ARRÊT DE LA COUR (troisième chambre)
2 mars 2023 (*)
« Renvoi préjudiciel – Protection des données à caractère personnel – Règlement (UE) 2016/679 – Article 6, paragraphes 3 et 4 – Licéité du traitement – Production d’un document contenant des données à caractère personnel dans le cadre d’une procédure juridictionnelle civile – Article 23, paragraphe 1, sous f) et j) – Protection de l’indépendance de la justice et des procédures judiciaires – Exécution des demandes de droit civil – Exigences à respecter – Prise en compte de l’intérêt des personnes concernées – Pondération des intérêts opposés en présence – Article 5 – Minimisation des données à caractère personnel – Charte des droits fondamentaux de l’Union européenne – Article 7 – Droit au respect de la vie privée – Article 8 – Droit à la protection des données à caractère personnel – Article 47 – Droit à une protection juridictionnelle effective – Principe de proportionnalité »
Dans l’affaire C‑268/21,
ayant pour objet une demande de décision préjudicielle au titre de l’article 267 TFUE, introduite par le Högsta domstolen (Cour suprême, Suède), par décision du 15 avril 2021, parvenue à la Cour le 23 avril 2021, dans la procédure
Norra Stockholm Bygg AB
contre
Per Nycander AB,
en présence de :
Entral AB,
LA COUR (troisième chambre),
composée de Mme K. Jürimäe, présidente de chambre, Mme M. L. Arastey Sahún, MM. N. Piçarra, N. Jääskinen (rapporteur) et M. Gavalec, juges,
avocat général : Mme T. Ćapeta,
greffier : Mme C. Strömholm, administratrice,
vu la procédure écrite et à la suite de l’audience du 27 juin 2022,
considérant les observations présentées :
– pour Norra Stockholm Bygg AB, par Mes H. Täng Nilsson et M. E. Wassén, advokater,
– pour Per Nycander AB, par Mes P. Degerfeldt et V. Hermansson, advokater,
– pour le gouvernement suédois, par Mmes C. Meyer-Seitz et H. Shev, ainsi que par M. O. Simonsson, en qualité d’agents,
– pour le gouvernement tchèque, par MM. O. Serdula, M. Smolek et J. Vláčil, en qualité d’agents,
– pour le gouvernement polonais, par M. B. Majczyna et Mme J. Sawicka, en qualité d’agents,
– pour la Commission européenne, par MM. A. Bouchagiar, M. Gustafsson et H. Kranenborg, en qualité d’agents,
ayant entendu l’avocate générale en ses conclusions à l’audience du 6 octobre 2022,
rend le présent
Arrêt
1 La demande de décision préjudicielle porte sur l’interprétation de l’article 6, paragraphes 3 et 4, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, ci-après le « RGPD »).
2 Cette demande a été présentée dans le cadre d’un litige opposant Norra Stockholm Bygg AB (ci–après « Fastec ») à Per Nycander AB (ci–après « Nycander ») au sujet d’une demande de communication du registre électronique du personnel de Fastec ayant effectué des travaux pour Nycander, en vue de déterminer le montant des travaux dont doit s’acquitter cette dernière.
Le cadre juridique
Le droit de l’Union
3 Les considérants 1, 2, 4, 20, 26, 45 et 50 du RGPD sont libellés comme suit :
« (1) La protection des personnes physiques à l’égard du traitement des données à caractère personnel est un droit fondamental. L’article 8, paragraphe 1, de la Charte des droits fondamentaux de l’Union européenne (ci-après dénommée “Charte”) et l’article 16, paragraphe 1, [TFUE] disposent que toute personne a droit à la protection des données à caractère personnel la concernant.
(2) Les principes et les règles régissant la protection des personnes physiques à l’égard du traitement des données à caractère personnel les concernant devraient, quelle que soit la nationalité ou la résidence de ces personnes physiques, respecter leurs libertés et droits fondamentaux, en particulier leur droit à la protection des données à caractère personnel. Le présent règlement vise à contribuer à la réalisation d’un espace de liberté, de sécurité et de justice et d’une union économique, au progrès économique et social, à la consolidation et à la convergence des économies au sein du marché intérieur, ainsi qu’au bien-être des personnes physiques.
[...]
(4) Le traitement des données à caractère personnel devrait être conçu pour servir l’humanité. Le droit à la protection des données à caractère personnel n’est pas un droit absolu ; il doit être considéré par rapport à sa fonction dans la société et être mis en balance avec d’autres droits fondamentaux, conformément au principe de proportionnalité. [...]
[...]
(20) Bien que le présent règlement s’applique, entre autres, aux activités des juridictions et autres autorités judiciaires, le droit de l’Union ou le droit des États membres pourrait préciser les opérations et procédures de traitement en ce qui concerne le traitement des données à caractère personnel par les juridictions et autres autorités judiciaires. [...]
