Publié le 15 juillet 2024

QUATRIÈME SECTION

Requête no 4893/20
V.G.
contre la Roumanie
introduite le 6 janvier 2020
communiquée le 25 juin 2024

OBJET DE L’AFFAIRE

La requête concerne le traitement des données personnelles du requérant par l’Inspection départementale de la Police de Iaşi (Inspectoratul Județean de Poliție Iaşi soit « l’I.J.P. de Iaşi ») et par l’Inspection générale de la police roumaine (Inspectoratul General al Poliției Române soit « l’I.G.P.R. »).

En juillet 2011, l’I.G.P.R. refusa d’accorder au requérant l’avis favorable afin d’obtenir une licence de fonctionnement pour créer une société de sécurité et de gardiennage, au motif qu’il avait été condamné pour des infractions commises avec dol. Il fut noté à cette occasion que, bien que les données personnelles du requérant relatives à son passé judiciaire (à savoir une mesure d’internement éducatif ordonnée contre lui lorsqu’il était mineur en 1991, une mesure de détention provisoire et une condamnation pénale prononcée en première instance par un jugement du 12 octobre 2010) eussent été supprimées de son casier judiciaire, lesdites données avaient été transférées dans le registre opérationnel (evidența operativă) du casier judiciaire (« le registre opérationnel ») où elles pouvaient être consultées.

Le requérant contesta auprès de l’Autorité nationale de surveillance du traitement des données (« l’autorité ») la légalité du traitement de ses données personnelles et l’exactitude des données conservées dans le registre opérationnel. Le 3 mars 2016, l’autorité infligea à l’I.J.P. de Iași une sanction contraventionnelle pour avoir traité les données du requérant en méconnaissance des articles 14 §§ 1 et 3 et 32 de la loi no 677/2001 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (« la loi no 677/2001 »). Sur contestation de l’I.J.P. de Iaşi, par un arrêt définitif du 1er octobre 2019, rendu à la majorité, la cour d’appel de Iași annula la sanction susmentionnée, au motif qu’elle n’avait pas été établie dans le respect des dispositions légales.

Entre-temps, le requérant saisit les juridictions nationales d’une action en responsabilité civile délictuelle contre l’I.J.P. de Iași et l’I.G.P.R., en dénonçant une atteinte à son droit au respect de sa vie privée. Il faisait valoir que ses données personnelles avaient été conservées dans le registre opérationnel de manière illégale et inexacte, que des données incorrectes avaient été transmises à des tiers et que les parties défenderesses n’avaient pas notifié lesdits tiers de ce que les données transmises étaient incorrectes.

Par un jugement du 12 mars 2021, le tribunal départemental de Iași (« le tribunal départemental ») rejeta l’action du requérant, au motif que le traitement de ses données personnelles avait été effectué sur la base de l’article 5 § 2 points c) et d) de la loi no 677/2001. Il expliqua que la suppression du casier judiciaire des données personnelles du requérant relatives à la mesure d’internement éducatif n’impliquait pas leur destruction, lesdites données étant conservées dans le registre opérationnel. Il ajouta qu’avant le 5 mai 2011, le délai de stockage et d’utilisation des données inscrites au registre opérationnel n’était pas établi par des actes normatifs. Il observa que, le 5 mai 2011, l’arrêté (dispoziția) no 18 avait été adopté et que l’article 18 § 3 points a) et d) dudit arrêté prévoyait que les données inscrites dans le registre opérationnel étaient retirées à des fins d’archivage quinze ans après la date de la décision judiciaire ayant infligé la sanction au mineur.

Le tribunal départemental jugea que, après l’entrée en vigueur de l’arrêté no 18, l’I.G.P.R. avait l’obligation de supprimer du registre opérationnel les données concernant la mesure d’internement éducatif imposée au requérant en 1991. Toutefois, selon lui, cette obligation n’impliquait pas la suppression immédiate et de manière automatique de ces données, compte tenu du volume important de modifications et suppressions à effectuer dans le registre opérationnel après l’entrée en vigueur dudit arrêté. D’ailleurs, l’article 18 de l’arrêté no 18 prévoyait que le contrôle des données à caractère personnel devait être effectué soit à chaque nouveau traitement de données, soit par le biais d’un contrôle annuel aléatoire.

Le tribunal départemental ajouta enfin que la suppression des données du registre opérationnel n’impliquait pas leur destruction, étant donné qu’en vertu de l’article 3 point a) de l’arrêté no 18, les données devaient être archivées. Or, conformément aux nomenclatures d’archivage, les données restaient dans les archives pendant cinq ans et seulement après l’écoulement de ce délai elles devaient être détruites. Il nota que tant que les données restaient archivées, elles pouvaient être consultées.

