Language of document : ECLI:EU:T:2015:926

Cauza T‑343/13

CN

împotriva

Parlamentului European

„Răspundere extracontractuală – Petiție adresată Parlamentului – Diseminare pe site‑ul internet al Parlamentului a anumite date cu caracter personal – Lipsa unei încălcări suficient de grave a unei norme de drept care conferă drepturi particularilor”

Sumar – Hotărârea Tribunalului (Camera a șasea) din 3 decembrie 2015

1.      Răspundere extracontractuală – Condiții – Nelegalitate – Încălcare suficient de gravă a dreptului Uniunii – Cerința unei nerespectări vădite și grave de către instituții a limitelor puterii lor de apreciere – Încălcarea normelor referitoare la protecția datelor cu caracter personal – Includere

(art. 340 al doilea paragraf TFUE; Carta drepturilor fundamentale a Uniunii Europene, art. 8; Regulamentul nr. 45/2001 al Parlamentului European și al Consiliului)

2.      Instituțiile Uniunii Europene – Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul nr. 45/2001 – Date privind sănătatea – Noțiune – Interpretare largă – Limite

(Regulamentul nr. 45/2001 al Parlamentului European și al Consiliului, art. 10 alin. (1)

3.      Instituțiile Uniunii Europene – Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul nr. 45/2001 – Necesitatea legalității prelucrării – Consimțământul persoanei vizate – Noțiune – Depunerea unei petiții conținând informații sensibile pe site‑ul internet al Parlamentului European – Informații furnizate petiționarului înainte de depunere care i‑au permis acestuia să aprecieze posibilitatea de acces al publicului la petiția sa – Caracter licit al prelucrării

[Regulamentul nr. 45/2001 al Parlamentului European și al Consiliului, art. 2 lit. (h), art. 5 lit. (d) și art. 10 alin. (2) lit. (a)]

4.      Răspundere extracontractuală – Condiții – Nelegalitate – Încălcare suficient de gravă a dreptului Uniunii – Invocarea unor nelegalități care decurg dintr‑o încălcare a drepturilor unor terți – Inadmisibilitate

(art. 340 al doilea paragraf TFUE)

5.      Instituțiile Uniunii Europene – Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul nr. 45/2001 – Dreptul de ștergere a datelor – Condiție – Prelucrare ilegală a datelor în cauză – Ștergerea din curtoazie a datelor prelucrate legal – Respectarea unui termen rezonabil

(Regulamentul nr. 45/2001 al Parlamentului European și al Consiliului, art. 16)

6.      Drepturi fundamentale – Respectarea vieții private – Protecția datelor cu caracter personal – Divulgarea datelor cu consimțământul persoanei vizate – Ingerință în viața privată – Inexistență

7.      Răspundere extracontractuală – Condiții – Nelegalitate – Prejudiciu – Legătură de cauzalitate – Condiții cumulative – Lipsa uneia dintre condiții – Respingerea în întregime a acțiunii în despăgubire

(art. 340 al doilea paragraf TFUE)

8.      Răspundere extracontractuală – Condiții – Prejudiciu real și cert cauzat de un act nelegal – Prejudiciu material și moral – Sarcina probei

(art. 340 al doilea paragraf TFUE)

9.      Răspundere extracontractuală – Condiții – Legătură de cauzalitate – Prejudiciu constituit de cheltuielile aferente procedurii precontencioase – Cheltuieli care rezultă din libera alegere a reclamantului – Lipsa unei legături de cauzalitate între prejudiciu și comportamentul instituției

(art. 340 al doilea paragraf TFUE)

1.      În materie de răspundere extracontractuală a Uniunii, condiția privind comportamentul nelegal al instituțiilor Uniunii impune existența unei încălcări suficient de grave a unei norme de drept care are ca obiect conferirea de drepturi particularilor. Criteriul decisiv pentru a considera că o încălcare a dreptului Uniunii este suficient de gravă îl reprezintă nerespectarea vădită și gravă de către o instituție a Uniunii a limitelor impuse puterii sale de apreciere.

În această privință, întrucât dreptul la protecția datelor cu caracter personal consacrat la articolul 8 din Carta drepturilor fundamentale a Uniunii Europene este dezvoltat prin Regulamentul nr. 45/2001 privind protecția persoanelor fizice cu privire la prelucrarea datelor cu caracter personal de către instituțiile și organele comunitare și privind libera circulație a acestor date, în ceea ce privește actele instituțiilor și ale organelor Uniunii și prin dispozițiile de aplicare a regulamentului menționat adoptate de fiecare instituție, aceste diferite dispoziții au ca obiect conferirea de drepturi particularilor. În consecință, pot fi invocate de un reclamant în cadrul acțiunii în despăgubire.

(a se vedea punctele 44 și 47)

2.      Expresiei „date privind sănătatea”, care figurează la articolul 10 alineatul (1) din Regulamentul nr. 45/2001 privind protecția persoanelor fizice cu privire la prelucrarea datelor cu caracter personal de către instituțiile și organele comunitare și privind libera circulație a acestor date, trebuie să i se dea o interpretare largă, astfel încât să cuprindă informații referitoare la toate aspectele, atât fizice, cât și psihice, ale sănătății unei persoane. Cu toate acestea, respectiva noțiune nu poate fi extinsă până la a îngloba expresii care nu generează divulgarea niciunei date privind sănătatea sau condiția medicală a unei persoane.

