ARRÊT DE LA COUR (deuxième chambre)
20 décembre 2017 (*)
« Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Directive 95/46/CE – Article 2, sous a) – Notion de “données à caractère personnel” – Réponses écrites fournies par le candidat lors d’un examen professionnel – Annotations de l’examinateur relatives à ces réponses – Article 12, sous a) et b) – Étendue des droits d’accès et de rectification de la personne concernée »
Dans l’affaire C‑434/16,
ayant pour objet une demande de décision préjudicielle au titre de l’article 267 TFUE, introduite par la Supreme Court (Cour suprême, Irlande), par décision du 29 juillet 2016, parvenue à la Cour le 4 août 2016, dans la procédure
Peter Nowak
contre
Data Protection Commissioner,
LA COUR (deuxième chambre),
composée de M. M. Ilešič (rapporteur), président de chambre, M. A. Rosas, Mmes C. Toader, A. Prechal et M. E. Jarašiūnas, juges,
avocat général : Mme J. Kokott,
greffier : M. M. Aleksejev, administrateur,
vu la procédure écrite et à la suite de l’audience du 22 juin 2017,
considérant les observations présentées :
– pour M. Nowak, par M. G. Rudden, solicitor, et M. N. Travers, SC,
– pour le Data Protection Commissioner, par M. D. Young, solicitor, et M. P. A. McDermott, SC,
– pour l’Irlande, par Mmes E. Creedon et L. Williams ainsi que par M. A. Joyce, en qualité d’agents, assistés de Mme A. Caroll, barrister,
– pour le gouvernement tchèque, par MM. M. Smolek et J. Vláčil, en qualité d’agents,
– pour le gouvernement hellénique, par Mmes G. Papadaki et S. Charitaki, en qualité d’agents,
– pour le gouvernement hongrois, par M. M. Z. Fehér et Mme A. Pálfy, en qualité d’agents,
– pour le gouvernement autrichien, par M. G. Eberhard, en qualité d’agent,
– pour le gouvernement polonais, par M. B. Majczyna, en qualité d’agent,
– pour le gouvernement portugais, par MM. L. Inez Fernandes et M. Figueiredo ainsi que par Mme I. Oliveira, en qualité d’agents,
– pour la Commission européenne, par MM. D. Nardi et H. Kranenborg, en qualité d’agents,
ayant entendu l’avocat général en ses conclusions à l’audience du 20 juillet 2017,
rend le présent
Arrêt
1 La demande de décision préjudicielle porte sur l’interprétation de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO 1995, L 281, p. 31).
2 Cette demande a été présentée dans le cadre d’un litige opposant M. Peter Nowak au Data Protection Commissioner (commissaire à la protection des données, Irlande) au sujet du refus, par ce dernier, de donner à M. Nowak l’accès à une copie corrigée d’un examen auquel celui-ci était candidat, au motif que les informations qui y étaient contenues ne constituaient pas des données à caractère personnel.
Le cadre juridique
Le droit de l’Union
La directive 95/46
3 La directive 95/46 qui, selon son article 1er, a pour objet la protection des libertés et des droits fondamentaux des personnes physiques, notamment du droit à la vie privée, à l’égard du traitement des données à caractère personnel, ainsi que l’élimination des obstacles à la libre circulation de ces données, énonce, à ses considérants 25, 26 et 41 :
« (25) considérant que les principes de la protection doivent trouver leur expression, d’une part, dans les obligations mises à la charge des personnes [...] qui traitent des données, ces obligations concernant en particulier la qualité des données, la sécurité technique, la notification à l’autorité de contrôle, les circonstances dans lesquelles le traitement peut être effectué, et, d’autre part, dans les droits donnés aux personnes dont les données font l’objet d’un traitement d’être informées sur celui-ci, de pouvoir accéder aux données, de pouvoir demander leur rectification, voire de s’opposer au traitement dans certaines circonstances ;
(26) considérant que les principes de la protection doivent s’appliquer à toute information concernant une personne identifiée ou identifiable ; que, pour déterminer si une personne est identifiable, il convient de considérer l’ensemble des moyens susceptibles d’être raisonnablement mis en œuvre, soit par le responsable du traitement, soit par une autre personne, pour identifier ladite personne ; que les principes de la protection ne s’appliquent pas aux données rendues anonymes d’une manière telle que la personne concernée n’est plus identifiable ; [...]
