CEDH, Cour (grande chambre), AFFAIRE SATAKUNNAN MARKKINAPÖRSSI OY ET SATAMEDIA OY c. FINLANDE, 27 juin 2017, 931/13

GRANDE CHAMBRE

AFFAIRE SATAKUNNAN MARKKINAPÖRSSI OY ET SATAMEDIA OY c. FINLANDE

(Requête no 931/13)

ARRÊT

STRASBOURG

27 juin 2017

Cet arrêt est définitif. Il peut subir des retouches de forme.

En l’affaire Satakunnan Markkinapörssi Oy et Satamedia Oy c. Finlande,

La Cour européenne des droits de l’homme, siégeant en une Grande Chambre composée de :

 András Sajó, président,

 Işıl Karakaş,

 Angelika Nußberger,

 Ganna Yudkivska,

 Luis López Guerra,

 Mirjana Lazarova Trajkovska,

 Kristina Pardalos,

 Vincent A. De Gaetano,

 Paulo Pinto de Albuquerque,

 Helen Keller,

 Aleš Pejchal,

 Jon Fridrik Kjølbro,

 Síofra O’Leary,

 Carlo Ranzoni,

 Armen Harutyunyan,

 Pauliine Koskelo,

 Marko Bošnjak, juges,

et de Lawrence Early, jurisconsulte,

Après en avoir délibéré en chambre du conseil les 14 septembre 2016 et 5 avril 2017,

Rend l’arrêt que voici, adopté à cette dernière date :

PROCÉDURE

1.  À l’origine de l’affaire se trouve une requête (no 931/13) dirigée contre la République de Finlande et dont deux sociétés à responsabilité limitée de droit finlandais, Satakunnan Markkinapörssi Oy et Satamedia Oy (« les sociétés requérantes »), sises à Kokemäki (Finlande) ont saisi la Cour le 18 décembre 2012 en vertu de l’article 34 de la Convention de sauvegarde des droits de l’homme et des libertés fondamentales (« la Convention »).

2.  Les sociétés requérantes ont été représentées par Me Pekka Vainio, avocat à Turku. Le gouvernement finlandais (« le Gouvernement ») a été représenté par ses agents, d’abord par M. Arto Kosonen puis par Mme Krista Oinonen, tous deux du ministère des Affaires étrangères.

3.  Les sociétés requérantes alléguaient, d’une part, une atteinte à leur droit à la liberté d’expression découlant de l’article 10 de la Convention et, d’autre part, une violation de l’article 6 § 1 de la Convention en raison de la durée de la procédure interne.

4.  La requête a été attribuée à la quatrième section de la Cour (article 52 § 1 du règlement de la Cour – « le règlement »). Le 21 juillet 2015, une chambre de cette section composée de Guido Raimondi, Päivi Hirvelä, George Nicolaou, Nona Tsotsoria, Krzysztof Wojtyczek, Faris Vehabović et Yonko Grozev, juges, ainsi que de Fatoş Aracı, greffière adjointe de section, a rendu un arrêt dans lequel elle décidait, à la majorité, de déclarer recevables les griefs concernant la violation du droit à la liberté d’expression et la durée de la procédure et irrecevable la requête pour le surplus, et concluait, par six voix contre une, à la non-violation de l’article 10 et, à l’unanimité, à la violation de l’article 6 de la Convention. À l’arrêt se trouvait joint le texte de deux opinions séparées : l’une, concordante, du juge Nicolaou, l’autre, dissidente, de la juge Tsotsoria. Le 21 octobre 2015, les sociétés requérantes ont sollicité le renvoi de l’affaire devant la Grande Chambre en vertu de l’article 43 de la Convention. Le 14 décembre 2015, le collège de la Grande Chambre a fait droit à cette demande.

5.  La composition de la Grande Chambre a été arrêtée conformément aux dispositions des articles 26 §§ 4 et 5 de la Convention et 24 du règlement. Lors des délibérations finales, Helen Keller, juge suppléante, a remplacé Alena Poláčková, empêchée (article 24 § 3 du règlement).

6.  Tant les sociétés requérantes que le Gouvernement ont déposé des observations écrites sur le fond de l’affaire (article 59 § 1 du règlement). Par ailleurs, des observations écrites ont été reçues des organisations suivantes, que le président de la Grande Chambre avait autorisées à intervenir dans la procédure écrite (articles 36 § 2 de la Convention et 44 § 3 du règlement) : European Information Society Institute, Nordplus Law and Media Network, Article 19, Access to Information Programme et Társaság a Szabadságjogokért.

7.  Une audience s’est déroulée en public au Palais des droits de l’homme, à Strasbourg, le 14 septembre 2016 (article 59 § 3 du règlement).

Ont comparu :

–  pour le Gouvernement
Mmes K. Oinonen, directrice, ministère des Affaires étrangères,              agente,
 A. Talus, conseillère principale, ministère de la Justice
 H. Hynynen, conseillère principale, administration fiscale
 finlandaise
 S. Sistonen, conseillère juridique, ministère des Affaires
 étrangères
M. A. Kosonen, directeur (retraité), ministère des Affaires
 étrangères, conseillers ;

–  pour les sociétés requérantes
Me P. Vainio, avocat, conseil.

La Cour a entendu Mme K. Oinonen et Me P. Vainio en leurs déclarations ainsi qu’en leurs réponses à des questions posées par des juges.

EN FAIT

I.  LES CIRCONSTANCES DE L’ESPÈCE

A.  Contexte de l’affaire

8.  Depuis 1994, la première requérante, Satakunnan Markkinapörssi Oy, recueillait des données auprès des autorités fiscales finlandaises aux fins de publier dans le magazine Veropörssi des informations sur les revenus imposables et le patrimoine de personnes physiques. Plusieurs autres sociétés d’édition et de médias diffusent également de telles données qui, en droit finlandais, sont accessibles au public (voir le paragraphe 39 ci-dessous pour une explication du système finlandais d’accès à l’information).

9.  Au cours de l’année 2002 parurent dix-sept numéros du magazine Veropörssi, chacun d’eux se concentrant sur une zone géographique du pays. Les données publiées comprenaient les noms et prénoms d’environ 1,2 million de personnes physiques dont les revenus imposables annuels dépassaient certains seuils, en général 60 000 à 80 000 marks finlandais (soit environ 10 000 à 13 500 euros (EUR)), ainsi que le montant, arrondi à la centaine d’euros, de leurs revenus provenant du travail et d’autres sources et de leur patrimoine net imposable. Les données furent publiées dans le magazine sous la forme d’une liste alphabétique et classées par commune de résidence et tranche de revenus.

10.  La première société requérante coopérait avec la seconde société requérante, Satamedia Oy. Elles étaient détenues par les mêmes actionnaires. En 2003, la première requérante commença à transférer à la seconde requérante, sous la forme de CD-ROM, des données à caractère personnel publiées dans le magazine Veropörssi, et cette dernière lança avec un opérateur de téléphonie un service de messagerie téléphonique (service de SMS). En envoyant le nom d’une personne à un numéro de ce service, le demandeur pouvait obtenir sur son téléphone portable des informations fiscales sur cette personne, pour autant qu’elles fussent disponibles dans la base de données ou dans le fichier créé par la seconde société requérante. Cette base avait été créée à partir de données personnelles déjà publiées dans le magazine et transférées sous la forme de CD-ROM à la seconde requérante. À partir de 2006, la seconde requérante publia également le magazine Veropörssi.

11.  Il ressort du dossier qu’en 1997 le ministère de la Justice demanda à la police d’ouvrir une enquête pénale sur les activités de publication des sociétés requérantes. Le dossier ne contient aucune information quant à l’issue de cette demande ou d’une quelconque investigation ultérieure.

12.  En septembre 2000 et novembre 2001, les sociétés requérantes commandèrent des données fiscales à la direction générale finlandaise des impôts (verohallitus, skattestyrelsen). À la suite de la première commande, la direction générale des impôts sollicita l’avis du médiateur chargé de la protection des données ; sur la base de cet avis, elle invita les sociétés requérantes à lui fournir d’autres informations concernant leur demande et indiqua que les données ne pourraient pas être divulguées si le magazine Veropörssi continuait à paraître sous sa forme habituelle. Par la suite, les sociétés requérantes annulèrent leur demande et rémunérèrent des personnes pour collecter manuellement des données fiscales dans les centres locaux des impôts.

B.  La première procédure (2004 – 2009)

1.  Les décisions du médiateur chargé de la protection des données et de la commission de protection des données

13.  À une date non précisée, probablement en 2003, le médiateur chargé de la protection des données (tietosuojavaltuutettu, dataombudsmannen) prit contact avec les sociétés requérantes et, tout en précisant que la collecte et la publication des données fiscales n’étaient pas interdites en tant que telles, leur recommanda de cesser de diffuser ce type d’informations selon les mêmes modalités et à la même échelle qu’en 2002, année où les sociétés requérantes avaient publié des données relatives à l’année fiscale 2001. Les sociétés refusèrent de s’exécuter, considérant que cette demande portait atteinte à leur liberté d’expression.

