ARRÊT DE LA COUR (grande chambre)
1er août 2022 (*)
« Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Charte des droits fondamentaux de l’Union européenne – Articles 7, 8 et 52, paragraphe 1 – Directive 95/46/CE – Article 7, sous c) – Article 8, paragraphe 1 – Règlement (UE) 2016/679 – Article 6, paragraphe 1, premier alinéa, sous c), et paragraphe 3, second alinéa – Article 9, paragraphe 1 – Traitement nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis – Objectif d’intérêt public – Proportionnalité – Traitement portant sur des catégories particulières de données à caractère personnel – Réglementation nationale imposant la publication sur Internet de données contenues dans les déclarations d’intérêts privés de personnes physiques travaillant dans le service public ou de dirigeants d’associations ou d’établissements percevant des fonds publics – Prévention des conflits d’intérêts et de la corruption dans le secteur public »
Dans l’affaire C‑184/20,
ayant pour objet une demande de décision préjudicielle au titre de l’article 267 TFUE, introduite par le Vilniaus apygardos administracinis teismas (tribunal administratif régional de Vilnius, Lituanie), par décision du 31 mars 2020, parvenue à la Cour le 28 avril 2020, dans la procédure
OT
contre
Vyriausioji tarnybinės etikos komisija,
en présence de :
Fondas « Nevyriausybinių organizacijų informacijos ir paramos centras »,
LA COUR (grande chambre),
composée de M. K. Lenaerts, président, M. L. Bay Larsen, vice-président, M. A. Arabadjiev, Mmes A. Prechal, K. Jürimäe, MM. C. Lycourgos, N. Jääskinen, Mme I. Ziemele et M. J. Passer, présidents de chambre, MM. M. Ilešič (rapporteur), J.‑C. Bonichot, A. Kumin et N. Wahl, juges,
avocat général : M. P. Pikamäe,
greffier : M. A. Calot Escobar,
vu la procédure écrite,
considérant les observations présentées :
– pour le gouvernement lituanien, par M. K. Dieninis et Mme V. Vasiliauskienė, en qualité d’agents,
– pour le gouvernement italien, par Mme G. Palmieri, en qualité d’agent, assistée de Mme M. Russo, avvocato dello Stato,
– pour le gouvernement finlandais, par Mme M. Pere, en qualité d’agent,
– pour la Commission européenne, par MM. S. L. Kalėda, H. Kranenborg et D. Nardi, en qualité d’agents,
ayant entendu l’avocat général en ses conclusions à l’audience du 9 décembre 2021,
rend le présent
Arrêt
1 La demande de décision préjudicielle porte sur l’interprétation de l’article 6, paragraphe 1, premier alinéa, sous e), et de l’article 9, paragraphe 1, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, et rectificatif JO 2018, L 127, p. 2, ci-après le « RGPD »).
2 Cette demande a été présentée dans le cadre d’un litige opposant OT à la Vyriausioji tarnybinės etikos komisija (Haute commission de prévention des conflits d’intérêts dans le service public, Lituanie) (ci-après la « Haute commission ») au sujet d’une décision de cette dernière constatant un manquement d’OT à son obligation de déposer une déclaration d’intérêts privés.
Le cadre juridique
Le droit international
La convention des Nations unies contre la corruption
3 La convention des Nations unies contre la corruption, adoptée par la résolution 58/4, du 31 octobre 2003, de l’Assemblée générale des Nations unies et entrée en vigueur le 14 décembre 2005, a été ratifiée par l’ensemble des États membres et approuvée par l’Union européenne par la décision 2008/801/CE du Conseil, du 25 septembre 2008 (JO 2008, L 287, p. 1).
4 Selon l’article 1er de cette convention :
« La présente Convention a pour objet :
a) de promouvoir et renforcer les mesures visant à prévenir et combattre la corruption de manière plus efficace ;
[...]
c) de promouvoir l’intégrité, la responsabilité et la bonne gestion des affaires publiques et des biens publics. »
5 Aux termes de l’article 7, paragraphe 4, de ladite convention :
« Chaque État Partie s’efforce, conformément aux principes fondamentaux de son droit interne, d’adopter, de maintenir et de renforcer des systèmes qui favorisent la transparence et préviennent les conflits d’intérêts. »
La convention pénale sur la corruption
6 La convention pénale sur la corruption, adoptée par le Conseil de l’Europe le 27 janvier 1999 et ratifiée par l’ensemble des États membres, énonce, à son quatrième considérant :
« Soulignant que la corruption constitue une menace pour la prééminence du droit, la démocratie et les droits de l’homme, sape les principes de bonne administration, d’équité et de justice sociale, fausse la concurrence, entrave le développement économique et met en danger la stabilité des institutions démocratiques et les fondements moraux de la société ».
Le droit de l’Union
La convention relative à la lutte contre la corruption impliquant des fonctionnaires
7 La convention établie sur la base de l’article K.3, paragraphe 2, sous c) du traité sur l’Union européenne, relative à la lutte contre la corruption impliquant des fonctionnaires des Communautés européennes ou des fonctionnaires des États membres de l’Union européenne (JO 1997, C 195, p. 2), entrée en vigueur le 28 septembre 2005, prévoit, à son article 2, intitulé « Corruption passive » :
« 1. Aux fins de la présente convention, est constitutif de corruption passive le fait intentionnel, pour un fonctionnaire, directement ou par interposition de tiers, de solliciter ou de recevoir des avantages de quelque nature que ce soit, pour lui-même ou pour un tiers, ou d’en accepter la promesse, pour accomplir ou ne pas accomplir, de façon contraire à ses devoirs officiels, un acte de sa fonction ou un acte dans l’exercice de sa fonction.
2. Chaque État membre prend les mesures nécessaires pour assurer que les comportements visés au paragraphe 1 sont érigés en infractions pénales. »
8 L’article 3 de cette convention, intitulé « Corruption active », est libellé comme suit :
« 1. Aux fins de la présente convention, est constitutif de corruption active le fait intentionnel, pour quiconque, de promettre ou de donner, directement ou par interposition de tiers, un avantage de quelque nature que ce soit, à un fonctionnaire, pour lui-même ou pour un tiers, pour qu’il accomplisse ou s’abstienne d’accomplir, de façon contraire à ses devoirs officiels, un acte de sa fonction ou un acte dans l’exercice de sa fonction.
2. Chaque État membre prend les mesures nécessaires pour assurer que les comportements visés au paragraphe 1 sont érigés en infractions pénales. »
La directive 95/46/CE
9 Les considérants 10, 30 et 33 de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO 1995, L 281, p. 31), énonçaient :
« (10) considérant que l’objet des législations nationales relatives au traitement des données à caractère personnel est d’assurer le respect des droits et libertés fondamentaux, notamment du droit à la vie privée reconnu également dans l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales et dans les principes généraux du droit communautaire ; que, pour cette raison, le rapprochement de ces législations ne doit pas conduire à affaiblir la protection qu’elles assurent mais doit, au contraire, avoir pour objectif de garantir un niveau élevé de protection dans la Communauté ;
[...]
(30) considérant que, pour être licite, un traitement de données à caractère personnel doit en outre être fondé sur le consentement de la personne concernée ou être nécessaire à la conclusion ou à l’exécution d’un contrat liant la personne concernée, ou au respect d’une obligation légale, ou à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique, ou encore à la réalisation d’un intérêt légitime d’une personne à condition que ne prévalent pas l’intérêt ou les droits et libertés de la personne concernée ; [...]
[...]
(33) considérant que les données qui sont susceptibles par leur nature de porter atteinte aux libertés fondamentales ou à la vie privée ne devraient pas faire l’objet d’un traitement, sauf consentement explicite de la personne concernée ; que, cependant, des dérogations à cette interdiction doivent être expressément prévues pour répondre à des besoins spécifiques, en particulier lorsque le traitement de ces données est mis en œuvre à certaines fins relatives à la santé par des personnes soumises à une obligation de secret professionnel ou pour la réalisation d’activités légitimes par certaines associations ou fondations dont l’objet est de permettre l’exercice de libertés fondamentales ».
10 L’objet de cette directive était défini à l’article 1er de celle-ci, aux termes duquel :
« 1. Les États membres assurent, conformément à la présente directive, la protection des libertés et droits fondamentaux des personnes physiques, notamment de leur vie privée, à l’égard du traitement des données à caractère personnel.
2. Les États membres ne peuvent restreindre ni interdire la libre circulation des données à caractère personnel entre États membres pour des raisons relatives à la protection assurée en vertu du paragraphe 1. »
11 L’article 2 de ladite directive disposait :
« Aux fins de la présente directive, on entend par :
a) “données à caractère personnel” : toute information concernant une personne physique identifiée ou identifiable (personne concernée) ; est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d’identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale ;
b) “traitement de données à caractère personnel” (traitement) : toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction ;
[...] »
12 Le chapitre II de la directive 95/46, intitulé « Conditions générales de licéité des traitements de données à caractère personnel », était subdivisé en neuf sections.
13 Sous la section I, intitulée « Principes relatifs à la qualité des données », l’article 6 de ladite directive était libellé comme suit :
« 1. Les États membres prévoient que les données à caractère personnel doivent être :
a) traitées loyalement et licitement ;
b) collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement de manière incompatible avec ces finalités. [...]
c) adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et pour lesquelles elles sont traitées ultérieurement ;
[...]
2. Il incombe au responsable du traitement d’assurer le respect du paragraphe 1. »
14 Sous la section II, intitulée « Principes relatifs à la légitimation des traitements de données », l’article 7 de la même directive disposait :
« Les États membres prévoient que le traitement de données à caractère personnel ne peut être effectué que si :
[...]
c) il est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis
ou
[...]
e) il est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique, dont est investi le responsable du traitement ou le tiers auquel les données sont communiquées
[...] »
15 Sous la section III, intitulée « Catégories particulières de traitement », l’article 8 de la directive 95/46, relatif aux « [t]raitements portant sur des catégories particulières de données », prévoyait :
« 1. Les États membres interdisent le traitement des données à caractère personnel qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, ainsi que le traitement des données relatives à la santé et à la vie sexuelle.
[...]