[...]
(26) Il y a lieu d’appliquer les principes relatifs à la protection des données à toute information concernant une personne physique identifiée ou identifiable. Les données à caractère personnel qui ont fait l’objet d’une pseudonymisation et qui pourraient être attribuées à une personne physique par le recours à des informations supplémentaires devraient être considérées comme des informations concernant une personne physique identifiable. [...] Il n’y a dès lors pas lieu d’appliquer les principes relatifs à la protection des données aux informations anonymes, à savoir les informations ne concernant pas une personne physique identifiée ou identifiable, ni aux données à caractère personnel rendues anonymes de telle manière que la personne concernée ne soit pas ou plus identifiable. [...]
[...]
(45) Lorsque le traitement est effectué conformément à une obligation légale à laquelle le responsable du traitement est soumis ou lorsqu’il est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique, le traitement devrait avoir un fondement dans le droit de l’Union ou dans le droit d’un État membre. [...] Une disposition légale peut suffire pour fonder plusieurs opérations de traitement basées sur une obligation légale à laquelle le responsable du traitement est soumis ou lorsque le traitement est nécessaire pour l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique. Il devrait également appartenir au droit de l’Union ou au droit d’un État membre de déterminer la finalité du traitement. [...]
[...]
(50) Le traitement de données à caractère personnel pour d’autres finalités que celles pour lesquelles les données à caractère personnel ont été collectées initialement ne devrait être autorisé que s’il est compatible avec les finalités pour lesquelles les données à caractère personnel ont été collectées initialement. Dans ce cas, aucune base juridique distincte de celle qui a permis la collecte des données à caractère personnel n’est requise. Si le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement, le droit de l’Union ou le droit d’un État membre peut déterminer et préciser les missions et les finalités pour lesquelles le traitement ultérieur devrait être considéré comme compatible et licite. [...] La base juridique prévue par le droit de l’Union ou le droit d’un État membre en ce qui concerne le traitement de données à caractère personnel peut également constituer la base juridique pour un traitement ultérieur. [...]
Lorsque la personne concernée a donné son consentement ou que le traitement est fondé sur le droit de l’Union ou le droit d’un État membre qui constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir, en particulier, d’importants objectifs d’intérêt public général, le responsable du traitement devrait être autorisé à effectuer un traitement ultérieur des données à caractère personnel indépendamment de la compatibilité des finalités. En tout état de cause, l’application des principes énoncés dans le présent règlement et, en particulier, l’information de la personne concernée au sujet de ces autres finalités et de ses droits, y compris le droit de s’opposer au traitement, devraient être assurées. [...] »
4 L’article 2 de ce règlement, intitulé « Champ d’application matériel », dispose :
« 1. Le présent règlement s’applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu’au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier.
2. Le présent règlement ne s’applique pas au traitement de données à caractère personnel effectué :
a) dans le cadre d’une activité qui ne relève pas du champ d’application du droit de l’Union ;
b) par les États membres dans le cadre d’activités qui relèvent du champ d’application du chapitre 2 du titre V du traité sur l’Union européenne ;
c) par une personne physique dans le cadre d’une activité strictement personnelle ou domestique ;
d) par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre des menaces pour la sécurité publique et la prévention de telles menaces.
3. Le règlement (CE) no 45/2001 [du Parlement européen et du Conseil, du 18 décembre 2000, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (JO 2001, L 8, p. 1)] s’applique au traitement des données à caractère personnel par les institutions, organes et organismes de l’Union. Le règlement [no 45/2001] et les autres actes juridiques de l’Union applicables audit traitement des données à caractère personnel sont adaptés aux principes et aux règles du présent règlement conformément à l’article 98. »
5 Aux termes de l’article 4 dudit règlement :
« Aux fins du présent règlement, on entend par :
[...]
2) “traitement”, toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction ;
[...]
5) “pseudonymisation”, le traitement de données à caractère personnel de telle façon que celles-ci ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires, pour autant que ces informations supplémentaires soient conservées séparément et soumises à des mesures techniques et organisationnelles afin de garantir que les données à caractère personnel ne sont pas attribuées à une personne physique identifiée ou identifiable ;
[...] »
6 L’article 5 du même règlement, intitulé « Principes relatifs au traitement des données à caractère personnel », énonce, à son paragraphe 1 :
« Les données à caractère personnel doivent être :
a) traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence) ;
b) collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités [...] (limitation des finalités) ;
c) adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ;
d) exactes et, si nécessaire, tenues à jour ; toutes les mesures raisonnables doivent être prises pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder (exactitude) ;
[...] »
7 L’article 6 du RGPD, intitulé « Licéité du traitement », prévoit :
« 1. Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :
a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ;
[...]
c) le traitement est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis ;
[...]
e) le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ;
[...]
