CONCLUSIONS DE L’AVOCAT GÉNÉRAL

M. PRIIT PIKAMÄE

présentées le 9 décembre 2021 (1)

Affaire C‑184/20

OT

contre

Vyriausioji tarnybinės etikos komisija,

en présence de

Fondas „Nevyriausybinių organizacijų informacijos ir paramos centras“

[demande de décision préjudicielle formée par le Vilniaus apygardos administracinis teismas (tribunal administratif régional de Vilnius, Lituanie)]

« Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Directive 95/46/CE – Règlement (UE) 2016/679 – Législation nationale prévoyant la publication de données à caractère personnel contenues dans des déclarations d’intérêts – Transparence dans l’utilisation des fonds publics – Prévention des conflits d’intérêts et de la corruption dans le secteur public – Droits fondamentaux tenant au respect de la vie privée et à la protection des données à caractère personnel – Articles 7 et 8 de la charte des droits fondamentaux de l’Union européenne – Notion de “catégories particulières de données à caractère personnel” »

1.        Connu pour avoir imaginé le panoptique, un type d’architecture carcérale devant permettre à un gardien, logé dans une tour centrale, d’observer tous les prisonniers enfermés dans des cellules individuelles autour de la tour, sans que ceux-ci puissent savoir qu’ils sont observés, le philosophe anglais Jeremy Bentham appliquait également son souci de la transparence à la vie publique et considérait que « l’œil du public rend l’homme d’État vertueux » (2). Des paroles assurément prophétiques, s’agissant à tout le moins du mécanisme proposé, si l’on en juge par le nombre important de législations au sein de l’Union européenne imposant aujourd’hui la publicité, au moins partielle, des déclarations d’intérêts et de patrimoine des responsables publics.

2.        Tous ces textes sont à la recherche d’un équilibre entre publicité et préservation de la vie privée des personnes concernées. La présente affaire porte précisément sur la conformité avec le droit de l’Union d’un traitement de données à caractère personnel, caractérisé par la mise en ligne du contenu partiel de déclarations d’intérêts sur le site Internet de l’autorité publique chargée de les recueillir et de les contrôler. Son intérêt est également de donner l’occasion à la Cour de préciser la portée de la notion de catégories particulières de données dites « données sensibles ».

 Le cadre juridique

 Le droit de l’Union

3.        Outre certaines dispositions de droit primaire, à savoir les articles 7, 8 et l’article 51, paragraphe 2, de la charte des droits fondamentaux de l’Union européenne (ci-après la « Charte »), sont pertinents dans le cadre de la présente affaire les articles 3 et 6 à 8 de la directive 95/46/CE (3) ainsi que les articles 2, 5, 6 et 9 du règlement (UE) 2016/679 (4).

 Le droit lituanien

4.        Le Lietuvos Respublikos viešųjų ir privačių interesų derinimo įstatymas Nr. VIII-371 (loi nº VIII-371 de la République de Lituanie, sur la conciliation des intérêts publics et privés dans le service public), du 2 juillet 1997 (Žin., 1997, nº 67-1659), dans sa version en vigueur à la date des faits au principal (5) (ci-après la « loi sur la conciliation des intérêts »), prévoyait, à son article 1^er, qu’elle vise à concilier les intérêts privés des personnes travaillant dans le service public et les intérêts publics de la société, à assurer, lors de la prise de décisions, la prévalence de l’intérêt public, à garantir l’impartialité des décisions prises et à prévenir l’apparition et l’essor de la corruption dans le service public (6).

5.        L’article 6 de ladite loi, intitulé « Contenu de la déclaration », prévoyait :

« 1.      Le déclarant mentionne dans sa déclaration les renseignements suivants le concernant et concernant son conjoint, concubin ou partenaire :

1)      prénom, nom, numéro d’identification personnel, numéro de sécurité sociale, employeur(s) et fonctions ;

2)      personne morale dont le déclarant ou son conjoint, concubin ou partenaire a la qualité d’associé ou sociétaire ;

3)      activité indépendante, telle que définie dans la loi de la République de Lituanie relative à l’impôt sur le revenu ;

4)      appartenance à des entreprises, des établissements, des associations ou des fonds et fonctions y exercées, à l’exception de l’appartenance à des partis politiques et à des syndicats ;

5)      cadeaux (autres que ceux de proches) reçus au cours des douze derniers mois civils si leur valeur est supérieure à 150 euros ;

6)      informations sur les transactions conclues au cours des douze derniers mois civils et autres transactions en cours si la valeur de la transaction est supérieure à 3 000 euros ;

7)      personnes proches ou autres personnes ou données connues du déclarant susceptibles de donner lieu à un conflit d’intérêts.

2.      Le déclarant peut omettre les données relatives à son conjoint, concubin ou partenaire s’ils vivent séparément, ne forment pas un ménage commun et qu’il n’est donc pas en possession de ces données. »

6.        L’article 10 de la loi sur la conciliation des intérêts, intitulé « Publicité des données relatives aux intérêts privés », disposait :

« 1.      Sont publiques et publiées sur le site Internet de la Haute commission, conformément aux modalités définies par cette dernière, les données figurant dans les déclarations des élus et personnes occupant des postes politiques, des fonctionnaires et agents de l’État, des juges, des directeurs et directeurs adjoints d’institutions de l’État ou d’une collectivité locale, des fonctionnaires et agents de confiance politique (personnelle), des fonctionnaires de l’État exerçant les fonctions de directeurs et directeurs adjoints de subdivisions d’institutions ou établissements, des directeurs et directeurs adjoints d’entreprises publiques et d’autorités budgétaires de l’État ou d’une collectivité locale, des directeurs et directeurs adjoints d’associations ou d’établissements publics recevant des fonds provenant du budget ou de fonds de l’État ou d’une collectivité locale, des employés de la Banque de Lituanie investis de compétences d’administration publique (chargés de la surveillance des marchés financiers, du règlement extrajudiciaire des litiges entre consommateurs et acteurs des marchés financiers et autres fonctions d’administration publique), des membres des conseils de surveillance ou d’administration et directeurs et directeurs adjoints de sociétés par actions ou à responsabilité limitée dont l’État ou une collectivité locale est propriétaire de parts lui conférant plus de la moitié des droits de vote à l’assemblée générale des associés, des membres du conseil d’administration d’entreprises publiques de l’État ou d’une collectivité locale, des présidents et vice-présidents de partis politiques, des consultants non rémunérés, assistants et conseillers des élus et personnes occupant des postes politiques, des experts agréés par les commissions du Parlement de la République de Lituanie, des membres des collèges ministériels, des membres du Conseil de l’assurance santé obligatoire, des conseillers non rémunérés du Conseil de l’assurance santé obligatoire, des membres du Conseil national de la santé, des médecins, dentistes et pharmaciens travaillant dans des autorités budgétaires ou publiques de l’État ou d’une collectivité locale, dans des entreprises publiques de l’État ou de collectivités locales ou dans des entreprises dont l’État ou une collectivité locale est propriétaire de parts lui conférant plus de la moitié des droits de vote à l’assemblée générale des associés, titulaires d’une licence d’établissement de santé ou de pharmacie, ainsi que des membres des commissions de passation de marchés publics, des personnes chargées par le directeur d’un pouvoir adjudicateur de passer des marchés suivant la procédure simplifiée et des experts intervenant dans des procédures de passation de marchés publics [à l’exception des données figurant dans les déclarations des personnes dont les données sont classifiées en vertu de la loi et (ou) qui exercent une activité de renseignement, de contre-espionnage ou de renseignement en matière criminelle]. Lorsqu’une personne dont les données sont publiques perd le statut de déclarant, la Haute commission, sur demande de l’intéressé, retire la déclaration de son site Internet.

2.      Ne peuvent être rendues publiques les données suivantes fournies dans la déclaration : le numéro d’identification personnel, le numéro de sécurité sociale, des données à caractère personnel particulières ainsi que les autres renseignements dont la loi interdit la divulgation. En outre, les données de l’autre partie à une transaction, lorsqu’il s’agit d’une personne physique, ne sont pas publiées. »

 Le litige au principal et les questions préjudicielles

7.        La Vyriausioji tarnybinės etikos komisija (Haute commission de prévention des conflits d’intérêts dans le service public, ci-après la « Haute commission ») est une autorité publique chargée de veiller à l’application de la loi sur la conciliation des intérêts et, plus particulièrement, de recueillir les déclarations d’intérêts et d’en assurer le contrôle.

8.        OT exerce les fonctions de directeur de QP, un établissement public de droit lituanien actif dans le domaine de la protection de l’environnement.

9.        Par une décision du 7 février 2018, la Haute commission a constaté que, en ayant omis de déposer auprès d’elle une déclaration d’intérêts privés comme l’exigeait la loi sur la conciliation des intérêts, OT avait contrevenu à l’article 3, paragraphe 2, ainsi qu’à l’article 4, paragraphe 1, de cette loi.

10.      Le 6 mars 2018, OT a introduit devant la juridiction de renvoi un recours en annulation contre cette décision. Il soutient, d’une part, qu’il ne relève pas des personnes soumises à l’obligation de déclaration des intérêts privés prévue à l’article 2, paragraphe 1, de la loi sur la conciliation des intérêts et, d’autre part, que la publication sur le site Internet de la Haute commission du contenu de sa déclaration porterait atteinte tant à son droit au respect de sa vie privée qu’à celui des autres personnes qu’il serait, le cas échéant, tenu de mentionner dans sa déclaration.

11.      La Haute commission fait valoir que OT était tenu de déposer une déclaration d’intérêts privés comme étant investi de compétences administratives au sein de QP, établissement public bénéficiant d’un financement provenant de fonds structurels de l’Union et du budget de l’État lituanien. Elle admet que, si la publication d’une telle déclaration est susceptible de constituer une ingérence dans la vie privée de l’intéressé et de son conjoint, celle-ci est prévue par la loi sur la conciliation des intérêts.

12.      La juridiction de renvoi considère que les données à caractère personnel figurant dans une déclaration d’intérêts privés, en vertu de l’article 6, paragraphe 1, de la loi sur la conciliation des intérêts, font partie intégrante de la vie privée du déclarant et des autres personnes concernées et que leur divulgation, s’agissant de données particulièrement sensibles, telles que la situation familiale ou l’orientation sexuelle, risquerait d’entraîner d’importants désagréments dans la vie de ces personnes. Les exceptions prévues à l’article 10 de cette loi seraient insuffisantes pour assurer la protection de ces données. En outre, la publication sur Internet de données relatives à des circonstances susceptibles d’influencer la prise de décisions dans l’exercice de fonctions publiques ne serait pas nécessaire à la réalisation de l’objectif poursuivi par ladite loi, soit la mise en œuvre du principe de transparence dans le service public. La communication des données à caractère personnel figurant dans la déclaration en cause à la Haute commission ainsi que la mission de surveillance assignée aux organes visés à l’article 22 de la même loi seraient des mesures suffisantes pour assurer la réalisation de cet objectif.

13.      Ayant des doutes quant à la compatibilité du régime prévu par la loi sur la conciliation des intérêts avec les dispositions du RGPD, le Vilniaus apygardos administracinis teismas (tribunal administratif régional de Vilnius, Lituanie) a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :

« 1)      Eu égard aux exigences énoncées à l’article 6, paragraphe 3, du [RGPD] et notamment à celle selon laquelle le droit des États membres doit répondre à un objectif d’intérêt public et être proportionné à l’objectif légitime poursuivi, ainsi qu’aux articles 7 et 8 de la [Charte], convient-il d’interpréter la condition énoncée à l’article 6, paragraphe 1, sous e), [du RGDP], selon laquelle le traitement [des données à caractère personnel] doit être nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement, en ce sens que le droit national ne saurait exiger la divulgation des données figurant dans des déclarations d’intérêts privés et la publication desdites données sur le site Internet du responsable du traitement – la [Haute commission] –, ce qui rend ces données accessibles à toutes les personnes qui ont la possibilité d’utiliser l’internet ?