4. Sous réserve de garanties appropriées, les États membres peuvent prévoir, pour un motif d’intérêt public important, des dérogations autres que celles prévues au paragraphe 2, soit par leur législation nationale, soit sur décision de l’autorité de contrôle.
[...] »
Le RGPD
16 Conformément à son article 94, paragraphe 1, le RGPD a abrogé la directive 95/46 avec effet au 25 mai 2018. En vertu de son article 99, paragraphe 2, il est applicable depuis cette même date.
17 Les considérants 4, 10, 26, 35, 39 et 51 de ce règlement énoncent :
« (4) Le traitement des données à caractère personnel devrait être conçu pour servir l’humanité. Le droit à la protection des données à caractère personnel n’est pas un droit absolu ; il doit être considéré par rapport à sa fonction dans la société et être mis en balance avec d’autres droits fondamentaux, conformément au principe de proportionnalité. Le présent règlement respecte tous les droits fondamentaux et observe les libertés et les principes reconnus par la [charte des droits fondamentaux de l’Union européenne (Charte)], consacrés par les traités, en particulier le respect de la vie privée et familiale, du domicile et des communications, la protection des données à caractère personnel, la liberté de pensée, de conscience et de religion, la liberté d’expression et d’information, la liberté d’entreprise, le droit à un recours effectif et à accéder à un tribunal impartial, et la diversité culturelle, religieuse et linguistique.
[...]
(10) Afin d’assurer un niveau cohérent et élevé de protection des personnes physiques et de lever les obstacles aux flux de données à caractère personnel au sein de l’Union, le niveau de protection des droits et des libertés des personnes physiques à l’égard du traitement de ces données devrait être équivalent dans tous les États membres. [...] En ce qui concerne le traitement de données à caractère personnel nécessaire au respect d’une obligation légale, à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement, il y a lieu d’autoriser les États membres à maintenir ou à introduire des dispositions nationales destinées à préciser davantage l’application des règles du présent règlement. [...] Le présent règlement laisse aussi aux États membres une marge de manœuvre pour préciser ses règles, y compris en ce qui concerne le traitement de catégories particulières de données à caractère personnel (ci-après dénommées “données sensibles”). À cet égard, le présent règlement n’exclut pas que le droit des États membres précise les circonstances des situations particulières de traitement y compris en fixant de manière plus précise les conditions dans lesquelles le traitement de données à caractère personnel est licite.
[...]
(26) Il y a lieu d’appliquer les principes relatifs à la protection des données à toute information concernant une personne physique identifiée ou identifiable. [...] Pour déterminer si une personne physique est identifiable, il convient de prendre en considération l’ensemble des moyens raisonnablement susceptibles d’être utilisés par le responsable du traitement ou par toute autre personne pour identifier la personne physique directement ou indirectement, tels que le ciblage. [...]
[...]
(35) Les données à caractère personnel concernant la santé devraient comprendre l’ensemble des données se rapportant à l’état de santé d’une personne concernée qui révèlent des informations sur l’état de santé physique ou mentale passé, présent ou futur de la personne concernée. [...]
[...]
(39) [...] Les données à caractère personnel devraient être adéquates, pertinentes et limitées à ce qui est nécessaire pour les finalités pour lesquelles elles sont traitées. Cela exige, notamment, de garantir que la durée de conservation des données soit limitée au strict minimum. Les données à caractère personnel ne devraient être traitées que si la finalité du traitement ne peut être raisonnablement atteinte par d’autres moyens. [...]
[...]
(51) Les données à caractère personnel qui sont, par nature, particulièrement sensibles du point de vue des libertés et des droits fondamentaux méritent une protection spécifique, car le contexte dans lequel elles sont traitées pourrait engendrer des risques importants pour ces libertés et droits. [...] De telles données à caractère personnel ne devraient pas faire l’objet d’un traitement, à moins que celui-ci ne soit autorisé dans des cas spécifiques prévus par le présent règlement, compte tenu du fait que le droit d’un État membre peut prévoir des dispositions spécifiques relatives à la protection des données visant à adapter l’application des règles du présent règlement en vue de respecter une obligation légale ou pour l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement. Outre les exigences spécifiques applicables à ce traitement, les principes généraux et les autres règles du présent règlement devraient s’appliquer, en particulier en ce qui concerne les conditions de licéité du traitement. Des dérogations à l’interdiction générale de traiter ces catégories particulières de données à caractère personnel devraient être explicitement prévues, entre autres lorsque la personne concernée donne son consentement explicite ou pour répondre à des besoins spécifiques, en particulier lorsque le traitement est effectué dans le cadre d’activités légitimes de certaines associations ou fondations ayant pour objet de permettre l’exercice des libertés fondamentales. »
18 L’article 1er du RGPD, intitulé « Objet et objectifs », dispose, à son paragraphe 2 :
« Le présent règlement protège les libertés et droits fondamentaux des personnes physiques, et en particulier leur droit à la protection des données à caractère personnel. »
19 L’article 4 de ce règlement, intitulé « Définitions », est libellé comme suit :
« Aux fins du présent règlement, on entend par :
1) “données à caractère personnel”, toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée “personne concernée”) ; est réputée être une “personne physique identifiable” une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ;
2) “traitement”, toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction ;
[...]
15) “données concernant la santé”, les données à caractère personnel relatives à la santé physique ou mentale d’une personne physique, y compris la prestation de services de soins de santé, qui révèlent des informations sur l’état de santé de cette personne ;
[...] »
20 Le chapitre II du RGPD, intitulé « Principes », comprend les articles 5 à 11 de celui-ci.
21 L’article 5 de ce règlement, qui porte sur les « [p]rincipes relatifs au traitement des données à caractère personnel », prévoit, à son paragraphe 1 :
« Les données à caractère personnel doivent être :
a) traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence) ;
b) collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités ; [...] (limitation des finalités) ;
c) adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ;
[...] »
22 L’article 6 dudit règlement, intitulé « Licéité du traitement », prévoit, à ses paragraphes 1 et 3 :
« 1. Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :
[...]
c) le traitement est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis ;
e) le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ;
[...]
3. Le fondement du traitement visé au paragraphe 1, points c) et e), est défini par :
a) le droit de l’Union ; ou
b) le droit de l’État membre auquel le responsable du traitement est soumis.
Les finalités du traitement sont définies dans cette base juridique ou, en ce qui concerne le traitement visé au paragraphe 1, point e), sont nécessaires à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement. [...] Le droit de l’Union ou le droit des États membres répond à un objectif d’intérêt public et est proportionné à l’objectif légitime poursuivi. »
23 L’article 9 du même règlement, intitulé « Traitement portant sur des catégories particulières de données à caractère personnel », dispose, à ses paragraphes 1 et 2 :
« 1. Le traitement des données à caractère personnel qui révèle l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique sont interdits.
2. Le paragraphe 1 ne s’applique pas si l’une des conditions suivantes est remplie :
[...]
g) le traitement est nécessaire pour des motifs d’intérêt public important, sur la base du droit de l’Union ou du droit d’un État membre qui doit être proportionné à l’objectif poursuivi, respecter l’essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée ;
[...] »
Le droit lituanien
24 Le Lietuvos Respublikos viešųjų ir privačių interesų derinimo valstybinėje tarnyboje įstatymas Nr. VIII-371 (loi no VIII-371 de la République de Lituanie sur la conciliation des intérêts publics et privés dans le service public), du 2 juillet 1997 (Žin., 1997, no 67-1659), dans sa version en vigueur à la date des faits au principal (ci-après la « loi sur la conciliation des intérêts »), a pour objet, conformément à son article 1er, de concilier les intérêts privés des personnes travaillant dans le service public et les intérêts publics de la société, d’assurer la prévalence de l’intérêt public lors de la prise de décisions, de garantir l’impartialité des décisions prises ainsi que de prévenir l’apparition et l’essor de la corruption dans le service public.
25 En vertu de l’article 2, paragraphe 1, de cette loi, relèvent de la notion de « personnes travaillant dans le service public », notamment, les personnes travaillant dans des associations ou des établissements publics financés sur le budget ou sur les fonds de l’État ou d’une collectivité locale et investies de compétences administratives.
26 L’article 3 de ladite loi, intitulé « Obligations des personnes postulant à un poste, travaillant ou ayant travaillé dans le service public », prévoit, à ses paragraphes 2 et 3 :
« 2. Les personnes postulant à un poste ou travaillant dans le service public, ainsi que les autres personnes visées à l’article 4, paragraphe 1, de la présente loi, sont tenues de déclarer leurs intérêts privés.
3. Les personnes qui ont cessé leurs fonctions dans le service public sont soumises aux restrictions prévues dans la cinquième section de la présente loi. »
27 L’article 4 de la loi sur la conciliation des intérêts, intitulé « Déclaration d’intérêts privés », dispose, à son paragraphe 1 :
« Toute personne travaillant dans le service public, ainsi que toute personne postulant à des fonctions dans le service public, est tenue de déclarer ses intérêts privés en déposant une déclaration d’intérêt privés (ci–après “déclaration”) conformément aux modalités prévues par la présente loi et d’autres actes. [...] »
28 Aux termes de l’article 5 de cette loi :
« 1. Les personnes déclarant leurs intérêts privés sont tenues de déposer leur déclaration par voie électronique, suivant les modalités définies par la [Haute commission], dans un délai de 30 jours à compter de la date de leur élection, recrutement ou nomination (sauf dans les cas visés à l’article 4, paragraphe 2, de la présente loi ainsi qu’aux paragraphes 2, 3 et 4 du présent article).
2. Les personnes postulant à un poste dans le service public (à l’exception des personnes visées à l’article 4, paragraphe 2, de la présente loi et des personnes dont les données sont classifiées en vertu de la loi et/ou qui exercent une activité de renseignement, de contre-espionnage ou de renseignement en matière criminelle) déposent leur déclaration avant la date de leur élection, recrutement ou nomination, à moins que d’autres textes n’en disposent autrement.
3. Les personnes dont les données sont classifiées en vertu de la loi et/ou qui exercent une activité de renseignement, de contre-espionnage ou de renseignement en matière criminelle déposent leur déclaration, dans un délai de 30 jours à compter de la date de leur élection, recrutement ou nomination, auprès du directeur, ou de son représentant dûment mandaté, de l’institution (de la personne morale) au sein de laquelle elles travaillent, suivant les modalités définies par cette institution (par cette personne morale).