14.  Par une lettre datée du 10 avril 2003, le médiateur chargé de la protection des données demanda à la commission de protection des données (tietosuojalautakunta, datasekretessnämnden) d’interdire aux sociétés requérantes de traiter des données fiscales selon les mêmes modalités et à la même échelle qu’en 2002 et de leur interdire de transmettre ces données à un service de SMS. Il soutenait qu’en application de la loi sur les données à caractère personnel les sociétés n’avaient pas le droit de collecter, conserver ou transmettre des données à caractère personnel, et que la dérogation concernant les activités de journalisme prévue dans la loi ne trouvait pas à s’appliquer en l’espèce. Pour lui, la collecte de données fiscales et leur transmission à des tiers ne poursuivaient pas des fins de journalisme et n’étaient donc pas couvertes par la dérogation prévue par la loi sur les données à caractère personnel, mais s’analysaient en un traitement de données à caractère personnel, activité à laquelle les sociétés requérantes n’avaient pas le droit de se livrer.

15.  Le 7 janvier 2004, la commission de protection des données rejeta la demande du médiateur chargé de la protection des données. Elle conclut que la dérogation concernant les activités de journalisme prévue par la loi sur les données à caractère personnel s’appliquait en l’espèce. Quant aux données utilisées par le service de SMS, elle indiqua qu’elles avaient déjà été publiées dans le magazine Veropörssi et qu’elles ne tombaient donc pas sous le coup de ladite loi.

2.  La décision rendue en 2005 par le tribunal administratif d’Helsinki

16.  Par une lettre datée du 12 février 2004, le médiateur chargé de la protection des données forma devant le tribunal administratif d’Helsinki (hallinto-oikeus, förvaltningsdomstolen) un recours dans lequel il réitérait sa demande tendant à ce qu’il fût interdit aux sociétés requérantes de traiter des informations fiscales selon les mêmes modalités et à la même échelle qu’en 2002 et de transmettre ces données au service de SMS.

17.  Le 29 septembre 2005, le tribunal administratif rejeta le recours. Il jugea que la dérogation concernant les activités de journalisme prévue par la loi sur les données à caractère personnel, qui trouvait son origine dans la directive 95/46/CE du Parlement européen et du Conseil relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO 1995, L 281, p. 31, ci-après la « directive sur la protection des données »), ne devait pas faire l’objet d’une interprétation trop stricte, laquelle favoriserait la protection de la vie privée au détriment de la liberté d’expression. Le tribunal estima que le magazine Veropörssi poursuivait un but journalistique et que la diffusion des données en question servait aussi l’intérêt général. Il souligna en particulier que les données publiées étaient déjà accessibles au grand public. Il conclut que la dérogation à des fins de journalisme trouvait donc à s’appliquer en l’espèce. Quant au service de SMS, le tribunal estima, à l’instar de la commission de protection des données, que la loi ne s’appliquait pas aux informations en cause dès lors que celles-ci avaient déjà été publiées dans le magazine.

3.  La procédure de recours devant la Cour administrative suprême (2005)

18.  Par une lettre datée du 26 octobre 2005, le médiateur chargé de la protection des données, reprenant les moyens formulés devant le tribunal administratif d’Helsinki, saisit la Cour administrative suprême (korkein hallinto-oikeus, högsta förvaltningsdomstolen).

19.  Le 8 février 2007, la Cour administrative suprême décida de saisir la Cour de justice des Communautés européennes (devenue le 1er décembre 2009 la Cour de justice de l’Union européenne, ci-après « la CJUE ») de questions préjudicielles relatives à l’interprétation de la directive 95/46/CE.

4.  La décision préjudicielle rendue en 2008 par la CJUE

20.  Le 16 décembre 2008, la CJUE, siégeant en Grande Chambre, rendit son arrêt (affaire C-73/07 Tietosuojavaltuutettu c. Satakunnan Markkinapörssi Oy et Satamedia Oy, EU:C2008/727). Elle estima tout d’abord que les activités visées entraient dans la définition du « traitement de données à caractère personnel » au sens de l’article 3 § 1 de la directive 95/46. Selon elle, les activités de traitement de données à caractère personnel telles que celles concernant des fichiers des autorités publiques contenant des données à caractère personnel qui ne comprenaient que des informations déjà publiées telles quelles dans les médias relevaient également du champ d’application de la directive (§§ 37 et 49 de l’arrêt). La CJUE expliqua que la dérogation prévue par l’article 9 de la directive pour les activités de traitement de données à caractère personnel exercées aux seules fins de journalisme avait pour objet de concilier la protection de la vie privée avec le droit à la liberté d’expression et que, afin de tenir compte de l’importance de ce droit dans toute société démocratique, il convenait d’interpréter de manière large les notions y afférentes, dont celle de journalisme. Elle ajouta que, toutefois, pour obtenir une pondération équilibrée entre les deux droits fondamentaux, la protection du droit fondamental à la vie privée exigeait que les dérogations et limitations de la protection des données prévues par la directive fussent opérées dans les limites du strict nécessaire (§§ 54 et 56 de l’arrêt). La CJUE précisa que les activités de journalisme n’étaient pas réservées aux entreprises de médias et pouvaient être liées à un but lucratif (§ 61 de l’arrêt). Elle estima que, s’agissant d’interpréter la dérogation à des fins de journalisme, il y avait lieu de tenir compte de l’évolution et de la multiplication des moyens de communication et de diffusion d’informations. Elle déclara que des activités telles que celles en cause dans la procédure devant les juridictions internes, concernant des données provenant de documents publics selon la législation nationale, pouvaient être qualifiées d’« activités de journalisme », si elles avaient pour seule finalité la divulgation au public d’informations, d’opinions ou d’idées par quelque moyen de transmission que ce fût, ce qu’il appartenait à la juridiction nationale d’apprécier (§§ 60-62 de l’arrêt).

5.  La décision rendue en 2009 par la Cour administrative suprême

21.  Le 23 septembre 2009, la Cour administrative suprême, en application de l’arrêt de la CJUE et eu égard à la jurisprudence concernant l’article 10 de la Convention, annula les décisions litigieuses de la commission de protection des données et du tribunal administratif d’Helsinki et renvoya l’affaire devant la commission de protection des données, à charge pour celle-ci, après réexamen de l’affaire, d’émettre une ordonnance en vertu de l’article 44 § 1 de la loi sur les données à caractère personnel. La haute juridiction demanda à la commission d’interdire aux sociétés requérantes le traitement de données fiscales selon les mêmes modalités et à la même échelle qu’en 2002.

22.  Dans le cadre de son appréciation juridique, la Cour administrative suprême exposa les considérations suivantes :

« Portée de l’affaire

La présente affaire n’a pas trait aux limites du caractère public des données fiscales et des documents officiels en matière fiscale en vertu de la loi sur la publication et la confidentialité des informations fiscales.

Elle ne concerne pas davantage le droit de publier des données fiscales telles quelles, mais porte uniquement sur le traitement de données à caractère personnel. Dès lors, aucune question ne se pose quant à l’existence d’une éventuelle ingérence préalable dans le contenu des publications. Il s’agit plutôt de rechercher si les conditions fixées par la loi en ce qui concerne le traitement des données et la protection de la vie privée sont ou non remplies.

La conciliation de la protection de la vie privée avec la liberté d’expression fait partie de l’appréciation juridique du traitement des données à caractère personnel en cause en l’espèce.

(...)

Conciliation de la protection de la vie privée avec la liberté d’expression

Interprétation de la dérogation à des fins de journalisme figurant dans la directive sur la protection des données. La Cour de justice des Communautés européennes a souligné que la directive sur la protection des données a pour objet que les États membres, tout en permettant la libre circulation des données à caractère personnel, assurent la protection des libertés et des droits fondamentaux des personnes physiques, notamment de leur vie privée. Elle a en outre précisé que lesdits droits fondamentaux sont à concilier, dans une certaine mesure, avec le droit fondamental de la liberté d’expression, et que cette tâche incombe aux États membres.

(...)

Il ressort donc de l’arrêt susmentionné de la Cour de justice des Communautés européennes que, d’une part, la notion de journalisme doit, en tant que telle, être interprétée de manière large au sens de l’article 9 de la directive, que, d’autre part, la protection de la vie privée exige que les dérogations s’opèrent dans les limites du strict nécessaire, et que l’exercice de conciliation des deux droits fondamentaux incombe aux États membres. Il appartient aux autorités et juridictions nationales d’assurer un juste équilibre des droits et intérêts en cause, y compris les droits fondamentaux protégés par l’ordre juridique communautaire (voir également C‑101/01 Lindqvist).

Interprétation de la dérogation à des fins de journalisme prévue par la loi sur les données à caractère personnel (...) Les travaux préparatoires de la loi sur les données à caractère personnel (HE 96/1998 vp) montrent qu’en adoptant cette loi le législateur visait à maintenir la situation existante quant aux dossiers journalistiques conservés par les médias, sous réserve qu’elle demeurât dans les limites imposées par la directive sur la protection des données. Ainsi, afin que l’on puisse conclure que le traitement de données à caractère personnel poursuit des fins de journalisme au sens de la loi sur les données à caractère personnel, il faut notamment que les données en cause ne soient utilisées que dans le cadre d’activités de journalisme et qu’elles ne soient pas mises à disposition de personnes autres que celles qui sont impliquées dans ces activités.

