CONCLUSIONS DE L’AVOCAT GÉNÉRAL
M. MELCHIOR WATHELET
présentées le 10 décembre 2013 (1)
Affaire C‑288/12
Commission européenne
contre
Hongrie
«Manquement d’État – Directive 95/46/CE – Protection des personnes physiques à l’égard du traitement des données à caractère personnel et libre circulation de ces données – Article 28, paragraphe 1 – Autorités nationales de contrôle – Législation nationale mettant fin avant terme au mandat de six ans du commissaire de la protection des données – Création d’une autorité nationale de la protection des données et de la liberté de l’information et nomination, pour un mandat de neuf ans, d’une personne autre que le commissaire de la protection des données au poste de président de ladite autorité»
I – Introduction
1. Par sa requête du 24 mai 2012, la Commission européenne demande à la Cour de constater que la Hongrie, en mettant fin de manière anticipée au mandat de l’autorité de contrôle de la protection des données, a manqué aux obligations qui lui incombent en vertu de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (2). À cet égard, la Commission reproche à la Hongrie une violation de l’indépendance de l’autorité de contrôle de la protection des données prescrite par l’article 28, paragraphe 1, second alinéa, de la directive.
2. À l’instar des affaires ayant donné lieu aux arrêts du 9 mars 2010, Commission/Allemagne (3), et du 16 octobre 2012, Commission/Autriche (4), la présente affaire concerne la portée de l’obligation imposée aux États membres en application de l’article 28, paragraphe 1, second alinéa, de la directive d’instituer une ou plusieurs autorités de contrôle de la protection des données à caractère personnel qui «exercent en toute indépendance les missions dont elles sont investies».
II – Le droit de l’Union
3. La directive a été adoptée sur le fondement de l’article 100 A du traité CE (devenu, après modification, article 95 CE, devenu article 114 TFUE) et vise à harmoniser les législations nationales relatives au traitement des données à caractère personnel.
4. Le considérant 62 de la directive dispose:
«considérant que l’institution, dans les États membres, d’autorités de contrôle exerçant en toute indépendance leurs fonctions est un élément essentiel de la protection des personnes à l’égard du traitement des données à caractère personnel».
5. L’article 28, paragraphe 1, de la directive, intitulé «Autorité de contrôle», dispose:
«Chaque État membre prévoit qu’une ou plusieurs autorités publiques sont chargées de surveiller l’application, sur son territoire, des dispositions adoptées par les États membres en application de la présente directive.
Ces autorités exercent en toute indépendance les missions dont elles sont investies.»
III – Le contexte juridique hongrois et les faits
6. Jusqu’au 31 décembre 2011 et en application de la loi no LXIII de 1992 relative à la protection des données à caractère personnel et à l’accès aux données d’intérêt général (ci-après l’«ancienne loi sur la protection des données»), l’autorité de contrôle de la protection des données en Hongrie, prescrite par l’article 28 de la directive, était le commissaire de la protection des données (5) (ci‑après le «commissaire»). L’article 23 de l’ancienne loi sur la protection des données prévoyait que le commissaire était élu par le Parlement hongrois, les articles 24 et 25 de l’ancienne loi sur la protection des données définissaient ses missions. La durée et la cessation de son mandat étaient régies par la loi no LIX de 1993 relative au commissaire parlementaire chargé des droits des citoyens (ci‑après la «loi no LIX de 1993»). L’article 4, paragraphe 5, de cette loi, dans sa dernière version en vigueur jusqu’au 31 décembre 2011, prévoyait que le commissaire était élu pour six ans et pouvait être réélu une fois. L’article 15 de cette loi réglementait la cessation du mandat.
7. Sur la base de l’ancienne loi sur la protection des données, M. Jóri a été élu commissaire et est entré en fonctions le 29 septembre 2008. Son mandat était de six ans et aurait donc dû durer jusqu’au mois de septembre 2014.
8. En application de l’article VI, paragraphe 3, de la Loi fondamentale de la Hongrie, entrée en vigueur le 1er janvier 2012 (ci‑après la «Loi fondamentale»), «une autorité indépendante instituée par une loi organique veille au respect des droits afférents à la protection des données à caractère personnel et à l’accès aux données d’intérêt général».
9. Le 1er janvier 2012, la loi no CXII de 2011 sur l’autodétermination en matière d’information et la liberté de l’information (ci‑après la «nouvelle loi sur la protection des données») est entrée en vigueur. Cette loi abroge l’ancienne loi sur la protection des données et crée simultanément l’Autorité nationale chargée de la protection des données et de la liberté de l’information (ci‑après l’«Autorité»). La nouvelle loi sur la protection des données a transféré les missions du commissaire à l’Autorité. Selon l’article 40, paragraphes 1 et 3, de la nouvelle loi sur la protection des données, le président de l’Autorité est nommé par le président de la République sur proposition du Premier ministre, pour un mandat de neuf ans.
10. L’Autorité a commencé ses travaux le 1er janvier 2012.
11. Le mandat de M. Jóri, expirant initialement au mois de septembre 2014, a pris fin le 31 décembre 2011 en application de l’article 16 des dispositions transitoires de la Loi fondamentale qui dispose que «[l]’entrée en vigueur de la présente Loi fondamentale met fin au mandat du [commissaire]».
12. M. Jóri n’a pas été choisi pour être président de l’Autorité. Sur proposition du Premier ministre, le président de la République a nommé M. Péterfalvi en tant que président de l’Autorité pour neuf ans.
