Affaire C‑230/14
Weltimmo s.r.o.
contre
Nemzeti Adatvédelmi és Információszabadság Hatóság
(demande de décision préjudicielle, introduite par la Kúria)
«Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Directive 95/46/CE – Articles 4, paragraphe 1, et 28, paragraphes 1, 3 et 6 – Responsable du traitement formellement établi dans un État membre – Atteinte au droit à la protection des données à caractère personnel concernant les personnes physiques dans un autre État membre – Détermination du droit applicable et de l’autorité de contrôle compétente – Exercice des pouvoirs de l’autorité de contrôle – Pouvoir de sanction»
Sommaire – Arrêt de la Cour (troisième chambre) du 1er octobre 2015
1. Rapprochement des législations – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Directive 95/46 – Établissement d’une société responsable du traitement de données – Notion – Interprétation souple
(Directive du Parlement européen et du Conseil 95/46, 19e considérant)
2. Rapprochement des législations – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Directive 95/46 – Société responsable d’un traitement de données dans un État membre autre que celui de son immatriculation – Application de la législation de cet autre État membre – Condition – Exercice d’une activité effective et réelle au moyen d’une installation stable – Critères d’appréciation
[Directive du Parlement européen et du Conseil 95/46, art. 4, § 1, a)]
3. Rapprochement des législations – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Directive 95/46 – Plainte déposée auprès de l’autorité de contrôle d’un État membre – Autorité de contrôle concluant à l’applicabilité de la législation d’un autre État membre pour le traitement de données – Pouvoirs d’interventions de ladite autorité – Limites
(Directive du Parlement européen et du Conseil 95/46, art. 28, § 1, 3, 4 et 6)
4. Rapprochement des législations – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Directive 95/46 – Notion d’«adatfeldolgozás» (opérations techniques de traitement des données) figurant dans la version hongroise – Portée
[Directive du Parlement européen et du Conseil 95/46, art. 4, § 1, a), et 28, § 6]
1. Il découle du considérant 19 de la directive 95/46, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, une conception souple de la notion d’établissement, qui écarte toute approche formaliste selon laquelle une entreprise ne serait établie que dans le lieu où elle est enregistrée. Ainsi, afin de déterminer si une société, responsable d’un traitement de données, dispose d’un établissement, au sens de la directive 95/46, dans un État membre autre que l’État membre ou le pays tiers où elle est immatriculée, il convient d’évaluer tant le degré de stabilité de l’installation que la réalité de l’exercice des activités dans cet autre État membre, en tenant compte de la nature spécifique des activités économiques et des prestations de services en question. Cela vaut tout particulièrement pour des entreprises qui s’emploient à offrir des services exclusivement sur Internet.
(cf. point 29)
2. L’article 4, paragraphe 1, sous a), de la directive 95/46, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, doit être interprété en ce sens qu’il permet l’application de la législation relative à la protection des données à caractère personnel d’un État membre autre que celui dans lequel le responsable du traitement de ces données est immatriculé, pour autant que celui-ci exerce, au moyen d’une installation stable sur le territoire de cet État membre, une activité effective et réelle, même minime, dans le cadre de laquelle ce traitement est effectué.
Afin de déterminer si tel est le cas, la juridiction de renvoi peut, notamment, tenir compte du fait, d’une part, que l’activité du responsable dudit traitement, dans le cadre de laquelle ce dernier a lieu, consiste dans l’exploitation de sites Internet d’annonces immobilières concernant des biens immobiliers situés sur le territoire de cet État membre et rédigés dans la langue de celui-ci et qu’elle est, par conséquent, principalement, voire entièrement, tournée vers ledit État membre et, d’autre part, que ce responsable dispose d’un représentant dans ledit État membre, qui est chargé de recouvrer les créances résultant de cette activité ainsi que de le représenter dans des procédures administrative et judiciaire relatives au traitement des données concernées.
En revanche, est dénuée de pertinence la question de la nationalité des personnes concernées par ce traitement de données.
(cf. point 41, disp. 1)
3. Dans l’hypothèse où l’autorité de contrôle d’un État membre saisie de plaintes, conformément à l’article 28, paragraphe 4, de la directive 95/46, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, parviendrait à la conclusion que le droit applicable au traitement des données à caractère personnel concernées est non pas le droit de cet État membre, mais celui d’un autre État membre, l’article 28, paragraphes 1, 3 et 6, de cette directive doit être interprété en ce sens que cette autorité de contrôle ne pourrait exercer les pouvoirs effectifs d’interventions qui lui ont été conférés conformément à l’article 28, paragraphe 3, de ladite directive que sur le territoire de l’État membre dont elle relève. Partant, elle ne saurait infliger de sanctions sur la base du droit de cet État membre au responsable du traitement de ces données qui n’est pas établi sur ce territoire, mais devrait, en application de l’article 28, paragraphe 6, de la même directive, demander à l’autorité de contrôle relevant de l’État membre dont le droit est applicable d’intervenir.
En effet, il découle des exigences résultant de la souveraineté territoriale de l’État membre concerné, du principe de légalité et de la notion d’État de droit que le pouvoir de répression ne peut, en principe, s’exercer en dehors des limites légales dans lesquelles une autorité administrative est habilitée à agir, dans le respect du droit de l’État membre dont elle relève.
(cf. points 56, 60, disp. 2)
4. La directive 95/46, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, doit être interprétée en ce sens que la notion d’«adatfeldolgozás» (opérations techniques de traitement des données), utilisée dans la version de cette directive en langue hongroise, en particulier aux articles 4, paragraphe 1, sous a), et 28, paragraphe 6, de celle-ci, doit être comprise dans un sens identique à celui du terme «adatkezelés» (traitement de données).
(cf. point 65, disp. 3)