4. Les membres des commissions de passation de marchés publics, les personnes chargées par le directeur d’un pouvoir adjudicateur de passer des marchés suivant la procédure simplifiée et les experts intervenant dans des procédures de passation de marchés publics déposent leur déclaration d’intérêts privés par voie électronique (si elles n’en avaient pas encore déposé) avant que débute leur participation à des procédures de passation de marchés publics. Un membre d’une commission de passation de marchés publics, une personne chargée par le directeur d’un pouvoir adjudicateur de passer des marchés suivant la procédure simplifiée ou un expert intervenant dans une procédure de passation de marché public qui n’a pas déposé de déclaration d’intérêts privés n’est pas autorisé à participer à la procédure de passation et doit être relevée des fonctions concernées.
5. Si cela est prévu par le texte définissant les modalités de fonctionnement de l’institution (de la personne morale) au sein de laquelle l’intéressé travaille, la déclaration peut être déposée non seulement auprès du directeur, ou de son représentant dûment mandaté, de cette institution (de cette personne morale), mais également auprès du directeur, ou de son représentant dûment mandaté, d’une personne morale sous-traitant de cette institution (de cette personne morale) ou lui rendant compte, ou d’une autre personne morale.
6. Les institutions autorisées à accéder aux déclaration les réclament, dans les cas prévus et suivant les modalités définies par la loi, au lieu de travail du déclarant ou à la [Haute commission]. »
29 L’article 6 de ladite loi, intitulé « Contenu de la déclaration », énonce :
« 1. Le déclarant doit mentionner dans sa déclaration les renseignements suivants le concernant et concernant son conjoint, concubin ou partenaire :
1) prénom, nom, numéro d’identification personnel, numéro de sécurité sociale, employeur(s) et fonctions ;
2) personne morale dont le déclarant ou son conjoint, concubin ou partenaire a la qualité d’associé ou sociétaire ;
3) activité indépendante, telle que définie dans la loi de la République de Lituanie relative à l’impôt sur le revenu ;
4) appartenance à des entreprises, des établissements, des associations ou des fonds et fonctions y exercées, à l’exception de l’appartenance à des partis politiques et à des syndicats ;
5) cadeaux (autres que ceux de proches) reçus au cours des douze derniers mois civils si leur valeur est supérieure à 150 euros ;
6) informations sur les transactions conclues au cours des douze derniers mois civils et autres transactions en cours si la valeur de la transaction est supérieure à 3 000 euros ;
7) proches ou autres personnes ou données connues du déclarant susceptibles de donner lieu à un conflit d’intérêts.
2. Le déclarant peut omettre les données relatives à son conjoint, concubin ou partenaire s’ils vivent séparément, ne forment pas un ménage commun et qu’il n’est donc pas en possession de ces données. »
30 L’article 10 de la même loi, intitulé « Publicité des données relatives aux intérêts privés », dispose :
« 1. Sont publiques et publiées sur le site Internet de la Haute commission, conformément aux modalités définies par cette dernière, les données figurant dans les déclarations des élus et personnes occupant des postes politiques, des fonctionnaires et agents de l’État, des juges, des directeurs et directeurs adjoints d’institutions de l’État ou d’une collectivité locale, des fonctionnaires et agents de confiance politique (personnelle), des fonctionnaires de l’État exerçant les fonctions de directeurs et directeurs adjoints de subdivisions d’institutions ou établissements, des directeurs et directeurs adjoints d’entreprises publiques et d’autorités budgétaires de l’État ou d’une collectivité locale, des directeurs et directeurs adjoints d’associations ou d’établissements publics recevant des fonds provenant du budget ou de fonds de l’État ou d’une collectivité locale, des employés de la Banque de Lituanie investis de compétences d’administration publique (chargés de la surveillance des marchés financiers, du règlement extrajudiciaire des litiges entre consommateurs et acteurs des marchés financiers et autres fonctions d’administration publique), des membres des conseils de surveillance ou d’administration et directeurs et directeurs adjoints de sociétés par actions ou à responsabilité limitée dont l’État ou une collectivité locale est propriétaire de parts lui conférant plus de la moitié des droits de vote à l’assemblée générale des associés, des membres du conseil d’administration d’entreprises publiques de l’État ou d’une collectivité locale, des présidents et vice-présidents de partis politiques, des consultants non–rémunérés, assistants et conseillers des élus et personnes occupant des postes politiques, des experts agréés par les commissions du Parlement de la République de Lituanie, des membres des collèges ministériels, des membres du Conseil de l’assurance santé obligatoire, des conseillers non rémunérés du Conseil de l’assurance santé obligatoire, des membres du Conseil national de la santé, des médecins, dentistes et pharmaciens travaillant dans des autorités budgétaires ou publiques de l’État ou d’une collectivité locale, dans des entreprises publiques de l’État ou de collectivités locales ou dans des entreprises dont l’État ou une collectivité locale est propriétaire de parts lui conférant plus de la moitié des droits de vote à l’assemblée générale des associés, titulaires d’une licence d’établissement de santé ou de pharmacie, ainsi que des membres des commissions de passation de marchés publics, des personnes chargées par le directeur d’un pouvoir adjudicateur de passer des marchés suivant la procédure simplifiée et des experts intervenant dans des procédures de passation de marchés publics [à l’exception des données figurant dans les déclarations des personnes dont les données sont classifiées en vertu de la loi et (ou) qui exercent une activité de renseignement, de contre-espionnage ou de renseignement en matière criminelle]. Lorsqu’une personne dont les données sont publiques perd le statut de déclarant, la Haute commission, sur demande de l’intéressé, retire la déclaration de son site Internet.
2. Ne peuvent être rendues publiques les données suivantes fournies dans la déclaration : le numéro d’identification personnel, le numéro de sécurité sociale, des données à caractère personnel particulières ainsi que les autres renseignements dont la loi interdit la divulgation. En outre, les données de l’autre partie à une transaction, lorsqu’il s’agit d’une personne physique, ne sont pas publiées. »
31 Aux termes de l’article 22 de la loi sur la conciliation des intérêts, intitulé « Autorités et agents chargés du contrôle » :
« La façon dont les personnes auxquelles elle est applicable appliquent la présente loi est contrôlée par :
1) la [Haute commission] ;
2) les directeurs, ou leurs représentants dûment mandatés, des institutions ou établissements de l’État ou des collectivités locales concernés ;
3) le directeur du pouvoir adjudicateur ou les personnes dûment mandatées par lui (en ce qui concerne les membres de commissions de passation de marchés publics, les personnes chargées par le directeur d’un pouvoir adjudicateur de passer des marchés suivant la procédure simplifiée et les experts intervenant dans des procédures de passation de marchés publics) ;
4) d’autres organes de l’État, conformément à ce que la loi prévoit.
[...]
3. Lorsqu’il existe des informations étayées selon lesquelles une personne ne respecte pas les exigences de la présente loi, les directeurs, ou leurs représentants dûment mandatés, des institutions ou établissements de l’État ou des collectivités locales ou l’institution à direction collégiale de l’État ou de la collectivité locale enquêtent, de leur propre initiative ou sur instruction de la [Haute commission], sur l’activité de service de la personne travaillant dans le service public. La [Haute commission] est informée des conclusions de l’enquête ; elle a le pouvoir d’évaluer si l’appréciation portée dans le rapport d’enquête sur le comportement de l’intéressé est conforme aux dispositions de la présente loi. [...] »
32 L’article 2, paragraphe 5, de la loi de la République de Lituanie sur la conciliation des intérêts publics et privés, dans sa version en vigueur à compter du 1er janvier 2020 (ci-après la « loi modifiée sur la conciliation des intérêts »), qui définit la notion de « personnes travaillant dans le service public », ne mentionne plus, au nombre de celles-ci, les personnes travaillant dans des associations ou des établissements publics financés sur le budget ou sur les fonds de l’État ou d’une collectivité locale et investies de compétences administratives.
33 Selon l’article 4, paragraphe 3, de la loi modifiée sur la conciliation des intérêts :
« Les dispositions de la présente loi concernant la déclaration d’intérêts privés ainsi que les articles 11 et 13 de la présente loi sont également d’application :
[...]
8) aux directeurs de pouvoirs adjudicateurs ou d’organismes adjudicateurs (ci-après, ensemble, “organisme adjudicateur”), aux membres des commissions de passation de marchés publics d’un organisme adjudicateur, aux personnes chargées par le directeur d’un organisme adjudicateur de passer des marchés suivant la procédure simplifiée, aux experts intervenant dans des procédures de passation de marchés publics, aux initiateurs de concession [...] d’un organisme adjudicateur du secteur des services d’approvisionnement, de traitement des eaux usées, d’énergie, de transport ou postaux ;
[...] »
34 Aux termes de l’article 2, paragraphe 8, du Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymas Nr. I‑1374 (loi no I‑1374 de la République de Lituanie sur la protection juridique des données à caractère personnel), du 11 juin 1996 (Žin., 1996, no 63-1479, dans sa version en vigueur jusqu’au 16 juillet 2018 :
« On entend par “données à caractère personnel particulières” des données concernant l’origine raciale ou ethnique, les convictions politiques, religieuses, philosophiques ou autres, l’appartenance syndicale, la santé, la vie sexuelle d’une personne, ainsi que des informations relatives à une condamnation pénale de cette personne. »
Le litige au principal et les questions préjudicielles
35 La Haute commission est une autorité publique chargée notamment de veiller à l’application de la loi sur la conciliation des intérêts et, en particulier, de recueillir les déclarations d’intérêts privés et d’en assurer le contrôle.
36 OT exerce les fonctions de directeur de QP, un établissement de droit lituanien percevant des fonds publics actif dans le domaine de la protection de l’environnement.
37 Par une décision du 7 février 2018, la Haute commission a constaté que, en ayant omis de déposer une déclaration d’intérêts privés, OT avait contrevenu à l’article 3, paragraphe 2, et à l’article 4, paragraphe 1, de la loi sur la conciliation des intérêts.