3. Le fondement du traitement visé au paragraphe 1, points c) et e), est défini par :
a) le droit de l’Union ; ou
b) le droit de l’État membre auquel le responsable du traitement est soumis.
Les finalités du traitement sont définies dans cette base juridique ou, en ce qui concerne le traitement visé au paragraphe 1, point e), sont nécessaires à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement. [...] Le droit de l’Union ou le droit des États membres répond à un objectif d’intérêt public et est proportionné à l’objectif légitime poursuivi.
4. Lorsque le traitement à une fin autre que celle pour laquelle les données ont été collectées n’est pas fondé sur le consentement de la personne concernée ou sur le droit de l’Union ou le droit d’un État membre qui constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir les objectifs visés à l’article 23, paragraphe 1, le responsable du traitement, afin de déterminer si le traitement à une autre fin est compatible avec la finalité pour laquelle les données à caractère personnel ont été initialement collectées, tient compte, entre autres :
a) de l’existence éventuelle d’un lien entre les finalités pour lesquelles les données à caractère personnel ont été collectées et les finalités du traitement ultérieur envisagé ;
[...] »
8 L’article 23 de ce règlement, intitulé « Limitations », dispose :
« 1. Le droit de l’Union ou le droit de l’État membre auquel le responsable du traitement ou le sous-traitant est soumis peuvent, par la voie de mesures législatives, limiter la portée des obligations et des droits prévus aux articles 12 à 22 et à l’article 34, ainsi qu’à l’article 5 dans la mesure où les dispositions du droit en question correspondent aux droits et obligations prévus aux articles 12 à 22, lorsqu’une telle limitation respecte l’essence des libertés et droits fondamentaux et qu’elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir :
[...]
f) la protection de l’indépendance de la justice et des procédures judiciaires ;
[...]
j) l’exécution des demandes de droit civil.
[...] »
Le droit suédois
Le RB
9 La preuve documentaire est régie par les dispositions du chapitre 38 du rättegångsbalken (code de procédure judiciaire, ci–après le « RB »).
10 En vertu du premier alinéa de l’article 2 du chapitre 38 du RB, quiconque détient un document susceptible de présenter une importance en tant qu’élément de preuve est tenu de le produire.
11 Des exceptions à cette obligation de production sont prévues, notamment, au deuxième alinéa de cet article. L’exercice de certaines fonctions dispense de ladite obligation s’il peut être présumé que son détenteur ne peut pas être entendu comme témoin sur le contenu de celui–ci. Cette exception concerne les avocats, les médecins, les psychologues, les prêtres et toute autre personne à laquelle des informations ont été communiquées sous le sceau de la confidentialité dans le cadre de l’exercice de ses fonctions ou dans des circonstances similaires. La portée de ladite obligation correspond ainsi à l’obligation de témoigner en justice.
12 Si une personne est tenue de produire un document en tant que moyen de preuve, le tribunal peut, conformément à l’article 4 du chapitre 38 du RB, enjoindre l’intéressé à procéder à cette production.
La loi sur les procédures fiscales
13 En vertu des articles 11 a à 11 c du chapitre 39 de la skatteförfarandelagen (2011:1244) [loi (2011 :1244) sur les procédures fiscales], quiconque exerce une activité de construction a l’obligation, dans certains cas, de tenir un registre électronique du personnel. Ce registre consigne les données d’identification nécessaires relatives aux personnes participant à cette activité économique. Cette obligation incombe au maître d’ouvrage, lequel peut toutefois la déléguer à un opérateur indépendant. En vertu de l’article 12 du chapitre 39 de cette loi, le registre du personnel doit être tenu à la disposition de l’administration fiscale suédoise.
14 Les données qui doivent être enregistrées dans le registre du personnel sont précisées à l’article 5 du chapitre 9 du skatteförfarandeförordningen (2011:1261) [règlement (2011 :1261) sur les procédures fiscales]. Il s’agit notamment de l’identité et du numéro national d’identification de toute personne participant à l’activité économique ainsi que des horaires de début et de fin de service.
Le litige au principal et les questions préjudicielles
15 Fastec a construit pour Nycander un immeuble de bureaux. Les personnes travaillant sur le chantier de construction concerné ont enregistré leur présence au moyen d’un registre du personnel électronique. Ce registre du personnel était fourni par la société Entral AB, agissant pour le compte de Fastec.
16 Fastec a saisi le tingsrätt (tribunal de première instance, Suède) d’un recours portant sur le paiement des travaux exécutés. Dans le cadre de ce recours, Fastec a demandé à Nycander le paiement d’une somme qui correspond, selon Fastec, au solde restant dû par Nycander. Cette dernière société s’est opposée à la demande de Fastec en faisant valoir, notamment, que le nombre des heures prestées par le personnel de Fastec serait inférieur à celui indiqué dans cette demande.
