DOCUMENT DE TRAVAIL
ARRÊT DU TRIBUNAL (première chambre)
6 septembre 2023 (*)
« Droit institutionnel – Protection des données à caractère personnel – Règlement (UE) 2018/1725 – Rejet de la réclamation adressée au CEPD concernant la conservation et le traitement des données à caractère personnel par le CRU – Rejet de la demande de révision – Droit à l’effacement – Droit d’opposition – Droit à la limitation du traitement – Article 26 du statut – Principe de bonne administration »
Dans l’affaire T‑200/21,
JS, représenté par Mes L. Levi et A. Champetier, avocates,
partie requérante,
contre
Contrôleur européen de la protection des données (CEPD), représenté par Mmes U. Kallenberger et A. Pouliou, en qualité d’agents,
partie défenderesse,
LE TRIBUNAL (première chambre),
composé de MM. D. Spielmann, président, V. Valančius (rapporteur) et R. Mastroianni, juges,
greffier : M. V. Di Bucci,
vu la phase écrite de la procédure,
vu l’absence de demande de fixation d’une audience présentée par les parties dans le délai de trois semaines à compter de la signification de la clôture de la phase écrite de la procédure et ayant décidé, en application de l’article 106, paragraphe 3, du règlement de procédure du Tribunal, de statuer sans phase orale de la procédure,
rend le présent
Arrêt
1 Par son recours, le requérant, demande, d’une part, sur le fondement de l’article 263 TFUE, l’annulation de la décision du Contrôleur européen de la protection des données (CEPD) du 18 janvier 2021 ayant rejeté sa réclamation (ci-après la « première décision attaquée ») et de la décision du CEPD du 9 mars 2021 ayant rejeté sa demande de révision dirigée contre la première décision attaquée (ci-après la « seconde décision attaquée ») (ci-après, prises ensemble, les « décisions attaquées ») et, d’autre part, sur le fondement de l’article 268 TFUE, la réparation du préjudice qu’il aurait subi à la suite des décisions attaquées.
Antécédents du litige et décisions attaquées
2 Le requérant est entré en fonctions, en tant qu’agent temporaire, auprès du Conseil de résolution unique (CRU) le 1er novembre 2017. Le 4 septembre 2019, il a démissionné avec effet au 30 septembre suivant.
Demandes du requérant au CRU
3 Par un courriel du 29 septembre 2019, le requérant a, au visa du règlement (UE) 2018/1725 du Parlement européen et du Conseil, du 23 octobre 2018, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) n° 45/2001 et la décision n° 1247/2002/CE (JO 2018, L 295, p. 39), demandé au CRU de lui communiquer une copie de toutes ses données à caractère personnel et de toutes les données faisant référence à sa personne qu’il avait conservées.
4 Par un courriel complémentaire du même jour adressé au délégué à la protection des données du CRU (ci-après le « DPD »), le requérant a demandé à ce dernier de l’informer de la finalité de deux accès à ses données à caractère personnel conservées dans le système informatique de gestion du personnel de la Commission européenne, dénommé Sysper2, le 12 juin 2019, et de vérifier si ces accès pouvaient constituer une violation de ses données à caractère personnel. Il a également demandé que soient prises des mesures pour empêcher tout accès, modification, traitement et divulgation non autorisé de ses données à caractère personnel conservées par le CRU.
5 Par un courriel du 17 février 2020 adressé au DPD, le requérant a réitéré sa demande au CRU de lui « confirmer si oui ou non des données à caractère personnel [le] concernant (en particulier relatives aux ressources humaines) étaient traitées », de lui « communiquer une copie de [s]es données à caractère personnel » et de « restreindre le traitement de [s]es données à caractère personnel », tout en « [s]’oppos[ant] au traitement de ses données à caractère personnel ».
6 Le 28 février 2020, le DPD a communiqué au requérant certaines données le concernant, en indiquant que, « en vertu de la liste commune de conservation des dossiers de la Commission européenne [SEC(2012) 713], appliquée par analogie par le CRU, et en vertu des articles 11, 26, 81 et 127 des règles applicables du statut [des fonctionnaires de l’Union européenne] et du [régime applicable aux autres agents de l’Union européenne], le CRU a[vait] l’obligation légale de conserver [son] dossier individuel conformément à la liste de conservation » et que son « dossier individuel [était] maintenant archivé et sera[it] conservé jusqu’à huit ans après l’expiration de tous [ses] droits et pour au moins 120 ans après [sa] date de naissance ».
7 En réponse à ce courriel, le requérant a, par un courriel du 8 mars 2020, demandé au CRU l’effacement de ses données à caractère personnel traitées par ce dernier et réitéré sa demande de limitation du traitement desdites données ainsi que sa demande d’opposition à celles de ses données qui ne seraient pas effacées (ci-après la « demande d’effacement »).
8 La demande d’effacement est rédigée comme suit :
« [J]e vous remercie beaucoup de votre message et de m’avoir envoyé les copie de mes données à caractère personnel (en particulier concernant le service des ressources humaines) conservées par le CRU. Je vous remercie également de la possibilité de vous demander mes données à caractère personnel (telles que des certificats administratifs) figurant dans Sysper, je vous informerai le cas échéant de mon si j’avais besoin d’autres données à caractère personnel.
Dans l’exercice de mes droits en application du règlement [2018/1725] concernant mes données à caractère personnel que le CRU m’a communiquées, je vous prie de bien vouloir les effacer des systèmes du CRU (par le service des ressources humaines du CRU ou par tout autre contrôleur de données du CRU), dans la mesure où aucune finalité ne me semble rendre nécessaire et justifié leur traitement par le CRU.
Pour toute donnée à caractère personnel me concernant potentiellement conservée […], je vous prie de bien vouloir me tenir informé des finalités de cette conservation par le CRU.
Pour toute donnée à caractère personnel me concernant qui ne serait pas effacée, si une conservation plus longue était en effet nécessaire et légitime, j’en demande la limitation et m’oppose à son traitement par le CRU. Ma demande de limitation et d’opposition à tout traitement par le CRU concerne en particulier mes données à caractère personnel dont j’ai itérativement contesté l’exactitude dans le cadre de demandes et de réclamations en application de l’article 90, paragraphe 2, du statut, telles que mes données à caractère personnel figurant dans les documents que le CRU a dénommés “rapports d’évaluation” [(appraisal reports)]. »
9 Par des courriels du 20 mars ainsi que des 17 et 20 avril 2020, le requérant a réitéré sa « demande d’effacement » , en retirant son consentement au traitement de ces données par le CRU.
