’il s’oppose à l’instauration par un État membre d’un système de traitement de données à caractère personnel spécifique aux citoyens de l’Union non-ressortissants de cet État membre dans l’objectif de lutter contre la criminalité.
Signatures