IV – La procédure précontentieuse et la procédure devant la Cour
13. Le 17 janvier 2012, la Commission a envoyé une lettre de mise en demeure à la Hongrie. Dans cette lettre, la Commission estime que la Hongrie a enfreint l’article 28, paragraphes 1 et 2, de la directive sur trois points. Premièrement, la Hongrie aurait mis fin anticipativement au mandat du commissaire. Deuxièmement, elle n’aurait pas consulté le commissaire au sujet du projet de nouvelle loi sur la protection des données, comme elle y était tenue. Troisièmement, d’une part, la nouvelle loi sur la protection des données offrirait trop de possibilités de mettre fin au mandat du président de l’Autorité et, d’autre part, le rôle du président de la République et du Premier ministre dans la cessation de ce mandat permettrait au pouvoir exécutif du pays d’exercer une influence sur le président de l’Autorité.
14. La Commission a invité la Hongrie à lui transmettre sa réponse dans un délai d’un mois.
15. Dans sa réponse du 17 février 2012, la Hongrie a contesté l’infraction alléguée relative à la cessation anticipée du mandat du commissaire en relevant, notamment, qu’elle était la conséquence du changement du modèle hongrois. Elle a indiqué que, selon ses déclarations publiées dans la presse, le commissaire ne souhaitait pas devenir le président de l’Autorité. En outre, cet État membre précisait que, la nomination du président de l’Autorité étant intervenue, il n’était plus possible, avant l’expiration de son mandat le 31 décembre 2020, que le commissaire occupe ce même poste, car mettre fin de manière anticipée au mandat du président actuel serait contraire aux règles de droit garantissant son indépendance.
16. En ce qui concerne la consultation du commissaire, la Hongrie affirmait que des consultations avaient bien eu lieu et a transmis des documents à ce sujet à la Commission.
17. Quant aux motifs possibles de la cessation du mandat du président de l’Autorité, la Hongrie a contesté l’infraction alléguée mais a proposé de modifier la nouvelle loi sur la protection des données afin de répondre aux inquiétudes exprimées par la Commission à ce sujet et plus précisément de supprimer les dispositions prévoyant la mise à la retraite et la démission d’office du président de l’Autorité ainsi que de prévoir une possibilité de recours judiciaire dans tous les cas où le président de l’Autorité contesterait la décision du président de la République sur proposition du Premier ministre de mettre fin à son mandat.
18. Le 7 mars 2012, la Commission a envoyé un avis motivé à la Hongrie dans lequel elle a répété ses préoccupations concernant la cessation anticipée du mandat du commissaire et invité la Hongrie à prendre les mesures nécessaires pour se conformer à cet avis dans un délai d’un mois à compter de sa notification. En revanche, la Commission a retiré ses réserves concernant la consultation préalable du commissaire sur le projet de nouvelle loi. Enfin, en ce qui concerne les motifs possibles de cessation du mandat du président de l’Autorité, la Commission a indiqué que, si, dans le délai imparti fixé par l’avis motivé, la Hongrie adoptait les amendements législatifs proposés dans sa réponse à la lettre de mise en demeure, elle considérerait que l’infraction sur ce thème avait pris fin.
19. Le 30 mars 2012, la Hongrie a répondu à l’avis motivé de la Commission en maintenant son point de vue relatif à la cessation du mandat du commissaire, ce qui a amené la Commission à introduire le présent recours.
20. Par ordonnance du président de la Cour du 8 janvier 2013, le Contrôleur européen de la protection des données (CEPD) a été admis à intervenir au soutien des conclusions de la Commission.
21. Lors de l’audience du 15 octobre 2013, la Commission, la Hongrie et le CEPD ont présenté des observations orales.
V – Sur le recours
A – Sur la recevabilité
1. Argumentation des parties
22. La Hongrie soutient que le présent recours est irrecevable.
23. Selon la Hongrie, la seule façon concevable de remédier à l’illégalité alléguée serait de mettre fin de manière anticipée au mandat du président de l’Autorité et de le remplacer à ce poste par le commissaire, ce qui consisterait, en substance, à réitérer le manquement allégué. Elle fait valoir que la Commission ne saurait solliciter de la Cour un arrêt en constatation de manquement auquel l’État membre concerné ne pourrait se conformer que moyennant d’une violation du droit de l’Union. Elle ajoute que l’adoption d’une telle mesure conduirait aussi à une situation inconstitutionnelle en raison de la violation du principe d’indépendance de l’Autorité prévu par la Loi fondamentale.
24. Elle relève, par ailleurs, que le changement de modèle des institutions chargées de la protection des données personnelles impliquait nécessairement, dès lors qu’il était mis fin à la fonction du commissaire, de mettre également fin au mandat de la personne qui exerçait cette fonction. Or, selon la Hongrie, mettre fin sans changement institutionnel au mandat de l’actuel président de l’Autorité ne saurait se justifier par un motif normatif similaire.
25. La Hongrie soutient, également, que la nouvelle loi sur la protection des données garantit pleinement l’indépendance du président de l’Autorité et répond ainsi aux exigences de la directive en la matière. Selon elle, à supposer que le fait de mettre fin au mandat du commissaire soit constitutif d’un manquement à l’exigence d’indépendance, un tel manquement n’a pas eu d’incidence sur l’activité du commissaire, pas plus qu’il n’empêche le président de l’Autorité d’exercer son activité à l’abri de toute influence extérieure. Conformément à l’objectif de la directive, le droit à la protection des données personnelles a été garanti de façon continue et à chaque instant, en Hongrie, tant avant qu’après le 1er janvier 2012. Elle note avec satisfaction que la Commission le reconnaît, elle aussi, puisqu’elle relève que la réglementation hongroise a assuré la continuité juridique en confiant à l’Autorité, les affaires qui étaient pendantes devant le commissaire. Par conséquent, selon elle, si manquement il y a eu, celui-ci n’a pas eu, en tout état de cause, de conséquences juridiques qu’il serait nécessaire de réparer.