[...]
(41) considérant que toute personne doit pouvoir bénéficier du droit d’accès aux données la concernant qui font l’objet d’un traitement, afin de s’assurer notamment de leur exactitude et de la licéité de leur traitement ; [...] »
4 La notion de « données à caractère personnel » est définie à l’article 2, sous a), de cette directive comme « toute information concernant une personne physique identifiée ou identifiable (personne concernée) ; est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d’identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale ».
5 L’article 6 de ladite directive, placé sous la section I, intitulée « Principes relatifs à la qualité des données », du chapitre II de cette directive, est libellé comme suit :
« 1. Les États membres prévoient que les données à caractère personnel doivent être :
a) traitées loyalement et licitement ;
b) collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement de manière incompatible avec ces finalités. Un traitement ultérieur à des fins historiques, statistiques ou scientifiques n’est pas réputé incompatible pour autant que les États membres prévoient des garanties appropriées ;
c) adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et pour lesquelles elles sont traitées ultérieurement ;
d) exactes et, si nécessaire, mises à jour ; toutes les mesures raisonnables doivent être prises pour que les données inexactes ou incomplètes, au regard des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement, soient effacées ou rectifiées ;
e) conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement. Les États membres prévoient des garanties appropriées pour les données à caractère personnel qui sont conservées au-delà de la période précitée, à des fins historiques, statistiques ou scientifiques.
2. Il incombe au responsable du traitement d’assurer le respect du paragraphe 1. »
6 L’article 7 de la directive 95/46, placée sous la section II, intitulée « Principes relatifs à la légitimation des traitements de données », du chapitre II de cette directive, dispose :
« Les États membres prévoient que le traitement de données à caractère personnel ne peut être effectué que si :
a) la personne concernée a indubitablement donné son consentement
ou
[...]
c) il est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis
ou
[...]
e) il est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique, dont est investi le responsable du traitement ou le tiers auquel les données sont communiquées
ou
f) il est nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le ou les tiers auxquels les données sont communiquées, à condition que ne prévalent pas l’intérêt ou les droits et libertés fondamentaux de la personne concernée, qui appellent une protection au titre de l’article 1er paragraphe 1. »
7 L’article 12 de cette directive, intitulé « Droit d’accès », énonce :
« Les États membres garantissent à toute personne concernée le droit d’obtenir du responsable du traitement :
a) sans contrainte, à des intervalles raisonnables et sans délais ou frais excessifs :
– la confirmation que des données la concernant sont ou ne sont pas traitées, ainsi que des informations portant au moins sur les finalités du traitement, les catégories de données sur lesquelles il porte et les destinataires ou les catégories de destinataires auxquels les données sont communiquées,
– la communication, sous une forme intelligible, des données faisant l’objet des traitements, ainsi que de toute information disponible sur l’origine des données,
[...]
b) selon le cas, la rectification, l’effacement ou le verrouillage des données dont le traitement n’est pas conforme à la présente directive, notamment en raison du caractère incomplet ou inexact des données ;
c) la notification aux tiers auxquels les données ont été communiquées de toute rectification, tout effacement ou tout verrouillage effectué conformément au point b), si cela ne s’avère pas impossible ou ne suppose pas un effort disproportionné. »
8 L’article 13 de ladite directive, intitulé « Exceptions et limitations », dispose :
« 1. Les États membres peuvent prendre des mesures législatives visant à limiter la portée des obligations et des droits prévus à l’article 6, paragraphe 1, à l’article 10, à l’article 11, paragraphe 1, et aux articles 12 et 21, lorsqu’une telle limitation constitue une mesure nécessaire pour sauvegarder :
[...]
g) la protection de la personne concernée ou des droits et libertés d’autrui.