10 Le DPD a répondu à ces courriels par un courriel du 30 avril 2020, en rejetant la demande d’effacement.
11 Dans ce courriel, premièrement, le DPD a confirmé au requérant que le CRU avait l’obligation légale de conserver son dossier individuel conformément à la liste commune de conservation des dossiers de la Commission européenne [SEC(2012) 713] et en vertu des articles 11, 26, 81 et 127 du statut des fonctionnaires de l’Union européenne (ci-après le « statut ») ainsi que du régime applicable aux autres agents de l’Union européenne, cette obligation légale excluant, en vertu de l’article 19, paragraphe 3, sous b), du règlement 2018/1725, l’application du droit à l’effacement prévu au paragraphe 1 de cette même disposition.
12 Dans ce même courriel, deuxièmement, le DPD a indiqué que l’article 10, paragraphe 5, du statut obligeait le CRU à conserver ces données dans un dossier individuel unique, le CRU étant tenu de transférer ce dossier individuel à toute institution de l’Union européenne en tant qu’éventuel nouvel employeur et certaines des données du dossier individuel étant également conservées dans le cadre d’autres obligations financières, actuelles ou futures, envers les membres de son personnel ou les membres de leur famille (c’est-à-dire des pensions de veuvage ou d’orphelin). Ces considérations justifieraient l’application par analogie de la durée de conservation des données à caractère personnel prévue par la liste commune de conservation des dossiers de la Commission [SEC(2012) 713], à savoir 120 ans après la date de naissance du fonctionnaire ou de l’agent. Le DPD en a déduit, également au visa des articles 11, 81 et 127 du statut, que le CRU n’était pas autorisé à effacer des données du dossier individuel du requérant.
13 Troisièmement, le DPD a précisé que l’obligation légale lui incombant de conserver les données à caractère personnel dans le dossier individuel du requérant excluait, en vertu de l’article 5, paragraphe 1, sous b), du règlement 2018/1725, l’application du droit d’opposition prévu à l’article 23, paragraphe 1, du règlement 2018/1725.
14 Quatrièmement, en ce qui concerne la demande de limitation du traitement de ses données personnelles, en application de l’article 20, paragraphe 1, sous a) et b), du règlement 2018/1725, le DPD a invité le requérant à préciser les données dont il contestait l’exactitude.
Procédure devant le CEPD et décisions attaquées
15 Le 20 mars 2020, le requérant a saisi le CEPD d’une réclamation contre le CRU, en application de l’article 63, paragraphe 1, du règlement 2018/1725 (ci-après la « réclamation »).
16 Dans la réclamation, tout d’abord, le requérant a indiqué avoir, après sa démission, demandé au CRU l’effacement de ses données à caractère personnel, en particulier les données se référant à son nom figurant dans les « rapports d’évaluation », dans la mesure où :
« a) [c]es données à caractère personnel n[’étaie]nt plus nécessaires au regard des finalités pour lesquelles elles [avaie]nt été collectées ou traitées d’une autre manière ;
b) [il avait] retiré tout consentement à leur traitement en application de l’article 5, paragraphe 1, sous d), ou de l’article 10, paragraphe 2, [du règlement 2018/1725], dès lors qu’il n’exist[ait] plus aucune finalité pour leur traitement ;
c) [il s’était] opposé à leur traitement en application de l’article 23, paragraphe 1, [du règlement 2018/1725] et il n’exist[ait] aucun motif légitime et impérieux justifiant [c]e traitement ;
d) [ses] données à caractère personnel [avaie]nt fait l’objet [selon lui] d’un traitement illicite ;
e) l’effacement de [ses] données à caractère personnel [étai]t nécessaire pour satisfaire à une obligation légale incombant au responsable du traitement [des données à caractère personnel]. »
17 Dans la réclamation, le requérant a également indiqué que « le [CRU] prétend[ait] au contraire être autorisé à conserver toutes ses données à caractère personnel “pendant au moins 120 ans après sa naissance” », un « traitement et [une] conservation » pour une telle durée « enfrei[gna]nt, selon [lui], les droits que [lui] confér[ait] le règlement [2018/1725], en particulier [ses] droits prévus à l’article 19 [du règlement 2018/1725], à savoir le droit à l’effacement (“droit à l’oubli”), à l’article 20 [du règlement 2018/1725], à savoir le droit à la limitation du traitement des données à caractère personnel, et à l’article 23 du règlement [2018/1725], à savoir le droit d’opposition ».
18 Dans la réclamation, le requérant a ensuite demandé au CEPD « de donner instruction au CRU de donner suite à [s]es demandes dans l’exercice de [s]es droits (en particulier l’effacement demandé de [s]es données à caractère personnel concernées) sans retard injustifié ».
19 Par des courriels des 3 et 8 avril 2020, le requérant a soumis au CEPD des observations additionnelles alléguant que les violations de ses droits étaient aggravées par certains éléments et, notamment, par des divulgations non autorisées de ses données à caractère personnel.
20 Par un courriel du 8 avril 2020, le requérant a cependant demandé au CEPD de ne pas donner suite à ce stade à ses allégations.
21 Par une lettre du 14 avril 2020, le CEPD a invité le CRU à présenter ses observations sur les allégations du requérant, en joignant la réclamation et ses annexes.
22 Le 17 avril 2020, le DPD a fait valoir des remarques préliminaires sur les allégations en cause et le CRU a répondu, le 25 mai 2020, à la lettre du CEPD du 14 avril 2020.
23 Le 29 mai 2020, le CEPD a invité le requérant à faire valoir ses observations sur la réponse du CRU, ce que le requérant a fait le 31 juillet 2020.
24 Par une lettre du 6 août 2020, le CEPD a invité le CRU à présenter ses observations sur les observations du requérant du 31 juillet 2020, ce que le CRU a fait le 17 septembre 2020.
25 Le 8 octobre 2020, le CEPD a invité le requérant à faire valoir ses observations sur la réponse du CRU du 17 septembre 2020, ce que le requérant a fait le 4 novembre 2020.