17 Devant cette juridiction, Nycander a demandé qu’il soit enjoint à Entral de produire le registre du personnel de Fastec pour la période allant du 1er août 2016 au 30 novembre 2017, à titre principal, en l’état, et, à titre subsidiaire, avec occultation des numéros nationaux d’identification des personnes concernées. À l’appui de cette demande, Nycander a fait valoir qu’Entral détenait ce registre du personnel et que ledit registre était susceptible de constituer une preuve importante aux fins de statuer sur le recours de Fastec dans la mesure où les données enregistrées dans ledit registre du personnel permettraient de prouver les heures prestées par le personnel de Fastec.
18 Fastec s’est opposée à cette demande en faisant valoir, à titre principal, que celle–ci était contraire à l’article 5, paragraphe 1, sous b), du RGPD. Le registre du personnel de Fastec contiendrait des données à caractère personnel collectées aux fins du contrôle de l’activité de cette société par l’administration fiscale suédoise, et il ne serait pas conforme à cet objectif de divulguer ces données devant le juge.
19 Le tingsrätt (tribunal de première instance) a enjoint à Entral de produire en l’état le registre du personnel de Fastec pour le personnel concerné par le chantier en cause au principal durant la période considérée. Le Svea hovrätt (cour d’appel siégeant à Stockholm, Suède) a confirmé la décision du tingsrätt (tribunal de première instance).
20 Fastec a formé un pourvoi contre la décision du Svea hovrätt (cour d’appel siégeant à Stockholm) devant la juridiction de renvoi, le Högsta domstolen (Cour suprême, Suède), et a demandé de rejeter la demande de Nycander mentionnée au point 17 du présent arrêt.
21 La juridiction de renvoi se demande s’il convient d’appliquer et, le cas échéant, comment il conviendrait de le faire, les dispositions du RGPD dans le cadre de l’affaire au principal.
22 En ce qui concerne l’obligation de production de documents, cette juridiction observe qu’il ressort de sa propre jurisprudence portant sur l’interprétation des dispositions pertinentes du RB qu’il convient de mettre en balance la pertinence des éléments de preuve en cause et l’intérêt de la partie adverse à ne pas divulguer ces éléments. Elle précise que, dans le cadre de cette mise en balance, il n’est pas tenu compte, en principe, de la nature privée des informations contenues dans le document concerné ou de l’intérêt d’autres personnes à avoir accès au contenu de ce document, en dehors de ce qui peut résulter des exceptions spécifiquement prévues par la législation.
23 Ladite juridiction précise que l’obligation prévue par le RB de produire un document viserait notamment à permettre à quiconque ayant besoin d’un document en tant qu’élément de preuve d’y avoir accès. Il s’agirait, en définitive, de garantir que le justiciable puisse faire valoir ses droits lorsqu’il existe un « intérêt légitime à la preuve ».
24 Dans ces conditions, le Högsta domstolen (Cour suprême) a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :
« 1) Les dispositions de l’article 6, paragraphes 3 et 4, du [RGPD] visent–elles également les règles procédurales nationales relatives [à l’obligation de production de documents] ?
2) S’il est répondu par l’affirmative à la première question, le [RGPD] implique–t–il que, lors de l’appréciation du point de savoir si la [production] d’un acte contenant des données à caractère personnel doit être ordonnée, il faut également tenir compte des intérêts des personnes concernées ? Dans ce cas, le droit de l’Union impose–t–il des conditions relatives aux modalités de cette appréciation ? »
Sur les questions préjudicielles
Sur la première question
25 Par sa première question, la juridiction de renvoi demande, en substance, si l’article 6, paragraphes 3 et 4, du RGPD doit être interprété en ce sens que cette disposition s’applique, dans le cadre d’une procédure juridictionnelle civile, à la production en tant qu’élément de preuve d’un registre du personnel contenant des données à caractère personnel de tiers collectées principalement aux fins de contrôle fiscal.
26 Afin de répondre à cette question, il y a lieu de relever, en premier lieu, que l’article 2, paragraphe 1, du RGPD prévoit que ce règlement s’applique à tout « traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu’au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier », sans établir de distinction en fonction de l’identité de l’auteur du traitement concerné. Il s’ensuit que, sous réserve des cas mentionnés à son article 2, paragraphes 2 et 3, le RGPD s’applique aux opérations de traitement effectuées tant par les personnes privées que par les autorités publiques, y compris, comme l’indique le considérant 20 de celui-ci, aux activités des autorités judiciaires, telles que les juridictions (arrêt du 24 mars 2022, Autoriteit Persoonsgegevens, C‑245/20, EU:C:2022:216, point 25).
27 En deuxième lieu, selon l’article 4, point 2, de ce règlement, relève de la définition de « traitement » de données à caractère personnel, entre autres, toute opération effectuée ou non à l’aide de procédés automatisés et appliquée à des données ou à des ensembles de données à caractère personnel, telle que la collecte, l’enregistrement, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition.