[...] »
9 L’article 14 de la directive 95/46, intitulé « Droit d’opposition de la personne concernée », prévoit :
« Les États membres reconnaissent à la personne concernée le droit :
a) au moins dans les cas visés à l’article 7 points e) et f), de s’opposer à tout moment, pour des raisons prépondérantes et légitimes tenant à sa situation particulière, à ce que des données la concernant fassent l’objet d’un traitement, sauf en cas de disposition contraire du droit national. En cas d’opposition justifiée, le traitement mis en œuvre par le responsable du traitement ne peut plus porter sur ces données ;
[...] »
10 L’article 28 de ladite directive, intitulé « Autorité de contrôle », énonce :
« 1. Chaque État membre prévoit qu’une ou plusieurs autorités publiques sont chargées de surveiller l’application, sur son territoire, des dispositions adoptées par les États membres en application de la présente directive.
[...]
3. Chaque autorité de contrôle dispose notamment :
– de pouvoirs d’investigation, tels que le pouvoir d’accéder aux données faisant l’objet d’un traitement et de recueillir toutes les informations nécessaires à l’accomplissement de sa mission de contrôle,
– de pouvoirs effectifs d’intervention, tels que, par exemple, celui [...] d’ordonner le verrouillage, l’effacement ou la destruction de données, ou d’interdire temporairement ou définitivement un traitement [...]
[...]
Les décisions de l’autorité de contrôle faisant grief peuvent faire l’objet d’un recours juridictionnel.
4. Chaque autorité de contrôle peut être saisie par toute personne, ou par une association la représentant, d’une demande relative à la protection de ses droits et libertés à l’égard du traitement de données à caractère personnel. La personne concernée est informée des suites données à sa demande.
[...] »
Le règlement (UE) 2016/679
11 Le règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46 (règlement général sur la protection des données) (JO 2016, L 119, p. 1), est applicable, en vertu de son article 99, paragraphe 2, à partir du 25 mai 2018. L’article 94, paragraphe 1, de ce règlement dispose que la directive 95/46 est abrogée avec effet à cette même date.
12 Ledit règlement dispose, à son article 15, intitulé « Droit d’accès de la personne concernée » :
« 1. La personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel [...]
[...]
3. Le responsable du traitement fournit une copie des données à caractère personnel faisant l’objet d’un traitement. [...]
4. Le droit d’obtenir une copie visé au paragraphe 3 ne porte pas atteinte aux droits et libertés d’autrui. »
13 L’article 23 du règlement 2016/679, intitulé « Limitations », énonce :
« 1. Le droit de l’Union ou le droit de l’État membre auquel le responsable du traitement ou le sous-traitant est soumis peuvent, par la voie de mesures législatives, limiter la portée des obligations et des droits prévus aux articles 12 à 22 [...], lorsqu’une telle limitation respecte l’essence des libertés et droits fondamentaux et qu’elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir :
[...]
e) d’autres objectifs importants d’intérêt public général de l’Union ou d’un État membre, notamment un intérêt économique ou financier important de l’Union ou d’un État membre, y compris dans les domaines monétaire, budgétaire et fiscal, de la santé publique et de la sécurité sociale ;
[...]
i) la protection de la personne concernée ou des droits et libertés d’autrui ;
[...] »
Le droit irlandais
14 Le Data Protection Act 1988 (loi de 1988 sur la protection des données), tel que modifié par le Data Protection (Amendment) Act 2003 (loi modificative de 2003 sur la protection des données) (ci-après la « loi sur la protection des données »), vise à transposer la directive 95/46 dans l’ordre juridique irlandais. L’article 1er, paragraphe 1, de cette loi définit la notion de « données à caractère personnel » comme suit :
« données relatives à une personne vivante, identifiée ou susceptible de l’être soit à partir des données en cause soit à partir de données combinées à d’autres informations qui sont en possession du contrôleur des données ou qui sont susceptibles de le devenir ».
15 Le droit d’accès est régi par l’article 4 de la loi sur la protection des données, dont le paragraphe 6, qui porte spécifiquement sur les demandes d’accès aux résultats d’examens, est libellé comme suit :
« a) La demande présentée par une personne au titre du paragraphe 1 du présent article relative aux résultats d’un examen auquel elle a été candidate est présumée, aux fins du présent article, être faite
i) à la date de la première publication des résultats de l’examen, ou
ii) à la date de la demande,
qui est la plus récente ; [...]
b) Au titre du présent paragraphe, on entend par “examen” toute procédure visant à déterminer les connaissances, l’intelligence, les capacités ou les aptitudes d’une personne par référence à sa performance à tout test, travail ou autre activité. »
16 L’article 6 de la loi sur la protection des données établit le droit de rectification et d’effacement des données à caractère personnel, dont le traitement n’est pas conforme à cette loi.