Dans le cadre de l’interprétation de l’article 2 § 5 de la loi sur les données à caractère personnel, il convient d’avoir particulièrement égard au fait que cette disposition concerne la conciliation de deux droits fondamentaux, à savoir la liberté d’expression et la protection de la vie privée.

(...)

Dans sa jurisprudence, la Cour européenne des droits de l’homme a également adopté une position sur la conciliation de la liberté d’expression avec la protection de la vie privée. Elle a notamment dit dans son arrêt du 24 juin 2004 en l’affaire von Hannover que la presse jouait un rôle éminent dans une société démocratique et que, si elle ne devait pas franchir certaines limites, tenant notamment à la protection de la réputation et des droits d’autrui, il lui incombait néanmoins de communiquer, dans le respect de ses devoirs et de ses responsabilités, des informations et des idées sur toutes les questions d’intérêt général.

Par ailleurs, la Cour européenne des droits de l’homme a également dit dans l’arrêt susmentionné qu’une vigilance accrue quant à la protection de la vie privée s’imposait face aux nouvelles technologies de communication, notamment aux progrès techniques d’enregistrement et de reproduction de données personnelles d’un individu.

Selon la Cour européenne des droits de l’homme, lorsqu’on met en balance la protection de la vie privée et la liberté d’expression, le critère déterminant doit être la contribution découlant de la publication des données à un débat d’intérêt général. Si la publication ne vise qu’à satisfaire la curiosité d’un certain public, la liberté d’expression doit être interprétée plus étroitement.

En l’espèce, il s’agit d’apprécier dans quelle mesure le traitement litigieux de données à caractère personnel, tel qu’il a été effectué par les sociétés requérantes dans le cadre de leurs activités, relève de la dérogation à des fins de journalisme prévue par l’article 2 § 5 de la loi sur les données à caractère personnel. Le point de départ consiste à déterminer si le but des activités en cause était de communiquer des informations, des opinions ou des idées au public. Dans cette appréciation, il convient de prendre en compte si et dans quelle mesure on peut considérer que ces activités contribuent à un débat dans une société démocratique et ne visent pas uniquement à satisfaire la curiosité de certaines personnes.

Traitement des données fiscales à caractère personnel figurant dans le dossier de Satakunnan Markkinapörssi Oy et dans le magazine Veropörssi

La société Satakunnan Markkinapörssi Oy a recueilli pour le magazine Veropörssi des données fiscales provenant de différents centres des impôts ; ces données comprenaient les noms de personnes accompagnés d’informations sur leurs revenus imposables.

Comme mentionné ci-dessus, l’affaire concerne le traitement de données à caractère personnel auquel les exigences générales figurant au chapitre 2 de la loi sur les données à caractère personnel sont applicables, sauf si la loi autorise une dérogation à l’application de ces dispositions. Il convient tout d’abord d’examiner si le traitement des données à caractère personnel dans le dossier de Satakunnan Markkinapörssi Oy avant leur publication dans le magazine Veropörssi relève de la dérogation concernant les activités de journalisme.

Il ressort en particulier des travaux préparatoires relatifs aux modifications apportées à la loi sur les fichiers de données à caractère personnel (HE 311/1993 vp), qui était en vigueur avant la loi sur les données à caractère personnel, que la presse considère que le droit de communiquer librement des informations exige également que les journalistes soient en mesure, au préalable, de collecter et conserver librement pareilles informations. L’imposition de restrictions au traitement des données à caractère personnel à ce stade, à savoir avant leur publication, pourrait avoir pour conséquence pratique qu’une décision préalable serait prise sur le point de savoir quelles données peuvent être publiées. Pareille issue serait incompatible avec le droit fondamental garantissant la liberté d’expression.

La question en l’espèce concerne des données à caractère personnel accessibles au public et émanant des autorités fiscales. La collecte et le traitement de pareilles données dans les dossiers internes de Satakunnan Markkinapörssi Oy aux fins des activités de publication de la société peuvent être considérés, sur la base des motifs susmentionnés, comme un traitement de données à caractère personnel à des fins de journalisme. Le traitement de grandes quantités de telles données émanant des divers registres fiscaux des communes peut tout à fait être nécessaire, du point de vue de la liberté de communication et d’un débat ouvert, aux fins de l’élaboration d’une publication en matière fiscale. De même, la protection de la vie privée des personnes concernées peut, à ce stade des activités, être suffisamment garantie, pour autant que les données collectées et conservées soient protégées contre tout traitement illégal, comme le requiert l’article 32 de la loi sur les données à caractère personnel.

Satakunnan Markkinapörssi Oy a publié dans le magazine Veropörssi, sous la forme de catalogues exhaustifs fondés sur la commune de résidence, les données à caractère personnel recueillies dans les centres des impôts. Comme il a été dit ci-dessus, à cet égard également il s’agit d’un traitement de données à caractère personnel au sens de l’article 3 § 2 de la loi sur les données à caractère personnel. La Cour administrative suprême a à sa disposition, dans le dossier de l’affaire, le numéro 14/2004 du magazine Veropörssi, publié par Satakunnan Markkinapörssi Oy et couvrant la zone métropolitaine d’Helsinki.

À cet égard, il convient de décider s’il est possible de déroger aux exigences relatives au traitement des données à caractère personnel sur la base de l’article 2 § 5 de la loi, c’est-à-dire de déterminer si le traitement litigieux de données à caractère personnel constitué par la publication de ces données dans le magazine Veropörssi relève de la dérogation concernant les activités de journalisme.

(...)

Il ressort des travaux préparatoires concernant la loi sur les données à caractère personnel (HE 96/1998 vp) que le traitement de données figurant dans le fichier de référence visé par la loi sur les fichiers de données à caractère personnel doit se rapporter uniquement à des activités de journalisme, et que les données traitées ne doivent pas être mises à la disposition de personnes qui ne se livrent pas à de telles activités. L’article 2 § 5 de la loi sur les données à caractère personnel avait pour but de maintenir la situation en vigueur concernant les dossiers journalistiques tenus par les médias, dans les limites autorisées par la directive sur la protection des données. Dès lors, on peut considérer qu’à cet égard la loi sur les données à caractère personnel a pour but de permettre et de garantir la liberté des activités de journalisme préalables à la publication d’informations.

L’expression « traitement de données à caractère personnel à des fins de journalisme » ne peut passer pour couvrir la publication à grande échelle du fichier journalistique de référence, pratiquement tel quel, sous la forme de catalogues, même si ceux-ci sont divisés en différentes parties et organisés par commune.

Étant donné que la divulgation à une telle échelle de données enregistrées équivaut à la divulgation de l’ensemble du dossier de référence tenu à des fins de journalisme par la société en cause, pareille mesure ne représente pas uniquement une manière d’exprimer des informations, des opinions ou des idées. Comme dit ci-dessus, dans l’optique de concilier les exigences de la liberté d’expression avec la protection de la vie privée, l’article 2 § 5 de la loi sur les données à caractère personnel autorise la collecte de données avant publication sans exiger le respect des conditions générales fixées à l’article 8 de la loi. En revanche, lorsque le traitement de données à caractère personnel recueillies dans le fichier de référence de la société consiste à publier ce fichier et à le mettre à la disposition du grand public, à l’échelle en cause en l’espèce et hors du champ d’application des exigences minimales fixées à l’article 2 § 5 de la loi, on ne saurait le considérer comme conforme au but de la loi sur les données à caractère personnel.

Un débat ouvert d’intérêt général, le contrôle de l’exercice du pouvoir dans la société et la liberté de critique, qui sont nécessaires dans une société démocratique, n’exigent pas la divulgation des données à caractère personnel concernant des personnes spécifiques selon les modalités et à l’échelle décrites ci-dessus. Eu égard également aux commentaires sur l’interprétation étroite de l’article 2 § 4 de la loi sur les données à caractère personnel et au fait qu’une interprétation littérale stricte de ces dispositions entraînerait une situation incompatible avec le but de la loi en ce qui concerne la protection des données à caractère personnel, le traitement de données à caractère personnel en vue de la publication de celles-ci dans le magazine Veropörssi, pour ce qui est du contenu même de la publication, n’a pas visé des fins de journalisme au sens de la loi sur les données à caractère personnel.

(...)