26 Le 18 janvier 2021, le CEPD a rejeté la réclamation du requérant par la première décision attaquée.
27 Premièrement, cette décision conclut, en substance, que, s’agissant du droit à l’effacement des données à caractère personnel du requérant, prévu à l’article 19 du règlement 2018/1725, lu à la lumière de l’article 26 du statut, le CRU avait l’obligation légale, au sens de l’article 19, paragraphe 3, sous b), du règlement 2018/1725, de conserver le contenu du dossier individuel du requérant. Le requérant n’avait donc pas le droit d’obtenir du CRU, en tant que responsable du traitement des données à caractère personnel, l’effacement de données à caractère personnel le concernant en vertu de l’article 19, paragraphe 1, du règlement 2018/1725.
28 Deuxièmement, s’agissant du droit d’opposition au traitement des données à caractère personnel, prévu à l’article 23, paragraphe 1, du règlement 2018/1725, le CEPD a rappelé que, en vertu de l’article 5, paragraphe 1, sous b), du règlement 2018/1725, le traitement desdites données était licite s’il était nécessaire au respect d’une obligation légale à laquelle le responsable du traitement des données à caractère personnel était soumis. Dès lors que tel était bien le cas en l’espèce, selon le CEPD, le requérant ne pouvait pas s’opposer audit traitement sur le fondement de l’article 23, paragraphe 1, du règlement 2018/1725.
29 Troisièmement, en ce qui concerne la demande du requérant de limitation du traitement de ses données à caractère personnel, fondée sur l’article 20, paragraphe 1, du règlement 2018/1725, le CEPD a également considéré qu’elle devait être rejetée. En effet, il a tout d’abord rejeté l’argument du requérant fondé sur le fait que ses données à caractère personnel détenues par le CRU étaient incomplètes ou inexactes. Il a ensuite rappelé que le traitement était licite au sens de l’article 5, paragraphe 1, sous b), du règlement 2018/1725, car il était nécessaire au respect d’une obligation légale à laquelle le CRU était soumis en application de l’article 26 du statut. Il a enfin rappelé l’absence d’un droit d’opposition au titre de l’article 23 du règlement 2018/1725, précédemment constaté. Il en a conclu que le requérant n’avait aucun motif au sens de l’article 20, paragraphe 1, dudit règlement pour obtenir du CRU une limitation du traitement de ses données à caractère personnel.
30 En conclusion, le CEPD a rejeté la réclamation du requérant, en indiquant ce qui suit :
« L’attention du CRU est attirée sur la liste commune de conservation des dossiers de la Commission européenne dans sa deuxième version actualisée [SEC(2019) 900] et sur les orientations du CEPD [du 10 octobre 2008] concernant les opérations de traitement de données en matière de recrutement de personnel. Bien que celles-ci ne soient pas applicables dans le cas du [requérant], lequel a travaillé au CRU jusqu’en septembre 2019, elles recommandent, comme étant raisonnable, une durée de conservation des données à caractère personnel dans les dossiers personnels, au titre de l’article 26 du statut, de dix ans à compter de la fin du service ou du dernier versement d’une pension. »
31 Le 17 février 2021, le requérant a, en application de l’article 18, paragraphe 1, de la décision du CEPD du 15 mai 2020 portant adoption du règlement intérieur du CEPD (JO 2020, L 204, p. 49, ci-après le « règlement intérieur du CEPD »), saisi le CEPD d’une demande de révision de la première décision attaquée (ci-après la « demande de révision »).
32 Dans la demande de révision, comportant, en annexe, plusieurs documents relatifs aux politiques de protection des données à caractère personnel de différentes agences de l’Union, le requérant a fait valoir ce qui suit :
« [La première] décision [attaquée] n’a analysé ni la nécessité pour le CRU de conserver et de traiter les données à caractère personnel d[u requérant] au-delà d’une période [recommandée dans les orientations du CEPD] de dix ans à compter de la fin du service [en note en bas de page : “L’autre hypothèse du dernier versement d’une pension n’est pas pertinente en l’espèce, car le requérant n’a pas de droits à pension”] ou même d’une période plus courte, comme demandé, ni la licéité des finalités invoquées par le CRU.
Or, si, en vertu de l’article 26 du statut […], [le requérant] n’était pas en droit de demander un effacement, une opposition ou une limitation de traitement [de ses données à caractère personnel], il n’en reste pas moins essentiel pour lui de savoir et de comprendre quand ses droits peuvent être exercés dans le temps.
Au demeurant, aucune des autres agences de l’Union […] ne semble conserver, en vertu du règlement 2018/1725, les données à caractère personnel des anciens membres de leur personnel, en particulier les rapports d’évaluation, aussi longtemps que le CRU prétend être “légalement obligé” de le faire concernant celles [du requérant]. À cet égard, la durée maximale de conservation de données à caractère personnel d’anciens membres du personnel semble être de dix ans […] Même la liste commune de conservation des dossiers de la Commission européenne n’applique pas une durée [de conservation] de 120 ans pour toute donnée à caractère personnel des membres du personnel cessant leurs fonctions sans droits à pension.
De toute évidence, la période de conservation à vie a été initialement prévue par les institutions de l’Union aux fins des droits à pension de leurs fonctionnaires retraités, ce qui n’est cependant pas applicable dans le cas présent, puisque [le requérant] a cessé ses fonctions au sein de l’Union sans de tels droits. En outre, les données contestées dont l’effacement est spécifiquement demandé (données relatives à son nom, que le CRU dénomme “rapports d’évaluation”) ne sont ni nécessaires ni pertinentes pour les obligations financières au sens du statut et du règlement financier et peuvent ainsi être effacées avant l’expiration de la durée normale de dix ans.
Or, le CRU applique une durée de conservation pour l’ensemble du dossier individuel d[u requérant] 120 ans après sa date de naissance.
Une telle durée est non seulement contraire à la liste commune de conservation [de 2012], mais aussi non nécessaire pour que le CRU puisse respecter les obligations lui incombant.
Elle affecte la possibilité pour [le requérant] d’exercer ses droits fondamentaux, tels que consacrés dans le règlement 2018/1725 et dans la charte des droits fondamentaux de l’Union. .
[…] En l’espèce, le droit fondamental d[u requérant] à la protection de ses données à caractère personnel est en effet complètement vidé de son contenu et de son essence les plus élémentaires par une durée de conservation d’au moins 120 ans […]
À cet égard, [le CEPD] aur[ait] dû aussi apprécier la proportionnalité de la durée de la période de conservation envisagée par le CRU et ses finalités afin d’apprécier la validité et les moyens de la demande et de la réclamation d[u requérant], ce qu[’il n’a] pas fait.
