Demande de décision préjudicielle présentée par le Verwaltungsgericht Wiesbaden (Allemagne) le 2 février 2022 – AB/Land Hessen
(Affaire C-64/22)
Langue de procédure : l’allemand
Juridiction de renvoi
Verwaltungsgericht Wiesbaden (tribunal administratif de Wiesbaden, Allemagne)
Parties dans la procédure au principal
Partie requérante : AB
Partie défenderesse : Land Hessen
Partie intervenante : SCHUFA Holding AG
Questions préjudicielles
1. L’article 77, paragraphe 1, lu en combinaison avec l’article 78, paragraphe 1, du règlement (UE) 2016/679 1 doit-il être compris en ce sens que la conclusion de l’autorité de contrôle qui est communiquée par cette autorité à la personne concernée,
a) revêt le caractère d’une prise de décision sur une pétition, avec la conséquence que le contrôle juridictionnel exercé sur la décision sur réclamation adoptée par une autorité de contrôle au titre de l’article 78, paragraphe 1, de ce règlement est en principe limité à la question de savoir si cette autorité a traité la réclamation, enquêté de manière appropriée sur l’objet de celle-ci et informé le réclamant de la conclusion de l’examen
ou
b) doit être comprise comme une décision sur le fond adoptée par une autorité, avec pour conséquence que, dans le cadre du contrôle juridictionnel exercé sur une décision sur réclamation adoptée par une autorité de contrôle au titre de l’article 78, paragraphe 1, dudit règlement, la décision sur le fond doit faire l’objet d’un contrôle entier par le juge, sachant que, dans des cas particuliers, par exemple en cas de réduction à zéro du pouvoir discrétionnaire, le juge peut également imposer à l’autorité de contrôle de prendre une mesure concrète au sens de l’article 58 du même règlement ?
2. La conservation de données auprès d’une société privée fournissant des informations commerciales, conservation dans le cadre de laquelle des données à caractère personnel provenant d’un registre public tel que les « bases de données nationales » au sens de l’article 79, paragraphes 4 et 5, du règlement (UE) 2015/848 1 sont conservées non pas à l’occasion d’un cas concret, mais afin de pouvoir fournir des renseignements en cas de demande, est-elle compatible avec les articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne ?
3. a). Les bases de données parallèles privées (en particulier les bases de données tenues par une société fournissant des informations commerciales) qui sont créées à côté des bases de données étatiques et dans lesquelles les données provenant de ces dernières (en l’espèce, des publications en matière d’insolvabilité) sont conservées plus longtemps que ce qui est prévu dans le cadre strict du règlement 2015/848, lu en combinaison avec le droit national, sont-elles en principe licites ?
b). Si la question 3a appelle une réponse affirmative, résulte-t-il du droit à l’oubli prévu à l’article 17, paragraphe 1, sous d), du règlement 2016/679 que ces données doivent être supprimées lorsque la durée de traitement prévue pour le registre public a expiré ?
4. Dans la mesure où l’article 6, paragraphe 1, premier alinéa, sous f), du règlement 2016/679 peut être considéré comme la seule base juridique de la conservation de données par les sociétés privées fournissant des informations commerciales, et ce également en ce qui concerne les données conservées dans les registres publics, convient-il de retenir qu’une telle société possède déjà un intérêt légitime lorsqu’elle reprend les données provenant du registre public non pas à une occasion concrète, mais afin que ces données soient ensuite disponibles en cas de demande de renseignements ?
5. Les codes de conduite qui ont été approuvés par les autorités de contrôle conformément à l’article 40 du règlement 2016/679 et qui prévoient des délais de contrôle et d’effacement qui vont au-delà des délais de conservation prévus pour les registres publics peuvent-ils suspendre la mise en balance prévue à l’article 6, paragraphe 1, premier alinéa, sous f), de ce règlement ?
____________
1 Règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1).
1 Règlement (UE) 2015/848 du Parlement européen et du Conseil, du 20 mai 2015, relatif aux procédures d’insolvabilité (JO 2015, L 141, p. 19).