Eu égard aux articles 2 § 5 et 32 de la loi sur les données à caractère personnel et à l’article 9 de la directive sur la protection des données, tel qu’interprété par la Cour de justice des Communautés européennes dans sa décision préjudicielle, la collecte de données à caractère personnel avant leur publication dans le magazine Veropörssi et leur traitement dans le fichier de référence de la société Satakunnan Markkinapörssi Oy ne sauraient en tant que tels être considérés comme contraires à la réglementation concernant la protection des données à caractère personnel, sous réserve que, notamment, les données aient été correctement protégées. Cependant, pour ce qui est de l’ensemble des précisions données sur les modalités et l’ampleur du traitement ultérieur dont les données à caractère personnel contenues dans le fichier de référence ont fait l’objet dans le magazine Veropörssi, la société Satakunnan Markkinapörssi Oy s’est en fait livrée à un traitement de données à caractère personnel concernant des personnes physiques contraire à la loi sur les données à caractère personnel.

Remise des données sur un CD-ROM

Satakunnan Markkinapörssi Oy a remis à Satamedia Oy un CD-ROM contenant les données publiées, de sorte que celle-ci puisse mettre en place un service de SMS utilisant ces données. Comme indiqué ci-dessus, cette action s’analyse en un traitement de données à caractère personnel au sens de l’article 3 § 2 de la loi sur les données à caractère personnel.

Eu égard à la décision préjudicielle de la Cour de justice des Communautés européennes et à son effet sur l’interprétation de l’article 2 § 4 de la loi sur les données à caractère personnel, ainsi qu’à tout ce qui vient d’être dit sur le traitement des données à caractère personnel dans le magazine Veropörssi, la remise à Satamedia Oy de données à caractère personnel provenant des fichiers de référence de Satakunnan Markkinapörssi Oy, même si ces données ont été publiées dans le magazine Veropörssi, ne saurait être considérée comme un traitement de données à caractère personnel à des fins de journalisme au sens de la loi sur les données à caractère personnel. Le traitement de données à caractère personnel selon ces modalités ne peut pas davantage être considéré comme ayant été effectué à des fins de journalisme au sens de l’article 9 de la directive sur la protection des données. Dès lors, à cet égard également, la société Satakunnan Markkinapörssi Oy s’est livrée à un traitement de données à caractère personnel contraire à la loi sur les données à caractère personnel.

Traitement de données à caractère personnel en vue de la mise en place d’un service de SMS par Satamedia Oy

Comme indiqué ci-dessus dans la partie « En fait », Satamedia Oy a cédé les données à caractère personnel susmentionnées à une troisième société afin que celle‑ci gère un service de SMS au nom de Satamedia Oy.

Il a été souligné ci-dessus que Satakunnan Markkinapörssi Oy n’avait pas le droit, en vertu de la loi sur les données à caractère personnel, de traiter les données à caractère personnel en question en les remettant à Satamedia Oy. En conséquence, celle-ci n’avait pas non plus le droit, en vertu de la loi sur les données à caractère personnel, de traiter selon ces modalités les données reçues.

De plus, il découle de la décision préjudicielle de la Cour de justice des Communautés européennes que la dérogation prévue dans la directive sur la protection des données, qui concerne le traitement de données à caractère personnel à des fins de journalisme, exige que les données soient communiquées au public. Selon l’article 2 § 1 de la loi sur l’exercice de la liberté d’expression dans les médias de masse, le terme « le public » figurant dans cette loi renvoie à un groupe librement déterminé de destinataires d’un message. Or le service de SMS mis en place par Satamedia Oy implique que celle-ci traite des données à caractère personnel relatives à l’imposition d’individus spécifiques à la demande d’un autre individu. Partant, ce service ne porte pas sur la communication de données au public, comme expliqué ci-dessus, mais consiste à répondre à une demande d’un individu concernant les données personnelles relatives à un autre individu.

Un débat ouvert d’intérêt général, le contrôle de l’exercice du pouvoir dans la société et la liberté de critique, qui sont nécessaires dans une société démocratique, ne requièrent pas l’existence d’une possibilité de traiter les données à caractère personnel concernant des personnes spécifiques comme cela a été fait en l’espèce. La liberté d’expression n’exige aucune dérogation à la protection de la vie privée en pareil cas.

La Cour de justice des Communautés européennes a en outre déclaré dans sa décision préjudicielle que les modalités techniques utilisées pour le transfert d’informations n’avaient aucune importance s’agissant d’apprécier s’il y avait eu des activités entreprises uniquement à des fins de journalisme. En ce qui concerne le service de SMS géré par Satamedia Oy, la question de savoir si les données ont été transférées via des téléphones portables et des messages textuels est hors de propos. Dès lors, il ne s’agit pas de traiter ce mode de transmission de données différemment d’autres modes de transmission de données. L’appréciation serait la même si la société avait traité, sur la base d’une demande d’un individu, les données à caractère personnel d’un autre individu en utilisant un autre mode de transmission. »

C.  La deuxième procédure (2009 – 2012)

23.  À la suite de l’arrêt susmentionné de la Cour administrative suprême, le 26 novembre 2009, la commission de protection des données interdit à la première société requérante de traiter des données fiscales selon les mêmes modalités et à la même échelle qu’en 2002 et de les transmettre à un service de SMS. Elle considéra que la collecte de données à caractère personnel avant leur publication dans le magazine Veropörssi et leur traitement dans le fichier de référence de la première société requérante ne pouvaient être en tant que tels jugés contraires aux règles de protection des données, pour autant, notamment, que les informations en cause aient été convenablement protégées. Cependant, compte tenu des modalités de publication et de l’échelle à laquelle les données à caractère personnel du fichier de référence avaient été diffusées dans le magazine Veropörssi, elle estima que la première société requérante avait procédé à un traitement de données à caractère personnel concernant des personnes physiques qui contrevenait à la loi sur les données à caractère personnel. Elle interdit à la seconde société requérante de collecter, conserver ou transmettre à un service de SMS toute information extraite des fichiers de la première société requérante et publiée dans le magazine Veropörssi.

24.  Par une lettre datée du 15 décembre 2009, après que la commission de protection des données eut rendu sa décision, le médiateur chargé de la protection des données demanda aux sociétés requérantes d’indiquer quelles mesures elles envisageaient de prendre pour tenir compte de la décision de la commission. Dans leur réponse, les sociétés requérantes invitèrent le médiateur à leur indiquer dans quelles conditions, à son avis, elles pourraient continuer de publier, au moins dans une certaine mesure, des données fiscales publiques. Renvoyant à la décision rendue le 26 novembre 2009 par la commission de protection des données, le médiateur répondit que « la loi sur les données à caractère personnel [était] applicable à des données relatives à des revenus imposables rassemblées dans une base de données et publiées pratiquement telles quelles sous la forme de grands catalogues, (...) ». Il leur rappela qu’il avait pour obligation de signaler à la police toute atteinte à ladite loi.

25.  Par une lettre datée du 9 février 2010, les sociétés requérantes introduisirent un recours contre la décision de la commission de protection des données devant le tribunal administratif d’Helsinki, qui renvoya l’affaire devant le tribunal administratif de Turku. Dans leur recours, elles alléguaient que la décision violait l’interdiction constitutionnelle de la censure et qu’elle portait atteinte à leur liberté d’expression. Elles soutenaient que, selon le droit interne, il était impossible d’empêcher la publication d’informations sur la base de la quantité de données à publier ou des moyens utilisés à cet effet. Elles ajoutaient que la notion d’« intérêt général » ne pouvait être utilisée comme critère pour justifier une interdiction de publication quand une restriction préventive de la liberté d’expression était en cause, expliquant que cela reviendrait à permettre aux autorités d’interdire une publication dès lors qu’elles la jugeraient inapte à promouvoir le débat sur un sujet d’intérêt général.

26.  Le 28 octobre 2010, le tribunal administratif de Turku rejeta le recours des sociétés requérantes. Il indiqua que, dans son arrêt de 2009, la Cour administrative suprême avait précisé que l’affaire ne portait ni sur le caractère public des documents fiscaux ni sur le droit de publier les informations telles quelles. Il ajouta que, dès lors qu’il était appelé à examiner uniquement la décision prise en 2009 par la commission de protection des données, il ne pouvait pas considérer les questions que la Cour administrative suprême avait exclues du champ de son arrêt. Il conclut que, dans la mesure où la décision de la commission reflétait la teneur de l’arrêt de la Cour administrative suprême, il n’y avait aucune raison de la modifier.

27.  Par une lettre datée du 29 novembre 2010, les sociétés requérantes saisirent la Cour administrative suprême.

28.  Le 18 juin 2012, la Cour administrative suprême confirma la décision du tribunal administratif de Turku. Elle estima que l’affaire n’avait pour objet ni le droit de publier des informations fiscales telles quelles, ni la censure préventive.

D.  Développements ultérieurs

29.  Les sociétés requérantes ont informé la Cour qu’elles avaient mis fin au service de SMS en 2009, après que la décision de la Cour administrative suprême leur eut été signifiée. Selon elles, le magazine Veropörssi continua de publier des données fiscales au cours de l’automne 2009, mais le volume alors diffusé ne représentait plus qu’un cinquième de ce qui avait été publié précédemment. Le magazine n’aurait plus paru depuis lors. Le Gouvernement soutient en revanche qu’il ressort du site Internet des sociétés requérantes que le magazine Veropörssi a continué à paraître au niveau régional en 2010 et 2011. Il ajoute qu’il existait toujours un service Internet permettant à quiconque d’obtenir les données fiscales d’une personne physique donnée pour l’année 2014 en remplissant un formulaire sur le site en question. D’après le Gouvernement, les informations fiscales ainsi demandées étaient alors transmises au client par téléphone, SMS ou courrier électronique.