[…] »
33 Le 27 février 2021, le CRU a été invité par le CEPD à faire valoir ses observations sur la demande de révision, ce que le CRU a fait le 5 mars 2021, en réitérant ses observations qu’il avait communiquées au CEPD le 17 septembre 2020 aux fins de conclure au rejet de la demande de révision.
34 Le 9 mars 2021, le CEPD a rejeté la demande de révision du requérant par la seconde décision attaquée.
35 La seconde décision attaquée est libellée comme suit :
« Nous avons attentivement analysé la demande de révision et conclu que vous n’aviez fourni aucun élément factuel ni argument juridique nouveau justifiant une révision de la [première] décision [attaquée].
Nous notons que, dans la demande de révision, vous soulevez également la question de savoir à quel moment précis le [requérant] sera en droit d’exercer son droit à l’effacement, son droit d’opposition et son droit à la limitation du traitement [de ses données à caractère personnel], dès lors qu’il lui est “toujours essentiel de savoir et de comprendre quand ces droits peuvent être exercés dans le temps”.
De même, nous notons que vous contestez la période de conservation de 120 ans appliquée par le CRU aux données à caractère personnel figurant dans son dossier individuel.
Veuillez toutefois noter que l’objet de la réclamation examinée dans le cadre du dossier 2020-0342 était limité à la demande d’effacement de ses données à caractère personnel présentée par le r[equér]ant au CRU le 8 mars 2020.
L’exercice futur du droit à l’effacement et d’autres droits, tels que le droit d’opposition et le droit à la limitation du traitement [des données à caractère personnel], de même que tout argument relatif à la légalité de la durée de conservation de 120 ans appliquée par le CRU aux dossiers individuels, n’ont, par conséquent, pas fait l’objet de l’enquête du CEPD dans le cadre de la présente réclamation.
Par conséquent, ces éléments ne sauraient être traités dans le cadre de la procédure de révision. Si le requérant souhaite contester ces éléments, il peut introduire une nouvelle réclamation auprès du CEPD à cet égard. »
Conclusions des parties
36 Le requérant conclut à ce qu’il plaise au Tribunal :
– annuler la première décision attaquée et, pour autant que de besoin, la seconde décision attaquée ;
– condamner le CEPD à lui payer la somme de 20 000 euros au titre du préjudice subi ;
– condamner le CEPD aux dépens.
37 Le CEPD conclut à ce qu’il plaise au Tribunal :
– rejeter le recours comme étant non fondé ;
– condamner le requérant aux dépens.
En droit
38 Par le présent recours, le requérant conclut à l’annulation des décisions attaquées et à la réparation du préjudice prétendument subi.
Sur les nouvelles preuves soumises par les parties
39 En premier lieu, devant le Tribunal, le requérant a soumis, par acte déposé au greffe du Tribunal le 31 août 2021, trois nouveaux éléments de preuve.
40 Selon le CEPD, ces nouvelles preuves doivent être rejetées comme étant en partie irrecevables et en partie non pertinentes et non fondées.
41 En l’espèce, tout d’abord, le requérant a soumis un échange de courriels entre lui-même, la direction des ressources humaines de la Commission et le CRU.
42 Indépendamment de la question de leur recevabilité, ces éléments doivent être rejetés.
43 En effet, ces éléments ne sont pas pertinents aux fins de statuer dans la présente affaire, puisque leur contenu porte, non sur un refus d’effacement, d’opposition ou de limitation du traitement des données à caractère personnel du requérant, mais sur un droit d’accès à certaines données, ce droit étant étranger à l’objet du présent litige.
44 Ensuite, le requérant a soumis une décision du CEPD du 3 mars 2020 dans une affaire impliquant la Cour des comptes européenne.
45 Indépendamment de la question de sa recevabilité, cette nouvelle preuve doit être rejetée.
46 En effet, cette nouvelle preuve n’est aucunement pertinente aux fins de statuer dans le présent litige, en ce qu’une décision du CEPD dans une autre affaire ne saurait lui être opposée dans la présente affaire.
47 Enfin, le requérant a soumis un échange de courriels avec le délégué à la protection des données de la Banque centrale européenne (BCE) relatifs à la pratique de la BCE quant aux délais de conservation et de traitement des données à caractère personnel des agents de la BCE.
48 Indépendamment de la question de leur recevabilité, ces éléments doivent être rejetés.
49 En effet, la pratique d’autres institutions, agences ou organes de l’Union quant aux délais de conservation et de traitement des données à caractère personnel ne saurait être pertinente en l’espèce et, en tout état de cause, aucunement opposable au CEPD dans la présente affaire.
50 Les nouvelles preuves soumises par le requérant doivent donc être écartées.
51 En second lieu, le CEPD a soumis, par acte déposé au greffe du Tribunal le 5 octobre 2021, un nouvel élément de preuve, à savoir la réclamation introduite par le requérant le 7 août 2021 quant au délai de conservation des données à caractère personnel pratiqué par le CRU, laquelle fait expressément référence à la réclamation dans la présente affaire.
52 Selon le requérant, cette nouvelle preuve doit être écartée comme étant non pertinente.
53 Or, cet élément est pertinent dans la présente affaire, puisque cette autre réclamation concerne le délai de conservation et de traitement des données à caractère personnel par le CRU.
54 En outre, sa tardiveté est justifiée par la date du dépôt du mémoire en défense, à savoir le 8 juillet 2021, antérieure à celle du dépôt de cette autre réclamation, conformément à l’article 85, paragraphe 3, du règlement de procédure du Tribunal.
55 Cette preuve doit donc être admise.
Sur les conclusions en annulation
56 Le requérant demande l’annulation de la première décision attaquée, par laquelle la réclamation a été rejetée, ainsi que, pour autant que de besoin, l’annulation de la seconde décision attaquée, par laquelle la demande de révision de la première décision attaquée a été rejetée.
Sur les conclusions dirigées contre la première décision attaquée
57 Au soutien de ses conclusions en annulation, le requérant invoque un moyen unique, tiré de violations de l’article 4, paragraphe 1, et des articles 5, 19, 20 et 23 du règlement 2018/1725, de même que des principes de nécessité et de proportionnalité ainsi que des articles 7, 8 et 41 et de l’article 52, paragraphe 1, de la charte des droits fondamentaux de l’Union européenne (ci-après la « Charte »).
58 Le requérant fait valoir que le CEPD a omis d’apprécier la nécessité, pour le CRU, de prévoir un délai minimal de conservation et de traitement des données à caractère personnel en cause de 120 ans, en particulier en ce qui concerne les rapports d’évaluation, aux fins de respecter les obligations lui incombant en vertu de l’article 26 du statut.