17 L’article 10, paragraphe 1, sous b), i), de la loi sur la protection des données impose au commissaire à la protection des données d’instruire une réclamation « sauf s’il est d’avis qu’elle est fantaisiste ou vexatoire ».
Le litige au principal et les questions préjudicielles
18 M. Nowak a, en tant qu’expert-comptable stagiaire, réussi les examens de comptabilité de premier niveau ainsi que trois des examens de deuxième niveau organisés par l’Institute of Chartered Accountants of Ireland (ordre irlandais des experts comptables, ci-après l’« ordre des experts-comptables »). Il a cependant échoué à l’examen de « comptabilité de la finance stratégique et de la gestion », qui laissait aux candidats la possibilité d’utiliser des documents (examen à livre ouvert).
19 À la suite de son quatrième échec à cet examen, en automne 2009, M. Nowak a, dans un premier temps, introduit une réclamation visant à contester le résultat de celui-ci. Après que cette réclamation a été rejetée au mois de mars 2010, il a présenté, au mois de mai 2010, une demande d’accès, au titre de l’article 4 de la loi sur la protection des données, visant l’ensemble des données à caractère personnel le concernant, détenues par l’ordre des experts-comptables.
20 Par courrier du 1er juin 2010, l’ordre des experts-comptables a communiqué à M. Nowak 17 documents, mais a refusé de lui transmettre sa copie d’examen, au motif que celle-ci ne contenait pas de données à caractère personnel, au sens de la loi sur la protection des données.
21 M. Nowak s’est alors adressé au commissaire à la protection des données en vue de contester le bien-fondé du motif de refus de communication de sa copie d’examen. Au mois de juin 2010, celui-ci lui a répondu par courrier électronique indiquant, notamment, que « de manière générale, les copies d’examen ne sont pas examinées [aux fins de la protection des données] [...] car, de manière générale, ces documents ne constituent pas des données à caractère personnel ».
22 Cette réponse du commissaire à la protection des données a été suivie d’un échange de correspondance entre M. Nowak et ce commissaire qui s’est conclu, le 1er juillet 2010, par la présentation par M. Nowak d’une réclamation formelle.
23 Par courriel du 21 juillet 2010, le commissaire à la protection des données a informé M. Nowak que, après examen du dossier, il n’avait pas constaté de violation de fond de la loi sur la protection des données et que, conformément à l’article 10, paragraphe 1, sous b), i), de cette loi, qui prévoit le cas des réclamations fantaisistes ou vexatoires, il décidait de ne pas instruire sa réclamation. Ce courriel indiquait, par ailleurs, que les documents à propos desquels M. Nowak souhaitait exercer « un droit de correction » « ne constituaient pas des données à caractère personnel auxquelles l’article 6 de la loi sur la protection des données s’appliquait ».
24 M. Nowak a introduit un recours contre cette décision devant le Circuit Court (tribunal régional, Irlande). Celui-ci a conclu à l’irrecevabilité du recours au motif que, en l’absence d’une instruction de la réclamation par le commissaire à la protection des données, il n’y avait pas de décision susceptible de recours. À titre subsidiaire, ce tribunal a jugé que le recours était non fondé, dès lors que la copie d’examen ne constituait pas une donnée à caractère personnel.
25 M. Nowak a formé un recours contre l’arrêt dudit tribunal devant la High Court (Haute Cour, Irlande), laquelle a toutefois confirmé cet arrêt. L’arrêt de la High Court (Haute Cour) a, à son tour, été confirmé par la Court of Appeal (Cour d’appel, Irlande). La Supreme Court (Cour suprême, Irlande), qui a autorisé le pourvoi contre l’arrêt de la Court of Appeal (Cour d’appel), a conclu à la recevabilité du recours introduit par M. Nowak contre la décision du commissaire à la protection des données.
26 Cependant, éprouvant des doutes quant à la question de savoir si une copie d’examen peut constituer une donnée à caractère personnel, au sens de la directive 95/46, la Supreme Court (Cour suprême) a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :
« 1) Les informations inscrites dans des réponses ou à titre de réponses données par un candidat au cours d’un examen professionnel sont-elles de nature à constituer des données à caractère personnel, au sens de la directive 95/46 ?