26. La Hongrie fait encore valoir que le manquement allégué avait déjà produit tous ses effets à la date d’expiration du délai fixé dans l’avis motivé de la Commission et n’a pas eu d’incidence, après le 1er janvier 2012, sur le fonctionnement de l’Autorité, en particulier sur l’indépendance de celle-ci. Par conséquent, le recours de la Commission serait sans objet et, donc, irrecevable.
27. Elle estime qu’admettre l’argumentation de la Commission impliquerait que tous les actes accomplis par l’actuel président de l’Autorité, depuis le 1er janvier 2012, seraient incompatibles avec le droit de l’Union et conduirait à une violation du principe de la sécurité juridique.
28. La Hongrie ajoute que, contrairement à l’argumentation de la Commission exposée au point 33 ci-dessous, elle a clairement indiqué, dans la présente procédure devant la Cour, son souhait que la constatation éventuelle d’un manquement n’affecte pas le mandat du président de l’Autorité actuellement en fonction, et ce même si l’expression «limitation des effets dans le temps» ne figure pas dans le mémoire en défense.
29. La Commission soutient que le présent recours est recevable.
30. Elle estime qu’il n’est nullement impossible de remédier au manquement et considère que la Hongrie doit prendre les mesures nécessaires pour que M. Jóri occupe à nouveau le poste visé à l’article 28 de la directive jusqu’à l’expiration normale de son mandat, à savoir jusqu’au mois de septembre 2014. Selon la Commission, la manière dont la Hongrie régulariserait le manquement relève de la compétence de cet État membre et est dénuée de pertinence pour le présent recours. En outre, la Commission fait valoir que la Hongrie ne peut invoquer l’indépendance du président de l’Autorité pour s’opposer à la réinstallation de M. Jóri à son poste. Ce faisant, elle se prévaudrait de son propre manquement pour se défendre.
31. Selon la Commission, l’existence du manquement doit être appréciée en fonction de la situation de l’État membre, telle qu’elle se présentait au terme du délai fixé dans l’avis motivé. Sur base de la jurisprudence de la Cour, le manquement persiste, dès lors, que les effets des mesures prises en violation du droit de l’Union subsistent à l’expiration de ce délai. En l’espèce, le manquement serait constitué par la cessation anticipée du mandat du commissaire et persisterait du fait que M. Jóri n’aurait pas été rétabli dans ses fonctions à l’expiration de ce délai.
32. Quant à l’argument de la Hongrie, exposé au point 23 ci-dessus, selon lequel le fait de juger recevable le recours de la Commission impliquerait de mettre fin de manière anticipée au mandat du président de l’Autorité, ce qui pourrait également conduire à une situation contraire à la Loi fondamentale, la Commission rappelle que, en application du principe de la primauté du droit de l’Union, le droit de l’Union prime les dispositions constitutionnelles des États membres. En outre, selon la Commission, la réforme de l’autorité de contrôle de la protection des données ne justifiait en rien la cessation anticipée du mandat du commissaire. Elle ajoute, ce que la Hongrie n’a pas contesté dans son mémoire en défense, qu’il aurait été parfaitement possible de prévoir dans un instrument de droit interne soit que le nouveau modèle ne devait s’appliquer qu’à l’expiration du mandat du commissaire alors en fonction, soit que le premier président de l’Autorité serait le commissaire pour la durée restante de son mandat.
33. La Commission soutient que l’argument de la Hongrie exposé au point 28 ci-dessus, selon lequel la constatation d’un manquement en l’espèce aurait également pour effet de rendre incompatibles avec le droit de l’Union les mesures prises par l’Autorité depuis le 1er janvier 2012, ne devrait pas être examiné par la Cour en liaison avec la recevabilité du recours. Cette argumentation poserait en réalité la question de savoir si le champ d’application temporel de l’arrêt constatant l’infraction s’étend ou non à la période antérieure au prononcé de l’arrêt. Selon la Commission, ce n’est qu’à titre exceptionnel que la Cour peut, par application du principe de sécurité juridique, limiter la possibilité pour tout intéressé d’invoquer une disposition qu’elle a interprétée en vue de mettre en cause des relations juridiques établies de bonne foi. Elle soutient que la Hongrie, dans son mémoire en défense, n’a pas demandé à la Cour de limiter les effets dans le temps de son arrêt qui constaterait un manquement dans la présente affaire. En outre, selon la Commission, la Hongrie n’aurait pas prouvé que les conditions exigées par la jurisprudence, à cet égard, étaient remplies.
34. Selon la Commission, le rétablissement du commissaire à son poste ou sa nomination au poste de président de l’Autorité n’impliquerait pas l’incompatibilité avec le droit de l’Union des décisions prises par le président de l’Autorité après le 1er janvier 2012.
35. Le CEPD ne s’est pas prononcé sur la recevabilité du recours.
2. Appréciation
36. Je ne peux souscrire à l’argument de la Hongrie relatif à l’impossibilité d’exécuter un arrêt qui constaterait le manquement allégué. Cet argument se décline en deux parties.
37. En premier lieu, la Hongrie prétend que le manquement allégué avait déjà produit ses effets à la date d’expiration du délai fixé dans l’avis motivé de la Commission. Je ne le pense pas.
38. Il est de jurisprudence constante que l’existence d’un manquement doit être appréciée en fonction de la situation de l’État membre telle qu’elle se présentait au terme de ce délai (6).