59 À cet effet, le requérant rappelle que, en application de l’article 4 paragraphe 1, sous e), du règlement 2018/1725, la durée de conservation des données à caractère personnel ne doit pas excéder celle nécessaire au regard des finalités pour lesquelles ces données sont traitées et que le CEPD a, dans la première décision attaquée, attiré l’attention du CRU sur les orientations du CEPD et sur la liste commune de conservation des dossiers de la Commission dans sa deuxième version actualisée [SEC(2019) 900], quand bien même, selon le CEPD, ces textes n’étaient pas applicables en l’espèce, lesdites orientations prévoyant une durée maximale de dix ans et le CEPD ayant constamment déclaré qu’une durée de 120 ans était excessive.
60 Le requérant fait grief au CEPD de n’avoir contrôlé ni la nécessité ni la finalité d’une telle durée de conservation des données à caractère personnel et fait valoir en ce sens la pratique d’autres agences et institutions de l’Union ainsi que les avis mêmes du CEPD.
61 Ainsi que le CEPD l’aurait lui-même affirmé, la période de conservation à vie a été initialement prévue par les institutions de l’Union aux fins de garantir les droits à pension de leurs fonctionnaires retraités, ce qui n’est cependant pas applicable en l’espèce, le requérant, un ancien agent temporaire, ayant quitté ses fonctions au sein de l’Union sans aucun droit à pension et n’ayant ni conjoint ni enfant.
62 Les données contestées, relatives au nom du requérant, que le CRU prétend être des « rapports d’évaluation », ne seraient ni nécessaires ni pertinentes pour les obligations financières au sens du statut et du règlement (UE, Euratom) 2018/1046 du Parlement européen et du Conseil, du 18 juillet 2018, relatif aux règles financières applicables au budget général de l’Union, modifiant les règlements (UE) no 1296/2013, (UE) no 1301/2013, (UE) no 1303/2013, (UE) no 1304/2013, (UE) no 1309/2013, (UE) no 1316/2013, (UE) no 223/2014, (UE) no 283/2014 et la décision no 541/2014/UE, et abrogeant le règlement (UE, Euratom) no 966/2012 (JO 2018, L 193, p. 1), et ce alors que le CRU applique une période de conservation pour l’ensemble du dossier personnel du requérant d’au moins 120 ans après sa date de naissance.
63 Une durée de conservation des données à caractère personnel d’au moins 120 ans après la naissance du requérant ne serait pas, en tant que telle ou en tout état de cause en l’espèce, nécessaire pour que le CRU se conforme à ses obligations découlant de l’article 26 du statut.
64 Une telle durée de conservation serait également disproportionnée, comme l’aurait constamment indiqué le CEPD lui-même, en ce qu’elle apporterait une limitation indue et entraînerait une violation illégale des droits fondamentaux consacrés par les articles 7 et 8 de la Charte, lus à la lumière de l’article 52, paragraphe 1, de ladite Charte.
65 Une telle durée de conservation priverait également d’effectivité les droits fondamentaux du requérant à l’effacement, à la limitation du traitement de ses données à caractère personnel et à l’opposition prévus par le règlement 2018/1725.
66 Ainsi, le fait pour le CEPD de ne pas apprécier la légalité de la durée de conservation des données à caractère personnel de 120 ans constituerait un manquement aux obligations lui incombant quant à l’effectivité des droits fondamentaux du requérant garantis par la Charte et par le règlement 2018/1725 et quant à son devoir de vigilance inscrit à l’article 41 de la Charte.
67 Le CEPD conteste cette argumentation.
68 En premier lieu, il appartient au Tribunal de vérifier si le CEPD a rejeté, à tort, la réclamation du requérant, en violation du droit à l’effacement, consacré à l’article 19 du règlement 2018/1725, du droit à l’opposition, consacré à l’article 23 du même règlement, et du droit à la limitation du traitement des données à caractère personnel, consacré à l’article 20 du même règlement.
69 Il y a lieu de rappeler que l’article 4, paragraphe 1, sous a) et b), du règlement 2018/1725, intitulé « Principes relatifs au traitement des données à caractère personnel », prévoit, notamment, que les données à caractère personnel doivent être traitées de manière licite, loyale et transparente au regard de la personne concernée et qu’elles doivent être collectées pour des finalités déterminées, explicites et légitimes et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités.
70 L’article 5, paragraphe 1, sous b), du règlement 2018/1725, intitulé « Licéité du traitement », prévoit que le traitement des données à caractère personnel est licite, notamment s’il est nécessaire au respect d’une obligation légale à laquelle le responsable dudit traitement est soumis.
71 L’article 19, paragraphe 1, du règlement 2018/1725 prévoit le droit d’obtenir du responsable du traitement des données à caractère personnel l’effacement desdites données. L’article 19, paragraphe 3, sous b), du même règlement contient une exception à ce principe lorsque le traitement des données à caractère personnel est nécessaire pour respecter une obligation légale à laquelle le responsable dudit traitement est soumis. Autrement dit, l’effacement des données à caractère personnel ne peut pas être obtenu si le traitement de ces données, et donc leur conservation, est nécessaire pour respecter une obligation légale à laquelle le responsable du traitement desdites données est soumis.
72 L’article 20 du règlement 2018/1725 prévoit que la personne concernée a le droit d’obtenir du responsable du traitement des données à caractère personnel la limitation dudit traitement, notamment lorsque l’exactitude des données est contestée, lorsque ledit traitement est illicite ou lorsque le responsable dudit traitement n’a plus besoin des données à caractère personnel aux fins de ce traitement, mais que celles-ci sont encore nécessaires à la personne concernée pour la constatation, l’exercice ou la défense de droits en justice.
73 L’article 23, paragraphe 1, du règlement 2018/1725 permet à la personne concernée de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des données à caractère personnel la concernant fondé sur l’article 5, paragraphe 1, sous a), dudit règlement, c’est-à-dire lorsque ledit traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi l’institution ou l’organe de l’Union. Dans ce cas, le responsable du traitement des données à caractère personnel ne traite plus lesdites données, à moins qu’il ne démontre qu’il existe des motifs légitimes et impérieux pour ce traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée ou pour la constatation, l’exercice ou la défense de droits en justice.