2)      Eu égard aux conditions énoncées à l’article 9, paragraphe 2, du [RGPD], notamment à celle énoncée [au point g) de cette disposition], selon laquelle le traitement [des données à caractère personnel] doit être nécessaire pour des motifs d’intérêt public important, sur la base du droit de l’Union ou du droit d’un État membre qui doit être proportionné à l’objectif poursuivi, respecter l’essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée, ainsi qu’aux articles 7 et 8 de la Charte, convient-il d’interpréter l’interdiction de traiter certaines catégories de données à caractère personnel énoncée à l’article 9, paragraphe 1, [du RGDP] en ce sens que le droit national ne peut exiger la divulgation de données figurant dans des déclarations d’intérêts privés qui sont susceptibles de révéler des données à caractère personnel, entre autres des données qui permettent de connaître les opinions politiques, l’appartenance syndicale ou l’orientation sexuelle ou d’autres informations de nature personnelle d’une personne, et la publication desdites données sur le site Internet du responsable du traitement – la [Haute commission] –, ce qui rend ces données accessibles à toutes les personnes qui ont la possibilité d’utiliser l’internet ? »

 La procédure devant la Cour

14.      En application de l’article 101 du règlement de procédure de la Cour, une demande d’éclaircissements a été adressée par la Cour à la juridiction de renvoi, qui y a répondu par courrier enregistré le 12 mai 2021. La Commission européenne ainsi que les gouvernements lituanien, italien et finlandais ont déposé des observations écrites. Le gouvernement lituanien a répondu aux questions écrites de la Cour dans un mémoire déposé le 30 juillet 2021.

 Analyse

 Sur la recevabilité

15.      Il découle à la fois des termes et de l’économie de l’article 267 TFUE que la procédure préjudicielle présuppose qu’un litige soit effectivement pendant devant les juridictions nationales, dans le cadre duquel elles sont appelées à rendre une décision susceptible de prendre en considération l’arrêt de la Cour rendu à titre préjudiciel. Partant, la Cour est susceptible de vérifier d’office la persistance du litige au principal (7).

16.      En réponse à une interrogation de la Cour sur l’apparente exclusion du requérant au principal du champ d’application ratione personae de la loi sur la conciliation des intérêts, telle que modifiée le 1^er janvier 2020, la juridiction de renvoi a fait état de la nécessaire réponse de la Cour aux fins de la résolution du litige au principal au regard de la réglementation nationale en vigueur à la date d’adoption de la décision de la Haute commission incriminée. Elle a ajouté que l’intéressé est encore susceptible de faire partie des personnes visées par ladite loi, dans sa version actuelle.

17.      Cette même juridiction a précisé, également sur l’invitation de la Cour, que l’arrêt de la Cour constitutionnelle lituanienne du 20 septembre 2018, déclarant irrecevable sa demande d’appréciation de la constitutionnalité de l’article 10 de la loi sur la conciliation des intérêts au motif de l’inapplicabilité de cette disposition au litige au principal, est dépourvu d’incidence quant à la poursuite de la procédure préjudicielle. La juridiction de renvoi a indiqué que, même si la question à trancher est bien, comme l’a indiqué la juridiction constitutionnelle, celle d’une éventuelle violation de l’article 3, paragraphe 2, et de l’article 4, paragraphe 1, de cette loi pour non‑respect par le requérant au principal de son obligation de dépôt de la déclaration d’intérêts, la vérification de la légalité de la décision incriminée implique la prise en compte des conséquences, découlant de l’application de l’article 10 de ladite loi, d’un tel dépôt, à savoir la divulgation publique de certaines données contenues dans la déclaration sur le site Internet de la Haute commission.

18.      Compte tenu des indications fournies par la juridiction de renvoi, il convient de considérer que le litige au principal est toujours pendant devant celle-ci et qu’une réponse de la Cour aux questions posées demeure utile pour la solution de ce litige. Je rappelle, en outre, qu’il n’appartient pas à la Cour de se prononcer, dans le cadre d’un renvoi préjudiciel, sur l’interprétation des dispositions nationales (8) et que les questions relatives à l’interprétation du droit de l’Union posées par le juge national dans le cadre réglementaire et factuel qu’il définit sous sa responsabilité bénéficient d’une présomption de pertinence. Il n’apparaît pas de manière manifeste, en l’espèce, que l’interprétation sollicitée du droit de l’Union n’ait aucun rapport avec la réalité ou l’objet du litige au principal, ni que les questions posées à la Cour revêtent un caractère hypothétique (9).

19.      À cet égard, me paraît infondée l’allégation du gouvernement lituanien quant au caractère « théorique » de la seconde question préjudicielle, au motif pris de l’impossibilité d’identifier les données sensibles concernées par la publication, faute de dépôt préalable de la déclaration d’intérêts par le requérant au principal. J’observe que le cadre réglementaire national présenté par la juridiction de renvoi permet d’identifier la nature des données devant figurer dans cette déclaration et de déterminer, avec une relative précision, celles échappant à la publication sur le site Internet de la Haute commission. La Cour me paraît disposer de tous les éléments de fait et de droit nécessaires pour apporter une réponse utile à la solution effective du contentieux.

 Sur le cadre juridique d’analyse

20.      Il ressort de la demande de décision préjudicielle que la juridiction de renvoi tient manifestement pour acquis que la réglementation nationale litigieuse relève du champ d’application du RGPD, tant sur le plan ratione materiae que ratione temporis, position me paraissant justifier quelques observations.

 Sur l’applicabilité ratione materiae du RGPD

21.      Conformément à l’article 2, paragraphe 1, du RGPD, ce dernier s’applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu’au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier, soit un champ d’application matériel identique à celui de la directive 95/46 qui a été abrogée et remplacée par ce règlement.

22.      Il y a lieu de constater d’emblée que les données de la déclaration d’intérêts devant être publiées sur le site Internet de la Haute commission, à savoir, notamment, les noms de certaines personnes physiques, constituent des « données à caractère personnel » au sens de l’article 4, paragraphe 1, du RGPD ou de l’article 2, sous a), de la directive 95/46, puisqu’il s’agit d’« information[s] concernant une personne physique identifiée ou identifiable », la circonstance qu’une information s’inscrit, comme en l’espèce, dans le contexte d’une activité professionnelle n’étant pas de nature à lui ôter sa qualification de « donnée à caractère personnel » (10). Tant leur collecte par cette entité publique que leur diffusion sous la forme d’une mise en ligne sur le site susmentionné présentent dès lors le caractère d’un « traitement de données à caractère personnel » au sens de l’article 4, paragraphe 2, de ce règlement ou de l’article 2, sous b), de cette directive (11).

23.      Il importe de souligner que, si, au regard de la définition très large de son champ d’application, le RGPD constitue en quelque sorte le droit commun de la protection des données à caractère personnel dans l’Union, d’autres normes de nature sectorielle qui le précisent et le complètent ont été adoptées, apparaissant ainsi comme des lex specialis. Il en va ainsi de la directive (UE) 2016/680 du Parlement européen et du Conseil, du 27 avril 2016, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (12).

24.      À cet égard, l’article 2, paragraphe 2, sous d), du RGPD, prévoit que ce dernier ne s’applique pas au traitement de données à caractère personnel effectué « par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre des menaces pour la sécurité publique et la prévention de telles menaces ». Cette exception à l’applicabilité du RGPD doit, à l’instar des autres exceptions prévues à l’article 2, paragraphe 2, de celui-ci, recevoir une interprétation stricte. Ainsi qu’il résulte du considérant 19 dudit règlement, ladite exception est motivée par la circonstance que les traitements, à de telles fins et par les autorités compétentes, de données à caractère personnel sont régis par un acte plus spécifique de l’Union, à savoir la directive 2016/680 (13).

25.      Cette dernière, adoptée le même jour que le RGPD, définit, à son article 3, paragraphe 7, ce qu’il convient d’entendre par « autorité compétente », une telle définition devant être appliquée, par analogie, à l’article 2, paragraphe 2, sous d), dudit règlement. À cet égard, la Cour a jugé qu’il ressort du considérant 10 de la directive 2016/680 que la notion d’« autorité compétente » doit être comprise en lien avec la protection des données à caractère personnel dans le domaine de la coopération judiciaire en matière pénale et de la coopération policière, compte tenu des aménagements qui peuvent s’avérer nécessaires en raison de la nature spécifique de ces domaines (14). En outre, le considérant 11 de cette directive précise que le RGPD s’applique au traitement de données à caractère personnel qui serait effectué par une « autorité compétente », au sens de l’article 3, paragraphe 7, de ladite directive, mais à d’autres fins que celles prévues dans celle-ci (15).

26.      Or, dans l’affaire au principal et selon les indications fournies par la juridiction de renvoi et le gouvernement lituanien, la réglementation nationale en cause vise à concilier les intérêts privés des personnes travaillant dans le service public et les intérêts de la société, à assurer la prévalence de l’intérêt public lors de la prise de décisions, à garantir l’impartialité de celles-ci et à « empêcher que de la corruption ne naisse et ne se développe dans le service public ». La corruption peut, notamment, correspondre à l’agissement d’une personne investie d’une fonction publique qui sollicite ou accepte un avantage en vue d’accomplir ou de s’abstenir d’accomplir un acte de sa fonction (16), comportement susceptible de recouvrir la notion d’« infraction pénale » au sens de l’article 2, paragraphe 2, sous d), du RGPD.

27.      Conformément à sa mission générale consistant à veiller à la bonne application de la loi sur la conciliation des intérêts, la Haute commission procède au recueil des déclarations d’intérêts des personnes travaillant dans le secteur public et à la publication de certaines informations y contenues sur son site Internet. L’article 22 de la loi sur la conciliation des intérêts révèle que, lorsqu’il existe des informations étayées selon lesquelles une personne ne respecte pas les exigences légales, la Haute commission a le pouvoir de faire procéder à une enquête sur le comportement de l’intéressé, de rectifier les conclusions de l’enquête, d’enquêter elle-même et d’adopter une décision. En l’absence de précision du dossier soumis à la Cour, la nature exacte des décisions pouvant être adoptées par la Haute commission n’apparaît pas clairement, l’affaire au principal démontrant, à tout le moins, la faculté pour cette entité de constater une abstention illicite de dépôt de la déclaration d’intérêts, se traduisant nécessairement par une obligation d’y remédier à la charge de l’intéressé.

28.      Au vu de ces éléments, qui traduisent le caractère purement national du cadre réglementaire et la portée interne du traitement mis en œuvre par la Haute commission avec un objectif essentiel de dissuasion, à l’égard des personnes œuvrant dans le secteur public lituanien, de tout comportement illicite en lien avec l’exercice de leurs fonctions, il n’apparaît pas que cet organe puisse être considéré comme une « autorité compétente », au sens de l’article 3, paragraphe 7, de la directive 2016/680 et, partant, que ses activités puissent relever de l’exception prévue à l’article 2, paragraphe 2, sous d), du RGPD. En conséquence, la publication par la Haute commission sur son site Internet de données personnelles contenues dans des déclarations d’intérêts de personnes travaillant dans le secteur public relève bien du champ d’application matériel du RGPD.

29.      Ainsi qu’il sera précisé ci-après, une réponse utile de la Cour aux questions préjudicielles implique qu’elle porte tant sur le RGPD que sur la directive 95/46. Je relève, à cet égard, que l’article 2, paragraphe 2, sous d), du RGPD s’inscrit partiellement dans la continuité de l’article 3, paragraphe 2, premier tiret, de la directive 95/46 selon lequel les traitements ayant pour objet la sécurité publique, la défense, la sûreté de l’État (y compris le bien-être économique de l’État lorsque ces traitements sont liés à des questions de sûreté de l’État) et les activités de l’État relatives à des domaines du droit pénal sont exclus du champ d’application de cette directive, exception devant faire l’objet d’une interprétation stricte. Il me semble clair que le traitement des données personnelles réalisé par la Haute commission n’a pas pour objet la sécurité publique, la défense ou la sûreté de l’État. En outre, même s’il n’apparaît pas exclu que lesdites données puissent être utilisées dans le cadre de poursuites pénales qui pourraient être exercées, en cas d’infractions de type corruption active ou passive, contre des déclarants, les données en cause au principal n’apparaissent pas avoir été collectées dans l’objectif spécifique de l’exercice de telles poursuites pénales ou dans le cadre des activités de l’État relatives à des domaines du droit pénal (17).

 Sur l’applicabilité ratione temporis

30.      Il y a lieu de constater que les deux questions adressées à la Cour concernent l’interprétation de dispositions du RGPD, lequel est devenu applicable le 25 mai 2018 et a abrogé la directive 95/46 avec effet à cette même date (18). Or, la décision en cause au principal a été adoptée le 7 février 2018, soit antérieurement au 25 mai 2018, ce qui doit conduire à la conclusion de l’applicabilité ratione temporis de ladite directive au litige au principal.