30.  Le rédacteur en chef du magazine Veropörssi saisit la Cour en 2010 d’une requête dans laquelle il alléguait que la décision litigieuse de la Cour administrative suprême avait porté atteinte à son droit à la liberté d’expression. La requête a été déclarée irrecevable pour incompatibilité ratione personae avec les dispositions de la Convention (Anttila c. Finlande (déc.), no 16248/10, 19 novembre 2013).

31.  La première requérante fut mise en faillite le 15 mars 2016. Le syndic de faillite ne s’opposa pas à la poursuite de la présente procédure devant la Cour (paragraphe 94 ci-dessous).

II.  LE DROIT ET LA PRATIQUE INTERNES PERTINENTS

A.  Les dispositions constitutionnelles

32.  L’article 10 de la Constitution finlandaise (Suomen perustuslaki, Finlands grundlag, loi no 731/1999), qui garantit le droit de chacun à la vie privée, se lit ainsi :

« La vie privée, l’honneur et l’inviolabilité du domicile de chacun sont garantis. La protection des données personnelles est réglementée plus précisément par la loi (...) »

33.  L’article 12 de la Constitution, qui consacre la liberté d’expression, est ainsi libellé :

« Toute personne jouit de la liberté d’expression. Cette liberté recouvre le droit de s’exprimer, de diffuser et de recevoir des informations, des opinions et d’autres messages, sans censure préalable de quiconque. Les modalités d’exercice de cette liberté sont précisées par la loi. Des restrictions à cette liberté peuvent être prévues par la loi relativement aux programmes audiovisuels lorsque pareilles mesures sont nécessaires à la protection des enfants. »

B.  La loi sur les données à caractère personnel

1.  Dispositions de la loi sur les données à caractère personnel

34.  Les dispositions pertinentes de la loi sur les données à caractère personnel (henkilötietolaki, personsuppgiftslagen, loi no 523/1999, telle qu’en vigueur à l’époque des faits) se lisaient ainsi :

« Section 1 : Dispositions générales

Article 1 – Objectifs

La présente loi vise à assurer, dans le cadre du traitement des données à caractère personnel, la protection de la vie privée et des autres droits fondamentaux qui sauvegardent l’intimité (...)

Article 2 – Champ d’application

1)  Sauf disposition contraire, la présente loi s’applique au traitement de données à caractère personnel.

2)  La présente loi s’applique au traitement automatisé de données à caractère personnel ainsi qu’à d’autres formes de traitement de telles données lorsque les données en question constituent ou sont appelées à constituer un fichier de données à caractère personnel ou une partie d’un tel fichier.

(...)

4)  Elle ne s’applique pas aux fichiers de données à caractère personnel contenant uniquement des informations publiées telles quelles par les médias.

5)  Sauf disposition contraire figurant à l’article 17, seuls les articles 1 à 4, 32, 39 § 3, 40 §§ 1 et 3, 42, 44 § 2, 45 à 47, 48 § 2, 50 et 51 de la présente loi s’appliquent, le cas échéant, au traitement de données à caractère personnel à des fins de journalisme ou à des fins d’expression littéraire ou artistique.

Article 3 – Définitions

Aux fins de la présente loi,

1)  L’expression donnée à caractère personnel désigne toute information relative à une personne privée et à ses caractéristiques personnelles ou aux particularités de sa situation, dès lors qu’il est établi que cette information se rapporte à cette personne physique ou aux membres de sa famille ou de son foyer ;

2)  L’expression traitement de données à caractère personnel recouvre la collecte, l’enregistrement, l’organisation, l’utilisation, le transfert, la diffusion, la conservation, la manipulation, l’interconnexion, la protection, la suppression et l’effacement de données à caractère personnel, ainsi que toute autre mesure appliquée à de telles données ;

3)  L’expression fichier de données à caractère personnel désigne un ensemble de données à caractère personnel, liées par une utilisation commune et faisant l’objet d’un traitement automatisé en tout ou en partie ou organisées sous forme de fiches, de répertoires ou sous une autre forme manuellement accessible, de sorte que les données relatives à une personne donnée puissent être extraites aisément et pour un coût raisonnable ;

4)  L’expression responsable du traitement désigne une ou plusieurs personnes, entreprises, institutions ou fondations pour l’usage desquelles un fichier de données à caractère personnel est établi et qui sont en droit de déterminer l’usage qui en sera fait, ou qui sont désignées comme responsables du traitement par une loi ;

5)  L’expression personne concernée désigne la personne visée par les données à caractère personnel ;

(...)

Article 32 – Sécurité des données

1)  Le responsable du traitement prend les mesures techniques et organisationnelles nécessaires en vue de protéger les données à caractère personnel contre les accès non autorisés, contre les destructions, manipulations, divulgations et transferts accidentels ou illégaux, et contre tout autre traitement illégal. (...)

(...)

Article 44 – Ordonnances de la commission de protection des données

À la demande du médiateur chargé de la protection des données, la commission de protection des données peut :

1)  interdire tout traitement de données à caractère personnel contrevenant aux dispositions de la présente loi ou de la réglementation dérivée ; (...)

(...)

3)  ordonner la cessation des opérations relatives au fichier concerné, si la conduite ou négligence illégale nuit gravement à la protection de la vie privée de la personne concernée, ou à ses intérêts ou droits, sous réserve que le fichier n’ait pas été institué par une loi ;

(...) »

35.  À la suite de l’arrêt rendu en 2008 par la CJUE en l’espèce (affaire Satakunnan Markkinapörssi Oy et Satamedia Oy, précitée), l’article 2 § 4 de la loi sur les données à caractère personnel fut abrogé par une loi adoptée le 3 décembre 2010.

36.  Le projet de loi HE 96/1998 vp fournit des informations générales relativement à la dérogation à des fins de journalisme prévue à l’article 2 § 5 de la loi sur les données à caractère personnel. La définition d’une base de données établie à des fins de journalisme a été modifiée par rapport à la loi précédente pour permettre la transposition de la directive sur la protection des données. Selon les travaux préparatoires, « une base de données établie à des fins de journalisme désigne une base de données destinée à être utilisée uniquement dans le cadre des activités de journalisme des médias et qui n’est pas accessible à d’autres personnes ». Le terme « médias » recouvre toutes les catégories de médias de masse, y compris les agences de presse et les agences photos dès lors qu’elles gèrent des bases de données contenant des données à caractère personnel dont elles se servent pour les activités de publication dans les médias ou pour leurs propres activités de publication. Les informations recueillies en vue d’être conservées dans une base de données à des fins de journalisme peuvent être utilisées uniquement dans le cadre d’une activité de journalisme, et non, par exemple, à des fins administratives ou commerciales. En outre, le cercle des utilisateurs de la base de données doit être limité afin que celle‑ci ne soit accessible qu’aux personnes intervenant dans l’activité de journalisme. Une base de données peut être constituée à des fins de journalisme par l’éditeur d’un journal, par un journaliste salarié ou par un journaliste indépendant par exemple.

2.  Exemples d’application de la loi sur les données à caractère personnel

37.  Dans une décision du 23 janvier 2015, le tribunal administratif d’Helsinki a estimé que les données fiscales publiques pouvaient être communiquées aux médias en grandes quantités et par voie électronique. Il a toutefois ajouté que ni la liberté d’expression en tant que droit fondamental ni les travaux préparatoires à la législation sur la publicité des données fiscales et l’accès à ces données ne venaient appuyer une interprétation de la loi selon laquelle le demandeur dans cette affaire – le représentant d’une entreprise de médias qui avait sollicité des données relatives à 5,2 millions de personnes (toutes les personnes physiques ayant des revenus supérieurs à un euro en Finlande) – était en droit d’obtenir ces données par voie électronique à des fins de journalisme.

38.  En revanche, dans son avis du 5 juillet 2013 adressé à un demandeur dans une autre affaire, le médiateur chargé de la protection des données a estimé que l’entreprise de médias en question (Helsingin Sanomat) avait procédé à un traitement de données à des fins de journalisme qui, eu égard à sa nature et son ampleur, relevait de la dérogation prévue à l’article 2 § 5. Le médiateur a relevé que cette société avait publié non pas l’intégralité du fichier de données à caractère personnel qu’elle avait constitué à des fins de journalisme mais uniquement des données concernant un groupe limité de 10 000 personnes considérées comme les personnes les plus fortunées de Finlande. Il a ajouté que les données publiées étaient accompagnées d’articles et de présentations de certaines des personnes visées.