39. Étant donné que le mandat du commissaire ne devrait échoir qu’au mois de septembre 2014, en application de la loi nº LIX de 1993 (7), je considère que le manquement allégué n’avait pas épuisé tous ses effets à la date d’expiration du délai fixé dans l’avis motivé de la Commission (8) et produit aujourd’hui encore des effets juridiques.
40. En deuxième lieu, la Hongrie plaide l’irrecevabilité du recours de la Commission au motif qu’il lui serait impossible d’exécuter un arrêt constatant un manquement sauf à réitérer la même illégalité que celle que l’arrêt aurait constaté. Je ne partage pas non plus cette argumentation.
41. La constatation par la Cour d’un manquement d’État oblige l’État membre concerné, selon les termes mêmes de l’article 260 TFUE, à prendre les mesures que comporte l’exécution de l’arrêt de la Cour.
42. Même si, par son arrêt purement déclaratoire, la Cour ne peut ordonner à l’État membre dont elle constate le manquement, de prendre des mesures déterminées (9), tous les organes de l’État membre concerné, dont les autorités législatives, judiciaires et administratives, ont l’obligation d’assurer, dans les domaines de leurs pouvoirs respectifs, l’exécution de l’arrêt de la Cour (10), ce qui implique, notamment, la prohibition de plein droit d’appliquer la législation incompatible avec le droit de l’Union et l’obligation de prendre toutes dispositions pour faciliter la réalisation du plein effet du droit de l’Union (11).
43. En outre, la prorogation d’un régime déclaré contraire au droit de l’Union, par un arrêt de la Cour, constitue une violation caractérisée de l’obligation de coopération loyale incombant aux États membres en vertu de l’article 4, paragraphe 3, TUE, impliquant notamment celle de s’abstenir de toutes mesures susceptibles de mettre en péril la réalisation des objectifs de l’Union européenne (12).
44. Par conséquent, la constatation d’un manquement dans la présente affaire, malgré sa nature déclaratoire, comporterait des effets juridiques importants qui affecteraient nécessairement le statut de l’actuel président de l’Autorité, comme le souligne d’ailleurs la Hongrie (même si c’est pour s’opposer à l’éventuelle constatation d’une infraction).
45. Au vu du contexte juridique et factuel national décrit aux points 6 à 12 ci‑dessus, la rupture anticipée, au 31 décembre 2011, du mandat du commissaire était en effet intrinsèquement liée à la nomination du président de l’Autorité le 1er janvier 2012. Par conséquent, si la Cour devait constater que, en mettant fin de manière anticipée au mandat du commissaire, la Hongrie a violé l’article 28, paragraphe 1, second alinéa, de la directive, il s’ensuivrait que la nomination du président de l’Autorité serait aussi, comme le soutient la Commission, entachée d’illégalité. Ce serait en effet en violation du droit de l’Union que, dès le 1er janvier 2012, l’actuel président de l’Autorité occuperait son poste.
46. Dans ces circonstances, je considère que les arguments relatifs à l’impossibilité d’exécuter un arrêt constatant un éventuel manquement sont non fondés, car, comme l’indique la Commission, l’exécution d’un arrêt constatant le manquement allégué en l’espèce pourrait se faire soit en rétablissant M. Jóri dans ses fonctions de commissaire pour la durée restante de son mandat initial, soit en le nommant à la présidence de l’Autorité.
47. En outre, les questions de savoir si la nouvelle loi sur la protection des données satisfait ou non aux critères de la directive ou si l’Autorité agit d’une manière indépendante et si l’exécution de l’arrêt constatant le manquement impliqueraient la réitération de l’infraction ainsi constatée (13) n’influencent en rien celle de savoir si c’est en violation de l’article 28, paragraphe 1, second alinéa, de la directive (14) qu’il a été mis fin au mandat du commissaire.
48. Conclure autrement permettrait à un État membre d’échapper à toute constatation de l’incompatibilité de certaines de ses décisions avec le droit de l’Union, sous prétexte que d’autres décisions ultérieures, qui n’ont été rendues possibles qu’à la suite de l’infraction, seraient conformes au droit de l’Union et ne pourraient être modifiées qu’en commettant à nouveau la même infraction.
49. Je ne suis pas non plus convaincu par l’argument de la Hongrie selon lequel le principe de la sécurité juridique s’oppose à la recevabilité du présent recours, car la constatation du manquement allégué en l’espèce rendrait incompatibles avec le droit de l’Union tous les actes accomplis par le président de l’Autorité depuis le 1er janvier 2012.
50. Le principe de la sécurité juridique est un principe commun à tous les ordres juridiques des États membres qui fait partie de l’ordre juridique de l’Union et doit, en tout cas, être respecté par les organes de l’État membre concerné qui assurent l’exécution d’un arrêt constatant le manquement au droit de l’Union de cet État membre. Toutefois, sans prendre position sur le bien-fondé de la thèse selon laquelle la constatation du manquement allégué vicierait les actes posés par l’Autorité depuis le 1er janvier 2012, il suffit de relever qu’il appartient non pas à la Cour (15), mais éventuellement aux juridictions nationales hongroises, de juger des éventuelles violations de ce principe dans des cas précis et de prendre les mesures appropriées, sans nuire à une exécution efficace de l’arrêt de la Cour.
51. Incidemment, j’ajoute que la Cour a constaté que la République fédérale d’Allemagne (16) et la République d’Autriche (17) avaient manqué aux obligations qui leur incombaient en vertu de l’article 28, paragraphe 1, second alinéa, de la directive en dépit des éventuels effets juridiques que de telles constatations pouvaient engendrer sur les mesures adoptées par les autorités en cause.
52. J’examinerai dans la partie de mes conclusions consacrée au fondement du recours (18) la demande de la Hongrie de limiter les effets d’un arrêt qui constaterait le manquement allégué.