Sur recours du requérant, par un arrêt définitif du 18 octobre 2022, la Haute Cour de cassation et de justice confirma le jugement rendu en première instance.

Invoquant l’article 8 de la Convention, le requérant dénonce une atteinte à son droit au respect de sa vie privée, à raison du traitement excessif de ses données personnelles par les autorités de police et la transmission des données prétendument inexactes à des tiers. Il considère en particulier que la base légale de la conservation des données dans le registre opérationnel n’était pas prévisible et n’offrait pas de garanties suffisantes contre l’arbitraire.

QUESTIONS AUX PARTIES

1.  Y a-t-il eu une ingérence dans le droit du requérant au respect de sa vie privée au sens de l’article 8 § 1 de la Convention, en raison du traitement de ses données personnelles relatives à ses condamnations pénales (mesure d’internement éducatif, détention provisoire et condamnation pénale) après que ces données ont été effacées de son casier judiciaire (Rotaru c. Roumanie [GC], no 28341/95, § 46, CEDH 2000-V, et S. et Marper c. Royaume-Uni [GC], nos 30562/04 et 30566/04, § 67, CEDH 2008) ?

Les parties sont invitées à fournir des copies des décisions pénales prononcées contre le requérant, qui avaient été inscrites dans son casier judiciaire et dans le registre opérationnel du casier judiciaire.

2.  Dans l’affirmative, cette ingérence était-elle prévue par la loi (Rotaru, précité, § 52, M.M. c. Royaume-Uni, no 24029/07, § 195, 13 novembre 2012, et Borislav Tonchev c. Bulgarie, no 40519/15, § 124, 16 avril 2024) ? En particulier :

(a) Quelles étaient les dispositions du droit national qui régissaient le traitement (collecte, stockage, utilisation, divulgation, destruction) des données à caractère personnel relatives aux condamnations pénales, en particulier, après avoir été effacées du casier judiciaire ?

b) La législation interne applicable en l’espèce était-elle accessible et prévisible, et prévoit-elle des garanties adéquates et suffisantes contre les ingérences arbitraires des autorités dans le droit au respect de la vie privée, comme l’exige l’article 8 de la Convention (M.M. c. Royaume-Uni, précité, §§ 191-207, et Borislav Tonchev, précité, § 129) ? En particulier, l’arrêté no 18 et la disposition de l’I.G.P.R. no S/2803 du 15 décembre 1993 sur le fonds d’archives des unités de police sont-elles des documents publics auxquels le requérant aurait pu avoir accès ?

3.  Quel était le but poursuivi par cette ingérence (voir, par exemple, Leander c. Suède, 26 mars 1987, § 49, série A no 116) ?

4.  L’ingérence dénoncée par le requérant était-elle nécessaire dans une société démocratique au sens de l’article 8 § 2 de la Convention (Gaughran c. Royaume-Uni, no 45245/15, § 76, 13 février 2020, et N.F. et autres c. Russie, nos 3537/15 et 8 autres, § 45, 12 septembre 2023) ? En particulier :

- les dispositions légales applicables prévoyaient-elles un traitement automatique des données par l’inscription de toutes les condamnations et mesures pénales dans le registre opérationnel du casier judiciaire, ou existait‑il une distinction dans le traitement des données selon la nature des mesures prises et les infractions pénales commises (M.M. c. Royaume-Uni, précité, §§ 187-207, et N.F. et autres c. Russie, précité, §§ 49-55) ?

- quels étaient, en l’espèce, les délais pour chacune des étapes de traitement des données relatives aux condamnations et mesures pénales, à partir de leur inscription au casier judiciaire et jusqu’à leur destruction (S. et Marper, précité, § 103) ?

- le requérant avait-il été informé de la transcription de ses données sur le registre opérationnel du casier judiciaire (Gardel c. France, no 16428/05, § 65, CEDH 2009) ?

- qui a accès aux données stockées dans le registre opérationnel du casier judiciaire (Gardel, § 70) ?

- quel était le volume de données à traiter en l’espèce qui avait justifié l’absence d’application immédiate de l’arrêté no 18 (Catt c. Royaume-Uni, no 43514/15, § 127, 24 janvier 2019) ?

- existe-t-il une procédure permettant au requérant de demander un contrôle de l’exactitude des données, ainsi que, le cas échéant, leur correction et leur destruction (Rotaru, précité, § 36) ?