Cour de justice des Communautés européennes 6 novembre 2003

1.Dans un arrêt du 6 novembre 2003, la Cour de justice des Communautés européennes répond à un certain nombre de questions relatives à l'application au réseau Internet de la directive 95/46 du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données. On observera d'entrée de jeu que cette directive a été précisée et complétée depuis lors par la directive 2002/58/CE du 12 juillet 2002, dite 'directive vie privée et communications électroniques'. À l'époque des faits, elle n'avait toutefois pas encore été appliquée, si bien que la cour n'en tient pas compte dans ses développements.

2.L'affaire commence de façon innocente: Mme Lindqvist, agent d'entretien de son état et formatrice bénévole des communiants de la paroisse suédoise d'Alseda, avait édité un site Internet de quelques pages destiné à fournir aux paroissiens toutes les informations nécessaires à la préparation des confirmations. Sans aucune malice, Mme Lindqvist agrémentait ce site d'informations sur elle-même et ses collègues de la paroisse - noms, prénoms, fonctions occupées, hobbies - parfois accompagnées des petites misères et accidents de la vie de certains d'entre eux. L'enfer est pavé de bonnes intentions, dit-on. Le site déclencha le mécontentement de certains collègues dont elle n'avait, il est vrai, pas demandé le consentement. Mme Lindqvist supprima aussitôt les pages, sans que son geste ne put cependant arrêter la procédure pénale: elle fut condamnée en première instance à une amende de 4.000 couronnes suédoises (environ 450 EUR) et à verser 300 autres couronnes à un fonds suédois destiné à aider les victimes d'infractions.

En degré d'appel, la juridiction estima devoir poser à titre préjudiciel à la Cour de justice une série de questions relatives à l'interprétation de la directive 95/46/CE.

3.En premier lieu, la cour confirme que l'opération consistant à faire référence, sur une page Internet, à des personnes identifiées par leur nom ou par d'autres moyens, par exemple leur numéro de téléphone ou des informations sur leurs passe-temps, constitue un traitement automatisé de données à caractère personnel au sens de la directive. La définition légale d'un traitement de données vise en effet et notamment 'la communication par transmission, la diffusion ou toute autre forme de mise à disposition de données' (art. 3, § 1). Quant au caractère automatisé du traitement, les opérations de chargement d'une page sur un serveur pour ensuite la rendre accessible aux personnes connectées à Internet s'effectue, selon la cour, au moins partiellement de manière automatisée.

4.Mme Lindqvist avait aussi plaidé que ses activités étant purement bénévoles et religieuses, et donc dénuées de toute connotation économique, elles ne relevaient pas du champ d'application du droit communautaire et de la directive, mais de la liberté d'expression. La cour estime qu'il y a lieu de vérifier uniquement si les activités entrent dans l'une des deux exceptions prévues dans la directive. La première ne concernant que certaines activités des États membres, seule la seconde en faveur des activités 'exclusivement personnelles et domestiques' aurait pu éventuellement s'appliquer, mais la cour l'écarte résolument en raison de la publication de ces données sur Internet, 'de sorte que ces données sont rendues accessibles à un nombre indéfini de personnes'.

5.La juridiction d'appel avait également demandé à la cour si le fait de mentionner qu'une personne s'était blessée au pied et se trouvait en congé de maladie était une donnée relative à la santé. La réponse de la cour ne pouvait être qu'affirmative, et elle rappelle au passage que cette notion doit s'interpréter largement de sorte qu'elle englobe tous les aspects, tant physiques que psychiques, de la santé d'une personne.

6.Plus intéressante et moins évidente était la question de savoir si la publication de ces informations sur Internet devait être considérée comme un transfert de données vers un pays tiers, au sens de l'article 25 de la directive. À ce sujet, la cour relève les conséquences absurdes auxquelles conduirait une réponse affirmative: en effet, si le chargement de données personnelles sur un site Internet constituait un transfert de ces données vers tous pays tiers où sont disponibles les moyens techniques de réception de ces informations, les États membres seraient contraints d'empêcher toute mise sur Internet de données à caractère personnel, dès lors qu'un seul pays tiers n'assurerait pas un niveau de protection adéquat. Prudente, la cour en conclut qu'il n'existe pas de transfert de données vers un pays tiers lorsqu'une personne se trouvant dans un État membre fait figurer des données personnelles sur une page Internet stockée auprès de son fournisseur de services d'hébergement établi dans un des États membres.

Du raisonnement de la cour, l'on retiendra aussi que la question posée n'avait pas trait à des traitements de données effectués par des fournisseurs de services d'hébergement et que, dans le cas d'espèce, 'les pages internet de Mme Lindqvist ne comportaient pas les mécanismes techniques qui auraient permis l'envoi automatique de ces informations à des personnes qui n'avaient pas délibérément cherché à accéder à ces pages'.

7.La cour a dû répondre à une autre question qui revenait à se demander si l'application de la directive dans un cas comme celui de l'espèce ne comportait pas une restriction au principe général de la liberté d'expression et d'autres droits fondamentaux visés notamment par l'article 10 de la Convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales (CEDH). La cour répond par la négative, en précisant toutefois qu'il appartient aux autorités et aux juridictions nationales de trouver dans la mise en application de la directive un juste équilibre avec ces droits fondamentaux en respectant le principe de proportionnalité notamment quant aux sanctions appliquées. Les sanctions prononcées contre Mme Lindqvist semblaient en effet un peu lourdes pour une faute plutôt légère à laquelle la contrevenante avait mis fin dès les premières protestations des intéressés.

8.Enfin, répondant à la dernière question posée, la cour confirme que les États membres peuvent étendre la portée de la législation nationale transposant la directive à des domaines non inclus dans le champ d'application de cette dernière, bien que la Commission soutînt la thèse inverse. Ni la question posée ni la réponse donnée par la cour ne précisent toutefois à quel domaine l'État suédois songeait.