28 Il en découle que constituent un traitement de données à caractère personnel qui relève du champ d’application matériel du RGPD non seulement la création et la tenue du registre du personnel électronique (voir, par analogie, arrêt du 30 mai 2013, Worten, C‑342/12, EU:C:2013:355, point 19), mais également la production en tant qu’élément de preuve d’un document, numérique ou physique, contenant des données à caractère personnel, ordonnée par une juridiction dans le cadre d’une procédure juridictionnelle [voir, en ce sens, arrêt du 8 décembre 2022, Inspektor v Inspektorata kam Visshia sadeben savet (Finalités du traitement de données à caractère personnel – Enquête pénale), C‑180/21, EU:C:2022:967, point 72].
29 En troisième lieu, il importe de souligner que tout traitement de données à caractère personnel, y compris un traitement effectué par les autorités publiques telles que les juridictions, doit satisfaire aux conditions de licéité fixées par l’article 6 du RGPD.
30 À cet égard, il y a lieu de relever, premièrement, que, selon l’article 6, paragraphe 1, sous e), du RGPD, le traitement de données à caractère personnel est licite s’il est nécessaire aux fins de l’exécution d’une mission d’intérêt public ou d’une mission relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement.
31 Conformément à l’article 6, paragraphe 3, du RGPD, lu en combinaison avec le considérant 45 de celui-ci, le fondement du traitement visé à l’article 6, paragraphe 1, sous e), de ce règlement est défini par le droit de l’Union ou par le droit de l’État membre auquel le responsable du traitement est soumis. En outre, le droit de l’Union ou le droit des États membres doit répondre à un objectif d’intérêt public et être proportionné à l’objectif légitime poursuivi.
32 Les dispositions combinées de l’article 6, paragraphe 1, sous e), du RGPD et de l’article 6, paragraphe 3, de ce règlement exigent donc l’existence d’une base juridique, notamment nationale, qui sert de fondement au traitement de données à caractère personnel par les responsables dudit traitement qui agissent dans le cadre de l’exécution d’une mission d’intérêt public ou d’une mission relevant de l’exercice de l’autorité publique, telles que celles exécutées par les juridictions dans le cadre de leurs fonctions juridictionnelles.
33 Deuxièmement, lorsque le traitement des données à caractère personnel est effectué à une fin autre que celle pour laquelle ces données ont été collectées, il résulte de l’article 6, paragraphe 4, du RGPD, lu à la lumière du considérant 50 de ce règlement, qu’un tel traitement est permis à condition qu’il soit fondé, notamment, sur le droit d’un État membre et qu’il constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir l’un des objectifs visés à l’article 23, paragraphe 1, du RGPD. Comme l’indique ce considérant, afin de sauvegarder ces objectifs importants d’intérêt public général, le responsable du traitement est ainsi autorisé à effectuer un traitement ultérieur des données à caractère personnel indépendamment de la compatibilité de ce traitement avec les finalités pour lesquelles les données à caractère personnel ont été collectées initialement.
34 En l’occurrence, les dispositions pertinentes du chapitre 38 du RB, qui prévoient l’obligation de production d’un document en tant qu’élément de preuve et la possibilité pour les juridictions nationales d’ordonner la production de ce document, constituent la base juridique servant de fondement au traitement de données à caractère personnel. Si ces dispositions constituent, en principe, une base juridique suffisante pour autoriser un tel traitement, il ressort de la décision de renvoi que cette base juridique est différente de celle constituée par la loi sur les procédures fiscales, sur le fondement de laquelle le registre du personnel en cause au principal a été élaboré aux fins de contrôle fiscal. En outre, l’obligation de production prévue par ces dispositions du RB vise, selon la juridiction de renvoi, à permettre à quiconque ayant besoin d’un document en tant qu’élément de preuve d’y avoir accès. Il s’agit, selon elle, de garantir que le justiciable puisse faire valoir ses droits lorsqu’il existe un « intérêt légitime à la preuve ».
35 Selon la juridiction de renvoi, il ressort des travaux préparatoires ayant conduit à la loi sur les procédures fiscales que les données à caractère personnel enregistrées dans le registre du personnel visent à permettre aux agents de l’administration fiscale suédoise de procéder à des rapprochements lors des inspections sur place. L’objectif principal est de prévenir le travail non déclaré et de créer des conditions de concurrence plus saines. Le traitement des données à caractère personnel se justifie par la nécessité de satisfaire à l’obligation légale à laquelle le responsable du traitement est soumis, à savoir la tenue d’un registre du personnel.