53. Je propose donc que le recours soit considéré comme recevable.
B – Sur le fond
1. Argumentation des parties
54. La Commission ne remet pas en cause que la Hongrie ait le droit de modifier son système de contrôle de la protection des données à caractère personnel à condition de garantir l’indépendance totale de l’autorité qui exerce ce contrôle, ce qui, comme le montre la jurisprudence (19), va au-delà de la simple indépendance fonctionnelle, toute forme de sujétion devant être exclue, qu’elle soit de nature institutionnelle, personnelle ou matérielle.
55. Pour la Commission, soutenue par le CEPD, il est indispensable que l’État membre, une fois qu’il a arrêté la durée du mandat de cette autorité, respecte celle‑ci sans pouvoir y mettre fin anticipativement, sauf pour des raisons graves et objectivement vérifiables. Une cessation anticipée du mandat crée le risque d’une influence indue sur l’autorité de contrôle dans l’exécution de ses tâches, ce qui porterait atteinte à son indépendance. Selon la Commission, une comparaison avec les règles relatives au CEPD instaurées par le règlement (CE) no 45/2001 du Parlement européen et du Conseil, du 18 décembre 2000, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (20), confirme cette interprétation.
56. La Commission considère que la réforme de l’autorité de contrôle hongroise ne justifiait pas de mettre fin au mandat du commissaire. Il aurait été parfaitement possible pour la Hongrie de prévoir dans son droit interne soit que le nouveau modèle ne s’appliquerait qu’à l’expiration du mandat du commissaire alors en fonction, soit que le premier président de l’Autorité ne serait autre que le commissaire pour la durée restante de son mandat, ce qui aurait préservé l’indépendance de l’autorité de contrôle de la protection des données. Elle relève que la Hongrie a, sur d’autres aspects, garanti la continuité entre l’ancienne et la nouvelle autorité de contrôle, notamment en ce qui concerne les affaires en cours et le traitement des données.
57. Toujours, selon la Commission, admettre qu’il était nécessaire de mettre fin au mandat du commissaire, parce que son poste «n’existait plus», signifierait que plane à tout moment sur chaque autorité de contrôle dans l’Union, la menace d’une interruption de son mandat par une mesure législative supprimant l’autorité existante et créant à sa place une nouvelle autorité chargée des mêmes tâches, telles que celles définies à l’article 28 de la directive. Il ne pourrait être exclu que les autorités politiques se servent de telles réformes pour contrôler et sanctionner des autorités de contrôle avec lesquelles elles sont en désaccord. Elle relève que, selon la jurisprudence de la Cour, le simple risque d’une telle influence est incompatible avec l’exigence d’indépendance totale des autorités de contrôle (21).
58. La Commission considère que la Hongrie n’a pas prouvé que le commissaire avait refusé de diriger l’Autorité et estime que des déclarations faites par le commissaire à cet égard lors d’entretiens publiés dans la presse hongroise ne sont pas pertinentes. La Commission rappelle que, en vertu de l’article 15, paragraphe 3, de la loi no LIX de 1993, une démission du commissaire aurait dû être notifiée par écrit au président du Parlement hongrois. Comme cela ne fut pas le cas, la Hongrie ne pouvait se fonder sur de vagues déclarations parues dans la presse pour présumer que le commissaire n’était plus disposé à s’acquitter de ses tâches prescrites à l’article 28 de la directive. La Commission ajoute que la Hongrie n’a jamais proposé la nouvelle fonction à M. Jóri et ne l’a jamais assuré de ce que des règles transitoires seraient adoptées afin de lui permettre de prolonger son mandat jusqu’à son échéance normale.
59. La Hongrie considère que la cessation anticipée du mandat du commissaire, dans la mesure où elle était liée à un changement de modèle institutionnel, ne constitue pas une violation de l’article 28, paragraphe 1, second alinéa, de la directive. Il ressortirait de la jurisprudence en la matière que tant l’article 28 de la directive que l’article 44 du règlement no 45/2001 exigent de garantir aux autorités de protection des données personnelles, nationales et européennes le bénéfice d’une pleine indépendance «dans l’accomplissement de [leur] mission», c’est‑à‑dire d’un point de vue fonctionnel. Selon la Hongrie, relève de cette «indépendance fonctionnelle» tout élément qui garantit que l’autorité de contrôle exerce les missions dont elle est investie sans subir aucune influence extérieure, qu’elle soit directe ou indirecte, ce qui inclut également les éléments garantissant l’indépendance organisationnelle, budgétaire et personnelle dont cette autorité doit jouir dans l’exercice de ses missions.
60. Elle souligne qu’il n’est pas contesté, en l’espèce, que l’Autorité bénéficie, tout comme son prédécesseur, d’un environnement juridique la mettant à l’abri de toute influence externe dans l’exercice de son activité de surveillance de la protection des données et qu’elle satisfait en tout point à l’exigence d’indépendance prévue à l’article 28 de la directive. À cet égard, la Hongrie considère qu’aucun parallèle ne saurait être établi entre la situation en cause en l’espèce et celles à l’origine des arrêts précités du 9 mars 2010, Commission/Allemagne, et Commission/Autriche. Elle estime que, contrairement au dossier en cause, les réglementations allemande et autrichienne n’avaient pas juridiquement exclu le risque que l’indépendance de leur autorité nationale chargée du contrôle de la protection des données soit affectée dans l’exercice des «missions dont elle est investie».