31.      Cela étant, il ressort également du dossier soumis à la Cour que, par sa décision, la Haute commission a déclaré que, en omettant de déposer une déclaration d’intérêts, le requérant au principal avait enfreint la loi sur la conciliation des intérêts, plaçant ainsi l’intéressé dans la situation de devoir fournir cette déclaration. Aucun élément de ce dossier n’indiquant qu’une telle transmission a bien eu lieu avant le 25 mai 2018, il n’est pas exclu que, en l’occurrence, le RGPD soit applicable ratione temporis. Dans ces conditions, afin de permettre à la Cour de fournir des réponses utiles aux questions posées par la juridiction de renvoi, il y a lieu de répondre à ces questions sur le fondement tant de la directive 95/46 que du RGPD (19). Je rappelle que, dès lors que le RGPD a abrogé et remplacé la directive 95/46 et que les dispositions pertinentes de ce règlement ont une portée en substance identique à celle des dispositions pertinentes de cette directive, la jurisprudence de la Cour relative à ladite directive est également applicable, en principe, en ce qui concerne ledit règlement (20).

 Sur les questions préjudicielles

 Sur la portée de la demande de décision préjudicielle

32.      Dans la décision de renvoi, qui exprime les doutes éprouvés par la juridiction nationale quant à la compatibilité avec le droit de l’Union du traitement de données à caractère personnel mis en œuvre par la Haute commission, il est sollicité l’interprétation par la Cour de l’article 6, paragraphe 1, et de l’article 9, paragraphe 1, du RGPD dans le cadre de deux questions préjudicielles distinctes. Ces dernières ne me paraissent pas se prêter à un examen conjoint en raison de la spécificité de l’objet de la seconde question. La problématique y soulevée est celle de la détermination de la portée de la notion de « catégories particulières de données à caractère personnel » au sens de l’article 9, paragraphe 1, du RGPD et de l’article 8, paragraphe 1, de la directive 96/46, dans le contexte d’une réglementation nationale interdisant précisément la divulgation de données relevant de ces catégories.

33.      Cette discussion se distingue, dès lors, de celle de la licéité du traitement en cause (21) induite par la première question préjudicielle portant sur l’interprétation de l’article 6, paragraphe 1, du RGPD qui reprend avec des modifications l’article 7 de la directive 95/46. À cet égard, il ressort de la demande de décision préjudicielle que la juridiction de renvoi cherche à établir plus généralement si le traitement des données à caractère personnel en cause au principal peut être considéré comme régulier au regard de l’ensemble des principes relatifs au traitement des données à caractère personnel et, notamment, au regard du principe de proportionnalité. Il s’ensuit qu’il convient de tenir compte également, dans la réponse à fournir à cette juridiction, des principes énoncés à l’article 5, paragraphe 1, de ce règlement et à l’article 6, paragraphe 1, de cette directive, en particulier du principe de la « minimisation des données », selon lequel les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées et qui donne expression audit principe de proportionnalité (22).

 Sur la première question préjudicielle

34.      Par sa première question, la juridiction de renvoi demande, en substance, si les articles 5 et 6 du RGPD, lus à la lumière des articles 7 et 8 de la Charte, doivent être interprétés en ce sens qu’ils s’opposent à une réglementation nationale en vertu de laquelle une partie des données à caractère personnel contenues dans la déclaration d’intérêts dont le dépôt est imposé à tout directeur d’un établissement public percevant des fonds publics doit faire l’objet d’une publication sur le site Internet de l’autorité étatique chargée de collecter ces déclarations et d’en contrôler la teneur.

–       Sur les conditions de licéité d’un traitement de données à caractère personnel

35.      Conformément au considérant 10 et à l’article 1^er de la directive 95/46 ainsi qu’au considérant 4 et à l’article 1^er du RGPD, ces deux normes visent à garantir un niveau élevé de protection des libertés et des droits fondamentaux des personnes physiques, notamment de leur vie privée, à l’égard du traitement des données à caractère personnel les concernant (23). Ces droits, respectivement consacrés aux articles 7 et 8 de la Charte, le second étant étroitement lié au premier, ne sont pas des prérogatives absolues, mais doivent être pris en considération par rapport à leur fonction dans la société et être mis en balance avec d’autres droits fondamentaux. L’article 8, paragraphe 2, de la Charte autorise ainsi le traitement des données à caractère personnel si certaines conditions sont réunies, à savoir que les données à caractère personnel « doivent être traitées loyalement, à des fins déterminées et sur la base du consentement de la personne concernée ou en vertu d’un autre fondement légitime prévu par la loi ». Par ailleurs, l’article 52, paragraphe 1, de la Charte admet que des limitations peuvent être apportées à l’exercice de droits tels que ceux consacrés aux articles 7 et 8 de celle-ci, pour autant que ces limitations sont prévues par la loi, qu’elles respectent le contenu essentiel desdits droits et libertés et que, dans le respect du principe de proportionnalité, elles sont nécessaires et répondent effectivement à des objectifs d’intérêt général reconnus par l’Union ou au besoin de protection des droits et libertés d’autrui. Elles doivent s’opérer dans les limites du strict nécessaire et la réglementation comportant l’ingérence doit prévoir des règles claires et précises régissant la portée et l’application de la mesure en cause (24).

36.      Ainsi que cela ressort notamment de l’objectif du RGPD et de la directive 95/46, pour autant que les conditions d’un traitement légal de données à caractère personnel en vertu de ces normes sont remplies, ce traitement est réputé satisfaire également aux exigences fixées aux articles 7 et 8 de la Charte. Certaines exigences énoncées au paragraphe 2 de ce dernier article sont d’ailleurs mises en œuvre notamment aux articles 6 et 7 de la directive 95/46 ainsi qu’aux articles 5 et 6 du RGPD (25). À cet égard, il y a lieu de rappeler que, sous réserve des dérogations admises au titre de l’article 13 de cette directive et de l’article 23 de ce règlement, tout traitement de données à caractère personnel doit, d’une part, être conforme aux principes relatifs à la qualité des données énoncés à l’article 6 de la directive 95/46 ou à l’article 5 du RGPD et, d’autre part, répondre à l’un des principes relatifs à la légitimation des traitements de données énumérés à l’article 7 de cette directive ou à l’article 6 de ce règlement, ces deux dernières dispositions prévoyant une liste exhaustive des cas dans lesquels un traitement de données à caractère personnel peut être considéré comme étant licite (26).

37.      Plus particulièrement, les données à caractère personnel doivent, en vertu de l’article 6, paragraphe 1, sous b) et c), de la directive 95/46 ou de l’article 5, paragraphe 1, sous b) et c), du RGPD, d’une part, être collectées pour des finalités déterminées, explicites et légitimes ainsi qu’adéquates et ne pas être traitées ultérieurement de manière incompatible avec ces finalités et, d’autre part, être pertinentes et limitées à ce qui est nécessaire au regard desdites finalités. En outre, selon l’article 7, sous c) et e), de ladite directive et l’article 6, paragraphe 1, sous c) et e), dudit règlement, le traitement de données à caractère personnel est licite respectivement s’« il est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est tenu » ou s’« il est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique, dont est investi le responsable du traitement ou le tiers auquel les données sont communiquées » (27).

38.      Il importe de souligner que tant le RGPD que la directive 95/46 prévoient que les États membres peuvent déroger, notamment et respectivement, à l’article 5 et à l’article 6, paragraphe 1, de ces actes, lorsque cela est nécessaire pour sauvegarder certains objectifs importants d’intérêt public général dont, pour le cas de figure qui nous intéresse, la prévention et la détection d’infractions pénales, ainsi que les enquêtes et les poursuites en la matière ou l’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces. En effet, l’article 23, paragraphe 1, sous d), du RGPD, qui reprend, en la modifiant, la disposition figurant antérieurement à l’article 13, paragraphe 1, sous d), de la directive 95/46, énonce que le droit de l’Union et le droit des États membres peuvent, par la voie de mesures législatives, limiter la portée des obligations et des droits qui y sont visés, lorsqu’une telle limitation respecte l’essence des libertés et des droits fondamentaux et qu’elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir certains objectifs importants d’intérêt public général tels que celui susmentionné (28).

39.      Ainsi, l’article 23 du RGPD et l’article 13 de la directive 95/46 ne sauraient être interprétés comme pouvant conférer aux États membres le pouvoir de porter atteinte au respect de la vie privée, en méconnaissance de l’article 7 de la Charte, tout comme aux autres garanties prévues par celle-ci. En particulier, à l’instar de ce qui vaut pour l’article 13, paragraphe 1, de la directive 95/46, le pouvoir que confère l’article 23, paragraphe 1, du RGPD aux États membres ne saurait être exercé que dans le respect de l’exigence de proportionnalité, selon laquelle les dérogations à la protection des données à caractère personnel et les limitations de celles-ci doivent s’opérer dans les limites du strict nécessaire (29).

40.      Je relève que, en l’état de la décision de renvoi, il ne me paraît pas possible de déterminer si les dispositions de la loi sur la conciliation des intérêts correspondent à une mise en œuvre de l’article 13 de la directive 95/46 ou de l’article 23 du RGPD. Il convient, dans ces circonstances, d’examiner la licéité du traitement en cause en considération des articles 5 et 6 du RGPD ainsi que des articles 6 et 7 de la directive 95/46, étant observé que les développements qui suivent seraient également pertinents dans l’hypothèse d’une réglementation nationale issue de la mise en œuvre de l’article 23 du RGPD ou de l’article 13 de la directive 95/46.

–       Sur la base juridique du traitement en cause

 Un traitement fondé sur une obligation légale

41.      L’exigence selon laquelle tout traitement de données à caractère personnel doit être licite, mentionnée à l’article 6, paragraphe 1, de la directive 95/46 et à l’article 5, paragraphe 1, du RGPD, se trouve être concrétisée, respectivement, aux articles 7 et 6 de ces normes qui énumèrent les différents fondements juridiques possibles assurant cette licéité.

42.      Ainsi, le traitement des données est licite, selon l’article 7, sous c), de cette directive ou l’article 6, paragraphe 1, sous c), de ce règlement, s’il est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis. À cet égard, la mise en ligne de telles données sur le site Internet de la Haute commission me paraît clairement relever de cette disposition plutôt que de l’article 7, sous e), de ladite directive ou de l’article 6, paragraphe 1, sous e), dudit règlement, évoqué par la juridiction de renvoi.

43.      En divulguant au grand public, sur son site Internet, une partie des données contenues dans les déclarations d’intérêts préalablement collectées, la Haute commission, responsable du traitement, remplit l’obligation spécifique qui lui est imposée par l’article 10, paragraphe 1, de la loi sur la conciliation des intérêts. Comme le souligne le gouvernement lituanien dans ses observations, cette obligation est incluse dans une disposition législative impérative qui impose un traitement particulier à la Haute commission, laquelle n’a pas le choix de s’acquitter ou non de cette obligation. Cette situation se distingue de celle visée à l’article 7, sous e), de la directive 95/46 ou à l’article 6, paragraphe 1, sous e), du RGPD qui n’exige pas que le responsable du traitement agisse en vertu d’une obligation légale (30). En tout état de cause, s’il suffit, comme le confirme le libellé de l’article 6, paragraphe 1, du RGPD qui remplace l’article 7 de la directive 95/46, qu’un seul motif de légitimation puisse trouver à s’appliquer, la Cour a admis qu’un seul et même traitement pouvait répondre à plusieurs motifs de légitimation (31).

 Un traitement répondant à un objectif d’intérêt public légitime

44.      Conformément à l’article 6, paragraphe 1, sous b), de la directive 95/46 ou à l’article 5, paragraphe 1, sous b), du RGPD, les données à caractère personnel doivent être traitées pour des finalités légitimes. Il importe de souligner que le RGPD est venu préciser que le fondement juridique du traitement de telles données tenant au respect d’une obligation imposée au responsable du traitement est défini par le droit de l’Union ou le droit de l’État membre concerné qui doit répondre à un « objectif d’intérêt public et être proportionné à l’objectif légitime poursuivi » (32).