36 Dès lors, il y a lieu de considérer que le traitement de ces données dans le cadre d’une procédure juridictionnelle, telle que celle en cause au principal, constitue un traitement effectué à une autre fin que celle pour laquelle les données ont été collectées, à savoir aux fins de contrôle fiscal, et qui n’est pas fondé sur le consentement des personnes concernées, au sens de l’article 6, paragraphe 1, sous a), du RGPD.
37 Dans ces conditions, le traitement de données à caractère personnel pour une fin autre que celle pour laquelle ces données ont été collectées doit non seulement être fondé sur le droit national, tel que les dispositions du chapitre 38 du RB, mais également constituer une mesure nécessaire et proportionnée dans une société démocratique, au sens de l’article 6, paragraphe 4, du RGPD, et garantir l’un des objectifs visés à l’article 23, paragraphe 1, du RGPD.
38 Parmi ces objectifs figure, conformément au point f) du paragraphe 1 de l’article 23 de ce règlement, « la protection de l’indépendance de la justice et des procédures judiciaires », cet objectif devant, ainsi que l’a observé la Commission européenne dans ses observations écrites, être compris comme visant la protection de l’administration de la justice contre des ingérences internes ou externes mais encore la bonne administration de la justice. Par ailleurs, selon le point j) du paragraphe 1 de cet article, l’exécution des demandes de droit civil constitue aussi un objectif susceptible de justifier un traitement de données à caractère personnel pour une autre fin que celle pour laquelle elles ont été collectées. Il n’est donc pas exclu que le traitement de données à caractère personnel de tiers dans le cadre d’une procédure juridictionnelle civile puisse se fonder sur de tels objectifs.
39 Toutefois, il appartient à la juridiction de renvoi de vérifier si les dispositions pertinentes du chapitre 38 du RB, d’une part, répondent à l’un et/ou à l’autre de ces objectifs et, d’autre part, sont nécessaires et proportionnées auxdits objectifs, si bien qu’elles sont susceptibles de relever des cas de traitement de données à caractère personnel considérés comme licites au titre des dispositions de l’article 6, paragraphes 3 et 4, du RGPD, lu en combinaison avec l’article 23, paragraphe 1, sous f) et j), de celui-ci.
40 À cet égard, il est indifférent que le traitement de données à caractère personnel soit fondé sur une disposition du droit national matériel ou procédural, les dispositions de l’article 6, paragraphe 3, sous b), et paragraphe 4, de ce règlement n’opérant aucune distinction entre ces deux types de dispositions.
41 Compte tenu de l’ensemble des considérations qui précèdent, il convient de répondre à la première question que l’article 6, paragraphes 3 et 4, du RGPD doit être interprété en ce sens que cette disposition s’applique, dans le cadre d’une procédure juridictionnelle civile, à la production en tant qu’élément de preuve d’un registre du personnel contenant des données à caractère personnel de tiers collectées principalement aux fins de contrôle fiscal.
Sur la seconde question
42 Par sa seconde question, la juridiction de renvoi demande, en substance, si les articles 5 et 6 du RGPD doivent être interprétés en ce sens que, lors de l’appréciation du point de savoir si la production d’un document contenant des données à caractère personnel doit être ordonnée dans le cadre d’une procédure juridictionnelle civile, la juridiction nationale est tenue de prendre en compte les intérêts des personnes concernées. Dans l’affirmative, cette juridiction demande, en outre, si le droit de l’Union, et notamment le RGPD, impose des exigences particulières au regard des modalités de cette appréciation.
43 Tout d’abord, il y a lieu de souligner que tout traitement de données à caractère personnel doit, sous réserve des dérogations admises à son article 23, respecter les principes régissant les traitements des données à caractère personnel ainsi que les droits de la personne concernée énoncés respectivement aux chapitres II et III de ce règlement. En particulier, tout traitement de données à caractère personnel doit, d’une part, être conforme aux principes énoncés à l’article 5 dudit règlement et, d’autre part, satisfaire aux conditions de licéité énumérées à l’article 6 du même règlement (voir, en ce sens, arrêt du 6 octobre 2020, La Quadrature du Net e.a., C‑511/18, C‑512/18 et C‑520/18, EU:C:2020:791, point 208 ainsi que jurisprudence citée).
44 En l’occurrence, la juridiction de renvoi relève que les dispositions pertinentes du chapitre 38 du RB ne requièrent pas explicitement, lors de l’appréciation du point de savoir si la production d’un document contenant des données à caractère personnel doit être ordonnée, la prise en compte des intérêts des personnes dont les données à caractère personnel sont en cause. Conformément à une jurisprudence nationale, ces dispositions exigeraient seulement une mise en balance de la pertinence de la preuve et de l’intérêt de la partie adverse à ne pas divulguer les informations en cause.