61. Selon la Hongrie, la raison d’être de l’exigence d’indépendance prévue à l’article 28 de la directive est qu’il y ait toujours, dans chaque État membre, une autorité de contrôle de la protection des données qui exerce ses missions sans subir d’influence extérieure. Elle considère que la notion d’indépendance ne confère pas à la personne qui est à la tête de cette autorité un droit subjectif à l’exercice de cette mission. Compte tenu du changement institutionnel introduit, il ne serait pas justifié d’attendre de la nouvelle réglementation que celle‑ci confie automatiquement au commissaire la fonction de président de l’Autorité. Dans la mesure où l’indépendance fonctionnelle de l’autorité de contrôle n’est pas affectée, peu importe qu’intervienne un changement de la personne qui est à la tête de l’autorité, même avant l’expiration de son mandat initial.
62. La Hongrie fait valoir qu’il incombe aux États membres de définir la structure organisationnelle des autorités nationales de protection des données personnelles. Cela impliquerait que le choix de l’entité ou de la personne chargée d’exercer les compétences de l’autorité au sein du modèle organisationnel retenu ainsi que son remplacement intervenant simultanément à un changement de modèle relèvent également de la compétence des États membres. Elle relève que la réglementation législative relative au commissaire a été entièrement remplacée – sur le fondement des nouvelles dispositions de la Loi fondamentale – par une nouvelle réglementation qui a transféré les missions, autrefois accomplies, par le commissaire à une nouvelle autorité chargée de la protection des données. En dépit des similitudes entre le statut du commissaire et celui du président de l’Autorité, et qui s’expliquent par l’exigence d’indépendance, il s’agirait de deux institutions de droit public clairement distinctes.
63. Selon la Hongrie, la nomination du commissaire à cette nouvelle fonction aurait été injustifiée et incompréhensible, compte tenu de plusieurs déclarations publiques, de celui-ci, qui exprimaient son désaccord de principe sur le nouveau modèle institutionnel et son intention de ne pas accepter une telle nomination.
2. Appréciation
a) Les principes
64. À titre liminaire, il convient de préciser que la Commission ne conteste nullement le droit de la Hongrie de modifier le modèle institutionnel de son autorité de contrôle de la protection de données en passant d’une structure placée sous la direction d’une seule personne à une instance collégiale. Elle considère, toutefois, que lorsque la Hongrie a fait ces choix, elle a manqué à l’obligation de respecter jusqu’à l’échéance de son mandat l’indépendance de l’autorité de contrôle.
65. Il est de jurisprudence constante que l’exigence de contrôle de la protection des données à caractère personnel par une autorité indépendante est un élément essentiel du respect de la protection des personnes à l’égard du traitement des données à caractère personnel (22) qui résulte non seulement de l’article 28, paragraphe 1, second alinéa, de la directive, mais également du droit primaire de l’Union, notamment de l’article 8, paragraphe 3, de la charte des droits fondamentaux de l’Union européenne et de l’article 16, paragraphe 2, TFUE (23). En effet, les autorités de contrôle visées à l’article 28 de la directive sont les gardiennes des droits et des libertés fondamentaux à l’égard du traitement de données à caractère personnel (24).
66. Dans les arrêts précités du 9 mars 2010, Commission/Allemagne, et Commission/Autriche, la Cour a donné une interprétation autonome (25) et large (26) à l’expression «en toute indépendance», figurant à l’article 28, paragraphe 1, second alinéa, de la directive. Elle a fondé cette interprétation, d’une part, sur le libellé même de cet article 28, paragraphe 1, second alinéa, en notant que la notion d’«indépendance» est renforcée par l’adjectif «toute», et, d’autre part, sur l’objectif de la garantie d’indépendance des autorités en question qui vise à assurer l’efficacité et la fiabilité du contrôle du respect des dispositions en matière de protection des personnes physiques à l’égard du traitement des données à caractère personnel (27).
67. La Cour a mis en évidence le fait que cette garantie a été établie non pas afin de conférer un statut particulier à ces autorités elles-mêmes ainsi qu’à leurs agents, mais en vue de renforcer la protection des personnes et des organismes qui sont concernés par leurs décisions (28). Il s’ensuit que, lors de l’exercice de leurs missions, les autorités de contrôle doivent agir de manière objective et impartiale et être à l’abri de toute influence extérieure, qu’elle soit directe ou indirecte, qui serait susceptible d’orienter leurs décisions (29).
68. Le seul risque d’une telle influence est suffisant pour violer l’article 28, paragraphe 1, second alinéa, de la directive (30).
69. À cet égard, il ressort clairement de l’arrêt Commission/Autriche, précité, que toute démarche qui pourrait conduire à une forme d’«obéissance anticipée» (31) dans le chef de l’autorité de contrôle de la protection des données, ne respecte pas l’exigence de «toute indépendance» que les États membres doivent garantir à leur autorité de contrôle en vertu de l’article 28, paragraphe 1, second alinéa, de la directive et du droit primaire du droit de l’Union.
70. Je considère, comme la Commission, que s’il est loisible à chaque État membre d’adopter le régime institutionnel qu’il considère le mieux adapté pour son pays et, par conséquent, de le modifier ultérieurement, c’est à la condition que cette adoption ou cette modification ultérieure ne portent pas atteinte à l’exigence impérieuse de «toute indépendance» imposée par l’article 28, paragraphe 1, second alinéa, de la directive.
71. À l’instar de la Commission, je considère que l’indépendance de cette autorité «passe impérativement par l’existence d’un mandat à durée prédéterminée» (32) et de son inamovibilité jusqu’à l’expiration de ce mandat, sauf raisons graves liées à sa conduite ou à sa capacité d’exercer ses fonctions, préétablies par la loi et objectivement vérifiables.