74 En l’espèce, l’obligation légale incombant au CRU justifiant le rejet des demandes d’effacement et d’opposition résulte de l’article 26 du statut, lequel impose au CRU de conserver toute pièce intéressant la situation administrative et tout rapport concernant la compétence, le rendement ou le comportement du fonctionnaire ou de l’agent concerné. Cette disposition prévoit également que tout fonctionnaire a le droit, même après la cessation de ses fonctions, de prendre connaissance de l’ensemble des pièces figurant à son dossier et d’en prendre copie.
75 Dans la mesure où le requérant invoque la violation des articles 19, 20 et 23 du règlement 2018/1725, force est de constater que, au vu de la réclamation dont il était saisi, c’est à juste titre que le CEPD a rejeté ses demandes.
76 Premièrement, en effet, s’agissant du droit à l’effacement des données à caractère personnel, il résulte de la lecture conjointe de l’article 19, paragraphe 3, sous b), du règlement 2018/1725 et de l’article 26 du statut que le CRU pouvait s’estimer légalement tenu de conserver le dossier du requérant et de ne pas faire droit à sa demande d’effacement.
77 Comme l’a indiqué le CEPD en réponse à une question du Tribunal, la conservation de ces données répond à la nécessité de constituer les droits à pension ou de déterminer les droits d’un conjoint survivant ou d’orphelins et doit donc couvrir une période suffisante pour que l’agent (ou ses ayants droit) aient épuisé toute voie de recours après la cessation définitive des fonctions dudit agent au sens de l’article 47 du statut.
78 En outre, à supposer que le requérant ne soit pas concerné par les droits à pension, le refus du CRU s’inscrit dans le cadre de la finalité de l’article 26 du statut, qui vise, notamment, à permettre à tout fonctionnaire, même après la cessation de ses fonctions, de prendre connaissance de l’ensemble des pièces figurant dans son dossier et d’en prendre copie. Il peut d’ailleurs être relevé que cet accès à son dossier a été demandé par le requérant et lui a été accordé le 28 février 2020. De même, ainsi que cela ressort, notamment, de la première décision attaquée, le requérant a introduit des recours contre le CRU devant le Tribunal en mai 2020, recours qui, à la date de la première décision attaquée, étaient toujours pendants.
79 Dès lors, sans préjudice de la question de la durée de conservation du dossier individuel, il résulte des dispositions applicables que, à la date de la première décision attaquée, c’est à juste titre que le CEPD a validé le rejet, par le CRU, de la demande du requérant visant à l’effacement de ses données à caractère personnel présentes dans son dossier.
80 Deuxièmement, s’agissant de la demande du requérant tendant à la limitation du traitement de ses données à caractère personnel, outre que ce dernier ne semble pas avoir précisé quelle forme spécifique de limitation il souhaitait, une telle limitation doit répondre à certaines conditions prévues par l’article 20 du règlement 2018/1725, dont le requérant n’établit pas qu’elles étaient remplies en l’espèce. Il n’établit notamment pas en quoi les données de son dossier sont inexactes ou incomplètes ni que la première décision attaquée est erronée à cet égard.
81 Troisièmement, en ce qui concerne la demande d’opposition au traitement des données à caractère personnel du requérant au sens de l’article 23, paragraphe 1, du règlement 2018/1725, le CEPD constate, à juste titre, que le CRU s’est fondé sur l’obligation légale découlant de l’article 5, paragraphe 1, sous b), du règlement 2018/1725, selon lequel le traitement des données à caractère personnel est licite s’il est nécessaire au respect d’une obligation légale à laquelle le responsable dudit traitement est soumis, ce qui est le cas en l’espèce. Le requérant n’étaye pas davantage sa contestation à cet égard.
82 Partant, l’argumentation du requérant concernant un défaut de finalité ou de nécessité pour rejeter son droit à l’effacement ou son droit d’opposition au traitement de ses données à caractère personnel figurant dans son dossier individuel et conservées par le CRU à ce titre doit être rejetée. Dès lors, la première décision attaquée, par laquelle le CEPD a rejeté la réclamation du requérant à cet égard, n’est pas entachée d’illégalité.
83 En deuxième lieu, le requérant fait valoir devant le Tribunal que c’est à tort que le CEPD s’est abstenu d’apprécier la proportionnalité de la durée de conservation de ses données à caractère personnel.
84 À cet égard, il convient de rappeler que, en application de l’article 57, paragraphe 1, sous e), du règlement 2018/1725, relatif aux missions du CEPD, ce dernier « traite les réclamations introduites par une personne concernée ou par un organisme, une organisation ou une association, […] examine l’objet de la réclamation, dans la mesure nécessaire, et informe l’auteur de la réclamation de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable, notamment si un complément d’enquête ou une coordination avec une autre autorité de contrôle est nécessaire ».
85 Or, en l’espèce, l’objet de la réclamation était limité à la demande d’effacement, à l’exercice du droit d’opposition et à celui du droit à la limitation du traitement des données à caractère personnel du requérant.
86 Certes, dans la réclamation, le requérant a évoqué la durée de conservation des données à caractère personnel de 120 ans pratiquée par le CRU.
87 Il n’en reste pas moins que l’objectif du requérant était d’obtenir l’effacement de ses données à caractère personnel, en particulier de ses rapports d’évaluation, comme cela résulte des éléments du dossier relatifs, notamment, à la procédure devant le CRU.
88 Il ressort également des éléments du dossier que le requérant n’a, dans la réclamation, développé aucun argument juridique concernant l’examen de la durée de conservation des données à caractère personnel au regard du principe de proportionnalité.
89 Dans la réclamation, le requérant a fait valoir que la durée de conservation des données à caractère personnel de 120 ans pratiquée par le CRU enfreignait ses droits consacrés aux articles 19, 20 et 23 du règlement 2018/1725, sans aucunement étayer son argumentation et alors que ces dispositions n’ont pas trait à la durée de conservation des données à caractère personnel.
90 En outre, la proportionnalité de la durée de conservation des données à caractère personnel appliquée par le CRU n’a pas été avancée par le requérant en tant que telle, mais dans le cadre de l’invocation d’une violation de ses droits individuels en tant que personne concernée au titre des articles 19, 20 et 23 du règlement 2018/1725.
91 Dès lors, c’est sans commettre d’erreur d’appréciation que le CEPD a considéré que l’objet de la réclamation du requérant était limité à la demande d’effacement, au droit d’opposition et au droit à la limitation du traitement des données à caractère personnel du requérant.