2) S’il y a lieu de répondre à la première question que certaines ou la totalité de ces informations sont susceptibles de constituer des données à caractère personnel, au sens de la directive 95/46, quels facteurs sont pertinents pour déterminer si, dans un cas donné, une copie d’examen constitue une donnée à caractère personnel et quel poids doit être accordé à ceux-ci ? »
Sur les questions préjudicielles
27 Par ses questions, qu’il convient d’examiner ensemble, la juridiction de renvoi demande, en substance, si l’article 2, sous a), de la directive 95/46 doit être interprété en ce sens que, dans des conditions telles que celles en cause au principal, les réponses écrites fournies par un candidat lors d’un examen professionnel et les éventuelles annotations de l’examinateur s’y rapportant constituent des données à caractère personnel, au sens de cette disposition.
28 À cet égard, il y a lieu de rappeler que l’article 2, sous a), de la directive 95/46 définit les données à caractère personnel comme « toute information concernant une personne physique identifiée ou identifiable ». Selon cette même disposition, « est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d’identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale ».
29 Il est constant qu’un candidat à un examen professionnel est une personne physique qui peut être identifiée soit directement, à partir de son nom, soit indirectement, à partir d’un numéro d’identification, lesquels sont apposés sur la copie d’examen ou le feuillet de couverture de cette copie.
30 Contrairement à ce que semble faire valoir le commissaire à la protection des données, est sans incidence, dans ce contexte, le point de savoir si l’examinateur peut ou non identifier le candidat au moment de la correction et de la notation de la copie d’examen.
31 En effet, pour qu’une donnée puisse être qualifiée de « donnée à caractère personnel », au sens de l’article 2, sous a), de la directive 95/46, il n’est pas requis que toutes les informations permettant d’identifier la personne concernée se trouvent entre les mains d’une seule personne (arrêt du 19 octobre 2016, Breyer, C‑582/14, EU:C:2016:779, point 43). Il est par ailleurs constant que, dans l’hypothèse où l’examinateur ne connaît pas l’identité du candidat lors de la notation des réponses fournies par celui-ci dans le cadre d’un examen, l’entité organisant l’examen, en l’occurrence l’ordre des experts-comptables, dispose, en revanche, des informations nécessaires lui permettant d’identifier sans difficultés ou doutes ce candidat à partir de son numéro d’identification, apposé sur la copie d’examen ou le feuillet de couverture de cette copie, et ainsi de lui attribuer ses réponses.
32 Il convient toutefois de vérifier si les réponses écrites fournies par le candidat lors d’un examen professionnel et les éventuelles annotations de l’examinateur s’y rapportant constituent des informations concernant ce candidat, au sens de l’article 2, sous a), de la directive 95/46.
33 Ainsi que la Cour l’a déjà constaté, le champ d’application de la directive 95/46 est très large et les données à caractère personnel visées par celle-ci sont variées (arrêt du 7 mai 2009, Rijkeboer, C‑553/07, EU:C:2009:293, point 59 et jurisprudence citée).
34 En effet, l’emploi de l’expression « toute information » dans le cadre de la définition de la notion de « donnée à caractère personnel », figurant à l’article 2, sous a), de la directive 95/46, reflète l’objectif du législateur de l’Union d’attribuer un sens large à cette notion, laquelle n’est pas restreinte aux informations sensibles ou d’ordre privé, mais englobe potentiellement toute sorte d’informations, tant objectives que subjectives sous forme d’avis ou d’appréciations, à condition que celles-ci « concernent » la personne en cause.
35 S’agissant de cette dernière condition, celle-ci est satisfaite lorsque, en raison de son contenu, sa finalité ou son effet, l’information est liée à une personne déterminée.
36 Or, ainsi que l’ont fait valoir, en substance, M. Nowak, les gouvernements tchèque, hellénique, hongrois, autrichien et portugais ainsi que la Commission européenne, les réponses écrites fournies par un candidat à un examen professionnel constituent de telles informations liées à sa personne.
37 En effet, tout d’abord, le contenu de ces réponses reflète le niveau de connaissance et de compétence du candidat dans un domaine donné ainsi que, le cas échéant, ses processus de réflexion, son jugement et son esprit critique. En cas d’examen rédigé à la main, les réponses contiennent, en outre, des informations sur son écriture.