45 Ainsi qu’il a été constaté au point 39 du présent arrêt, puisque ces dispositions de droit national visent la production d’un document en tant qu’élément de preuve, elles sont susceptibles de relever des cas de traitement de données à caractère personnel considérés comme licites au titre des dispositions de l’article 6, paragraphes 3 et 4, du RGPD, lu en combinaison avec l’article 23, paragraphe 1, sous f) et j), de celui-ci. Il en est ainsi dans la mesure où lesdites dispositions, d’une part, ont pour objet d’assurer le bon déroulement de la procédure juridictionnelle en garantissant que le justiciable puisse faire valoir ses droits lorsqu’il existe un « intérêt légitime à la preuve » et, d’autre part, sont nécessaires et proportionnées à cet objectif.
46 En effet, il découle de l’article 6, paragraphe 4, du RGPD que de tels traitements de données à caractère personnel sont licites à condition qu’ils constituent des mesures nécessaires et proportionnées dans une société démocratique pour garantir les objectifs visés à l’article 23 du RGPD qu’ils poursuivent. Il s’ensuit que, afin de procéder à la vérification de ces exigences, une juridiction nationale est tenue de prendre en compte les intérêts opposés en présence lorsqu’elle apprécie l’opportunité d’ordonner la production d’un document contenant des données à caractère personnel de tiers.
47 À cet égard, il importe de souligner que le résultat de la pondération à laquelle doit procéder la juridiction nationale peut varier tant en fonction des circonstances de chaque espèce que du type de procédure en cause.
48 S’agissant des intérêts en présence dans le cadre d’une procédure juridictionnelle civile, la juridiction nationale doit, ainsi qu’il découle notamment des considérants 1 et 2 du RGPD, garantir la protection des personnes physiques à l’égard du traitement des données à caractère personnel qui est un droit fondamental consacré à l’article 8, paragraphe 1, de la Charte et à l’article 16 TFUE. Cette juridiction doit également garantir le droit au respect de la vie privée, consacré à l’article 7 de la Charte qui est étroitement lié au droit à la protection des données à caractère personnel.
49 Toutefois, ainsi que l’énonce le considérant 4 du RGPD, le droit à la protection des données à caractère personnel n’est pas un droit absolu, mais doit être pris en considération par rapport à sa fonction dans la société et être mis en balance, conformément au principe de proportionnalité, avec d’autres droits fondamentaux, tel le droit à une protection juridictionnelle effective, garanti à l’article 47 de la Charte.
50 Or, la production d’un document contenant des données à caractère personnel de tiers dans le cadre d’une procédure juridictionnelle civile contribue, ainsi que l’a relevé, en substance, Mme l’avocate générale au point 61 de ses conclusions, au respect de ce droit à une protection juridictionnelle effective.
51 À cet égard, l’article 47, deuxième alinéa, de la Charte correspondant à l’article 6, paragraphe 1, de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, signée à Rome le 4 novembre 1950, son sens et sa portée sont, en vertu de l’article 52, paragraphe 3, de la Charte, les mêmes que ceux que confère ladite convention à cet article 6, paragraphe 1.
52 Selon une jurisprudence constante de la Cour européenne des droits de l’homme, eu égard à la place éminente que le droit à un procès équitable occupe dans une société démocratique, il est essentiel que le justiciable ait la possibilité de défendre utilement sa cause devant un tribunal et qu’il bénéficie de l’égalité des armes avec son adversaire [voir, en ce sens, Cour EDH, 24 juin 2022, Zayidov c. Azerbaïdjan (No 2), CE:ECHR:2022:0324JUD000538610, § 87 et jurisprudence citée]. Il en résulte notamment que le justiciable doit pouvoir bénéficier d’une procédure contradictoire et présenter, aux différents stades de celle-ci, les arguments qu’il juge pertinents pour la défense de sa cause (Cour EDH, 21 janvier 1999, García Ruiz c. Espagne, CE:ECHR:1999:0121JUD003054496, § 29).
53 Dès lors, afin d’assurer que les justiciables puissent jouir d’un droit à une protection juridictionnelle effective et notamment d’un droit à un procès équitable, au sens de l’article 47, deuxième alinéa, de la Charte, il convient de considérer que les parties à une procédure juridictionnelle civile doivent être en mesure d’accéder aux preuves nécessaires pour établir à suffisance le bien-fondé de leurs griefs, qui peuvent éventuellement inclure des données à caractère personnel des parties ou de tiers.
54 Cela étant, comme indiqué au point 46 du présent arrêt, la prise en compte des intérêts en présence s’inscrit dans le cadre de l’examen de la nécessité et de la proportionnalité de la mesure, qui sont prévues à l’article 6, paragraphes 3 et 4, du RGPD et qui conditionnent la licéité du traitement de données à caractère personnel. À cet égard, il convient donc de tenir également compte de l’article 5, paragraphe 1, de celui-ci, et en particulier du principe de la « minimisation des données » figurant au point c) de cette disposition, lequel donne expression au principe de proportionnalité. Selon ce principe de minimisation des données, les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées [voir, en ce sens, arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité), C‑439/19, EU:C:2021:504, point 98 et jurisprudence citée].