92 Il s’ensuit que c’est sans commettre d’erreur de droit que, en l’espèce, le CEPD n’a pas examiné l’exercice futur du droit à l’effacement, du droit d’opposition ou du droit à la limitation du traitement des données à caractère personnel, pas plus que tout argument relatif à la légalité de la durée de conservation des données à caractère personnel de 120 ans appliquée par le CRU aux dossiers individuels.
93 Au surplus et ainsi que l’a d’ailleurs relevé, à juste titre, le CEPD dans la seconde décision attaquée, si le requérant souhaitait contester ces éléments, il pouvait introduire une nouvelle réclamation auprès du CEPD, afin de permettre l’examen de la question de la proportionnalité de la durée de conservation des données à caractère personnel appliquée par le CRU au regard des finalités pour lesquelles les données étaient traitées, et ce dans le respect du principe du contradictoire et des droits de la défense de l’ensemble des parties au litige.
94 Au demeurant, il ressort des pièces du dossier que le requérant a introduit une telle demande devant le CEPD quant au délai de conservation des données à caractère personnel pratiqué par le CRU le 7 août 2021, demande qui fait expressément référence à la réclamation dans la présente affaire.
95 Partant, sans préjuger du bien-fondé de cette demande, les griefs tirés de la violation de l’article 4, paragraphe 1, sous e), du règlement 2018/1725 concernant la durée de la conservation des données à caractère personnel du requérant ainsi que de l’article 8 et de l’article 52, paragraphe 1, de la Charte, relatifs à la protection des données à caractère personnel et au principe de proportionnalité, qui en substance rejoignent les arguments précédemment examinés, doivent également être rejetés.
96 De même, il convient de constater que la prétendue violation de l’article 7 de la Charte, relatif à la protection de la vie privée et familiale, n’est aucunement étayée devant le Tribunal et doit être rejetée.
97 En troisième lieu, le requérant invoque la violation du droit à une bonne administration, garanti par l’article 41 de la Charte, dans le cadre des conclusions en annulation et soutient à cet égard que le CEPD n’a pas agi avec diligence dans la conduite de son instruction de la réclamation.
98 Il importe de rappeler que l’obligation de diligence qui est inhérente au principe de bonne administration et s’applique de manière générale à l’action de l’administration de l’Union dans ses relations avec le public exige de celle-ci qu’elle agisse avec soin et prudence [arrêt du 4 avril 2017, Médiateur/Staelen, C‑337/15 P, EU:C:2017:256, point 34 ; voir également, en ce sens, arrêt du 16 décembre 2008, Masdar (UK)/Commission, C‑47/07 P, EU:C:2008:726, points 92 et 93].
99 En l’espèce, pour autant que le requérant se plaint du délai de traitement de ses demandes, cet argument doit être écarté. En effet, le requérant a introduit sa réclamation le 20 mars 2020, a été invité, ainsi que le CRU, à soumettre des observations et a lui-même sollicité une prolongation du délai de réponse le 14 juin 2020. Dès lors, au vu des éléments du dossier, la première décision attaquée ne saurait être considérée comme ayant été adoptée dans un délai déraisonnable.
100 Pour autant que le requérant soutient que le CEPD aurait dû examiner la réclamation de manière « plus ouverte » et qu’il aurait dû prendre en considération tous les éléments du dossier, cet argument doit être écarté.
101 En effet, dans les circonstances de l’espèce et au vu de la réclamation dont le CEPD était saisi, le principe de bonne administration n’impliquait pas pour ce dernier d’exercer ses pouvoirs d’enquête. Au demeurant, comme l’indique le CEPD, cela n’aurait eu aucune incidence sur la conclusion selon laquelle le requérant n’avait pas droit à l’effacement de ses données à caractère personnel détenues par le CRU à la date de la première décision attaquée, à savoir le 18 janvier 2021, les données à caractère personnel du requérant n’étant conservées que depuis la date de sa démission, à savoir le 30 septembre 2019.
102 Au surplus, dans la première décision attaquée, le CEPD a attiré l’attention du CRU sur la liste commune de conservation des dossiers de la Commission dans sa deuxième version actualisée [SEC(2019) 900] ainsi que sur les lignes directrices du CEPD concernant les opérations de traitement des données à caractère personnel dans le domaine du recrutement du personnel, en dépit de leur inapplicabilité dans le cas du requérant, qui a travaillé pour le CRU jusqu’en septembre 2019. Le CEPD a ainsi relevé qu’elles recommandaient une durée de conservation des données à caractère personnel figurant dans les dossiers individuels de dix ans au titre de l’article 26 du statut à compter de la cessation de fonctions ou du dernier versement de la pension et il ressort de sa réponse à la question du Tribunal transmise le 10 mars 2022 que le CRU a pris en compte cette déclaration.
103 Dans ce contexte, le CEPD n’a pas violé le droit à une bonne administration.
104 Il s’ensuit que les conclusions en annulation dirigées contre la première décision attaquée doivent être rejetées.
Sur les conclusions dirigées contre la seconde décision attaquée
105 Par la seconde décision attaquée, le CEPD a rejeté la demande de révision de la première décision attaquée, introduite par le requérant sur le fondement de l’article 18, paragraphe 1, du règlement intérieur du CEPD. En substance, d’une part, il a estimé que le requérant n’avait pas fourni de nouveaux éléments ou arguments de nature à justifier la révision de la première décision attaquée. D’autre part, il a considéré, dans les alinéas suivants de sa décision, que l’exercice futur du droit à l’effacement et d’autres droits, tels que le droit d’opposition et le droit à la limitation du traitement des données à caractère personnel, de même que tout argument relatif à la légalité de la durée de conservation de 120 ans appliquée par le CRU aux dossiers individuels n’avaient pas fait l’objet d’une enquête de sa part dans le cadre de la réclamation et que ces éléments ne sauraient donc être traités dans le cadre de la procédure de révision.
106 Il convient de rappeler que, aux termes de l’article 18 du règlement intérieur du CEPD, le « CEPD réexamine sa décision lorsque le requérant ou l’institution avance de nouveaux éléments factuels ou arguments juridiques », ces éléments devant logiquement se rattacher à l’objet de la réclamation et au contenu de la décision qui y est relative.
107 En l’espèce, dans la réclamation du 20 mars 2020, dont les termes sont reproduits aux points 16 à 18 ci-dessus, le requérant a demandé l’effacement de ses données à caractère personnel. Il a également fait valoir son droit d’opposition et son droit à la limitation du traitement desdites données.