38 Le 6 mars 2018, OT a introduit devant la juridiction de renvoi un recours en annulation contre cette décision.
39 À l’appui de celui-ci, OT soutient, d’une part, qu’il ne figure pas au nombre des personnes soumises à l’obligation de déclaration des intérêts privés, telles que visées à l’article 2, paragraphe 1, de la loi sur la conciliation des intérêts. En effet, en sa qualité de directeur de QP, il ne serait pas investi de compétences d’administration publique et n’assurerait pas la prestation d’un quelconque service public à la population. En outre, QP, en tant qu’organisation non gouvernementale, exercerait son activité de manière indépendante par rapport aux pouvoirs publics.
40 D’autre part, et en tout état de cause, à supposer qu’il soit contraint de déposer une déclaration d’intérêts privés, OT allègue que la publication de celle-ci porterait atteinte tant à son droit au respect de sa vie privée qu’à celui des autres personnes qu’il serait, le cas échéant, tenu de mentionner dans sa déclaration.
41 La Haute commission fait valoir que, en tant qu’il était investi de compétences administratives au sein d’un établissement bénéficiant d’un financement provenant de fonds structurels de l’Union et du budget de l’État lituanien, OT était tenu de déposer une déclaration d’intérêts privés, et ce même s’il n’était pas fonctionnaire et à supposer même qu’il n’exerçait pas de compétences d’administration publique. En outre, la Haute commission fait observer que, si la publication d’une telle déclaration est susceptible de constituer une ingérence dans la vie privée de l’intéressé et de son conjoint, cette ingérence serait prévue par la loi sur la conciliation des intérêts.
42 La juridiction de renvoi nourrit des doutes quant à la compatibilité du régime prévu par la loi sur la conciliation des intérêts avec l’article 6, paragraphe 1, premier alinéa, sous c) et e), et paragraphe 3, du RGPD ainsi qu’avec l’article 9, paragraphe 1, de celui-ci. Elle considère que les données à caractère personnel contenues dans une déclaration d’intérêts privés sont susceptibles de révéler des informations sur la vie privée du déclarant et de son conjoint, concubin ou partenaire ainsi que de ses enfants, de telle sorte que leur divulgation est de nature à violer le droit des personnes concernées au respect de leur vie privée. En effet, ces données seraient susceptibles de dévoiler des informations particulièrement sensibles, comme le fait que la personne concernée vit en concubinage ou avec une personne de même sexe, dont la divulgation risquerait d’entraîner d’importants désagréments dans la vie privée de ces personnes. Les données concernant les cadeaux reçus et les transactions réalisées, par le déclarant et son conjoint, son concubin ou son partenaire, dévoileraient également certains détails de leur vie privée. Les données concernant les proches ou les connaissances du déclarant susceptibles d’être à l’origine d’un conflit d’intérêts révéleraient par ailleurs des informations sur la famille du déclarant et sur ses relations personnelles.
43 Selon la juridiction de renvoi, si la loi sur la conciliation des intérêts a pour objectif de garantir le respect du principe de transparence dans l’exercice des fonctions publiques, en particulier lors de la prise de décisions concernant la mise en œuvre de l’intérêt public, la publication sur Internet d’éléments susceptibles d’influencer la prise de telles décisions n’est pas nécessaire pour atteindre ledit objectif. En effet, la communication des données à caractère personnel aux organismes visés à l’article 5 de cette loi ainsi que la mission de contrôle assignée aux organes visés à l’article 22 de ladite loi constitueraient des mesures suffisantes pour assurer la réalisation dudit objectif.
44 Dans ces conditions, le Vilniaus apygardos administracinis teismas (tribunal administratif régional de Vilnius, Lituanie) a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :
« 1) Eu égard aux exigences énoncées à l’article 6, paragraphe 3, du [RGPD], notamment celle selon laquelle le droit des États membres doit répondre à un objectif d’intérêt public et être proportionné à l’objectif légitime poursuivi, ainsi qu’aux articles 7 et 8 de la [Charte], convient-il d’interpréter la condition énoncée à l’article 6, paragraphe 1[, premier alinéa,] sous e), dudit règlement, selon laquelle le traitement [des données à caractère personnel] doit être nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement, en ce sens que le droit national ne saurait exiger la divulgation des données figurant dans des déclarations d’intérêts privés et la publication desdites données sur le site Internet du responsable du traitement – la [Haute commission] –, ce qui rend ces données accessibles à toutes les personnes qui ont la possibilité d’utiliser l’Internet ?
2) Eu égard aux conditions énoncées à l’article 9, paragraphe 2, du [RGPD], notamment celle énoncée au point g) de cette disposition, selon laquelle le traitement [des données à caractère personnel] doit être nécessaire pour des motifs d’intérêt public important, sur la base du droit de l’Union ou du droit d’un État membre qui doit être proportionné à l’objectif poursuivi, respecter l’essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée, ainsi qu’aux articles 7 et 8 de la Charte, convient-il d’interpréter l’interdiction de traiter certaines catégories de données à caractère personnel énoncée à l’article 9, paragraphe 1, dudit règlement en ce sens que le droit national ne peut exiger la divulgation de données figurant dans des déclarations d’intérêts privés qui sont susceptibles de révéler des données à caractère personnel, entre autres des données qui permettent de connaître les opinions politiques, l’appartenance syndicale ou l’orientation sexuelle ou d’autres informations de nature personnelle d’une personne, et la publication desdites données sur le site Internet du responsable du traitement – la [Haute commission] –, ce qui rend ces données accessibles à toutes les personnes qui ont la possibilité d’utiliser l’Internet ? »
Sur la recevabilité de la demande de décision préjudicielle
45 Le gouvernement lituanien et la Commission européenne ont relevé que, à la suite de la modification de la loi sur la conciliation des intérêts, entrée en vigueur le 1er janvier 2020, le requérant au principal ne relève plus du champ d’application ratione personae de cette loi.
46 Par ailleurs, la Commission fait observer que, dans un arrêt du 20 septembre 2018, le Lietuvos Respublikos Konstitucinis Teismas (Cour constitutionnelle de la République de Lituanie), qui avait été saisi par la juridiction de renvoi pour apprécier la constitutionnalité de certaines dispositions de la loi sur la conciliation des intérêts, a constaté que l’article 10 de celle-ci, qui impose la publication des données relatives aux intérêts privés, n’était pas en cause dans le litige au principal.
47 À cet égard, il convient de rappeler que, en vertu d’une jurisprudence constante, la procédure instituée à l’article 267 TFUE est un instrument de coopération entre la Cour et les juridictions nationales, grâce auquel la première fournit aux secondes les éléments d’interprétation du droit de l’Union qui leur sont nécessaires pour la solution des litiges qu’elles sont appelées à trancher (arrêt du 12 mars 1998, Djabali, C‑314/96, EU:C:1998:104, point 17, et ordonnance du 3 décembre 2020, Fedasil, C‑67/20 à C‑69/20, non publiée, EU:C:2020:1024, point 18).
48 Selon une jurisprudence également constante, les questions relatives à l’interprétation du droit de l’Union posées par le juge national dans le cadre réglementaire et factuel qu’il définit sous sa responsabilité, et dont il n’appartient pas à la Cour de vérifier l’exactitude, bénéficient d’une présomption de pertinence. Le refus de la Cour de statuer sur une demande de décision préjudicielle formée par une juridiction nationale n’est possible que s’il apparaît de manière manifeste que l’interprétation sollicitée du droit de l’Union n’a aucun rapport avec la réalité ou l’objet du litige au principal, lorsque le problème est de nature hypothétique ou encore lorsque la Cour ne dispose pas des éléments de fait et de droit nécessaires pour répondre de façon utile aux questions qui lui sont posées (arrêt du 22 février 2022, Stichting Rookpreventie Jeugd e.a., C‑160/20, EU:C:2022:101, point 82 ainsi que jurisprudence citée).
49 En l’espèce, il importe de relever que, en réponse à une demande d’informations adressée par la Cour, la juridiction de renvoi a précisé, d’une part, que la légalité de la décision en cause au principal devait être appréciée au regard des dispositions nationales en vigueur à la date d’adoption de cette décision. Or, la loi sur la conciliation des intérêts incluait au nombre des personnes devant déposer une déclaration d’intérêts privés celles travaillant dans des associations ou des établissements publics financés sur le budget ou sur les fonds de l’État ou d’une collectivité locale et investies de compétences administratives.
50 La juridiction de renvoi a indiqué, en outre, que le requérant au principal, bien que ne pouvant plus être assimilé à une personne travaillant dans le service public, au sens de la loi modifiée sur la conciliation des intérêts, était néanmoins susceptible de relever de la catégorie de personnes visée à l’article 4, paragraphe 3, point 8, de cette loi et que, à ce titre, il pouvait être tenu de déposer une déclaration d’intérêts privés.
51 D’autre part, la juridiction de renvoi a précisé qu’était sans incidence sur le litige au principal l’arrêt du Lietuvos Respublikos Konstitucinis Teismas (Cour constitutionnelle de la République de Lituanie) du 20 septembre 2018, par lequel celui-ci a déclaré irrecevable la demande de la juridiction de renvoi l’invitant à se prononcer sur la conformité de l’article 10, paragraphes 1 et 2, de la loi sur la conciliation des intérêts à la Constitution de la République de Lituanie et au principe constitutionnel de proportionnalité, au motif que la question à trancher dans la procédure au principal portait non pas sur la publicité des données fournies dans les déclarations d’intérêts privés, mais sur l’obligation de déposer une telle déclaration.
52 À cet égard, la juridiction de renvoi a précisé que, même si la question à trancher au principal est bien, comme l’a indiqué le Lietuvos Respublikos Konstitucinis Teismas (Cour constitutionnelle de la République de Lituanie), celle de l’éventuelle violation de l’article 3, paragraphe 2, et de l’article 4, paragraphe 1, de cette loi en raison du non-respect par le requérant au principal de son obligation de déposer une déclaration d’intérêts privés, la vérification de la légalité de la décision en cause au principal nécessite la prise en compte des conséquences impératives, découlant de l’application de l’article 10 de ladite loi, d’un tel dépôt, à savoir la publication de certaines données contenues dans la déclaration d’intérêts sur le site Internet de la Haute commission, ce requérant invoquant l’illégalité de cette publication au soutien de son recours en annulation contre de cette décision.