38 Ensuite, la collecte desdites réponses a pour finalité d’évaluer les capacités professionnelles du candidat et son aptitude à exercer le métier en cause.
39 Enfin, l’utilisation de ces informations, qui se traduit, notamment, par le succès ou l’échec du candidat à l’examen concerné, est susceptible d’avoir un effet sur les droits et intérêts de celui-ci, en ce qu’elle peut déterminer ou influencer, par exemple, ses chances d’accéder à la profession ou à l’emploi souhaités.
40 La constatation que les réponses écrites fournies par un candidat à un examen professionnel constituent des informations qui concernent ce candidat en raison de leur contenu, de leur finalité et de leur effet vaut, par ailleurs, également lorsqu’il s’agit, comme en l’occurrence, d’un examen à livre ouvert.
41 En effet, ainsi que l’a relevé Mme l’avocat général au point 24 de ses conclusions, tout examen vise à déterminer et à établir les performances individuelles d’une personne spécifique, à savoir le candidat, et non pas, à la différence notamment d’une enquête représentative, à obtenir des informations indépendantes de cette personne.
42 S’agissant des annotations de l’examinateur relatives aux réponses du candidat, il convient de constater que celles-ci constituent, tout comme les réponses fournies par le candidat lors de l’examen, des informations concernant ce candidat.
43 Ainsi, le contenu de ces annotations reflète l’avis ou l’appréciation de l’examinateur sur les performances individuelles du candidat lors de l’examen, et notamment sur ses connaissances et ses compétences dans le domaine concerné. Lesdites annotations ont, par ailleurs, précisément pour finalité de documenter l’évaluation par l’examinateur des performances du candidat et sont susceptibles d’avoir des effets pour ce dernier, comme indiqué au point 39 du présent arrêt.
44 La constatation que les annotations de l’examinateur relatives aux réponses fournies par le candidat lors de l’examen constituent des informations qui, en raison de leur contenu, de leur finalité et de leur effet, sont liées à ce candidat n’est pas infirmée par le fait que ces annotations constituent également des informations concernant l’examinateur.
45 En effet, la même information peut concerner plusieurs personnes physiques et ainsi constituer pour celles-ci, à condition que ces personnes soient identifiées ou identifiables, une donnée à caractère personnel, au sens de l’article 2, sous a), de la directive 95/46.
46 Par ailleurs, la qualification de données à caractère personnel des réponses écrites fournies par le candidat lors d’un examen professionnel et des éventuelles annotations de l’examinateur relatives à ces réponses ne saurait être influencée, contrairement à ce que font valoir le commissaire à la protection des données et le gouvernement irlandais, par la circonstance que cette qualification ouvre, en principe, à ce candidat des droits d’accès et de rectification, en vertu de l’article 12, sous a) et b), de la directive 95/46.
47 À cet égard, il convient, tout d’abord, de rappeler, ainsi que l’a exposé la Commission lors de l’audience, que de nombreux principes et garanties, prévus par la directive 95/46, s’attachent à cette qualification et dépendent de celle-ci.
48 En effet, il résulte du considérant 25 de la directive 95/46 que les principes de la protection prévus par celle-ci trouvent leur expression, d’une part, dans les obligations mises à la charge de ceux qui traitent des données, ces obligations concernant en particulier la qualité des données, la sécurité technique, la notification à l’autorité de contrôle, les circonstances dans lesquelles le traitement peut être effectué et, d’autre part, dans les droits donnés aux personnes dont les données font l’objet d’un traitement d’être informées sur celui-ci, de pouvoir accéder aux données, de pouvoir demander leur rectification, voire de s’opposer au traitement dans certaines circonstances.
49 Ainsi, nier la qualification de « données à caractère personnel » aux informations concernant un candidat, contenues dans ses réponses fournies lors d’un examen professionnel et dans les annotations de l’examinateur s’y rapportant, aurait pour conséquence de soustraire entièrement ces informations au respect des principes et des garanties en matière de protection des données à caractère personnel, et, notamment, des principes relatifs à la qualité de telles données et à la légitimation de leur traitement, établis aux articles 6 et 7 de la directive 95/46, ainsi que des droits d’accès, de rectification et d’opposition de la personne concernée, prévus aux articles 12 et 14 de cette directive, et du contrôle exercé par l’autorité de contrôle en vertu de l’article 28 de ladite directive.