C.  La loi sur la publication et la confidentialité des informations fiscales

39.  Les articles 1 à 3 de la loi sur la publication et la confidentialité des informations fiscales (laki verotustietojen julkisuudesta ja salassapidosta, lagen om offentlighet och sekretess i fråga om beskattningsuppgifter, loi no 1346/1999), sont ainsi libellés :

« Article 1 – Champ d’application de la loi

La présente loi s’applique aux documents relatifs aux contribuables qui sont soumis à l’administration fiscale ou préparés par celle-ci (documents fiscaux) et aux informations qu’ils contiennent (informations fiscales). Les dispositions concernant les contribuables dans la présente loi s’appliquent à toute autre personne devant fournir des informations ainsi qu’aux communautés fiscales.

(...)

Article 2 – Relation avec d’autres dispositions

Les dispositions de la loi sur la transparence des activités publiques (loi no 621/1999) et de la loi sur les données à caractère personnel (loi no 523/1199) s’appliquent aux informations et documents fiscaux, sauf disposition législative contraire.

Article 3 – Divulgation au public des informations fiscales et droit d’accès à ces informations

Les informations fiscales sont publiques dans la mesure prévue par la présente loi.

Toute personne est en droit d’obtenir des informations sur un document fiscal public en possession de l’administration fiscale selon les modalités prévues par la loi sur la transparence des activités publiques, sauf si la présente loi en dispose autrement. »

40.  D’après l’article 5 de la loi, les informations ayant trait au nom, à l’année de naissance et à la commune de résidence du contribuable sont publiques, ainsi que les données suivantes :

« 1)  le revenu du travail imposable au titre de l’impôt national ;

2)  le revenu du capital et le patrimoine imposables au titre de l’impôt national ;

3)  le revenu imposable au titre des impôts locaux ;

4)  l’impôt sur le revenu et sur le patrimoine, les impôts locaux et le montant total des impôts et taxes ;

5)  le montant total des retenues fiscales ;

6) le montant de l’impôt à payer ou à rembourser déterminé lors du calcul définitif pour l’année fiscale considérée.

(...)

Les informations susmentionnées dans le présent article peuvent être divulguées, telles qu’elles sont valables au moment de l’imposition, au début du mois de novembre suivant l’année fiscale considérée. »

41.  Il ressort des travaux préparatoires relatifs à l’article 5 de la loi que les données visées par celui-ci relèvent de la réglementation spéciale prévue à l’article 16 § 3 de la loi sur la transparence des activités publiques. Ces travaux préparatoires indiquent également que la loi sur les données à caractère personnel ne limite pas la collecte d’informations à des fins de journalisme. Ainsi, il est possible de communiquer aux médias à des fins de journalisme des données visées à l’article 5, sous réserve que les règles sur la confidentialité n’imposent pas de restrictions.

D.  La loi sur la transparence des activités publiques

42.  L’article 1 § 1 de la loi sur la transparence des activités publiques (laki viranomaisten toiminnan julkisuudesta, lagen om offentlighet i myndigheternas verksamhet, loi no 621/1999) se lit ainsi :

« Tout document officiel est public, sauf si la présente loi ou une autre loi en dispose autrement. »

43.  Aux termes de l’article 3 de la loi :

« Le droit d’accès et les obligations imposées aux autorités par la présente loi visent à promouvoir la transparence et les bonnes pratiques en matière de gestion de l’information au sein du gouvernement et à donner aux personnes physiques et morales la possibilité de contrôler l’exercice de la puissance publique et l’utilisation des ressources publiques, de se former librement une opinion, d’influer sur l’exercice de la puissance publique et de protéger leurs droits et intérêts. »

44.  L’article 9 de la loi dispose que toute personne a le droit de prendre connaissance d’un document officiel dans le domaine public.

45.  L’article 13 § 2 de la loi est ainsi libellé :

« Quiconque demande l’accès à un document secret, à un fichier de données à caractère personnel contrôlé par une autorité ou à tout autre document accessible uniquement à certaines conditions doit indiquer, sauf disposition spécifique contraire, l’utilisation qui sera faite des informations, et donner toute autre précision nécessaire pour déterminer si les conditions d’accès sont remplies et, le cas échéant, expliquer quelles dispositions ont été prises pour la protection des informations. »

46.  Aux termes de l’article 16 §§ 1-3 de la loi,

« Une autorité peut donner accès à un document officiel en expliquant oralement son contenu au demandeur, ou en lui mettant le document à disposition dans ses locaux où il pourra le consulter, le recopier ou l’écouter, ou encore en le lui délivrant sous la forme d’une copie ou d’un tirage imprimé. L’accès aux informations publiques figurant dans le document sera accordé selon les modalités requises par le demandeur, sous réserve que cela ne gêne pas indûment l’activité de l’autorité du fait du volume des documents, de la difficulté inhérente à leur reproduction ou de toute autre raison du même ordre.

Une autorité peut donner accès aux informations publiques figurant dans un registre informatisé de ses décisions en en réalisant une copie sur un support magnétique ou sous une autre forme électronique, sauf si une raison spéciale s’y oppose. L’autorité a toute discrétion pour accorder un accès similaire aux informations figurant dans les autres documents officiels, sauf disposition législative contraire. (...)

Une autorité peut donner accès à un fichier de données à caractère personnel sous la forme d’une photocopie ou d’un tirage imprimé, ou communiquer les données sous forme électronique, sauf disposition législative contraire, si la personne demandant l’accès est habilitée, en vertu des dispositions concernant la protection des données à caractère personnel, à conserver ces données et à les utiliser. Toutefois, l’accès à de telles données ne peut être accordé à des fins de marketing direct, de sondages ou d’études de marché, à moins que la loi le prévoie expressément ou que la personne concernée ait donné son consentement. »

47.  L’article 21 § 1 de la loi dispose :

« Sur demande, une autorité peut compiler et communiquer un ensemble de données formé de signes contenus dans un ou plusieurs systèmes informatisés de gestion de données et conservés à des fins diverses, si, eu égard aux critères de recherche utilisés, au volume ou à la qualité des données ou à l’utilisation prévue de l’ensemble des données, cette communication n’est pas contraire aux dispositions sur le secret des documents et sur la protection des données à caractère personnel. »

48.  Dans les travaux préparatoires relatifs à la loi (projet de loi HE 30/1998 vp., p. 48), il est expressément énoncé que l’accès aux informations et la diffusion de celles-ci relèvent de régimes juridiques distincts, quoique liés en ce que l’accès aux documents officiels facilite et soutient l’activité et la fonction des médias dans la société. Le fait qu’un document soit dans le domaine public – dans le sens où il est publiquement accessible – ne signifie pas automatiquement qu’il soit légal de publier des informations figurant dans un tel document si celles-ci concernent la vie privée d’une personne (projet de loi HE 184/1999 vp., p. 32). Ainsi, par exemple, l’accès du public à des procès-verbaux judiciaires ne donne pas en soi à une personne consultant ces informations l’autorisation légale de les publier ou de les diffuser plus avant, si cette publication ou diffusion entraîne une ingérence dans le droit à la vie privée des personnes concernées (voir le projet de loi HE 13/2006 vp., p. 15).

E.  Instructions de l’administration fiscale

49.  D’après les instructions émises par l’administration fiscale (verohallinto, skatteförvaltningen), toute personne peut consulter les informations sur les revenus et le patrimoine imposables des personnes physiques dans les centres locaux des impôts. Avant 2010, ces données se présentaient en version imprimée, mais elles sont à présent disponibles en version numérique sur des terminaux mis à disposition des demandeurs. À l’époque des faits, seuls les journalistes pouvaient accéder à ces informations sous format numérique. Les données ainsi rendues publiques peuvent uniquement être consultées, retranscrites sous forme de notes et photographiées. Il est techniquement impossible de les imprimer ou de les copier sur des clés USB ou d’autres supports, ainsi que d’en faire une copie numérique et de les envoyer par courriel. Des extraits des listes peuvent être obtenus pour 10 euros chacun. Les données peuvent également être transmises par téléphone mais elles ne sont pas disponibles sur Internet.

50.  Autrefois, les listes relatives aux personnes physiques étaient compilées commune par commune, mais à présent elles le sont sur une base régionale. En conséquence, les informations sur la commune de résidence d’un contribuable n’apparaissent plus dans les données publiques.

51.  Depuis 2000, l’administration fiscale peut communiquer à des fins de journalisme des données en version numérique, moyennant paiement. Toute personne sollicitant de telles données à des fins de journalisme doit préciser à quelles fins elle souhaite les utiliser, et déclarer que « les informations sont sollicitées à des fins de journalisme » et qu’elles « ne seront pas publiées telles quelles sous forme de liste » en cochant une case à côté de la phrase correspondante. Le formulaire de demande inclut ce champ d’information depuis 2001.

52.  Depuis 2013, la commande de telles données est gratuite, mais en même temps les autorités fiscales ont introduit des conditions additionnelles à l’extraction de telles données interdisant explicitement de solliciter l’intégralité de la base de données. La quantité de données accessibles gratuitement et en version électronique est limitée à 10 000 personnes maximum pour l’ensemble du pays ou à 5 000 personnes au plus pour une région spécifique. Si les données sont demandées sur la base des revenus, la limite est fixée à 70 000 euros minimum s’agissant du revenu du travail et à 50 000 euros au moins s’agissant du revenu du capital, que ce soit pour l’ensemble du pays ou pour une région spécifique. Pour effectuer la commande, il suffit de remplir un formulaire numérique disponible sur le site web de l’administration fiscale (www.vero.fi).