53 Compte tenu des indications ainsi fournies par la juridiction de renvoi, les éléments avancés par le gouvernement lituanien et par la Commission ne suffisent pas à renverser la présomption de pertinence dont bénéficient les questions posées et il ne saurait être tenu pour manifeste que l’interprétation des dispositions du droit de l’Union sollicitée n’ait aucun rapport avec la réalité ou l’objet du litige au principal, ni que le problème soit de nature hypothétique, la juridiction de renvoi étant susceptible de prendre en compte cette interprétation aux fins de l’adoption de sa décision. En outre, la Cour dispose des éléments de fait et de droit nécessaires pour répondre de façon utile aux questions qui lui sont posées.
54 Partant, la demande de décision préjudicielle est recevable.
Sur les questions préjudicielles
Sur le droit applicable ratione temporis
55 Par ses questions, la juridiction de renvoi sollicite l’interprétation du RGPD. Conformément à son article 99, paragraphe 2, ce règlement est devenu applicable le 25 mai 2018, date à laquelle il a, en vertu de son article 94, paragraphe 1, abrogé la directive 95/46.
56 Par conséquent, la décision en cause au principal, qui a été adoptée par la Haute commission le 7 février 2018, était régie par la directive 95/46.
57 Cependant, il ressort du dossier dont dispose la Cour que, par cette décision, la Haute commission a reproché au requérant au principal d’avoir omis de déposer une déclaration d’intérêts privés, en violation de la loi sur la conciliation des intérêts. Dans ces conditions, eu égard aux informations mentionnées au point 50 du présent arrêt et en l’absence d’élément indiquant que le requérant au principal aurait déposé une telle déclaration avant le 25 mai 2018, soit la date à laquelle le RGPD est devenu applicable, il n’est pas exclu que ce règlement soit applicable ratione temporis au litige au principal, ce qu’il incombe à la juridiction de renvoi de vérifier.
58 Par ailleurs, il n’y a pas lieu d’opérer de distinction entre les dispositions de la directive 95/46 et celles du RGPD évoquées dans les deux questions préjudicielles, telles que reformulées, ces dispositions devant être considérées comme revêtant une portée similaire pour les besoins de l’interprétation que la Cour est amenée à donner dans le cadre de la présente affaire (voir, par analogie, arrêt du 21 novembre 2013, Dixons Retail, C‑494/12, EU:C:2013:758, point 18).
59 Partant, en vue de fournir des réponses utiles aux questions posées par la juridiction de renvoi, il y a lieu d’examiner celles-ci sur le fondement tant de la directive 95/46 que du RGPD.
Sur la première question
60 Par sa première question, la juridiction de renvoi demande, en substance, si l’article 7, sous c) et e), de la directive 95/46 et l’article 6, paragraphe 1, premier alinéa, sous c) et e), et paragraphe 3, du RGPD, lus à la lumière des articles 7 et 8 de la Charte, doivent être interprétés en ce sens qu’ils s’opposent à une disposition nationale prévoyant la mise en ligne de données à caractère personnel contenues dans les déclarations d’intérêts privés que tout directeur d’un établissement percevant des fonds publics est tenu de déposer auprès de l’autorité nationale chargée de collecter ces déclarations et d’en contrôler la teneur.
61 À titre liminaire, il y a lieu de rappeler que, selon l’article 1er, paragraphe 1, de la directive 95/46, lu en combinaison avec le considérant 10 de celle-ci, et l’article 1er, paragraphe 2, du RGPD, lu en combinaison avec les considérants 4 et 10 de celui-ci, cette directive et ce règlement ont notamment pour objet de garantir un niveau élevé de protection des libertés et des droits fondamentaux des personnes physiques à l’égard du traitement des données à caractère personnel, ce droit étant également reconnu à l’article 8 de la Charte et étroitement lié au droit au respect de la vie privée, consacré à l’article 7 de celle-ci.
62 À cette fin, le chapitre II de la directive 95/46 ainsi que les chapitres II et III du RGPD énoncent les principes régissant le traitement des données à caractère personnel ainsi que les droits de la personne concernée que celui-ci doit respecter. En particulier, tout traitement de données à caractère personnel devait, avant l’applicabilité du RGPD, être conforme aux principes relatifs à la qualité des données et à la légitimation de leurs traitements énoncés aux articles 6 et 7 de cette directive et, à partir de cette applicabilité, aux principes relatifs au traitement des données et aux conditions de licéité du traitement énumérés aux articles 5 et 6 de ce règlement [voir, en ce sens, arrêts du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité), C‑439/19, EU:C:2021:504, point 96, et du 24 février 2022, Valsts ieņēmumu dienests (Traitement des données personnelles à des fins fiscales), C‑175/20, EU:C:2022:124, point 50].
63 En l’occurrence, l’article 10, paragraphe 1, de la loi sur la conciliation des intérêts prévoit que la Haute commission procède à la publication, sur son site Internet, des informations figurant dans les déclarations d’intérêts privés soumises par les responsables publics visés à cette disposition et dont le contenu est défini à l’article 6, paragraphe 1, de cette loi, à l’exception de celles de ces informations qui sont énumérées à l’article 10, paragraphe 2, de ladite loi.
64 Il y a lieu de souligner, à cet égard, que les questions posées à la Cour visent uniquement la publication, sur le site Internet de la Haute commission, des informations figurant dans la déclaration d’intérêts privés qu’est tenu de déposer le directeur d’un établissement percevant des fonds publics, et non l’obligation de déclaration en tant que telle ou la publication d’une déclaration d’intérêts dans d’autres circonstances.
65 À cet égard, dès lors qu’elles se rapportent à des personnes physiques identifiées par leurs prénom et nom, les informations destinées à être publiées sur le site Internet de la Haute commission constituent des données à caractère personnel, au sens de l’article 2, sous a), de la directive 95/46 et de l’article 4, point 1, du RGPD, la circonstance que lesdites informations s’inscrivent dans le contexte de l’activité professionnelle du déclarant n’étant pas de nature à leur ôter cette qualification (arrêt du 9 mars 2017, Manni, C‑398/15, EU:C:2017:197, point 34 et jurisprudence citée). En outre, l’opération consistant à faire figurer, sur une page Internet, des données à caractère personnel constitue un traitement, au sens de l’article 2, sous b), de la directive 95/46 et de l’article 4, point 2, du RGPD (voir, en ce sens, arrêt du 1er octobre 2015, Weltimmo, C‑230/14, EU:C:2015:639, point 37), dont la Haute commission est le responsable, au sens de l’article 2, sous d), de la directive 95/46 et de l’article 4, point 7, du RGPD [voir, par analogie, arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité), C‑439/19, EU:C:2021:504, point 101].
66 Cela étant précisé, il convient d’examiner si l’article 7 de la directive 95/46 et l’article 6 du RGPD, lus à la lumière des articles 7 et 8 de la Charte, s’opposent à la publication sur Internet d’une partie des données à caractère personnel figurant dans la déclaration d’intérêts privés qu’est tenu de déposer tout directeur d’un établissement percevant des fonds publics, telle que celle prévue à l’article 10 de la loi sur la conciliation des intérêts.
67 L’article 7 de la directive 95/46 et l’article 6, paragraphe 1, premier alinéa, du RGPD prévoient une liste exhaustive et limitative des cas dans lesquels un traitement de données à caractère personnel peut être considéré comme licite. Ainsi, pour qu’il puisse être considéré comme tel, un traitement doit relever de l’un des cas prévus à ces dispositions [voir, en ce sens, arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité), C‑439/19, EU:C:2021:504, point 99 et jurisprudence citée].
68 En vertu de l’article 7, sous e), de la directive 95/46 et de l’article 6, paragraphe 1, premier alinéa, sous e), du RGPD, mentionnés par la juridiction de renvoi dans sa première question, est licite le traitement qui est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement. En outre, selon l’article 7, sous c), de cette directive et l’article 6, paragraphe 1, premier alinéa, sous c), de ce règlement, auquel cette juridiction a fait référence dans les motifs de sa demande de décision préjudicielle, est également licite le traitement qui est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis.
69 L’article 6, paragraphe 3, du RGPD précise, à l’égard de ces deux hypothèses de licéité, que le traitement doit être fondé sur le droit de l’Union ou sur le droit de l’État membre auquel le responsable du traitement est soumis, et que cette base juridique doit répondre à un objectif d’intérêt public et être proportionnée à l’objectif légitime poursuivi. Ces exigences constituant une expression de celles découlant de l’article 52, paragraphe 1, de la Charte, elles doivent être interprétées à la lumière de cette dernière disposition et s’appliquer mutatis mutandis à l’article 7, sous c) et e), de la directive 95/46.
70 Il convient en effet de rappeler que les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel, garantis aux articles 7 et 8 de la Charte, ne sont pas des prérogatives absolues, mais doivent être pris en considération par rapport à leur fonction dans la société et être mis en balance avec d’autres droits fondamentaux. Des limitations peuvent ainsi être apportées, pourvu que, conformément à l’article 52, paragraphe 1, de la Charte, elles soient prévues par la loi et qu’elles respectent le contenu essentiel des droits fondamentaux ainsi que le principe de proportionnalité. En vertu de ce dernier principe, des limitations ne peuvent être apportées que si elles sont nécessaires et répondent effectivement à des objectifs d’intérêt général reconnus par l’Union ou au besoin de protection des droits et des libertés d’autrui. Elles doivent s’opérer dans les limites du strict nécessaire et la réglementation comportant l’ingérence doit prévoir des règles claires et précises régissant la portée et l’application de la mesure en cause [arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité), C‑439/19, EU:C:2021:504, point 105 et jurisprudence citée].