(a se vedea punctul 50)

3.      Dat fiind că articolul 2 litera (h) din Regulamentul nr. 45/2001 privind protecția persoanelor fizice cu privire la prelucrarea datelor cu caracter personal de către instituțiile și organele comunitare și privind libera circulație a acestor date nu impune nicio condiție de formă în ceea ce privește consimțământul unei persoane la o prelucrare a datelor cu caracter personal, depunerea unei petiții la Parlamentul European poate fi considerată drept o manifestare de voință a persoanei vizate.

Astfel, o citire atentă a informațiilor furnizate de Parlament pe site‑ul său internet privind accesul publicului la petiții ar fi trebuit să permită unui petiționar suficient de atent să aprecieze conținutul acțiunii sale și consecințele acesteia. În această privință, fiind vorba despre o petiție având ca obiect faptul că o instituție a Uniunii nu a luat în considerare în mod corespunzător starea de sănătate a petiționarului funcționar al Uniunii și cea a fiului său, în cadrul carierei sale, această manifestare de voință este specifică, întrucât Parlamentul a informat petiționarul, la momentul depunerii, despre faptul că plângerea sa ar fi accesibilă pe internet și că acesta din urmă și‑a dat consimțământul explicit prin bifarea căsuțelor dintr‑un formular referitoare la prelucrarea publică și la înscrierea într‑un registru accesibil pe internet, fără ca consimțământul său să trebuiască să fie dedus în mod implicit dintr‑o acțiune oarecare. În aceste condiții, este necesar să se considere că petiționarul și‑a dat consimțământul explicit pentru divulgarea informațiilor sensibile privind sănătatea, în sensul articolului 10 alineatul (2) litera (a) din Regulamentul nr. 45/2001. Aceste considerații se aplică mutatis mutandis la prelucrarea altor date personale decât datele personale sensibile ale petiționarului.

Pe de altă parte, în ceea ce privește datele personale care nu figurează printre cele menționate la articolul 10 alineatul (1) din Regulamentul nr. 45/2001 precum cele privind cariera petiționarului, prelucrarea lor este supusă regimului prevăzut la articolul 5 din regulamentul menționat. Potrivit articolului 5 litera (d) din acest regulament, prelucrarea poate fi efectuată, printre altele, atunci când persoana vizată și‑a dat în mod clar consimțământul. Cu alte cuvinte, prelucrarea poate fi efectuată atunci când persoana vizată și‑a dat consimțământul cu certitudine și fără ambiguitate. În această privință, în timp ce articolul 10 alineatul (2) litera (a) din Regulamentul nr. 45/2001 pretinde ca consimțământul să fie explicit, articolul 5 litera (d) din regulamentul menționat impune un consimțământ dat în mod clar. Este logic să se considere, ținând seama de natura datelor personale sensibile, că condițiile impuse în privința consimțământului în sensul articolului 5 litera (d) din Regulamentul nr. 45/2001 nu pot fi mai stricte decât cele prevăzute la articolul 10 alineatul (2) litera (a) din regulamentul amintit.

(a se vedea punctele 59, 70, 74 și 76-79)

4.      În materie de răspundere extracontractuală a Uniunii, în scopul garantării efectului util al condiției privind încălcarea unei norme de drept care conferă drepturi particularilor, este necesar ca protecția oferită de norma invocată să fie efectivă în privința persoanei care o invocă și, așadar, ca această persoană să se afle printre cele cărora norma în discuție le conferă drepturi. Nu se poate admite ca izvor de despăgubire o normă care nu îl protejează împotriva nelegalității pe particularul care o invocă, ci pe un alt particular. Rezultă că un reclamant nu poate invoca, în cadrul acțiunii sale în despăgubire, nelegalități care decurg din pretinsa încălcare a drepturilor unui terț.

(a se vedea punctul 86)

5.      Articolul 16 din Regulamentul nr. 45/2001 privind protecția persoanelor fizice cu privire la prelucrarea datelor cu caracter personal de către instituțiile și organele comunitare și privind libera circulație a acestor date conferă dreptul de a obține ștergerea datelor personale numai în cazul în care prelucrarea acestora este ilegală. În consecință, această dispoziție nu poate fi invocată în susținerea unei cereri de ștergere atunci când prelucrarea este legală. Faptul că instituția în cauză a Uniunii a decis să admită o cerere de ștergere nu implică în sine recunoașterea nelegalității prelucrării inițiale.

În această privință, articolul 12 alineatul (3) din Dispozițiile de aplicare a Regulamentului nr. 45/2001 adoptate de Parlamentul European prevede că, atunci când o cerere de ștergere a datelor personale este acceptată, ea este executată fără întârziere. Dispoziția respectivă vizează situațiile în care cererea este acceptată, întrucât este întemeiată, și anume pentru că prelucrarea este nelegală. În aceste împrejurări, este logic ca ea să trebuiască să fie executată fără întârziere. În schimb, atunci când cererea nu este întemeiată, ci este acceptată din curtoazie, nu există niciun motiv pentru a impune o obligație de executare fără întârziere. În acest caz, Parlamentul este ținut numai să își îndeplinească angajamentul într‑un termen rezonabil.

(a se vedea punctele 90 și 100)

6.      În ceea ce privește divulgarea de informații personale de o instituție a Uniunii, nu se poate considera că există o „ingerință a unei autorități publice” în viața privată în sensul articolului 8 din Convenția europeană a drepturilor omului atunci când persoana vizată își dă consimțământul la această divulgare.

(a se vedea punctul 107)

7.      A se vedea textul deciziei.

(a se vedea punctul 110)

8.      A se vedea textul deciziei.

(a se vedea punctele 118 și 119)

9.      A se vedea textul deciziei.

(a se vedea punctele 123 și 124)