45.      Ainsi qu’il a été préalablement mentionné, la divulgation publique par la Haute commission d’une partie des données à caractère personnel contenues dans les déclarations d’intérêts est nécessaire au respect d’une obligation légale à laquelle cette autorité est soumise. Cette obligation obéit elle-même à une finalité générale définie à l’article 1^er de la loi sur la conciliation des intérêts, dont le caractère légitime apparaît objectivement incontestable. En effet, assurer la prévalence de l’intérêt public lors de la prise de décisions des personnes travaillant dans le service public, garantir l’impartialité de ces décisions et prévenir les conflits d’intérêts ainsi que l’apparition et l’essor de la corruption dans le service public relèvent d’objectifs d’intérêt public, manifestement légitimes (33), au sens de l’article 6, paragraphe 3, du RGPD et susceptibles, dès lors, de permettre qu’une limitation soit apportée à l’exercice des droits garantis par les articles 7 et 8 de la Charte.

 Un traitement reposant sur une base juridique claire et précise

46.      Il est constant que, dès lors que la collecte et la divulgation publique de données à caractère personnel contenues dans des déclarations d’intérêts sont prévues par la loi sur la conciliation des intérêts, l’ingérence dans le droit au respect de la vie privée qu’elle constitue doit être considérée comme étant formellement prévue par la loi, au sens de l’article 8, paragraphe 2, et de l’article 52, paragraphe 1, de la Charte. Toutefois, conformément à l’article 52, paragraphe 3, de la Charte, l’exigence de prévision légale doit se voir reconnaître la même portée que celle attribuée par la Cour européenne des droits de l’homme dans le cadre de son interprétation de l’article 8, paragraphe 2, de la convention de sauvegarde des droits de l’homme et des libertés fondamentales, signée à Rome le 4 novembre 1950, laquelle recouvre le défaut ou l’insuffisance de précision de la loi (34).

47.      Je relève, à cet égard, que le considérant 41 du RGPD énonce que la base juridique du traitement ou la mesure législative qui la définit doit être claire et précise et son application prévisible pour les justiciables, conformément à la jurisprudence de la Cour et de la Cour européenne des droits de l'homme. La jurisprudence de la Cour (35) reflète effectivement cette exigence de prévisibilité qui a, notamment, pour objet de s’assurer que les règles régissant la portée et l’application de la mesure en cause sont suffisamment claires et précises (36), de façon à permettre à la personne concernée de comprendre quels types de données seront traités, de quelle manière et dans quel but (37).

48.      En l’occurrence, si la réglementation nationale en cause me paraît satisfaire à l’exigence de prévisibilité en ce qui concerne la définition du type de traitement réalisé et de ses finalités, je nourris, en revanche, des interrogations s’agissant de la détermination des données, objet de ce traitement. Cette détermination implique une lecture combinée de l’article 6 de la loi sur la conciliation des intérêts décrivant le contenu de la déclaration d’intérêts et de l’article 10 de cette loi mentionnant les données « fournies dans cette déclaration » ne pouvant faire l’objet d’une divulgation sur le site Internet de la Haute commission. Outre le choix d’une technique rédactionnelle législative écartant l’énoncé positif des données de ladite déclaration devant être publiées, je constate que l’appréhension de la portée exacte de l’article 10 de ladite loi soulève de réelles difficultés. En effet, à l’exception de la mention explicite à son paragraphe 2 des numéros d’identification personnelle et de sécurité sociale, il est procédé par un renvoi générique aux « donnés à caractère personnel particulières » ainsi qu’aux « autres renseignements dont la loi interdit la divulgation » (38).

49.      Sur demande de la Cour, la juridiction de renvoi a précisé que les données particulières étaient a priori celles recensées à l’article 2, paragraphe 8, de la loi lituanienne sur la protection juridique des données à caractère personnel, à savoir celles concernant l’origine raciale ou ethnique, les convictions politiques, religieuses, philosophiques ou autres, l’appartenance syndicale, la santé, l’orientation sexuelle d’une personne, ainsi que des informations relatives à une condamnation pénale de cette personne, soit une définition se rapprochant de celle donnée par le droit de l’Union (39). Cette juridiction a également indiqué que la législation lituanienne interdit de rendre publique une série non négligeable d’informations et s’est référée à plusieurs dispositions de la loi susmentionnée prohibant la divulgation de différents types de données, dont certaines déjà visées à l’article 10, paragraphe 2, de la loi sur la conciliation des intérêts et d’autres a priori non fournies dans la déclaration d’intérêts devant être déposée auprès de la Haute commission. La juridiction de renvoi s’est elle-même demandé si l’expression « autres renseignements dont la loi interdit la divulgation » ne renvoyait pas, en définitive, à la seule mention, figurant à l’article 10, paragraphe 1, de la loi sur la conciliation des intérêts, des informations figurant dans les déclarations des personnes dont les données sont classifiées en vertu de la loi et/ou qui exercent une activité de renseignement, de contre-espionnage ou de renseignement en matière criminelle (40).

50.      Il apparaît ainsi qu’une personne œuvrant au sein du secteur public lituanien, appelée à déposer une déclaration d’intérêts auprès de la Haute commission, se trouve confrontée à la nécessité de procéder à une analyse et des recherches pour essayer de déterminer les exclusions visées à l’article 10 de la loi sur la conciliation des intérêts et par là même les données finalement « divulgables », sans certitude aucune sur le résultat de son appréciation.

51.      Me paraît tout aussi douteux, au regard de l’exigence de prévisibilité, l’article 6, paragraphe 1, de la loi sur la conciliation des intérêts imposant dans la déclaration l’indication par le déclarant des « personnes proches ou autres personnes ou données connues [de lui] susceptibles de donner lieu à un conflit d’intérêts ». Le déclarant se trouve ainsi confronté à une tâche impossible ou à tout le moins périlleuse de devoir déterminer, en son âme et conscience, ce qu’il considère comme étant a priori de nature à influencer ou paraître influencer l’exercice indépendant et objectif de sa fonction, en sachant que toute omission sur ce point pourrait lui être ensuite reprochée. Cette détermination d’une situation de possible conflit d’intérêts relève du seul législateur et surtout pas du citoyen concerné.

52.      Dans ce contexte, il y a lieu de rappeler que la protection du droit fondamental au respect de la vie privée implique, notamment, que toute personne physique puisse s’assurer que les données à caractère personnel la concernant sont exactes et qu’elles sont traitées de manière licite (41). L’exigence de prévisibilité a notamment pour objet de permettre une appréhension par cette personne de la mesure exacte du traitement de ses données et de prendre la décision, le cas échéant, de mettre en œuvre les droits qui sont les siens d’introduire une réclamation auprès de l’autorité de contrôle ou un recours juridictionnel contre un responsable du traitement si elle considère que le traitement des données la concernant constitue une violation du RGPD (42). Il incombe à la juridiction de renvoi de vérifier, au regard du droit national, si la base juridique du traitement en cause répond à l’exigence de prévisibilité (43).

–       Sur la proportionnalité

 Considérations liminaires

53.      Il me paraît nécessaire d’évoquer les observations des gouvernements lituanien et finlandais mettant en exergue la marge d’appréciation laissée aux États membres dans la détermination des traitements de données à caractère personnel, telle que reconnue expressément à l’article 6, paragraphe 3, du RGPD. Il est certes constant que la législation nationale peut, en vertu de ce dernier, contenir des dispositions spécifiques pour adapter l’application de ce règlement et pouvant, notamment, porter sur les conditions générales régissant la licéité du traitement, les types de données traitées, les personnes concernées. Pour autant, l’article 6, paragraphe 3, dudit règlement énonce que, lorsque de telles données sont traitées en vertu d’une obligation légale à laquelle le responsable du traitement est soumis, le droit de l’État membre concerné doit répondre à un objectif d’intérêt public et être proportionné à l’objectif légitime poursuivi. En outre, la Cour a clairement jugé que, pour être licite, tout traitement de données à caractère personnel doit satisfaire à une double exigence, à savoir répondre à l’un des principes relatifs à la légitimation des traitements de données énumérés à l’article 7 de la directive 95/46 ou à l’article 6 du RGDP, mais aussi être conforme aux principes relatifs à la qualité des données énoncés à l’article 6 de cette directive ou à l’article 5 de ce règlement qui constituent une expression du principe de proportionnalité (44).

54.      Afin de répondre aux conditions posées par les dispositions susmentionnées, il est nécessaire que la mise en ligne sur le site de la Haute commission d’une partie des informations contenues dans les déclarations d’intérêts réponde effectivement à l’objectif d’intérêt général défini à l’article 1^er de la loi sur la conciliation des intérêts, sans aller au-delà de ce qui est nécessaire pour réaliser cet objectif. Ainsi que le souligne le considérant 39 du RGPD, cette exigence de nécessité n’est pas remplie lorsque l’objectif d’intérêt général visé peut raisonnablement être atteint de manière aussi efficace par d’autres moyens moins attentatoires aux droits fondamentaux des personnes concernées, en particulier aux droits au respect de la vie privée et à la protection des données à caractère personnel garantis aux articles 7 et 8 de la Charte, les dérogations et les restrictions au principe de la protection de telles données devant s’opérer dans les limites du strict nécessaire (45). En outre, un objectif d’intérêt général ne saurait être poursuivi sans tenir compte du fait qu’il doit être concilié avec les droits fondamentaux concernés par la mesure, ce en effectuant une pondération équilibrée entre l’objectif et les intérêts et droits en cause (46).

 Sur le caractère approprié de la mesure

55.      L’exigence de proportionnalité exprime un rapport entre les objectifs poursuivis et les moyens mis en œuvre pour atteindre ces derniers, d’où l’impérieuse nécessité d’une définition claire et précise de ces objectifs (47). Tant la juridiction de renvoi que les parties intéressées font valoir que la législation nationale en cause vise à assurer la transparence dans la gestion du service public de manière à renforcer la confiance des citoyens dans l’action publique et à leur permettre d’exercer un contrôle effectif sur l’usage, par les décideurs, des fonds étatiques mis à leur disposition.

56.      Or, ainsi qu’il a été préalablement rappelé, les objectifs de la mesure en cause sont définis à l’article 1^er de la loi sur la conciliation des intérêts et consistent à prévenir les situations de conflit d’intérêts et de corruption dans le secteur public, en renforçant la probité et l’impartialité de ses responsables. Il n’est donc pas fait explicitement mention dans cette disposition, selon les indications fournies dans la décision de renvoi, d’un objectif de transparence (48). On pourrait dès lors se demander si la publication au moyen d’Internet de données nominatives relatives au contenu de déclaration d’intérêts est un moyen véritablement apte à réaliser les seules finalités officiellement déclarées dans la législation nationale, l’efficacité du contrôle social ouvert au grand public, induit par cette publicité généralisée, me paraissant sujette à caution (49).

57.      Cela étant, il me semble raisonnable de considérer que la finalité générale de transparence, telle que décrite aux points précédents des présentes conclusions, constitue dans le cas présent un objectif sous-jacent, découlant implicitement mais nécessairement de l’article 1^er de la loi sur la conciliation des intérêts (50). Je rappelle que le principe de transparence est inscrit aux articles 1^er et 10 TUE ainsi qu’à l’article 15 TFUE et qu’il permet, notamment, de garantir une plus grande légitimité, efficacité et responsabilité de l’administration à l’égard des citoyens dans un système démocratique. Dans une hypothèse d’énoncé explicite par la réglementation d’un objectif d’accroissement de la transparence de l’utilisation de fonds communautaires et d’amélioration de la bonne gestion financière de ceux-ci par le renfort du contrôle public de l’utilisation des sommes concernées, la Cour a jugé que la publication au moyen d’Internet des données nominatives relatives aux bénéficiaires concernés ainsi qu’aux montants précis perçus par ceux-ci était apte à augmenter la transparence en ce qui concerne l’utilisation des aides agricoles concernées. Elle a indiqué que de telles informations mises à la disposition des citoyens renforcent le contrôle public sur l’utilisation des sommes allouées et contribuent à une utilisation optimale des fonds publics (51).

 Sur le caractère nécessaire de la mesure

58.      Une mesure est nécessaire lorsque l’objectif légitime poursuivi ne peut pas être atteint au moyen d’une mesure aussi appropriée mais moins contraignante. En d’autres termes, est-il possible de réaliser les objectifs poursuivis par la publication électronique imposée par la loi sur la conciliation des intérêts par d’autres moyens aussi efficaces mais moins attentatoires aux droits des déclarants au respect de la vie privée et à la protection des données à caractère personnel ? La réponse à cette question doit être, selon moi, positive pour plusieurs raisons.