F.  Autorégulation des journalistes et des éditeurs

53.  Des lignes directrices à l’intention des journalistes ((Journalistin ohjeet, Journalistreglerna) ont été élaborées à des fins d’autorégulation.

54.  Les lignes directrices de 1992, qui étaient en vigueur à l’époque des faits, énonçaient au point 29 :

« Les principes relatifs au droit à la vie privée s’appliquent également à la publication d’informations provenant de documents publics ou d’autres sources publiques. L’accessibilité au public de certaines informations ne signifie pas nécessairement que celles-ci peuvent être librement publiées. »

Les mêmes principes ont été réitérés dans les versions de 2005 et de 2011 des lignes directrices, ainsi que dans la version de 2014 actuellement en vigueur (point 30).

III.  NORMES PERTINENTES DE L’UNION EUROPÉENNE ET ÉLÉMENTS DE DROIT INTERNATIONAL ET COMPARÉ

A.  Droit de l’Union européenne

1.  La Charte des droits fondamentaux de l’Union européenne

55.  L’article 8 §§ 1 et 2 de la Charte se lit ainsi :

« Protection des données à caractère personnel

1.  Toute personne a droit à la protection des données à caractère personnel la concernant.

2.  Ces données doivent être traitées loyalement, à des fins déterminées et sur la base du consentement de la personne concernée ou en vertu d’un autre fondement légitime prévu par la loi. Toute personne a le droit d’accéder aux données collectées la concernant et d’en obtenir la rectification. »

56.  L’article 11 de la Charte est ainsi libellé :

« Liberté d’expression et d’information

1.  Toute personne a droit à la liberté d’expression. Ce droit comprend la liberté d’opinion et la liberté de recevoir ou de communiquer des informations ou des idées sans qu’il puisse y avoir ingérence d’autorités publiques et sans considération de frontières.

2.  La liberté des médias et leur pluralisme sont respectés. »

57.  L’article 52 § 3 de la Charte dispose que, dans la mesure où la Charte contient des droits correspondant à des droits garantis par la Convention, leur sens et leur portée sont les mêmes que ceux que leur confère celle-ci. Cette disposition ne fait pas obstacle à ce que le droit de l’Union accorde une protection plus étendue.

58.  Selon les explications relatives à la Charte, l’article 8 de celle-ci se fonde notamment sur l’article 8 de la Convention et sur la Convention du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel du 28 janvier 1981 (« la Convention sur la protection des données »), laquelle a été ratifiée par tous les États membres de l’Union européenne. De même, il est précisé que l’article 11 de la Charte correspond à l’article 10 de la Convention.

2.  La directive 95/46/CE sur la protection des données

59.  L’article 1 § 1 de la directive précise que celle-ci a pour objet d’assurer la protection des libertés et droits fondamentaux des personnes physiques, notamment de leur vie privée, à l’égard du traitement des données à caractère personnel. Le considérant 11 du préambule indique que les principes de la protection des droits et des libertés des personnes, notamment du droit à la vie privée, contenus dans la directive précisent et amplifient ceux qui sont contenus dans la convention susmentionnée sur la protection des données.

60.  Les données à caractère personnel sont définies à l’article 2 a) comme toute information concernant une personne physique identifiée ou identifiable. Le traitement de données à caractère personnel recouvre « toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction » (article 2 b)). Le « responsable du traitement » au sens de la directive est la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement de données à caractère personnel (article 2 d)) tandis que le « sous-traitant » est la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement (article 2 e)).

61.  D’après l’article 3 § 1, la directive s’applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu’au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier.

62.  Il appartient aux États membres, dans les limites des dispositions du chapitre II de la directive, de préciser les conditions dans lesquelles les traitements de données à caractère personnel sont licites (article 5). À cet égard, l’article 7 de la directive énonce notamment que la personne concernée doit avoir indubitablement donné son consentement, que le traitement en question doit être nécessaire à l’exécution d’une mission d’intérêt public ou qu’il doit être nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable du traitement. Des dérogations sont possibles dans des circonstances bien définies.

63.  L’article 9 de la directive, intitulé « Traitements de données à caractère personnel et liberté d’expression » se lit ainsi :

« Les États membres prévoient, pour les traitements de données à caractère personnel effectués aux seules fins de journalisme ou d’expression artistique ou littéraire, des exemptions et dérogations au présent chapitre [II], au chapitre IV et au chapitre VI dans la seule mesure où elles s’avèrent nécessaires pour concilier le droit à la vie privée avec les règles régissant la liberté d’expression. »

64.  À cet égard, le considérant 37 du préambule de la directive est libellé comme suit :

« Considérant que le traitement de données à caractère personnel à des fins de journalisme ou d’expression artistique ou littéraire, notamment dans le domaine audiovisuel, doit bénéficier de dérogations ou de limitations de certaines dispositions de la présente directive dans la mesure où elles sont nécessaires à la conciliation des droits fondamentaux de la personne avec la liberté d’expression, et notamment la liberté de recevoir ou de communiquer des informations, telle que garantie notamment à l’article 10 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales ; qu’il incombe donc aux États membres, aux fins de la pondération entre les droits fondamentaux, de prévoir les dérogations et limitations nécessaires en ce qui concerne les mesures générales relatives à la légalité du traitement des données, les mesures relatives au transfert des données vers des pays tiers ainsi que les compétences des autorités de contrôle, sans qu’il y ait lieu toutefois de prévoir des dérogations aux mesures visant à garantir la sécurité du traitement ; qu’il conviendrait également de conférer au moins à l’autorité de contrôle compétente en la matière certaines compétences a posteriori, consistant par exemple à publier périodiquement un rapport ou à saisir les autorités judiciaires. »

65.  L’article 28 §§ 1 et 3 de la directive énonce que chaque État membre prévoit qu’une ou plusieurs autorités publiques sont chargées de surveiller l’application, sur son territoire, des dispositions adoptées par les États membres en application de la directive. Chaque autorité ainsi établie dispose notamment du pouvoir d’ester en justice en cas de violation des dispositions nationales prises en application de la directive ou du pouvoir de porter ces violations à la connaissance de l’autorité judiciaire. Les décisions de l’autorité de contrôle faisant grief peuvent faire l’objet d’un recours juridictionnel.

66.  Les articles 22 et 23 de la directive prévoient, respectivement, que toute personne dispose d’un recours juridictionnel en cas de violation des droits qui lui sont garantis par les dispositions nationales applicables au traitement en question et que toute personne ayant subi un dommage du fait d’un traitement illicite ou de toute action incompatible avec les dispositions nationales prises en application de la directive a le droit d’obtenir réparation du préjudice subi.

3.  Le règlement (UE) 2016/679

67.  Le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016 L 119/1), est entré en vigueur le 24 mai 2016. Il abrogera la directive 95/46/CE à compter du 25 mai 2018 (article 99).

68.  Les considérants 4, 6, 9 et 153 du préambule du nouveau règlement se lisent ainsi :

« –  Le traitement des données à caractère personnel devrait être conçu pour servir l’humanité. Le droit à la protection des données à caractère personnel n’est pas un droit absolu ; il doit être considéré par rapport à sa fonction dans la société et être mis en balance avec d’autres droits fondamentaux, conformément au principe de proportionnalité (...) (considérant 4) ;

(...)

–  L’évolution rapide des technologies et la mondialisation ont créé de nouveaux enjeux pour la protection des données à caractère personnel. L’ampleur de la collecte et du partage de données à caractère personnel a augmenté de manière importante. Les technologies permettent tant aux entreprises privées qu’aux autorités publiques d’utiliser les données à caractère personnel comme jamais auparavant dans le cadre de leurs activités (considérant 6) ;

(...)

–  Si elle demeure satisfaisante en ce qui concerne ses objectifs et ses principes, la directive 95/46/CE n’a pas permis d’éviter une fragmentation de la mise en œuvre de la protection des données dans l’Union, une insécurité juridique ou le sentiment, largement répandu dans le public, que des risques importants pour la protection des personnes physiques subsistent, en particulier en ce qui concerne l’environnement en ligne. (...) (considérant 9) ;

(...)

–  Le droit des États membres devrait concilier les règles régissant la liberté d’expression et d’information, y compris l’expression journalistique, universitaire, artistique ou littéraire, et le droit à la protection des données à caractère personnel en vertu du présent règlement. Dans le cadre du traitement de données à caractère personnel uniquement à des fins journalistiques (...) il y a lieu de prévoir des dérogations ou des exemptions à certaines dispositions du présent règlement si cela est nécessaire pour concilier le droit à la protection des données à caractère personnel et le droit à la liberté d’expression et d’information, consacré par l’article 11 de la Charte. (...) Pour tenir compte de l’importance du droit à la liberté d’expression dans toute société démocratique, il y a lieu de retenir une interprétation large des notions liées à cette liberté, telles que le journalisme (considérant 153). »

69.  L’article 85 du règlement, destiné à remplacer l’article 9 de la directive qui prévoit des dérogations à des fins de journalisme, est ainsi libellé :

« 1.  Les États membres concilient, par la loi, le droit à la protection des données à caractère personnel au titre du présent règlement et le droit à la liberté d’expression et d’information, y compris le traitement à des fins journalistiques et à des fins d’expression universitaire, artistique ou littéraire.