71 En l’occurrence, étant donné que la publication, sur son site Internet, d’une partie des données à caractère personnel figurant dans la déclaration d’intérêts privés qu’est tenu de déposer tout directeur d’un établissement percevant des fonds publics résulte d’une disposition législative du droit de l’État membre auquel la Haute commission est soumise, à savoir de l’article 10 de la loi sur la conciliation des intérêts, ce traitement est nécessaire au respect d’une obligation légale à laquelle cette autorité est tenue en tant que responsable du traitement et, partant, il relève de l’hypothèse visée à l’article 7, sous c), de la directive 95/46 et à l’article 6, paragraphe 1, premier alinéa, sous c) du RGPD. Dans ces conditions, il n’est pas nécessaire de déterminer si ce traitement relève également de l’hypothèse visée à l’article 7, sous e), de cette directive et à l’article 6, paragraphe 1, premier alinéa, sous e), de ce règlement.
72 En outre, dès lors que, ainsi qu’il ressort du point 63 du présent arrêt, l’article 10 de la loi sur la conciliation des intérêts définit la portée de la limitation de l’exercice du droit à la protection des données à caractère personnel, l’ingérence qui en résulte doit être regardée comme étant prévue par la loi, au sens de l’article 52, paragraphe 1, de la Charte [voir, en ce sens, arrêt du 24 février 2022, Valsts ieņēmumu dienests (Traitement des données personnelles à des fins fiscales), C‑175/20, EU:C:2022:124, point 54].
73 Cependant, comme il a été précisé au point 69 du présent arrêt, encore faut-il que l’article 10 de la loi sur la conciliation des intérêts, en tant que base légale pour le traitement en cause au principal, satisfasse aux autres exigences découlant de l’article 52, paragraphe 1, de la Charte et de l’article 6, paragraphe 3, du RGPD, et notamment qu’il réponde à un objectif d’intérêt public et qu’il soit proportionné à l’objectif légitime poursuivi.
74 En l’occurrence, il ressort de l’article 1er de la loi sur la conciliation des intérêts que, en adoptant le principe de transparence des déclarations d’intérêts, cette loi vise à assurer la prévalence de l’intérêt public lors de la prise de décisions par les personnes travaillant dans le service public, à garantir l’impartialité de ces décisions et à prévenir les situations de conflits d’intérêts ainsi que l’apparition et l’essor de la corruption dans le service public.
75 De tels objectifs, en ce qu’ils consistent à renforcer les garanties de probité et d’impartialité des décideurs du secteur public, à prévenir les conflits d’intérêts et à lutter contre la corruption dans le secteur public, sont incontestablement d’intérêt public et, par suite, légitimes.
76 En effet, veiller à ce que les décideurs du secteur public exercent leurs fonctions de manière impartiale et objective, et éviter qu’ils soient influencés par des considérations tenant à des intérêts privés visent à garantir la bonne gestion des affaires publiques et des biens publics.
77 En outre, la lutte contre la corruption constitue un objectif auquel les États membres ont souscrit tant au niveau international qu’au niveau de l’Union.
78 En particulier, au niveau de l’Union, les États membres ont adhéré à la convention relative à la lutte contre la corruption impliquant des fonctionnaires des Communautés européennes ou des fonctionnaires des États membres de l’Union européenne, en vertu de laquelle chaque État membre est tenu d’adopter les mesures nécessaires pour que la corruption, tant active que passive, impliquant des fonctionnaires soit réprimée pénalement.
79 Sur le plan international, l’article 1er de la convention des Nations unies contre la corruption énonce que celle-ci a pour objet, notamment, de promouvoir et de renforcer les mesures visant à prévenir et à combattre la corruption de manière plus efficace, ainsi que de promouvoir l’intégrité, la responsabilité et la bonne gestion des affaires publiques et des biens publics. À cette fin, l’article 7, paragraphe 4, de ladite convention prévoit que « [c]haque État Partie s’efforce, conformément aux principes fondamentaux de son droit interne, d’adopter, de maintenir et de renforcer des systèmes qui favorisent la transparence et préviennent les conflits d’intérêts ».
80 Il découle des considérations qui précèdent que le traitement des données à caractère personnel en application de la loi sur la conciliation des intérêts tend à répondre à des objectifs d’intérêt général reconnus par l’Union, au sens de l’article 52, paragraphe 1, de la Charte et à des objectifs d’intérêt public et, donc, légitimes, au sens de l’article 6, paragraphe 3, du RGPD.
81 Par conséquent, conformément à ces dispositions, les objectifs mentionnés aux points 74 et 75 du présent arrêt autorisent des limitations à l’exercice des droits garantis aux articles 7 et 8 de la Charte, pour autant, notamment que celles-ci répondent effectivement à ces objectifs et qu’elles soient proportionnées auxdits objectifs.
82 Dans ces conditions, il convient de vérifier si la mise en ligne, sur le site Internet de la Haute commission, d’une partie des données à caractère personnel contenues dans la déclaration d’intérêts privés que tout directeur d’établissement percevant des fonds publics est tenu de déposer auprès de cette autorité est apte à atteindre les objectifs d’intérêt général définis à l’article 1er de la loi sur la conciliation des intérêts, et ne va pas au-delà de ce qui est nécessaire pour atteindre ces objectifs [voir, par analogie, arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité), C‑439/19, EU:C:2021:504, point 109].
83 En ce qui concerne, tout d’abord, la question de savoir si la publication sur le site Internet de la Haute commission de données à caractère personnel contenues dans les déclarations d’intérêts privés est apte à atteindre l’objectif d’intérêt général défini à l’article 1er de la loi sur la conciliation des intérêts, il convient de relever que le fait de mettre en ligne certaines des données à caractère personnel contenues dans les déclarations d’intérêts privés des décideurs du secteur public, en ce qu’il permet de révéler l’existence d’éventuels conflits d’intérêts susceptibles d’influer sur l’exercice de leurs fonctions, est de nature à inciter ceux-ci à agir de manière impartiale. Ainsi, une telle mise en œuvre du principe de transparence est propre à prévenir les conflits d’intérêts et la corruption, à accroître la responsabilité des acteurs du secteur public et, partant, à renforcer la confiance des citoyens dans l’action publique.
84 Dès lors, la mesure en cause au principal paraît apte à contribuer à la réalisation des objectifs d’intérêt général qu’elle poursuit.
85 S’agissant, ensuite, de l’exigence de nécessité, il ressort du considérant 39 du RGPD que celle-ci est remplie lorsque l’objectif d’intérêt général visé ne peut raisonnablement être atteint de manière aussi efficace par d’autres moyens moins attentatoires aux droits fondamentaux des personnes concernées, en particulier aux droits au respect de la vie privée et à la protection des données à caractère personnel garantis aux articles 7 et 8 de la Charte, les dérogations et les restrictions au principe de la protection de telles données devant s’opérer dans les limites du strict nécessaire [voir, en ce sens, arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité), C‑439/19, EU:C:2021:504, point 110 et jurisprudence citée]. Par conséquent, il y a lieu, en l’occurrence de vérifier si l’objectif de prévention des conflits d’intérêts et de la corruption dans le secteur public en renforçant la probité et l’impartialité de ses responsables pourraient raisonnablement être atteints de manière aussi efficace par d’autres mesures moins attentatoires aux droits au respect de la vie privée et à la protection des données à caractère personnel des directeurs d’établissements percevant des fonds publics.
86 Cette appréciation doit être effectuée en tenant compte de l’ensemble des éléments de droit et de fait propres à l’État membre concerné, tels que l’existence d’autres mesures destinées à prévenir les conflits d’intérêts et à lutter contre la corruption, l’ampleur de tels conflits et du phénomène de corruption au sein du service public, ainsi que de la nature des informations en cause et de l’importance des fonctions exercées par le déclarant, notamment sa position hiérarchique, l’étendue des compétences d’administration publique dont il est éventuellement investi et les pouvoirs dont il dispose en matière d’engagement et de gestion de fonds publics.
87 En l’occurrence, premièrement, il convient de relever que, ainsi qu’il ressort du point 43 du présent arrêt, la juridiction de renvoi semble considérer que l’obligation de déclarer ses intérêts privés auprès des organes visés aux articles 5 et 22 de la loi sur la conciliation des intérêts ainsi que le contrôle, par ceux-ci, du respect de cette obligation et du contenu de cette déclaration permettraient d’atteindre de manière aussi efficace les objectifs poursuivis par cette loi, à savoir la prévention des conflits d’intérêts et la lutte contre la corruption dans le secteur public.
88 Selon les explications fournies par la juridiction de renvoi, l’un des principaux arguments avancés par la Haute commission dans la procédure au principal pour justifier la publication des déclarations d’intérêts privés est le fait qu’elle ne disposerait pas des ressources humaines suffisantes pour contrôler effectivement toutes les déclarations qui lui sont soumises.
89 Il convient cependant de souligner que le manque de ressources allouées aux autorités publiques ne saurait en aucun cas constituer un motif légitime permettant de justifier une atteinte aux droits fondamentaux garantis par la Charte.
90 Il y a également lieu de se demander s’il est strictement nécessaire, pour atteindre les objectifs d’intérêt général visés à l’article 1er de la loi sur la conciliation des intérêts, que les directeurs d’établissements percevant des fonds publics soient, à l’instar des autres catégories de fonctions visées dans la liste mentionnée à l’article 10, paragraphe 1, de cette loi, soumis à la publicité que celle-ci prescrit.
91 À cet égard, le gouvernement lituanien a exposé devant la Cour que l’obligation de fournir une déclaration d’impartialité, à laquelle ces directeurs sont soumis en vertu du droit national, est suffisante pour atteindre les objectifs de la loi sur la conciliation des intérêts et que, partant, l’application de l’article 10 de cette loi à ceux-ci, prévue jusqu’à l’entrée en vigueur, le 1er janvier 2020, de la loi modifiée sur la conciliation des intérêts, allait au-delà de ce qui est strictement nécessaire au regard de ces objectifs.
92 Deuxièmement, quand bien même la publication des données à caractère privé en cause au principal s’avérerait nécessaire pour atteindre les objectifs poursuivis par la loi sur la conciliation des intérêts, il importe de relever qu’un nombre potentiellement illimité de personnes est susceptible de consulter les données à caractère personnel en cause. Or, il ne ressort pas du dossier dont dispose la Cour que le législateur lituanien ait examiné, lors de l’adoption de cette disposition, si la publication sur Internet, sans aucune restriction d’accès, de ces données est strictement nécessaire ou si les objectifs visés par la loi sur la conciliation des intérêts pourraient être atteints de manière aussi efficace en limitant le nombre de personnes pouvant consulter ces données.