59.      En premier lieu, je partage l’approche de la juridiction de renvoi selon laquelle le dépôt des déclarations d’intérêts auprès de la Haute commission et le contrôle devant être opéré par cette autorité constituent des moyens appropriés suffisants pour atteindre l’objectif poursuivi par la loi sur la conciliation des intérêts. J’ai conscience, à cet égard, de m’écarter de la doxa ambiante quant à l’exigence de transparence, qui a pu être qualifiée d’« irrésistible » et « névrotique » (52), devenue fin en soi et vertu cardinale démocratique absolue. Je considère, pour ma part, que l’intérêt public ne coïncide pas nécessairement avec l’intérêt du public (53) et que la sécurisation de l’action publique, par la prévention des conflits d’intérêts et de la corruption, relève fondamentalement de la responsabilité de l’État, lequel ne saurait, au nom du dogme de la transparence, sous-traiter aux citoyens le contrôle d’une réglementation visant à assurer la probité et l’impartialité des responsables publics.

60.      Plus concrètement, il convient de souligner que la réglementation nationale en cause a d’abord un objet préventif. Dans ce contexte, l’obligation de dépôt des déclarations d’intérêts auprès d’une autorité publique en charge de leur contrôle est de nature, par elle-même, à garantir l’effet dissuasif recherché à l’égard des décideurs publics assujettis, indépendamment de toute publicité généralisée d’une partie du contenu de ces déclarations.

61.      En outre, si l’obligation de dépôt des déclarations d’intérêts est déjà l’expression d’une transparence, cette dernière serait accrue par la restitution publique et régulière de l’activité de l’autorité administrative indépendante chargée, à l’instar de la Haute commission, de veiller à la bonne application du mécanisme des déclarations d’intérêts. La possibilité de publier un rapport recensant les cas avérés d’intérêts conflictuels, d’omissions de dépôt de la déclaration et de déclarations insincères ainsi que les suites données à ces situations permettrait de renforcer la confiance des citoyens dans l’action publique tout aussi bien, si ce n’est mieux, qu’une information constituée par une mise en ligne de données déclaratives neutres.

62.      Il y a lieu encore de rappeler que, aux termes de l’article 86 du RGPD, les données à caractère personnel figurant dans des documents officiels détenus par une autorité publique peuvent être communiquées par celle-ci conformément au droit de l’Union ou au droit de l’État membre auquel elle est soumise. Dans ces conditions, il apparaît pertinent de prendre en compte ce que le public est en mesure d’obtenir de la Haute commission, autorité publique dépositaire de documents officiels que constituent les déclarations d’intérêts, en vertu des règles nationales relatives à l’accès du public aux documents, cet accès devant être concilié avec les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel, comme l’exige d’ailleurs expressément ledit article 86 (54).

63.      Cette approche selon laquelle l’objectif légitime de la réglementation nationale peut être directement assuré par le contrôle des déclarations d’intérêts par la Haute commission implique que cette dernière dispose des moyens humains, matériels et juridiques lui permettant d’accomplir avec efficacité sa mission (55). La question de la proportionnalité est avant tout, selon moi, celle des moyens mis à disposition des autorités publiques en charge du contrôle de la situation des déclarants en considération du nombre de ces derniers. Dans ces circonstances, il incombe à la juridiction de renvoi de vérifier, au regard des considérations qui précèdent, si l’objectif de la réglementation nationale en cause au principal n’aurait pu être atteint de manière aussi efficace par la seule transmission obligatoire des déclarations d’intérêts à la Haute commission et le contrôle de celles-ci, et plus généralement de cette réglementation, par cette autorité.

64.      Dans la négative, je relève, en deuxième lieu, que se pose la question de la proportionnalité du traitement en cause au regard du type de données publiées. Il convient de rappeler, à cet égard, que la condition tenant à la nécessité du traitement doit être examinée conjointement avec le principe dit de la « minimisation des données » consacré à l’article 6, paragraphe 1, sous c), de la directive 95/46 ainsi qu’à l’article 5, paragraphe 1, sous c), du RGPD, selon lequel les données à caractère personnel doivent être « adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et pour lesquelles elles sont traitées ultérieurement » (56).

65.      Ainsi qu’il a été mentionné dans les présentes conclusions, seule une partie des données à caractère personnel figurant dans les déclarations d’intérêts est appelée à faire l’objet d’une publication électronique conformément à l’article 10 de la réglementation nationale en cause. Sous réserve de l’interprétation de cette disposition par la juridiction de renvoi, sont susceptibles d’être mis en ligne, notamment, les nom et prénoms du conjoint, concubin ou partenaire du déclarant ainsi que l’indication des « personnes proches ou autres personnes ou données connues du déclarant susceptibles de donner lieu à un conflit d’intérêts ».

66.      Si, dans le cadre d’un objectif de prévention des conflits d’intérêts et de la corruption dans le secteur public, il est pertinent de requérir, au titre du contenu des déclarations d’intérêts, des informations relatives à la situation et aux activités du conjoint, concubin ou partenaire du déclarant, la divulgation au grand public de données nominatives relatives à ces derniers ainsi que l’indication des personnes proches ou autres personnes connues du déclarant susceptibles de donner lieu à un conflit d’intérêts me semblent aller au-delà de ce qui est strictement nécessaire (57). L’objectif d’intérêt public recherché par la législation lituanienne en cause pourrait être atteint, selon moi, en faisant uniquement référence dans la déclaration d’intérêts à l’expression générique de conjoint, concubin ou partenaire selon le cas, reliée à l’indication pertinente des intérêts détenus par ces derniers en relation avec leurs activités.

67.      Je rappelle, en outre, que l’article 25 du RGPD impose aux responsables du traitement de mettre en œuvre, tant au moment de la détermination des moyens du traitement qu’au moment du traitement lui-même, des mesures techniques et organisationnelles appropriées, telles que la pseudonymisation (58), qui sont destinées à mettre en œuvre les principes relatifs à la protection des données, par exemple la minimisation des données, de façon effective et à assortir le traitement des garanties nécessaires afin de répondre aux exigences du présent règlement et de protéger les droits de la personne concernée. La pseudonymisation pourrait être mise en œuvre s’agissant de la désignation du conjoint, concubin ou partenaire.

68.      Me paraît également dépasser les limites du strict nécessaire la divulgation publique des cadeaux reçus au cours des douze derniers mois civils, dont la valeur est supérieure à 150 euros, ainsi que des informations sur les transactions conclues au cours de la même période ou en cours si leur valeur est supérieure à 3 000 euros, pour autant que ces éléments recouvrent l’indication de la nature des présents et de l’objet de la transaction concernée. Ce traitement apparaît disproportionné en ce qu’il aboutit à une publicité généralisée sur les biens détenus par le déclarant et ses proches, lesquels peuvent avoir une valeur importante (œuvres d’art, bijoux, etc.), et expose ainsi les intéressés à un risque d’agissements criminels (59). Là encore, la seule mention des donateurs ou de l’autre partie à la transaction, hors les personnes physiques déjà écartées par l’article 10, paragraphe 2, de la loi sur la conciliation des intérêts, peut paraître suffisante pour atteindre l’objectif recherché.

69.      En troisième lieu, il convient d’envisager la proportionnalité de la mesure en cause sous l’angle de la détermination des déclarants assujettis à l’obligation de publication en ligne de données les concernant.

70.      Il importe de souligner que, conformément à la législation nationale en cause, la liste des personnes assujetties à l’obligation de dépôt d’une déclaration d’intérêts ne correspond pas à celle, plus restrictive, des personnes dont les données y contenues sont ensuite mises en ligne. Dans cette seconde catégorie, figurent, en application de la loi sur la conciliation des intérêts en vigueur au moment de l’adoption de la décision attaquée au principal, les directeurs et directeurs adjoints d’associations ou d’établissements publics financés par les budgets ou fonds de l’État ou d’une collectivité locale. C’est au regard de ce statut, l’assimilant à un agent du service public, que le requérant au principal a été considéré comme relevant du champ d’application ratione personae de ladite loi.

71.      L’intéressé se trouve ainsi placé sur le même plan que les élus, les fonctionnaires et agents de l’État, les juges, les directeurs de sociétés par actions ou à responsabilité dont l’État ou une collectivité locale est propriétaire de parts lui conférant plus de la moitié des droits de vote, des membres du conseil d’administration d’entreprises publiques de l’État ou d’une collectivité locale ou de présidents et vice-présidents de partis politiques. Une telle situation est, à mon sens, de nature à caractériser un traitement disproportionné, car indifférencié, des acteurs, au sens large, de l’action publique, lesquels ne sont pas exposés à des risques de conflit d’intérêts ou de corruption de même ampleur ni engagés dans une relation d’une même intensité avec le public dont on veut préserver, voire renforcer, la confiance à l’égard des responsables publics.

72.      Seule l’existence d’un risque sérieux de conflit d’intérêts ou de corruption dans le cadre de la gestion des affaires publiques intéressant le grand public peut justifier la mise en ligne des données à caractère personnel des déclarants confrontés, de par leur fonction élective ou leur activité professionnelle, à un tel risque. L’objectif d’accroître les garanties de probité et d’impartialité des autres déclarants, de prévenir les conflits d’intérêts et la corruption dans le secteur public ainsi que de renforcer la confiance du public à l’égard des responsables publics est directement assuré par le contrôle des déclarations d’intérêts par la Haute commission. Compte tenu de l’extrême variété des situations envisageables, il me paraît impossible d’identifier exhaustivement des critères objectifs permettant de caractériser l’existence de ce risque ou de procéder à une catégorisation systématiquement pertinente des décideurs publics (60).

73.      Il incombe donc à la juridiction de renvoi de vérifier si, dans les circonstances de l’affaire au principal, incluant notamment la nature et la portée de l’activité de l’établissement public concerné en relation avec le public, le pouvoir décisionnel du requérant au principal en matière d’engagement ou de gestion des fonds publics ainsi que le montant de ces fonds alloués et rapportés au budget de l’établissement, les fonctions de l’intéressé peuvent être considérées comme l’exposant à un risque sérieux de situations de conflit d’intérêts et de corruption susceptibles d’affecter gravement le corps social (61).

74.      Eu égard aux considérations qui précèdent, il n’apparaît pas, selon moi, que les objectifs de prévention des conflits d’intérêts et de la corruption dans le secteur public, d’accroissement des garanties de probité et d’impartialité des décideurs publics et de renforcement de la confiance des citoyens dans l’action publique ne puissent pas raisonnablement être atteints de manière aussi efficace par d’autres moyens moins attentatoires. La nécessité, pour assurer ces objectifs, d’une publication en ligne des données à caractère personnel des déclarants ne saurait donc être considérée comme étant établie (62).

 Sur la pondération des droits et intérêts en cause

75.      À supposer même que le traitement en cause puisse être qualifié d’approprié et nécessaire (quod non) pour atteindre les objectifs poursuivis, il ne pourrait pas, pour autant, être considéré comme licite. Il y aurait lieu encore de vérifier si les droits fondamentaux de la personne concernée par la protection des données ne prévaudraient pas sur l’intérêt légitime poursuivi par le responsable du traitement des données, l’appréciation de cette condition nécessitant de procéder à une pondération des droits et des intérêts opposés en cause en fonction des circonstances concrètes du cas particulier concerné, dans le cadre de laquelle il doit être tenu compte de l’importance des droits de la personne concernée résultant des articles 7 et 8 de la Charte (63). La Cour a précisé, à cet égard, qu’aucune prééminence automatique ne saurait être reconnue à l’objectif de transparence sur le droit à la protection des données à caractère personnel (64).

76.      Le critère tenant à la gravité de l’atteinte aux droits et aux libertés de la personne concernée constitue un élément essentiel de l’exercice de pondération ou de mise en balance au cas par cas. À ce titre, il doit notamment être tenu compte de la nature des données à caractère personnel en cause, en particulier de la nature éventuellement sensible de ces données, ainsi que de la nature et des modalités concrètes du traitement des données en cause, en particulier du nombre de personnes qui ont accès à ces données et des modalités d’accès à ces dernières. Sont également pertinentes aux fins de cette pondération les attentes raisonnables de la personne concernée à ce que ses données à caractère personnel ne seront pas traitées lorsque, dans les circonstances de l’espèce, cette personne ne peut raisonnablement s’attendre à un traitement ultérieur de celles-ci. Ces éléments doivent être mis en balance avec l’importance, pour l’ensemble du corps social, de l’intérêt légitime poursuivi en l’espèce par la réglementation nationale en cause, en ce que celle-ci vise essentiellement à garantir la probité et l’impartialité des acteurs du secteur public et à prévenir les conflits d’intérêts et la corruption dans ce secteur (65).