55 La juridiction nationale est dès lors tenue de déterminer si la divulgation des données à caractère personnel est adéquate et pertinente aux fins de garantir l’objectif poursuivi par les dispositions applicables du droit national et si cet objectif ne peut pas être réalisé par le recours à des moyens de preuve moins intrusifs au regard de la protection des données personnelles d’un nombre élevé de tiers tels que, par exemple, l’audition de témoins sélectionnés.
56 Dans l’hypothèse où la production du document contenant des données à caractère personnel s’avère justifiée, il découle, en outre, dudit principe que, lorsque seule une partie de ces données apparaît nécessaire à des fins probatoires, la juridiction nationale doit envisager la prise de mesures supplémentaires en matière de protection des données, telles que la pseudonymisation, définie à l’article 4, point 5, du RGPD, des noms des personnes concernées ou toute autre mesure destinée à minimiser l’entrave au droit à la protection des données à caractère personnel que constitue la production d’un tel document. De telles mesures peuvent notamment comprendre la limitation de l’accès du public au dossier ou une injonction adressée aux parties auxquelles les documents contenant des données à caractère personnel ont été communiqués de ne pas utiliser ces données à une autre fin que celle de l’administration de la preuve lors de la procédure juridictionnelle en cause.
57 À cet égard, il convient de préciser qu’il découle de l’article 4, point 5, du RGPD, lu en combinaison avec le considérant 26 de ce règlement, que les données à caractère personnel qui ont fait l’objet d’une pseudonymisation et qui pourraient être attribuées à une personne physique par le recours à des informations supplémentaires devraient être considérées comme des informations concernant une personne physique identifiable, auxquelles s’appliquent les principes relatifs à la protection des données. En revanche, il découle de ce considérant que ces principes ne s’appliquent ni « aux informations anonymes, à savoir les informations ne concernant pas une personne physique identifiée ou identifiable, ni aux données à caractère personnel rendues anonymes de telle manière que la personne concernée ne soit pas ou plus identifiable ».
58 Il s’ensuit qu’une juridiction nationale peut estimer que des données à caractère personnel des parties ou de tiers doivent lui être communiquées afin de pouvoir pondérer, en toute connaissance de cause et dans le respect du principe de proportionnalité, les intérêts en présence. Cette appréciation peut, le cas échéant, la conduire à autoriser la divulgation complète ou partielle à la partie adverse des données à caractère personnel qui lui ont ainsi été communiquées, si elle considère qu’une telle divulgation ne va pas au-delà de ce qui est nécessaire aux fins de garantir la jouissance effective des droits que les justiciables tirent de l’article 47 de la Charte.
59 Eu égard à l’ensemble des considérations qui précèdent, il y a lieu de répondre à la seconde question que les articles 5 et 6 du RGPD doivent être interprétés en ce sens que, lors de l’appréciation du point de savoir si la production d’un document contenant des données à caractère personnel doit être ordonnée, la juridiction nationale est tenue de prendre en compte les intérêts des personnes concernées et de les pondérer en fonction des circonstances de chaque espèce, du type de procédure en cause et en tenant dûment compte des exigences résultant du principe de proportionnalité ainsi que, en particulier, de celles résultant du principe de la minimisation des données visé à l’article 5, paragraphe 1, sous c), de ce règlement.
Sur les dépens
60 La procédure revêtant, à l’égard des parties au principal, le caractère d’un incident soulevé devant la juridiction de renvoi, il appartient à celle-ci de statuer sur les dépens. Les frais exposés pour soumettre des observations à la Cour, autres que ceux desdites parties, ne peuvent faire l’objet d’un remboursement.
Par ces motifs, la Cour (troisième chambre) dit pour droit :
1) L’article 6, paragraphes 3 et 4, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données),
doit être interprété en ce sens que :
cette disposition s’applique, dans le cadre d’une procédure juridictionnelle civile, à la production en tant qu’élément de preuve d’un registre du personnel contenant des données à caractère personnel de tiers collectées principalement aux fins de contrôle fiscal.
2) Les articles 5 et 6 du règlement 2016/679
doivent être interprétés en ce sens que :
lors de l’appréciation du point de savoir si la production d’un document contenant des données à caractère personnel doit être ordonnée, la juridiction nationale est tenue de prendre en compte les intérêts des personnes concernées et de les pondérer en fonction des circonstances de chaque espèce, du type de procédure en cause et en tenant dûment compte des exigences résultant du principe de proportionnalité ainsi que, en particulier, de celles résultant du principe de la minimisation des données visé à l’article 5, paragraphe 1, sous c), de ce règlement.
Signatures