93 Troisièmement, en tout état de cause, il y a lieu de rappeler que la condition tenant à la nécessité du traitement doit être examinée conjointement avec le principe dit de la « minimisation des données » consacré à l’article 6, paragraphe 1, sous c), de la directive 95/46 ainsi qu’à l’article 5, paragraphe 1, sous c), du RGPD, selon lequel les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (voir, en ce sens, arrêt du 11 décembre 2019, Asociaţia de Proprietari bloc M5A-ScaraA, C‑708/18, EU:C:2019:1064, point 48).
94 Partant, seules les données dont la publication est effectivement de nature à renforcer les garanties de probité et d’impartialité des responsables publics, à prévenir les conflits d’intérêts et à lutter contre la corruption dans le secteur public peuvent faire l’objet d’un traitement de la nature de celui prévu à l’article 10, paragraphe 1, de la loi sur la conciliation des intérêts.
95 En l’occurrence, il ressort de l’article 10, paragraphe 2, de la loi sur la conciliation des intérêts, ainsi que des explications fournies par la juridiction de renvoi en réponse à la demande d’information adressée par la Cour, que la majeure partie des données devant figurer dans la déclaration d’intérêts privés, en vertu de l’article 6, paragraphe 1, de cette loi, a vocation à être publiée sur le site Internet de la Haute commission, à l’exception, notamment, des numéros d’identification personnels des personnes concernées.
96 À cet égard, si, dans un objectif de prévention des conflits d’intérêts et de la corruption dans le secteur public, il peut être pertinent d’exiger que figurent, dans les déclarations d’intérêts privés, des informations permettant d’identifier la personne du déclarant ainsi que des informations relatives aux activités du conjoint, concubin ou partenaire du déclarant, la divulgation publique, en ligne, de données nominatives relatives au conjoint, concubin ou partenaire d’un directeur d’un établissement percevant des fonds publics ainsi qu’aux proches ou autres personnes connues de celui-ci susceptibles de donner lieu à un conflit d’intérêts paraît aller au-delà de ce qui est strictement nécessaire. En effet, ainsi que M. l’avocat général l’a relevé au point 66 de ses conclusions, il n’apparaît pas que les objectifs d’intérêt public poursuivis ne pourraient être atteints s’il était fait uniquement référence, aux fins de la publication, à l’expression générique de conjoint, concubin ou partenaire selon le cas, reliée à l’indication pertinente des intérêts détenus par ces derniers en relation avec leurs activités.
97 Il n’apparaît pas davantage que la publication systématique, en ligne, de de la liste des transactions du déclarant dont la valeur est supérieure à 3 000 euros soit strictement nécessaire au regard des objectifs poursuivis.
98 Enfin, il importe de rappeler qu’un objectif d’intérêt général ne saurait être poursuivi sans tenir compte du fait qu’il doit être concilié avec les droits fondamentaux concernés par la mesure, et ce en effectuant une pondération équilibrée entre, d’une part, l’objectif d’intérêt général et, d’autre part, les droits en cause (arrêt du 5 avril 2022, Commissioner of An Garda Síochána e.a., C‑140/20, EU:C:2022:258, point 52). Par conséquent, il convient, aux fins d’apprécier le caractère proportionné du traitement en cause au principal, de mesurer la gravité de l’ingérence dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel que comporte ce traitement et de vérifier si l’importance de l’objectif d’intérêt général poursuivi par celui-ci est en relation avec cette gravité.
99 Afin d’évaluer la gravité de cette ingérence, il doit notamment être tenu compte de la nature des données à caractère personnel en cause, en particulier de la nature éventuellement sensible de ces données, ainsi que de la nature et des modalités concrètes du traitement des données en cause, en particulier du nombre de personnes qui ont accès à ces données et des modalités d’accès à ces dernières (arrêt du 11 décembre 2019, Asociaţia de Proprietari bloc M5A-ScaraA, C‑708/18, EU:C:2019:1064, point 57).
100 En l’occurrence, il importe de relever, d’une part, que la divulgation publique, en ligne, de données nominatives relatives au conjoint, partenaire ou concubin du déclarant ou aux personnes proches ou connues de celui-ci susceptibles de donner lieu à un conflit d’intérêts, ainsi que la mention de l’objet des transactions dont la valeur est supérieure à 3 000 euros sont susceptibles de révéler des informations sur certains aspects sensibles de la vie privée des personnes concernées, y compris, par exemple, leur orientation sexuelle. En outre, dans la mesure où il prévoit une telle divulgation publique de données nominatives relatives à des personnes autres que le déclarant en sa qualité de décideur public, le traitement de données à caractère personnel prévu à l’article 10 de la loi sur la conciliation des intérêts concerne également des personnes qui n’ont pas cette qualité et à l’égard desquelles les objectifs visés par cette loi ne s’imposent pas de la même manière que pour le déclarant.
101 La gravité d’une telle ingérence peut encore se trouver accrue par l’effet cumulatif des données à caractère personnel faisant l’objet d’une publication telle que celle en cause au principal, leur combinaison permettant de dresser un portrait particulièrement détaillé de la vie privée des personnes concernées [voir, en ce sens, avis 1/15 (Accord PNR UE-Canada), du 26 juillet 2017, EU:C:2017:592, point 128].
102 D’autre part, il est constant que ce traitement aboutit à rendre ces données à caractère personnel librement accessibles sur Internet à l’ensemble du grand public et, par suite, à un nombre potentiellement illimité de personnes.
103 Par conséquent, ledit traitement est susceptible de permettre à des personnes qui, pour des raisons étrangères à l’objectif d’intérêt général de prévention des conflits d’intérêts et de la corruption dans le secteur public, cherchent à s’informer sur la situation personnelle, matérielle et financière du déclarant et des membres de sa famille, d’accéder librement à ces données [voir, en ce sens, arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité), C‑439/19, EU:C:2021:504, point 118].
104 Ainsi, comme l’a relevé M. l’avocat général au point 78 de ses conclusions, la publication desdites données est susceptible, par exemple, d’exposer les intéressés à des opérations répétées de publicité ciblée et de démarchages à caractère commercial, voire à des risques d’agissements criminels.
105 Partant, un traitement, tel que celui en cause au principal, des données à caractère personnel visées au point 100 du présent arrêt doit être regardé comme constituant une ingérence grave dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel des personnes concernées.
106 La gravité de cette ingérence doit être mise en balance avec l’importance des objectifs de prévention des conflits d’intérêts et de la corruption dans le secteur public.
107 À cet égard, la Cour considère utile, aux fins de rappeler l’importance, au sein de l’Union, de l’objectif de lutte contre la corruption, de prendre en considération le contenu du rapport de la Commission au Conseil et au Parlement européen, du 3 février 2014, intitulé « Rapport anticorruption de l’UE », [COM(2014) 38 final], duquel il ressort que la corruption, dont les effets altèrent la bonne gouvernance, la saine gestion des deniers publics et le jeu de la concurrence au niveau des marchés, entrave le développement économique, entame la démocratie, compromet la justice sociale et l’état de droit, et qu’elle est susceptible de saper la confiance des citoyens dans les institutions et les processus démocratiques. Ce rapport précise que l’ensemble de l’Union est affectée par ce phénomène, de manière plus ou moins étendue en fonction des États membres.
108 De manière similaire, la convention pénale sur la corruption adoptée par le Conseil de l’Europe qualifie, à son quatrième considérant, la corruption de « menace pour la prééminence du droit, la démocratie et les droits de l’homme [qui] sape les principes de bonne administration, d’équité et de justice sociale, fausse la concurrence, entrave le développement économique et met en danger la stabilité des institutions démocratiques et les fondements moraux de la société ».
109 Eu égard à ce qui précède, il est incontestable que la lutte contre la corruption revêt une importance majeure au sein de l’Union.
110 Dans ce contexte, la mise en balance de l’ingérence résultant de la publication de données à caractère personnel contenues dans les déclarations d’intérêts privés avec les objectifs d’intérêt général de prévention des conflits d’intérêts et de la corruption dans le secteur public implique de prendre en considération, notamment, la réalité et l’ampleur du phénomène de corruption au sein du service public de l’État membre concerné, de telle sorte que le résultat de la mise en balance à effectuer entre ces objectifs, d’une part, et les droits au respect de la vie privée et à la protection des données à caractère personnel de la personne concernée, d’autre part, n’est pas forcément le même pour tous les États membres [voir, par analogie, arrêt du 24 septembre 2019, Google (Portée territoriale du déréférencement) (C‑507/17, EU:C:2019:772, point 67].
111 En outre, ainsi qu’il découle du point 86 du présent arrêt, aux fins de cette pondération doit notamment être pris en compte le fait que l’intérêt général à ce que des données personnelles soient publiées peut varier selon l’importance des fonctions exercées par le déclarant, notamment sa position hiérarchique, l’étendue des compétences d’administration publique dont il est éventuellement investi et les pouvoirs dont il dispose en matière d’engagement et de gestion de fonds publics (voir, par analogie, arrêt du 13 mai 2014, Google Spain et Google, C‑131/12, EU:C:2014:317, point 81).
112 Cela étant précisé, force est de constater que la publication en ligne de la majeure partie des données à caractère personnel contenues dans la déclaration d’intérêts privés de tout directeur d’un établissement percevant des fonds publics, telle que celle en cause au principal, ne satisfait pas aux exigences d’une pondération équilibrée. En effet, en comparaison avec une obligation de déclaration couplée à un contrôle du contenu de cette dernière exercé par la Haute commission dont il incombe à l’État membre concerné d’assurer le caractère effectif en dotant ledit organe des moyens nécessaires à cette fin, une telle publication représente une atteinte considérablement plus grave aux droits fondamentaux garantis aux articles 7 et 8 de la Charte, sans que cette aggravation puisse être compensée par les bénéfices éventuels qui pourraient résulter de la publication de l’ensemble de ces données dans la prévention des conflits d’intérêts et la lutte contre la corruption.
113 En outre, il ne ressort d’aucun élément du dossier dont dispose la Cour que des garanties contre les risques d’abus, tels que ceux évoqués aux points 103 et 104 du présent arrêt, seraient prévues par la législation nationale applicable au litige au principal.