77.      S’agissant de la gravité de l’atteinte, il importe de souligner, tout d’abord, que le traitement en cause ne concerne pas uniquement la seule personne du déclarant, individuellement et directement concerné en sa qualité de décideur public, mais aussi son conjoint, partenaire ou concubin ainsi que, le cas échéant, les personnes proches ou autres personnes connues du déclarant susceptibles de donner lieu à un conflit d’intérêts selon les termes de l’article 6, paragraphe 1, de la loi sur la conciliation des intérêts. Il est pleinement concevable que le vocable « proches » puisse recouvrer, notamment, les enfants et les parents du déclarant, ce qui conduit potentiellement à la publication en ligne de données nominatives de l’ensemble des membres d’une famille, accompagnées d’indications précises quant à l’activité des intéressés.

78.      Ensuite, il est constant que le traitement en cause aboutit à rendre accessibles à un nombre indéfini de personnes des données à caractère personnel des individus susmentionnés. Une fois mises en ligne sur le site Internet de la Haute commission, ces données peuvent être librement consultées par les internautes et, le cas échéant, conservées ou diffusées par ces personnes. De plus, l’organisation et l’agrégation des informations publiées sur Internet effectuées par les moteurs de recherche dans le but de faciliter à leurs utilisateurs l’accès à celles-ci peuvent conduire, lorsque la recherche de ces derniers est effectuée à partir du nom d’une personne physique, à ce que ceux-ci obtiennent par la liste de résultats un aperçu structuré des informations relatives à cette personne trouvables sur Internet leur permettant d’établir un profil plus ou moins détaillé de la personne concernée (66). Un tel régime de divulgation est susceptible de conduire à une situation dans laquelle ces données sont communiquées à des personnes qui cherchent, pour des raisons étrangères à l’objectif d’intérêt général de prévention des conflits d’intérêts et de la corruption dans le secteur public, à s’informer sur la situation matérielle du déclarant et des membres de sa famille, s’agissant de la possession d’actions, de placements financiers, de biens meubles ou immeubles, autant d’informations pouvant figurer dans les déclarations d’intérêts appelées à être publiées (67). Cette divulgation est ainsi de nature à exposer les intéressés à des opérations répétées de publicité ciblée, de démarchages à caractère commercial, voire à des risques d’agissements criminels.

79.      Dans ces circonstances, le traitement en cause me paraît constituer une ingérence grave dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel des personnes concernées. Cette constatation est de nature à fonder la conclusion selon laquelle la réglementation nationale concernée n’observe pas, a priori, un juste équilibre en ce qui concerne la prise en considération des droits et intérêts en présence. Reste que le gouvernement lituanien souligne, à juste titre, que la mise en balance des droits et intérêts en cause doit inclure le niveau de corruption observée dans le secteur public, lequel justifie l’adoption par chaque État membre des moyens qu’il considère les plus appropriés pour lutter contre ce phénomène. Il importe, en effet, de constater que l’intérêt du public à accéder à une information peut, même au sein de l’Union, varier d’un État membre à l’autre, de sorte que le résultat de la mise en balance à effectuer entre celui-ci, d’une part, et les droits au respect de la vie privée et à la protection des données à caractère personnel de la personne concernée, d’autre part, n’est pas forcément le même pour tous les États membres (68). En l’occurrence, la réalité et l’ampleur d’un phénomène de corruption au sein du service public relèvent, à mon sens, des circonstances particulières propres à l’affaire au principal qu’il appartient à la juridiction de renvoi d’apprécier (69).

 Sur la seconde question préjudicielle

80.      Il convient de rappeler que l’article 10, paragraphe 2, de la loi sur la conciliation des intérêts énonce une interdiction générale de publier des données à caractère personnel relevant des catégories particulières, sans qu’aucun tempérament à cette prohibition soit prévu. Selon la juridiction de renvoi, la mise en œuvre de ladite disposition soulève des difficultés, ce qui conduit cette juridiction à interroger, en substance, la Cour sur la portée, en droit de l’Union, de la notion de « catégories particulières de données à caractère personnel » visée à l’article 9, paragraphe 1, du RGPD.

81.      Cet article, qui reprend avec quelques modifications l’article 8, paragraphe 1, de la directive 95/46, dispose que le traitement des données à caractère personnel qui révèle l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique sont interdits (70).

82.      La juridiction de renvoi estime que, même si les données relevant stricto sensu des catégories particulières ne sont pas mises en ligne sur le site Internet de la Haute commission, il est possible pour un internaute de déduire de certaines données dont la publication est obligatoire, conformément à l’article 10, paragraphe 1, de la loi sur la conciliation des intérêts, des informations à caractère sensible, s’agissant, notamment, des opinions politiques, de l’appartenance syndicale ou de l’orientation sexuelle d’un déclarant (71). À cet égard, il est, en effet, incontestable que, si les données nominatives relatives au conjoint, concubin ou partenaire du déclarant ne constituent pas en elles-mêmes des données sensibles, leur mise en ligne est de nature à révéler au public la vie sexuelle ou l’orientation sexuelle du déclarant ainsi que de son conjoint, concubin ou partenaire.

83.      La question posée est donc de savoir si l’article 9, paragraphe 1, du RGPD ou l’article 8, paragraphe 1, de la directive 95/46, doivent être interprétés en ce sens qu’ils englobent un traitement de données à caractère personnel, a priori non sensibles, permettant, par le biais d’une opération intellectuelle de rapprochement et/ou de déduction, une prise de connaissance indirecte de données présentant un tel caractère. Le gouvernement lituanien s’oppose à une telle interprétation en ce qu’elle aboutirait à rendre très difficile, voire impossible, le traitement de certaines données et, partant, la réalisation de l’objectif légitime poursuivi, tel que la publication des données relatives au conjoint, concubin ou partenaire aux fins de prévention des conflits d’intérêts et de la corruption dans le secteur public. Seuls les traitements ayant clairement pour but de traiter des données à caractère personnel relevant intrinsèquement des catégories particulières relèveraient de l’article 9, paragraphe 1, du RGPD ou de l’article 8, paragraphe 1, de la directive 95/46 (72), ce qui serait exclu, en l’espèce, au regard de la prohibition de la publication des données sensibles contenue à l’article 10, paragraphe 2, de la loi sur la conciliation des intérêts.

84.      Selon une jurisprudence constante, il y a lieu, pour l’interprétation d’une disposition du droit de l’Union, de tenir compte non seulement des termes de celle-ci, mais également de son contexte et des objectifs poursuivis par la réglementation dont elle fait partie (73).

85.      Il ressort, en premier lieu, du libellé de l’article 9, paragraphe 1, du RGPD que ce dernier distingue trois traitements en fonction du type de données concernées, à savoir : i) le traitement des données à caractère personnel qui « révèle » l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ii) le traitement des données génétiques et des données biométriques aux fins d’identifier une personne physique de manière unique, et iii) le traitement des données « concernant » la santé ou « concernant » la vie sexuelle ou l’orientation sexuelle d’une personne physique. Cette formulation reprend pour partie celle de l’article 8, paragraphe 1, de la directive 95/46 selon lequel les États membres interdisent le traitement des données à caractère personnel qui « révèlent » l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, ainsi que le traitement des données « relatives » à la santé et à la vie sexuelle. L’emploi du verbe « révéler » s’accorde avec la prise en compte d’un traitement ne portant pas seulement sur des données intrinsèquement sensibles mais en permettant indirectement une divulgation au terme d’une opération intellectuelle de déduction ou de recoupement. Il n’en va pas de même, me semble-t-il, de l’expression « concernant », équivalente à « relative », qui opère un lien plus direct et immédiat entre le traitement et les données concernées, envisagées dans leur nature intrinsèque (74). Une telle analyse exégétique semble devoir nous amener à la conclusion d’une définition variable du traitement portant sur les catégories particulières de données à caractère personnel, en considération du type de données sensibles concerné, ce qui ne me paraît pas souhaitable (75).

86.      Je relève encore que, s’agissant à tout le moins des données biométriques, le législateur de l’Union a pris soin de préciser, au considérant 51 et à l’article 9, paragraphe 1, du RGPD, que le traitement des photographies ne devrait pas systématiquement être considéré comme constituant un traitement de catégories particulières de données à caractère personnel, étant donné que celles-ci ne relèvent de la définition de données biométriques que lorsqu’elles sont traitées selon un mode technique spécifique « aux fins » d’identifier une personne physique de manière unique. L’approche finaliste invoquée par le gouvernement lituanien semble ici consacrée pour les seules données biométriques.

87.      En deuxième lieu, il m’apparaît aussi pertinent de rapprocher la question de la détermination des catégories particulières de données à caractère personnel de celle de la définition d’une « personne physique identifiable », à savoir une personne physique qui peut être identifiée, directement ou « indirectement », notamment par référence à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale (76). Le législateur européen fait ainsi le choix d’une approche réaliste en prenant en compte la possibilité de reconstitution d’une information à partir d’un recoupement et d’une agrégation d’éléments variés.

88.      En troisième lieu, il convient de rappeler que, ainsi qu’il résulte de l’article 1^er et du considérant 10 de la directive 95/46, ainsi que de l’article 1^er et du considérant 4 du RGPD, ces deux normes visent à garantir un niveau élevé de protection des libertés et des droits fondamentaux des personnes physiques, notamment de leur vie privée, à l’égard du traitement des données à caractère personnel les concernant (77). Et c’est un objectif de protection spécifique et renforcée qui est recherché dans le cas du traitement des données sensibles, compte tenu des risques importants pour les droits et libertés fondamentaux inhérents à ce type de traitement (78). Les solutions retenues par la Cour dans ses arrêts préjudiciels traduisent la prise en considération de cet objectif.

89.      Ainsi, interrogée par une juridiction de renvoi pour savoir si l’indication du fait qu’une personne s’est blessée au pied et est en congé de maladie partiel constitue une donnée à caractère personnel relative à la santé au sens de l’article 8, paragraphe 1, de la directive 95/46, la Cour a répondu par l’affirmative en indiquant que, eu égard à l’objet de cette directive, il convient de donner à l’expression « données relatives à la santé » employée à son article 8, paragraphe 1, une « interprétation large » de sorte qu’elle comprenne des informations concernant tous les aspects, tant physiques que psychiques, de la santé d’une personne (79).

90.      La Cour a jugé qu’une interprétation de l’article 8, paragraphes 1 et 5, de la directive 95/46 ou de l’article 9, paragraphe 1, et de l’article 10 du RGPD qui exclurait, a priori et de façon générale, l’activité d’un moteur de recherche des exigences spécifiques que ces dispositions prévoient par rapport aux traitements portant sur les catégories particulières des données qui y sont visées irait à l’encontre de la finalité desdites dispositions, consistant à assurer « une protection accrue » à l’encontre de tels traitements qui, en raison de la sensibilité particulière de ces données, sont susceptibles de constituer, ainsi qu’il ressort également du considérant 33 de cette directive et du considérant 51 de ce règlement, une ingérence particulièrement grave dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel, garantis par les articles 7 et 8 de la Charte (80).

91.      Dans ces conditions, il ne saurait être accepté que le traitement de données à caractère personnel pouvant aboutir à une divulgation indirecte de données sensibles de la personne concernée soit soustrait aux obligations et aux garanties prévues par la directive 95/46 et le RGPD, ce qui porterait atteinte à l’effet utile de ces actes et à la protection efficace et complète des libertés et des droits fondamentaux des personnes physiques qu’ils visent à assurer, notamment celui au respect de leur vie privée, à l’égard du traitement des données à caractère personnel, auquel ces actes accordent une importance particulière ainsi que le confirment notamment l’article 1^er, paragraphe 1, et les considérants 2 et 10 de cette directive et l’article 1^er, paragraphe 2 et les considérants 1 et 4 du RGPD (81). En d’autres termes, le fait que soit portée indirectement à la connaissance du grand public une information quant à, notamment, la vie ou l’orientation sexuelle du déclarant ainsi que de son conjoint, concubin ou partenaire ne saurait être considéré comme un dommage collatéral regrettable mais acceptable au regard de la finalité d’un traitement n’ayant pas a priori pour objet les données sensibles, voire en prohibant expressément l’utilisation, comme en l’espèce.