72. Le lien intrinsèque entre cette inamovibilité jusqu’à l’échéance du mandat et l’exigence de «toute indépendance» est incontestable (33). Par analogie, il ne pourrait être considérer que l’indépendance d’un juge serait respectée s’il était mis fin anticipativement à ses fonctions, sous couvert de la suppression de la juridiction dont il fait partie et de son remplacement par une autre, fût-elle dotée d’indépendance.
73. C’est même le seul risque de la cessation anticipée du mandat de l’autorité visée à l’article 28, paragraphe 1, second alinéa, de la directive qui peut exposer cette dernière «aux interventions ou pressions indues» (34) et conduire à une forme d’«obéissance anticipée» dans son chef.
74. Il s’ensuit que, même si les États membres disposent d’une marge d’appréciation quant à la structure institutionnelle de l’autorité prescrite par l’article 28, paragraphe 1, second alinéa, de la directive (35), il est incontestable que l’exigence de «toute indépendance» imposée par le droit de l’Union postule l’existence et le respect de règles spécifiques et détaillées, qui, en matière de nomination, de durée des fonctions ainsi que de possibles causes de révocation ou de destitution de cette autorité, permettent d’écarter tout doute légitime sur l’imperméabilité de ladite autorité à l’égard de toute influence extérieure, qu’elle soit directe ou indirecte, susceptible d’orienter ses décisions (36).
b) Application au dossier en cause
75. Il ressort du dossier devant la Cour que les termes du mandat du commissaire faisaient l’objet de dispositions spécifiques et détaillées en droit hongrois. En effet, en application de l’article 4, paragraphe 5, de la loi no LIX de 1993, il avait été élu en 2008 pour six ans et pouvait être réélu une fois. L’article 15 de cette loi réglementait et donc limitait de manière très stricte les possibilités de cessation anticipée de son mandat (37).
76. Je suis d’avis que la Commission a suffisamment établi qu’il avait été mis fin au mandat du commissaire, le 31 décembre 2011, sans respecter l’article 15 de la loi no LIX de 1993 et que les garanties procédurales mises en place par cette loi, afin de protéger son mandat, n’avaient pas été respectées. En outre, lors des modifications institutionnelles entrées en vigueur en 2012, la Hongrie n’a pris aucune mesure transitoire afin de respecter les termes du mandat, et donc l’indépendance, du commissaire.
77. La Hongrie souligne le fait que c’est l’autorité constitutionnelle qui a décidé du «changement de modèle», introduit par la nouvelle réglementation entrée en vigueur le 1er janvier 2012, et que le président de l’Autorité, d’une part, et le commissaire, d’autre part, sont deux fonctions publiques clairement distinctes qui ne sont pas censées être liées l’une à l’autre par le fait que la même personne les exerce toutes les deux.
78. Ces arguments n’emportent pas ma conviction.
79. Je considère que la Commission a suffisamment démontré que l’Autorité, même si elle a un autre statut juridique et opère selon d’autres modalités que le commissaire, a succédé à ce dernier dans l’exercice des tâches attribuées à l’autorité de contrôle en application de l’article 28 de la directive. En effet, tant le commissaire que l’Autorité ont été institués par la Hongrie pour satisfaire à l’obligation imposée par cette disposition de prévoir une autorité publique chargée de surveiller sur son territoire les dispositions adoptées par cet État membre en application de la directive. Du point de vue de la mission exercée en application de cette disposition, il y a donc identité entre les deux entités. En outre, la continuité entre les deux entités a été assurée par l’article 75, paragraphes 1 et 2, de la nouvelle loi sur la protection des données qui prévoit que l’Autorité gère les dossiers ouverts par le commissaire avant le 1er janvier 2012 et traite les données qu’il a traitées avant cette date.
80. Quant au fait que le changement institutionnel a été décidé par l’autorité constitutionnelle, il ressort tout d’abord du dossier devant la Cour que l’Autorité a été créée par une loi organique, à savoir la nouvelle loi sur la protection des données et non par la Loi fondamentale (38). Par ailleurs, des modifications institutionnelles, même par la voie de lois constitutionnelles, ne sauraient compromettre l’effet utile de l’obligation supérieure imposée par le droit de l’Union relative à la garantie de «toute indépendance», la primauté du droit de l’Union s’appliquant quel que soit le rang de la norme nationale en cause. Elles ne sauraient donc justifier de mettre fin, de manière anticipée, au mandat de l’autorité de contrôle de la protection des données. Comme la Commission et le CEPD l’ont soutenu, si tel était le cas, une autorité, fût-elle de niveau supérieur, qu’il s’agisse du pouvoir législatif ou constitutionnel, serait habilitée à exercer une influence extérieure et indue sur l’autorité de contrôle de la protection des données par la seule menace, expresse ou implicite, de telles modifications et l’interruption anticipée du mandat de l’autorité de contrôle prévue à l’article 28, paragraphe 1, de la directive, conduisant éventuellement à une forme d’«obéissance anticipée» (39).