114 S’agissant, toutefois, des données relatives à l’appartenance du déclarant ou, de manière non nominative, de son conjoint, concubin ou partenaire à des entreprises, des établissements, des associations ou des fonds, ainsi qu’à leurs activités indépendantes et aux personnes morales dont ils ont la qualité d’associé ou sociétaire, il y a lieu de considérer que la transparence sur l’existence ou l’absence de tels intérêts permet aux citoyens ainsi qu’aux opérateurs économiques d’avoir un fidèle aperçu de l’indépendance financière des personnes qui sont investies d’un pouvoir décisionnel dans la gestion des fonds publics. En outre, les données concernant les cadeaux reçus, autres que ceux de proches, dont la valeur excède 150 euros, sont susceptibles de révéler l’existence d’actes de corruption.
115 Moyennant le respect d’une pondération équilibrée au regard du degré de pouvoir décisionnel du déclarant, et pourvu que le principe de minimisation des données soit respecté, la publication de telles données contenues dans la déclaration d’intérêts peut être justifiée par les bénéfices qu’une telle transparence apporte, à titre de renforcement des garanties de probité et d’impartialité des responsables publics, dans la prévention des conflits d’intérêts et la lutte contre la corruption.
116 Eu égard à l’ensemble des considérations qui précèdent, il y a lieu de répondre à la première question que l’article 7, sous c), de la directive 95/46 et l’article 6, paragraphe 1, premier alinéa, sous c), et paragraphe 3, du RGPD, lus à la lumière des articles 7, 8 et 52, paragraphe 1, de la Charte, doivent être interprétés en ce sens qu’ils s’opposent à une législation nationale prévoyant la publication en ligne de la déclaration d’intérêts privés que tout directeur d’un établissement percevant des fonds publics est tenu de déposer, en tant, notamment, que cette publication porte sur des données nominatives relatives à son conjoint, concubin ou partenaire ainsi qu’aux personnes proches ou connues du déclarant susceptibles de donner lieu à un conflit d’intérêts, ou encore sur toute transaction conclue au cours des douze derniers mois civils dont la valeur excède 3 000 euros.
Sur la seconde question
117 Par sa seconde question, la juridiction de renvoi demande, en substance, si l’article 8, paragraphe 1, de la directive 95/46 et l’article 9, paragraphe 1, du RGPD doivent être interprétés en ce sens que la publication, sur le site Internet de l’autorité publique chargée de collecter et de contrôler la teneur des déclarations d’intérêts privés, de données à caractère personnel susceptibles de divulguer indirectement les opinions politiques, l’appartenance syndicale ou l’orientation sexuelle d’une personne physique constitue un traitement portant sur les catégories particulières de données à caractère personnel, au sens de ces dispositions.
118 En vertu de l’article 8, paragraphe 1, de la directive 95/46 et de l’article 9, paragraphe 1, du RGPD, sont interdits, notamment, le traitement des données à caractère personnel qui révèle l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale ainsi que le traitement des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique. Il s’agit, selon l’intitulé de ces articles, de catégories particulières de données à caractère personnel, ces données étant également qualifiées de « données sensibles » au considérant 34 de cette directive ainsi qu’au considérant 10 de ce règlement.
119 En l’occurrence, bien que les données à caractère personnel dont la publication est obligatoire en application de l’article 10, paragraphe 1, de la loi sur la conciliation des intérêts ne constituent pas, par leur nature, des données sensibles au sens de la directive 95/46 et du RGPD, la juridiction de renvoi estime qu’il est possible de déduire, à partir des données nominatives relatives au conjoint, au concubin ou au partenaire du déclarant certaines informations sur la vie ou l’orientation sexuelle du déclarant et de son conjoint, concubin ou partenaire.
120 Dans ces conditions, il y a lieu de déterminer si des données qui sont de nature à révéler, par une opération intellectuelle de rapprochement ou de déduction, l’orientation sexuelle d’une personne physique relèvent des catégories particulières de données à caractère personnel, au sens de l’article 8, paragraphe 1, de la directive 95/46 et de l’article 9, paragraphe 1, du RGPD.
121 À cet égard, selon une jurisprudence constante, en vue de l’interprétation d’une disposition du droit de l’Union, il y a lieu de tenir compte non seulement des termes de celle-ci, mais également de son contexte et des objectifs poursuivis par la réglementation dont elle fait partie (arrêt du 21 décembre 2021, Bank Melli Iran, C‑124/20, EU:C:2021:1035, point 43 et jurisprudence citée).
122 L’article 8, paragraphe 1, de la directive 95/46 énonce que les États membres interdisent le traitement des données à caractère personnel qui « révèlent » l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, ainsi que le traitement des données « relatives » à la santé et à la vie sexuelle. Quant à l’article 9, paragraphe 1, du RGPD, il dispose que sont interdits, notamment, le traitement des données à caractère personnel qui « révèle » l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que le traitement des données « concernant » la santé ou des données « concernant » la vie sexuelle ou l’orientation sexuelle d’une personne physique.
123 Ainsi que l’a, en substance, relevé M. l’avocat général au point 85 de ses conclusions, si l’emploi, dans ces dispositions, du verbe « révéler » s’accorde avec la prise en compte d’un traitement portant non seulement sur des données intrinsèquement sensibles, mais également sur des données dévoilant indirectement, au terme d’une opération intellectuelle de déduction ou de recoupement, des informations de cette nature, la préposition « concernant » et l’adjectif « relative » semblent, au contraire, impliquer l’existence d’un lien plus direct et immédiat entre le traitement et les données concernées, envisagées dans leur nature intrinsèque.
124 Une telle interprétation, qui conduirait à opérer une distinction en fonction du type de données sensibles en cause, ne serait toutefois pas en cohérence avec une analyse contextuelle de ces dispositions, en particulier avec l’article 4, point 15, du RGPD, aux termes duquel constituent des « données concernant la santé » les données à caractère personnel relatives à la santé physique ou mentale d’une personne physique, y compris la prestation de services de soins de santé, qui « révèlent » des informations sur l’état de santé de cette personne, ainsi qu’avec le considérant 35 de ce règlement, qui énonce que les données à caractère personnel concernant la santé devraient comprendre l’ensemble des données se rapportant à l’état de santé d’une personne concernée qui « révèlent » des informations sur l’état de santé physique ou mentale passé, présent ou futur de la personne concernée.
125 En outre, une interprétation large des notions de « catégories particulières de données à caractère personnel » et de « données sensibles » est confortée par l’objectif de la directive 95/46 et du RGPD, rappelé au point 61 du présent arrêt, qui est de garantir un niveau élevé de protection des libertés et des droits fondamentaux des personnes physiques, notamment de leur vie privée, à l’égard du traitement des données à caractère personnel les concernant (voir, en ce sens, arrêt du 6 novembre 2003, Lindqvist, C‑101/01, EU:C:2003:596, point 50).
126 L’interprétation contraire irait, qui plus est, à l’encontre de la finalité de l’article 8, paragraphe 1, de la directive 95/46 et de l’article 9, paragraphe 1, du RGPD, consistant à assurer une protection accrue à l’encontre de traitements qui, en raison de la sensibilité particulière des données qui en sont l’objet, sont susceptibles de constituer, ainsi qu’il ressort du considérant 33 de la directive 95/46 et du considérant 51 du RGPD, une ingérence particulièrement grave dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel, garantis par les articles 7 et 8 de la Charte [voir, en ce sens, arrêt du 24 septembre 2019, GC e.a. (Déréférencement de données sensibles), C‑136/17, EU:C:2019:773, point 44].
127 Par conséquent, ces dispositions ne sauraient être interprétées en ce sens que le traitement de données à caractère personnel susceptibles de dévoiler, de manière indirecte, des informations sensibles concernant une personne physique est soustrait au régime de protection renforcé prévu par lesdites dispositions, sauf à porter atteinte à l’effet utile de ce régime et à la protection des libertés et des droits fondamentaux des personnes physiques qu’il vise à assurer.
128 Eu égard à l’ensemble des considérations qui précèdent, il y a lieu de répondre à la seconde question que l’article 8, paragraphe 1, de la directive 95/46 et l’article 9, paragraphe 1, du RGPD doivent être interprétés en ce sens que la publication, sur le site Internet de l’autorité publique chargée de collecter et de contrôler la teneur des déclarations d’intérêts privés, de données à caractère personnel susceptibles de divulguer indirectement l’orientation sexuelle d’une personne physique constitue un traitement portant sur des catégories particulières de données à caractère personnel, au sens de ces dispositions.
Sur les dépens
129 La procédure revêtant, à l’égard des parties au principal, le caractère d’un incident soulevé devant la juridiction de renvoi, il appartient à celle-ci de statuer sur les dépens. Les frais exposés pour soumettre des observations à la Cour, autres que ceux desdites parties, ne peuvent faire l’objet d’un remboursement.
Par ces motifs, la Cour (grande chambre) dit pour droit :
1) L’article 7, sous c), de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et l’article 6, paragraphe 1, premier alinéa, sous c), et paragraphe 3, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), lus à la lumière des articles 7, 8 et 52, paragraphe 1, de la charte des droits fondamentaux de l’Union européenne, doivent être interprétés en ce sens qu’ils s’opposent à une législation nationale prévoyant la publication en ligne de la déclaration d’intérêts privés que tout directeur d’un établissement percevant des fonds publics est tenu de déposer, en tant, notamment, que cette publication porte sur des données nominatives relatives à son conjoint, concubin ou partenaire ainsi qu’aux personnes proches ou connues du déclarant susceptibles de donner lieu à un conflit d’intérêts, ou encore sur toute transaction conclue au cours des douze derniers mois civils dont la valeur excède 3 000 euros.
2) L’article 8, paragraphe 1, de la directive 95/46 et l’article 9, paragraphe 1, du règlement 2016/679 doivent être interprétés en ce sens que la publication, sur le site Internet de l’autorité publique chargée de collecter et de contrôler la teneur des déclarations d’intérêts privés, de données à caractère personnel susceptibles de divulguer indirectement l’orientation sexuelle d’une personne physique constitue un traitement portant sur des catégories particulières de données à caractère personnel, au sens de ces dispositions.
Signatures