92.      Cette solution est, me semble-t-il, conforme à l’approche de la Cour qui, dépassant les apparences formelles, procède à une analyse de type substantiel du traitement concerné pour en vérifier la réelle portée quant au type de données traitées. Appréciant la proportionnalité d’une réglementation nationale permettant à une autorité étatique d’imposer, aux fins de la sauvegarde de la sécurité nationale, aux fournisseurs de services de communications électroniques la transmission généralisée et indifférenciée des données relatives au trafic et des données de localisation, la Cour a considéré que l’ingérence que comporte une telle transmission dans le droit consacré à l’article 7 de la Charte doit être considérée comme étant particulièrement grave, compte tenu notamment « du caractère sensible des informations que peuvent fournir ces données » (82).

93.      Dans son avis sur la compatibilité de l’accord envisagé entre le Canada et l’Union européenne sur le transfert et le traitement de données des dossiers passagers (83) avec l’article 16 TFUE ainsi qu’avec les article 7, 8 et l’article 52, paragraphe 1, de la Charte, la Cour s’est livrée à une analyse de l’existence d’une ingérence dans le droit fondamental à la protection des données à caractère personnel garanti à l’article 8 de la Charte. Elle a, à cet égard, relevé que, si certaines de ces données, prises isolément, ne paraissent pas pouvoir révéler des informations importantes sur la vie privée des personnes concernées, il n’en demeure pas moins que, prises ensemble, lesdites données peuvent, entre autres, révéler un itinéraire de voyage complet, des habitudes de voyage, des relations existant entre deux ou plusieurs personnes ainsi que des informations sur la situation financière des passagers aériens, leurs habitudes alimentaires ou leur état de santé, et « pourraient même fournir des informations sensibles sur ces passagers ». Appréciant le caractère nécessaire des ingérences occasionnées par l’accord envisagé, s’agissant des données des passagers aériens visés par ce dernier, la Cour a souligné que, si aucune des 19 rubriques figurant à l’annexe de cet accord ne vise explicitement des données sensibles, ces dernières seraient néanmoins susceptibles de relever d’une de ces rubriques.

94.      Une telle approche n’est pas, certes, sans soulever quelques difficultés. Ainsi, la détermination des finalités mais surtout des moyens du traitement devra faire l’objet d’une évaluation particulièrement attentive, incluant le potentiel traitement des données sensibles (aisément identifiable dans l’affaire au principal). Il ne s’agit là, toutefois, que de la protection des données dès la conception du traitement déjà requise à l’article 25 du RGPD. En outre, il me semble erroné d’invoquer, comme le fait le gouvernement lituanien, une conséquence négative tenant à l’impossibilité de mettre en œuvre certains traitements, comme celui en cause dans l’affaire au principal. Il importe de souligner que l’interdiction du traitement portant sur des catégories particulières de données à caractère personnel est relative, certaines exceptions et dérogations étant prévues à l’article 8, paragraphes 2 à 4, de la directive 95/46 et à l’article 9, paragraphe 2, du RGPD, ce dernier mentionnant pas moins de dix hypothèses de traitements licites de données sensibles. J’observe, à cet égard, que le traitement en cause aurait pu parfaitement être fondé sur l’article 8, paragraphe 4, de la directive 95/46, lequel a été repris, avec quelques modifications, à l’article 9, paragraphe 2, sous g), du RGPD (84), si le législateur lituanien n’avait pas fait le choix de prohiber la publication des données sensibles (85).

 Conclusion

95.      À la lumière des considérations qui précèdent, je propose à la Cour de répondre comme suit au Vilniaus apygardos administracinis teismas (tribunal administratif régional de Vilnius, Lituanie) :

1)      Les articles 6 et 7 de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, ainsi que les articles 5 et 6 du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), lus à la lumière des articles 7 et 8 de la charte des droits fondamentaux de l’Union européenne, doivent être interprétés en ce sens qu’ils s’opposent à une réglementation nationale en vertu de laquelle une partie des données à caractère personnel contenues dans la déclaration d’intérêts dont le dépôt est imposé à tout directeur d’un établissement public percevant des fonds publics doit faire l’objet d’une publication sur le site Internet de l’autorité publique chargée de collecter ces déclarations et d’en contrôler le contenu, lorsqu’une telle mesure n’est pas appropriée et nécessaire aux fins de la réalisation des objectifs de prévention des conflits d’intérêts et de la corruption dans le secteur public, d’accroissement des garanties de probité et d’impartialité des décideurs publics et de renforcement de la confiance des citoyens dans l’action publique.

2)      L’article 8, paragraphe 1, de la directive 95/46 et l’article 9, paragraphe 1, du règlement 2016/679, lus à la lumière des articles 7 et 8 de la charte des droits fondamentaux, doivent être interprétés en ce sens que relève d’un traitement portant sur des catégories particulières de données à caractère personnel la publication du contenu de déclarations d’intérêts, sur le site Internet de l’autorité publique chargée de les collecter et d’en contrôler la teneur, susceptible de divulguer indirectement des données sensibles telles que visées à ces deux premiers articles.

1      Langue originale : le français.

2      « If it be true, according to the homely proverb, “that the eye of the master makes the ox fat”, it is no less so that the eye of the public makes the statesman virtuous. » The Works of Jeremy Bentham, vol. 10, édité par John Bowring, William Tait-Simpkin, Marshall, Édimbourg-Londres, 1843.

3      Directive du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO 1995, L 281, p. 31).

4      Règlement du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, ci-après le « RGPD »).

5      Une nouvelle version de cette loi est entrée en vigueur le 1^er janvier 2020, mais, selon la juridiction de renvoi, les dispositions pertinentes pour l’affaire au principal sont restées en substance inchangées, à l’exception de la liste des fonctions des personnes assujetties à l’obligation déclarative dans laquelle ne figurent plus celles du requérant au principal.

6      La mention explicite de la prévention des « conflits d’intérêts » a fait son apparition, selon les observations du gouvernement lituanien, dans la nouvelle version de la loi, simple précision formelle rétrospective d’un objet légal incontestable. Avant même sa modification, cette loi imposait aux assujettis d’éviter tout « conflit d’intérêts » selon les modalités et à l’aide des moyens prévus par la loi et de se comporter de sorte à ne pas faire naître de soupçon d’existence d’un tel conflit (article 3), de mentionner les personnes proches ou autres personnes ou données connues du déclarant susceptibles de donner lieu à un « conflit d’intérêts » (article 6, point 7) et l’autorité publique en charge de veiller au respect de ladite loi était déjà dénommée la Haute commission de « prévention des conflits d’intérêts » dans le service public.

7      Voir arrêt du 13 septembre 2016, Rendón Marín (C‑165/14, EU:C:2016:675, point 24).

8      Voir arrêt du 19 juin 2018, Gnandi (C‑181/16, EU:C:2018:465, point 34).

9      Voir arrêt du 3 juin 2021, Ministero dell’Istruzione, dell’Università e della Ricerca ‐ MIUR e.a. (Chercheurs universitaires) (C‑326/19, EU:C:2021:438, points 36 et 38).

10      Voir, en ce sens, arrêts du 27 septembre 2017, Puškár (C‑73/16, EU:C:2017:725, point 33), et du 14 février 2019, Buivids (C‑345/17, EU:C:2019:122, point 46).

11      Voir, en ce sens, arrêts du 27 septembre 2017, Puškár (C‑73/16, EU:C:2017:725, points 33 et 34), et du 14 février 2019, Buivids (C‑345/17, EU:C:2019:122, point 37), étant observé que le caractère automatisé ou non du traitement est indifférent quant à sa qualification réglementaire.

12      JO 2016, L 119, p. 89. Je relève que la décision-cadre 2008/977/JAI du Conseil, du 27 novembre 2008, relative à la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire en matière pénale (JO 2008, L 350, p. 60) excluait de son champ d’application, selon les termes de ses considérants 7 et 9, ce qui ne relevait pas des échanges entre États membres.

13      Voir, en ce sens, arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité) (C‑439/19, EU:C:2021:504, points 62 et 69).

14      Cette analyse me semble également confirmée par les termes du considérant 7 de la directive 2016/680.

15      Voir arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité) (C‑439/19, EU:C:2021:504, points 69 et 70).

16      L’article 3 de la loi sur la conciliation des intérêts prévoit que, afin de garantir la primauté de l’intérêt public, les personnes travaillant dans le service public ne doivent pas utiliser leurs fonctions pour obtenir un bénéfice personnel.

17      Voir, en ce sens, arrêt du 27 septembre 2017, Puškár (C‑73/16, EU:C:2017:725, points 38 et 39).

18      Voir, respectivement, article 99, paragraphe 2, et article 94, paragraphe 1, du RGPD.

19      Voir, par analogie, arrêt du 11 novembre 2020, Orange Romania (C‑61/19, EU:C:2020:901, points 29 à 32).

20      Voir arrêt du 17 juin 2021, M.I.C.M. (C‑597/19, EU:C:2021:492, point 107).

21      Dans cette mesure, la référence dans la seconde question préjudicielle à l’article 9, paragraphe 2, du RGPD qui prévoit les dérogations à l’interdiction de principe de traitement des données sensibles ne me paraît pas pertinente.

22      Voir, en ce sens, arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité) (C‑439/19, EU:C:2021:504, points 97 et 98).

23      Voir, en ce sens, arrêt du 13 mai 2014, Google Spain et Google (C‑131/12, EU:C:2014:317, point 66).

24      Voir arrêts du 9 novembre 2010, Volker und Markus Schecke et Eifert (C‑92/09 et C‑93/09, EU:C:2010:662, point 49) ; du 24 novembre 2011, Asociación Nacional de Establecimientos Financieros de Crédito (C‑468/10 et C‑469/10, EU:C:2011:777, point 41), et du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité) (C‑439/19, EU:C:2021:504, point 105).

25      Voir, en ce sens, arrêts du 9 mars 2017, Manni (C‑398/15, EU:C:2017:197, points 40 et 41), et du 27 septembre 2017, Puškár (C‑73/16, EU:C:2017:725, point 102).

26      Voir arrêts du 16 janvier 2019, Deutsche Post (C‑496/17, EU:C:2019:26, point 57), et du 11 novembre 2020, Orange Romania (C‑61/19, EU:C:2020:901, point 34).

27      Voir, en ce sens, arrêt du 16 janvier 2019, Deutsche Post (C‑496/17, EU:C:2019:26, point 58). La mention « ou le tiers auquel les données sont communiquées » figure seulement à l’article 7, sous e), de la directive 95/46.

28      Voir, en ce sens, arrêts du 20 mai 2003, Österreichischer Rundfunk e.a. (C‑465/00, C‑138/01 et C‑139/01, EU:C:2003:294, point 67), et du 6 octobre 2020, État luxembourgeois (Droit de recours contre une demande d’information en matière fiscale) (C‑245/19 et C‑246/19, EU:C:2020:795, point 13). Ces dispositions de restriction ou de limitation doivent être distinguées des dispositions d’exclusion de l’application de la directive 95/46 ou du RGPD, distinction dont l’appréhension est rendue complexe du fait d’une référence commune à des objectifs d’intérêt général similaires.

29      Voir, en ce sens, arrêt du 6 octobre 2020, La Quadrature du Net e.a. (C‑511/18, C‑512/18 et C‑520/18, EU:C:2020:791, point 210 et jurisprudence citée concernant la directive 95/46).

30      Il ressort de l’avis 6/2014 du groupe de travail « Article 29 », organe consultatif indépendant institué en vertu de l’article 29 de la directive 95/46 et remplacé depuis l’adoption du RGPD par le Comité européen de la protection des données, que ce fondement de l’obligation légale ne pourrait pas être invoqué lorsque la loi ne fixe qu’un objectif général ou n’impose pas véritablement un traitement particulier au responsable du traitement.