50 Or, ainsi que l’a relevé Mme l’avocat général au point 26 de ses conclusions, il est constant qu’un candidat à un examen a, notamment, un intérêt légitime, tiré de la protection de sa vie privée, à pouvoir s’opposer à ce que ses réponses fournies lors de cet examen et les annotations de l’examinateur relatives à ces réponses soient traitées en dehors de la procédure d’examen et, en particulier, à ce qu’elles soient transmises à des tiers, voire publiées, sans son autorisation. De même, l’entité organisant l’examen est, en tant que responsable du traitement des données, tenue d’assurer que ces réponses et annotations soient stockées de manière à éviter que des tiers y aient accès de manière illicite.
51 Ensuite, il importe de constater que les droits d’accès et de rectification, prévus à l’article 12, sous a) et b), de la directive 95/46, peuvent également se justifier par rapport aux réponses écrites fournies par le candidat lors d’un examen professionnel et aux éventuelles annotations de l’examinateur s’y rapportant.
52 Certes, le droit de rectification, prévu à l’article 12, sous b), de la directive 95/46, ne saurait, à l’évidence, permettre à un candidat de « rectifier », a posteriori, de « fausses » réponses.
53 En effet, il résulte de l’article 6, paragraphe 1, sous d), de la directive 95/46 que le caractère exact et complet de données à caractère personnel doit être apprécié au regard de la finalité pour laquelle ces données ont été collectées. Cette finalité consiste, en ce qui concerne les réponses d’un candidat à un examen, à pouvoir évaluer le niveau de connaissance et de compétence de ce candidat à la date de l’examen. Or, ce niveau est justement reflété par d’éventuelles erreurs dans ces réponses. Partant, de telles erreurs ne constituent nullement une inexactitude, au sens de la directive 95/46, qui ouvrirait un droit de rectification en vertu de l’article 12, sous b), de celle-ci.
54 En revanche, il est possible que se présentent des situations dans lesquelles les réponses d’un candidat à un examen et les annotations de l’examinateur relatives à ces réponses se révèlent inexactes, au sens de l’article 6, paragraphe 1, sous d), de la directive 95/46, par exemple en raison du fait que, par erreur, les copies d’examen ont été échangées de telle sorte que les réponses d’un autre candidat ont été attribuées au candidat concerné, ou qu’une partie des feuillets comportant les réponses de ce candidat a été perdue de telle sorte que lesdites réponses ne sont pas complètes, ou encore que les éventuelles annotations de l’examinateur ne documentent pas correctement l’évaluation portée par celui-ci sur les réponses du candidat concerné.
55 Par ailleurs, ainsi que l’a relevé Mme l’avocat général au point 37 de ses conclusions, il ne saurait être exclu qu’un candidat ait, au titre de l’article 12, sous b), de la directive 95/46, le droit de demander au responsable du traitement des données que ses réponses à l’examen et les annotations de l’examinateur s’y rapportant soient, après une certaine période de temps, effacées, c’est-à-dire détruites. En effet, en vertu de l’article 6, paragraphe 1, sous e), de cette directive, les données à caractère personnel peuvent, en principe, être conservées sous une forme permettant l’identification de la personne concernée pendant une durée n’excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles ont été collectées ou pour lesquelles elles sont traitées ultérieurement. Or, compte tenu de la finalité des réponses fournies par un candidat lors d’un examen et des annotations de l’examinateur relatives à ces réponses, leur conservation dans une forme permettant l’identification du candidat ne paraît, a priori, plus nécessaire une fois que la procédure d’examen est définitivement close et ne peut plus faire l’objet de recours, de telle sorte que ces réponses et annotations ont perdu toute valeur probante.