108 Ces demandes ont été rejetées par la première décision attaquée, dont il ressort que l’ensemble de ces demandes a bien été traité par le CEPD. Il ne résulte pas de la demande de révision introduite par le requérant que, en ce qui concerne sa demande d’effacement, d’opposition et de limitation du traitement de ses données à caractère personnel, ce dernier ait avancé de nouveaux éléments qui n’auraient pas été pris en compte par le CEPD.
109 Il s’ensuit que c’est à juste titre que, dans le cadre de la demande en révision, le CEPD a constaté qu’aucun élément nouveau n’avait été produit par le requérant en ce qui concernait ses demandes déjà examinées dans le cadre de la première décision attaquée.
110 En outre, dans le cadre de la contestation de la durée de conservation de ses données à caractère personnel, le requérant a, notamment, produit plusieurs documents relatifs aux politiques de protection des données à caractère personnel de différentes agences de l’Union, en faisant valoir qu’il lui était essentiel de savoir et de comprendre quand ses droits pourraient être exercés dans le temps. Le requérant a considéré que le CEPD aurait dû apprécier la proportionnalité de la durée de la période de conservation des données à caractère personnel pratiquée par le CRU et ses finalités.
111 Or, force est de constater que, en cela, l’objet de la demande de révision différait de celui de la réclamation et de celui de la première décision attaquée, de sorte que les éléments produits dans la demande de révision ne pouvaient être retenus, en application de l’article 18 du règlement intérieur du CEPD, aux fins pour ce dernier de réviser la première décision attaquée.
112 C’est donc à bon droit que le CEPD a constaté que l’exercice futur des droits invoqués par le requérant, de même que tout argument relatif à la légalité de la durée de conservation des données à caractère personnel de 120 ans appliquée par le CRU, n’avaient pas fait l’objet de la réclamation du 8 mars 2020 devant le CRU et du 20 mars 2020 devant lui, qu’ils n’avaient, par conséquent, pas fait l’objet d’une enquête du sa part et qu’ils ne pouvaient pas être appréciés dans le cadre de la procédure de révision.
113 L’argument du requérant selon lequel sa réclamation portait non seulement sur l’effacement, mais aussi sur l’opposition et la limitation du traitement des données à caractère personnel et selon lequel le CEPD n’aurait, à tort, pas pris en compte cette opposition et cette demande de traitement des données à caractère personnel en rejetant sa demande de révision doit être écarté. En effet, le CEPD a pris en compte l’ensemble des demandes du requérant. En outre, cet argument procède d’une lecture erronée de la seconde décision attaquée, dès lors que c’est dans le cadre de son analyse relative à la demande de révision concernant l’exercice futur des droits invoqués et la proportionnalité de la durée que le CEPD s’est référé à la demande d’effacement soumise le 8 mars 2020 devant le CRU.
114 Par conséquent, c’est à bon droit que le CEPD a considéré que ces arguments ne pouvaient être traités dans le cadre de la procédure de révision. Les arguments fondés sur la violation du principe de bonne administration doivent être écartés pour les mêmes motifs que ceux exposés aux points 101 à 103 ci-dessus.
115 Partant, les conclusions en annulation dirigées contre la seconde décision attaquée et, dès lors, les conclusions en annulation dans leur ensemble doivent être rejetées.
Sur les conclusions en réparation
116 Au soutien de ses conclusions en réparation, le requérant avance que toutes les conditions de la responsabilité du CEPD sont réunies en l’espèce.
117 Tout d’abord, d’une part, le requérant fait valoir que l’article 8 de la Charte, l’obligation d’agir avec diligence et le principe de bonne administration, y compris le principe du délai raisonnable, consacré à l’article 41 de la Charte, ainsi que le règlement 2018/1725 confèrent des droits aux particuliers.
118 D’autre part, en l’espèce, il existerait une violation suffisamment grave du devoir de diligence et du principe de bonne administration de la part du CEPD, car, en n’agissant pas avec tout le soin et la prudence requis, ce dernier aurait gravement et manifestement méconnu les limites de son pouvoir d’appréciation dans l’exercice de son pouvoir d’instruction des réclamations et des demandes de révision.
119 Ensuite, le requérant soutient que la violation du principe de bonne administration, en particulier du principe du délai raisonnable, a permis au CRU de répéter des atteintes continues à ses données à caractère personnel, lui causant ainsi un préjudice, évalué, ex æquo et bono, à 20 000 euros.
120 Enfin, le requérant soutient que les dommages subis sont une conséquence suffisamment directe du comportement gravement illicite du CEPD qui est la cause déterminante du préjudice subi.
121 Le CEPD conclut au rejet des conclusions en réparation, dès lors qu’aucune des conditions de sa responsabilité n’est remplie.
122 À cet égard, il convient de rappeler qu’il ressort de l’article 340, deuxième alinéa, TFUE que l’engagement de la responsabilité extracontractuelle de l’Union et la mise en œuvre du droit à la réparation du préjudice subi dépendent de la combinaison d’un ensemble de conditions relatives à l’illégalité du comportement reproché aux institutions, à la réalité du dommage et à l’existence d’un lien de causalité entre ce comportement et le préjudice invoqué. Ladite responsabilité ne saurait être tenue pour engagée sans que soient réunies toutes les conditions auxquelles se trouve ainsi subordonnée l’obligation de réparation définie à ladite disposition (voir arrêt du 3 juillet 2018, Transtec/Commission, T‑616/15, EU:T:2018:399, point 164 et jurisprudence citée).
123 Or, en l’espèce, il ressort des appréciations du Tribunal qu’aucune illégalité entachant la première décision attaquée ou la seconde décision attaquée n’a été établie.
124 Partant, il y a lieu de rejeter les conclusions en réparation du requérant et, dès lors, le recours dans son intégralité.
Sur les dépens
125 Aux termes de l’article 134, paragraphe 1, du règlement de procédure, toute partie qui succombe est condamnée aux dépens, s’il est conclu en ce sens.
126 Le requérant ayant succombé, il y a lieu de le condamner à supporter ses propres dépens ainsi que ceux exposés par le CEPD, conformément aux conclusions de ce dernier.
Par ces motifs,
LE TRIBUNAL (première chambre)
déclare et arrête :
1) Le recours est rejeté.
2) JS est condamné aux dépens.
Spielmann | Valančius | Mastroianni |
Ainsi prononcé en audience publique à Luxembourg, le 6 septembre 2023.
Signatures