31      Arrêt du 9 mars 2017, Manni (C‑398/15, EU:C:2017:197, point 42).

32      Article 6, paragraphe 3, du RGPD.

33      La lutte contre la corruption est un sujet de préoccupation internationale comme en atteste la convention des Nations unies contre la corruption adoptée par la résolution 58/4, du 31 octobre 2003, de l’Assemblée générale des Nations unies. Entrée en vigueur le 14 décembre 2005, elle a été ratifiée par l’ensemble des États membres et approuvée par l’Union européenne par la décision 2008/801/CE du Conseil, du 25 septembre 2008 (JO 2008, L 287, p. 1). Signalons également la convention relative à la lutte contre la corruption impliquant des fonctionnaires des Communautés européennes ou des fonctionnaires des États membres de l’Union européenne (JO 1997, C 195, p. 2) entrée en vigueur le 28 septembre 2005 et à laquelle tous les pays de l’Union ont adhéré. Conformément à cette convention, chaque pays de l’Union doit prendre les mesures nécessaires pour criminaliser la corruption à la fois active et passive des fonctionnaires.

34      Cour EDH, 13 novembre 2012, M.M. c. Royaume-Uni (CE:ECHR:2012:1113JUD002402907).

35      Voir, notamment, arrêts du 20 mai 2003, Österreichischer Rundfunk e.a. (C‑465/00, C‑138/01 et C‑139/01, EU:C:2003:294, point 77) ; du 6 octobre 2020, Privacy International (C‑623/17, EU:C:2020:790, point 65), et du 6 octobre 2020, État luxembourgeois (Droit de recours contre une demande d’information en matière fiscale) (C‑245/19 et C‑246/19, EU:C:2020:795, point 76).

36      Voir, en ce sens, arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité) (C‑439/19, EU:C:2021:504, point 105).

37      En application de l’article 6, paragraphe 3, du RGPD, la base juridique du traitement des données à caractère personnel doit en définir les finalités, lesquelles ne doivent pas seulement être légitimes mais aussi être déterminées et explicites selon les termes de l’article 5, paragraphe 1, sous b), de ce règlement qui reprennent ceux de l’article 6, paragraphe 1, sous b), de la directive 95/46.

38      L’article 10, paragraphe 2, de la loi sur la conciliation des intérêts prévoit encore que les données de l’autre partie à une transaction, lorsqu’il s’agit d’une personne physique, ne sont pas publiées.

39      Article 8, paragraphe 1, de la directive 95/46 et article 9, paragraphe 1, du RGPD. La question du traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions est régie par l’article 10 du RGPD.

40      On peut encore ajouter que la juridiction de renvoi s’interroge sur la portée de la prohibition de la divulgation des données à caractère personnel particulières au regard des déductions susceptibles d’être opérées par le public concernant la vie sexuelle ou l’orientation sexuelle du déclarant en cas de mise en ligne des données nominatives concernant son conjoint, concubin ou partenaire.

41      Voir arrêt du 20 décembre 2017, Nowak (C‑434/16, EU:C:2017:994, point 57).

42      Voir articles 77 et 79 du RGPD.

43      Dans l’arrêt du 20 mai 2003, Österreichischer Rundfunk e.a. (C‑465/00, C‑138/01 et C‑139/01, EU:C:2003:294, points 79 et 80), la Cour a considéré que cette question ne se posait, éventuellement, qu’après l’examen de la satisfaction de l’exigence de proportionnalité, par rapport aux objectifs poursuivis.

44      Voir arrêt du 16 janvier 2019, Deutsche Post (C‑496/17, EU:C:2019:26, point 57).

45      Voir, en ce sens, arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité) (C‑439/19, EU:C:2021:504, points 109 et 110).

46      Voir arrêt du 6 octobre 2020, Privacy International (C‑623/17, EU:C:2020:790, point 67).

47      Dans l’arrêt du 27 septembre 2017, Puškár (C‑73/16, EU:C:2017:725, point 111), la Cour évoque la prise en compte de la « finalité exacte » de la mesure en cause.

48      La transparence s’analyserait ainsi comme un simple moyen permettant d’atteindre les finalités visées dans la loi sur la conciliation des intérêts.

49      La problématique du contrôle des déclarations d’intérêts est, selon moi, la découverte de ce qui n’y figure pas, la vérification de l’existence d’omissions s’agissant du dépôt de cette déclaration, comme dans l’affaire au principal, ou de la teneur de celle-ci, ce qui relève d’un travail d’investigation mené en réalité par l’autorité publique chargée du contrôle de ces déclarations, assistée par les « auxiliaires démocratiques » que sont la presse ou les organisations non gouvernementales, telles que Transparency International, détentrices d’informations parfois fournies par des lanceurs d’alerte. Dans ce contexte, la prise de connaissance des déclarations d’intérêts n’appelle pas une publication électronique permettant leur accès à un nombre indéfini de personnes, leur consultation pouvant être accordée par l’autorité publique dépositaire de ces déclarations sur demande écrite adressée à celle-ci.

50      Voir, pour un précédent, arrêt du 20 mai 2003, Österreichischer Rundfunk e.a. (C‑465/00, C‑138/01 et C‑139/01, EU:C:2003:294).

51      Voir arrêt du 9 novembre 2010, Volker und Markus Schecke et Eifert (C‑92/09 et C‑93/09, EU:C:2010:662, points 68 et 79).

52      Carcassonne, G., « Le trouble de la transparence », Pouvoirs, Transparence et secret, nº 97, avril 2001, p. 17 à 23.

53      Voir avis 2/2016 du groupe de travail « Article 29 ».

54      Voir arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité) (C‑439/19, EU:C:2021:504, point 120).

55      Dans la décision de renvoi, il est rapporté la position de la Haute commission selon laquelle elle ne dispose pas de moyens suffisants pour contrôler l’ensemble des déclarations d’intérêts collectées.

56      Voir, en ce sens, arrêt du 11 décembre 2019, Asociaţia de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2019:1064, point 48).

57      Ainsi que le précise l’avis 2/2016 du groupe de travail « Article 29 », la publication en ligne des informations révélant des aspects non pertinents de la vie privée d’une personne, au regard de la réalisation du but recherché, n’est pas justifiée.

58      L’article 4, point 5, du RGPD définit la « pseudonymisation » comme le traitement de données à caractère personnel de telle façon que celles-ci ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires, pour autant que ces informations supplémentaires soient conservées séparément et soumises à des mesures techniques et organisationnelles afin de garantir que les données à caractère personnel ne sont pas attribuées à une personne physique identifiée ou identifiable.

59      Voir avis 2/2016 du groupe de travail « Article 29 ».

60      Au point 3.2.1 (p. 9) de son avis 2/2016, le groupe de travail « Article 29 » indique qu’il serait pertinent d’opérer une distinction, selon leurs responsabilités hiérarchiques et décisionnelles, entre, premièrement, les responsables politiques, les hauts fonctionnaires ou d’autres personnalités publiques occupant des fonctions qui comportent des responsabilités politiques, deuxièmement, les cadres de la fonction publique, qui n’ont aucun mandat électif et n’exercent que des fonctions de direction ou de gestion, et, troisièmement, les agents publics de base, qui n’ont pas de responsabilités décisionnelles propres

61      Il faut encore souligner que le gouvernement lituanien reconnaît explicitement, au point 19 de ses observations, le caractère superfétatoire et par là même disproportionné du traitement en cause appliqué aux responsables d’associations ou d’établissements publics financés sur les budgets ou des fonds de l’État ou d’une collectivité locale en raison de la déclaration d’impartialité déjà imposée à ces derniers par la réglementation nationale sur les marchés publics. Cette considération serait à l’origine du retrait des intéressés de la liste des personnes assujetties à l’obligation de dépôt d’une déclaration d’intérêts prévue par la loi sur la conciliation des intérêts, dans sa version en vigueur depuis le 1^er janvier 2020.

62      Voir, par analogie, arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité) (C‑439/19, EU:C:2021:504, point 113).

63      Voir, par analogie, arrêts du 11 décembre 2019, Asociaţia de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2019:1064, points 40 et 52), et du 17 juin 2021, M.I.C.M. (C‑597/19, EU:C:2021:492, points 105, 106 et 111), concernant les trois conditions cumulatives d’un traitement licite fondé sur l’article 7, sous f), de la directive 95/46 ou l’article 6, paragraphe 1, sous f), du RGPD.

64      Voir arrêt du 9 novembre 2010, Volker und Markus Schecke et Eifert (C‑92/09 et C‑93/09, EU:C:2010:662, point 85).

65      Voir, en ce sens, arrêt du 11 décembre 2019, Asociaţia de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2019:1064, points 56 à 59).

66      Voir arrêt du 24 septembre 2019, GC e.a. (Déréférencement de données sensibles) (C‑136/17, EU:C:2019:773, point 36).

67      Voir arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité) (C‑439/19, EU:C:2021:504, point 118).

68      Voir arrêt du 24 septembre 2019, Google (Portée territoriale du déréférencement) (C‑507/17, EU:C:2019:772, point 67).

69      Voir, en ce sens, arrêt du 17 juin 2021, M.I.C.M. (C‑597/19, EU:C:2021:492, point 111).

70      L’article 8, paragraphe 1, de la directive 95/46 dispose que les États membres interdisent le traitement des données à caractère personnel qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, ainsi que le traitement des données relatives à la santé et à la vie sexuelle.

71      Je relève que, en vertu de l’article 6, point 4, de la loi sur la conciliation des intérêts, l’adhésion à des partis politiques et à des syndicats ne fait pas partie des renseignements devant apparaître dans la déclaration d’intérêts et les conditions dans lesquelles ces informations pourraient être indirectement divulguées ne sont pas précisées par la juridiction de renvoi.

72      Le gouvernement lituanien se réfère, à cet égard, aux lignes directrices 3/2019 sur le traitement des données à caractère personnel par des dispositifs vidéo du Comité européen de la protection des données en date du 29 janvier 2020 (https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_201903_video_devices_fr.pdf).

73      Voir arrêt du 6 juin 2013, MA e.a. (C‑648/11, EU:C:2013:367, point 50 et jurisprudence citée).

74      Il faut signaler que, s’agissant des « données concernant la santé », l’article 4, point 15, du RGPD les définit comme les données à caractère personnel « relatives » à la santé physique ou mentale d’une personne physique, y compris la prestation de services de soins de santé, « qui révèlent » des informations sur l’état de santé de cette personne, soit une définition différente et plus large que celle figurant à l’article 8 de la directive 95/46.

75      Je dois relever le caractère similaire des versions en langues espagnole, italienne, portugaise et anglaise à la version française, à la différence des versions, plus homogènes, en langues allemande (« Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten […] ») et estonienne (avec l’emploi du terme « ilmneb » appliqué à l’ensemble des données sensibles).

76      Article 2, sous a) de la directive 95/46 et article 4, point 1, du RGPD.

77      Voir, en ce sens, arrêt du 13 mai 2014, Google Spain et Google (C‑131/12, EU:C:2014:317, point 66).

78      Voir considérants 51 et 53 du RGPD.

79      Voir arrêt du 6 novembre 2003, Lindqvist (C‑101/01, EU:C:2003:596, point 50).

80      Voir arrêt du 24 septembre 2019, GC e.a. (Déréférencement de données sensibles) (C‑136/17, EU:C:2019:773, point 44).

81      Voir, en ce sens, arrêt du 13 mai 2014, Google Spain et Google (C‑131/12, EU:C:2014:317, point 58).

82      Arrêt du 6 octobre 2020, Privacy International (C‑623/17, EU:C:2020:790, point 71).

83      Avis 1/15 (Accord PNR UE-Canada), du 26 juillet 2017 (EU:C:2017:592).

84      L’article 8, paragraphe 4, de la directive 95/46 énonce que, sous réserve de garanties appropriées, les États membres peuvent prévoir, pour un motif d’intérêt public important, des dérogations autres que celles prévues au paragraphe 2, soit par leur législation nationale, soit sur décision de l’autorité de contrôle. L’article 9, paragraphe 2, sous g), du RGPD dispose que l’interdiction ne s’applique pas lorsque le traitement est nécessaire pour des motifs d’intérêt public importants, sur la base du droit de l’Union ou du droit d’un État membre qui doit être proportionné à l’objectif poursuivi, respecter l’essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée.

85      L’interprétation proposée de l’article 8, paragraphe 1, de la directive 95/46 et de l’article 9, paragraphe 1, du RGPD aurait pour conséquence que l’hypothèse de la mise en ligne des données nominatives du conjoint, du concubin ou du partenaire du déclarant tomberait sous le coup de l’interdiction de traitement des données sensibles prévue à l’article 10, paragraphe 2, de la loi sur la conciliation des intérêts, ce qui rendrait sans objet son analyse dans le cadre de l’appréciation du caractère nécessaire de la mesure en cause.