56 Dans la mesure où les réponses écrites fournies par un candidat lors d’un examen professionnel et les éventuelles annotations de l’examinateur s’y rapportant sont donc susceptibles d’être soumises à une vérification, notamment, de leur exactitude et de la nécessité de leur conservation, au sens de l’article 6, paragraphe 1, sous d) et e), de la directive 95/46, et peuvent faire l’objet d’une rectification ou d’un effacement, au titre de l’article 12, sous b), de celle-ci, il y a lieu de considérer que le fait de donner au candidat un droit d’accès à ces réponses et à ces annotations, en vertu de l’article 12, sous a), de cette directive, sert l’objectif de cette dernière consistant à garantir la protection du droit à la vie privée de ce candidat à l’égard du traitement des données le concernant (voir, a contrario, arrêt du 17 juillet 2014, YS e.a., C‑141/12 et C‑372/12, EU:C:2014:2081, points 45 et 46), et ce indépendamment du point de savoir si ledit candidat dispose ou non d’un tel droit d’accès également en vertu de la réglementation nationale applicable à la procédure d’examen.
57 Dans ce contexte, il y a lieu de rappeler que la protection du droit fondamental au respect de la vie privée implique, notamment, que toute personne physique puisse s’assurer que les données à caractère personnel la concernant sont exactes et qu’elles sont traitées de manière licite. Ainsi qu’il ressort du considérant 41 de la directive 95/46, c’est afin de pouvoir effectuer les vérifications nécessaires que la personne concernée dispose, en vertu de l’article 12, sous a), de celle-ci, d’un droit d’accès aux données la concernant qui font l’objet d’un traitement. Ce droit d’accès est nécessaire, notamment, pour permettre à la personne concernée d’obtenir, le cas échéant, de la part du responsable du traitement, la rectification, l’effacement ou le verrouillage de ces données et, par conséquent, d’exercer le droit visé à l’article 12, sous b), de ladite directive (arrêt du 17 juillet 2014, YS e.a., C‑141/12 et C‑372/12, EU:C:2014:2081, point 44 et jurisprudence citée).
58 Enfin, il convient de constater, d’une part, que les droits d’accès et de rectification, au titre de l’article 12, sous a) et b), de la directive 95/46, ne s’étendent pas aux questions d’examen, lesquelles ne constituent pas en tant que telles des données à caractère personnel du candidat.
59 D’autre part, tant la directive 95/46 que le règlement 2016/679 qui la remplace prévoient certaines limitations de ces droits.
60 Ainsi, en vertu de l’article 13, paragraphe 1, sous g), de la directive 95/46, les États membres peuvent prendre des mesures législatives visant à limiter la portée des obligations et des droits prévus, notamment, à l’article 6, paragraphe 1, et à l’article 12 de cette directive, lorsqu’une telle limitation constitue une mesure nécessaire pour sauvegarder les droits et libertés d’autrui.
61 L’article 23, paragraphe 1, sous e), du règlement 2016/679 étend la liste des motifs de limitations, actuellement prévue à l’article 13, paragraphe 1, de la directive 95/46, à « d’autres objectifs importants d’intérêt public général de l’Union ou d’un État membre ». En outre, l’article 15 du règlement 2016/679, portant sur le droit d’accès de la personne concernée, prévoit, à son paragraphe 4, que le droit d’obtenir une copie des données à caractère personnel ne doit pas porter atteinte aux droits et aux libertés d’autrui.
62 Compte tenu de l’ensemble des considérations qui précèdent, il y a lieu de répondre aux questions posées que l’article 2, sous a), de la directive 95/46 doit être interprété en ce sens que, dans des conditions telles que celles en cause au principal, les réponses écrites fournies par un candidat lors d’un examen professionnel et les éventuelles annotations de l’examinateur relatives à ces réponses constituent des données à caractère personnel, au sens de cette disposition.
Sur les dépens
63 La procédure revêtant, à l’égard des parties au principal, le caractère d’un incident soulevé devant la juridiction de renvoi, il appartient à celle-ci de statuer sur les dépens. Les frais exposés pour soumettre des observations à la Cour, autres que ceux desdites parties, ne peuvent faire l’objet d’un remboursement.
Par ces motifs, la Cour (deuxième chambre) dit pour droit :
L’article 2, sous a), de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, doit être interprété en ce sens que, dans des conditions telles que celles en cause au principal, les réponses écrites fournies par un candidat lors d’un examen professionnel et les éventuelles annotations de l’examinateur relatives à ces réponses constituent des données à caractère personnel, au sens de cette disposition.
Signatures