81. Je ne pense pas enfin que soit pertinente l’affirmation de la Hongrie selon laquelle la nomination du commissaire en qualité de président ne pouvait intervenir à la suite des déclarations publiques qu’il aurait faites pour exprimer son intention de ne pas accepter une telle nomination. En dépit du fait que de telles déclarations publiées dans la presse seraient dépourvues de toute valeur juridique face aux exigences strictes imposées par l’article 28 de la directive et par l’article 15 de la loi nº LIX de 1993 (40), la Hongrie n’a pas soutenu que le poste en cause ait été officiellement proposé au commissaire. Je relève d’ailleurs à la lecture de la réponse de la Hongrie du 30 mars 2012 à l’avis motivé que le commissaire, M. Jóri, a exprimé son désaccord sur la nouvelle loi sur la protection des données en ajoutant qu’il n’aurait pas accepté sa nomination comme président de l’Autorité si cette proposition lui avait été faite, car il considérait, notamment, que l’institution de l’Autorité ne respectait pas l’exigence d’indépendance prescrite par la directive. Dans le cadre de la procédure précontentieuse, la Commission, elle-même, a repris ces critiques et certaines d’entre elles, à l’exception de la cessation anticipée du mandat du commissaire, ont finalement été prises en compte par la Hongrie dans des amendements législatifs (41). En outre, les observations officielles du commissaire des 10 et 22 juin 2011 (42) concernant le projet de nouvelle loi, dans lesquelles il indiquait que l’absence de dispositions transitoires constituait une violation de son indépendance et qui étaient donc faites dans le cadre de sa fonction officielle comme autorité de contrôle instituée en application de l’article 28 de la directive, ne sauraient en aucun cas lui être reprochées et ne pouvaient être considérées comme une présentation de démission.
82. Je considère par conséquent que la Hongrie, en mettant fin de manière anticipée au mandat de l’autorité de contrôle de la protection des données, a manqué aux obligations qui lui incombent en vertu de la directive.
83. J’ajoute qu’un arrêt de la Cour constatant le manquement dans la présente affaire aurait une très grande importance non seulement pour les autorités créées en application de l’article 28, paragraphe 1, de la directive, mais aussi pour toute autre autorité indépendante instaurée en application du droit de l’Union. En assurant ces autorités indépendantes de l’inamovibilité de leur mandat jusqu’à l’échéance prévue, sauf raisons graves préétablies par la loi et objectivement vérifiables, cet arrêt aurait pour effet de limiter considérablement le risque nuisible d’«obéissance anticipée» à des acteurs externes, publics ou privés. Un tel arrêt écarterait «l’épée de Damoclès» que représente le risque paralysant de cessation anticipée de leur mandat.
VI – Sur les effets d’une constatation en manquement dans le temps
84. La Hongrie a demandé que, dans le cas où la Cour ferait droit au recours de la Commission, les effets de l’arrêt soient limités dans le temps (43) afin de ne pas affecter le mandat du président de l’Autorité actuellement en fonction. Elle soutient que les conséquences découlant du principe de la sécurité juridique excluraient également que les affaires déjà définitivement clôturées puissent être remises en question.
85. Il y a lieu de «rappeler que ce n’est qu’à titre exceptionnel que la Cour peut, par application d’un principe général de sécurité juridique inhérent à l’ordre juridique [de l’Union], être amenée à limiter la possibilité pour tout intéressé d’invoquer une disposition qu’elle a interprétée en vue de mettre en cause des relations juridiques établies de bonne foi» (44). En outre, il est de jurisprudence constante que les conséquences financières qui pourraient découler pour un État membre d’un arrêt rendu à titre préjudiciel ne justifient pas, par elles-mêmes, la limitation des effets dans le temps de cet arrêt (45).
86. En effet, «la Cour n’a eu recours à cette solution que dans des circonstances bien précises, lorsqu’il existait un risque de répercussions économiques graves dues en particulier au nombre élevé de rapports juridiques constitués de bonne foi sur la base de la réglementation considérée comme étant valablement en vigueur, et qu’il apparaissait que les particuliers et les autorités nationales avaient été incités à un comportement non conforme à la réglementation [de l’Union] en raison d’une incertitude objective et importante quant à la portée des dispositions de l’Union, incertitude à laquelle avaient éventuellement contribué les comportements mêmes adoptés par d’autres États membres ou par la Commission» (46).
87. «À supposer même que les arrêts rendus au titre de l’article [258 TFUE] aient les mêmes effets que ceux rendus au titre de l’article [267 TFUE] et que, partant, des considérations de sécurité juridique puissent rendre nécessaire, à titre exceptionnel, la limitation de leurs effets dans le temps» (47), je considère que, en supposant qu’elle ait été correctement formulée, la demande de la Hongrie devrait être rejetée.
88. En effet, la Hongrie n’a nullement démontré l’existence d’un risque de troubles économiques graves ni que, à l’époque de l’adoption de la loi créant l’Autorité, elle ait été confrontée à une incertitude objective et importante quant à la portée de l’article 28, paragraphe 1, second alinéa, de la directive.
89. En effet, à cette époque, la Cour avait déjà interprété l’expression «toute indépendance» contenue à l’article 28, paragraphe 1, second alinéa, de la directive (48). Le droit de l’Union ne pouvait donc être raisonnablement compris comme autorisant la Hongrie à mettre fin anticipativement au mandat du commissaire (49).
VII – Sur les dépens
90. En vertu de l’article 138, paragraphe 1, du règlement de procédure de la Cour, toute partie qui succombe est condamnée aux dépens, s’il est conclu en ce sens. La Commission ayant conclu à la condamnation de la Hongrie et celle-ci devant, à mon avis, succomber en ses moyens, je considère qu’il y aurait lieu de condamner cette dernière aux dépens. En application de l’article 140 du règlement de procédure, le CEPD doit supporter ses propres dépens.
VIII – Conclusion
91. Eu égard aux considérations exposées, je propose à la Cour de:
– constater que la Hongrie, en mettant fin de manière anticipée au mandat de l’autorité de contrôle de la protection des données, a manqué aux obligations qui lui incombent en vertu de l’article 28, paragraphe 1, second alinéa, de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données;
– condamner la Hongrie à supporter ses propres dépens ainsi que ceux exposés par la Commission européenne, et
– condamner le Contrôleur européen de la protection des données à supporter ses propres dépens.