2.  Dans le cadre du traitement réalisé à des fins journalistiques ou à des fins d’expression universitaire, artistique ou littéraire, les États membres prévoient des exemptions ou des dérogations au chapitre II (principes), au chapitre III (droits de la personne concernée), au chapitre IV (responsable du traitement et sous-traitant), au chapitre V (transfert de données à caractère personnel vers des pays tiers ou à des organisations internationales), au chapitre VI (autorités de contrôle indépendantes), au chapitre VII (coopération et cohérence) et au chapitre IX (situations particulières de traitement) si celles-ci sont nécessaires pour concilier le droit à la protection des données à caractère personnel et la liberté d’expression et d’information. »

4.  La jurisprudence de la CJUE concernant la protection des données et la liberté d’expression

70.  La CJUE a dit à de nombreuses reprises que les dispositions de la directive 95/46 sur la protection des données, en ce qu’elles régissent le traitement de données à caractère personnel susceptibles de porter atteinte aux libertés fondamentales et, en particulier, au droit à la vie privée, doivent nécessairement être interprétées à la lumière des droits fondamentaux garantis par la Convention et par la Charte (voir, notamment, Österreichischer Rundfunk et autres, C-465/00, C-138/01 et C‑139/01, EU:C:2003:294, arrêt du 20 mai 2003, § 68 ; Google Spain et Google, C‑131/12, EU:C:2014:317, arrêt du 13 mai 2014, § 68 ; et Ryneš, C-212/13, EU:C:2014:2428, arrêt du 11 décembre 2014, § 29).

71.  Vu l’importance de la directive 95/46 pour la mise en balance des droits fondamentaux à la vie privée et à la liberté d’expression en cause devant les autorités finlandaises compétentes et les juridictions internes en l’espèce, la jurisprudence de la CJUE en matière de protection des données est exposée en détail ci-dessous.

72.  L’affaire Österreichischer Rundfunk précitée portait sur une législation nationale qui obligeait un organe de contrôle étatique, la Cour des comptes, à collecter et à communiquer aux fins de publication des données concernant les revenus des personnes employées par des entités soumises à ce contrôle, dès lors que ces revenus excédaient un certain plafond. La collecte et la publication de ces informations avaient pour but d’exercer une pression sur les entités publiques pour qu’elles maintiennent les salaires dans des limites raisonnables. La CJUE a estimé que si la simple mémorisation par l’employeur de données nominatives relatives à la rémunération versée à son personnel pouvait, comme telle, constituer une ingérence dans la vie privée, la communication de ces données à des tiers, en l’occurrence à une autorité publique, portait atteinte au droit au respect de la vie privée des intéressés, quelle que fût l’utilisation ultérieure des informations ainsi communiquées, et présentait le caractère d’une ingérence au sens de l’article 8 de la Convention. Citant l’affaire Amann c. Suisse ([GC], no 27798/95, § 70, CEDH 2000‑II), la CJUE a ajouté que, pour établir l’existence d’une telle ingérence, il importait peu que les informations communiquées présentent ou non un caractère sensible ou que les intéressés aient ou non subi d’éventuels inconvénients en raison de cette ingérence (§§ 74-75). Enfin, elle a conclu que l’ingérence qui découlait de l’application de la réglementation autrichienne en cause ne pouvait être justifiée au regard de l’article 8 § 2 de la Convention que dans la mesure où la large divulgation non seulement du montant des revenus annuels, lorsque ceux-ci excédaient un certain plafond, des personnes employées par des entités soumises au contrôle de la Cour des comptes, mais aussi des noms des bénéficiaires de ces revenus, était à la fois nécessaire et appropriée à l’objectif de maintenir les salaires dans des limites raisonnables, ce qu’il incombait aux juridictions nationales d’examiner (§ 90). Quant à la proportionnalité et à la gravité de l’ingérence, elle a souligné qu’il n’était pas exclu que les personnes concernées pussent être lésées du fait des répercussions négatives de la publicité attachée à leurs revenus professionnels (§ 89).

73.  Dans l’affaire Lindqvist (arrêt du 6 novembre 2003, C-101/01, EU:C:2003:596), la CJUE a estimé que l’opération consistant à faire référence, sur une page Internet, à diverses personnes et à les identifier soit par leur nom, soit par d’autres moyens, par exemple en donnant leur numéro de téléphone ou des informations relatives à leurs conditions de travail et à leurs passe-temps, constituait un traitement de données à caractère personnel, automatisé en tout ou en partie, au sens de l’article 3 § 1 de la directive sur la protection des données. Relevant que la directive avait pour objectifs non seulement la libre circulation de ces données entre États membres, mais également la sauvegarde des droits fondamentaux des personnes, et que ces objectifs pouvaient entrer en conflit, elle a précisé que les mécanismes permettant de mettre en balance ces différents droits et intérêts, d’une part, étaient inscrits dans la directive elle-même, et, d’autre part, résultaient de l’adoption, par les États membres, de dispositions nationales assurant la transposition de cette directive et de l’éventuelle application de celles-ci par les autorités nationales (§§ 79-82). Elle a ajouté que les dispositions de la directive ne comportaient pas, en elles-mêmes, une restriction contraire au principe général de la liberté d’expression ou à d’autres droits et libertés applicables dans l’Union européenne et correspondant notamment au droit prévu à l’article 10 de la Convention. Selon la CJUE, il appartenait aux autorités et aux juridictions nationales chargées d’appliquer la réglementation nationale transposant la directive 95/46 d’assurer un juste équilibre des droits et intérêts en cause, y compris les droits fondamentaux protégés par l’ordre juridique de l’UE » (§§ 83-90).

74.  Dans l’affaire Volker und Markus Schecke GbR (arrêt du 9 novembre 2010, C-92/09 et C-93/09, EU:C:2010:662), la CJUE a estimé que l’obligation imposée par les réglementations de l’Union européenne de publier sur l’internet des informations relatives aux bénéficiaires d’aides de fonds de développement agricole et rural, y compris les noms des intéressés et les montants perçus, constituait une atteinte injustifiée à leur droit fondamental à la protection de leur données à caractère personnel. Renvoyant aux arrêts Amann (précité) et Rotaru c. Roumanie ([GC], no 28341/95, CEDH 2000‑V), elle a souligné que la nature professionnelle des activités auxquelles les données se référaient n’entraînait pas l’absence d’un droit à la vie privée. Pour la CJUE, le fait que les bénéficiaires des fonds avaient été informés que les données les concernant pouvaient être rendues publiques ne suffisaient pas à établir qu’ils avaient donné leur consentement à la publication. Quant à la proportionnalité de l’ingérence dans le droit à la vie privée, la CJUE a estimé qu’il n’apparaissait pas que les institutions de l’Union européenne eussent effectué une pondération équilibrée entre, d’une part, l’objectif d’intérêt général de la transparence dans l’utilisation de fonds publics et, d’autre part, les droits reconnus aux personnes physiques par les articles 7 et 8 de la Charte. Eu égard au fait que les dérogations à la protection des données à caractère personnel et les limitations de celle-ci devaient s’opérer dans les limites du strict nécessaire et qu’il était concevable de mettre en œuvre des mesures portant des atteintes moins importantes pour les personnes physiques audit droit fondamental tout en contribuant de manière efficace aux objectifs de la réglementation de l’Union en cause, la CJUE a conclu que cette réglementation avaient excédé les limites qu’imposait le respect du principe de proportionnalité et l’a donc invalidée.

75.  Dans l’affaire Google Spain précitée, la CJUE a estimé que les opérations menées par l’exploitant d’un moteur de recherche devaient être qualifiées de « traitements de données » au sens de la directive sur la protection des données, sans que cette constatation ne fût infirmée par le fait que ces données avaient déjà fait l’objet d’une publication sur Internet et n’avaient pas été modifiées par le moteur de recherche. Elle a précisé que, dans la mesure où l’activité d’un moteur de recherche était susceptible d’affecter significativement les droits fondamentaux de la vie privée et de la protection des données à caractère personnel, l’exploitant de ce moteur devait assurer que l’activité en cause satisfaisait aux exigences de la directive pour que les garanties prévues par celle-ci pussent développer leur plein effet et qu’une protection efficace et complète des personnes concernées, notamment de leur droit au respect de leur vie privée, pût effectivement être réalisée. En ce qui concerne la dérogation figurant à l’article 9 de la directive, si la CJUE n’a pas exclu que le traitement de données à caractère personnel par l’éditeur d’une page web pût, le cas échéant, être effectué « aux seules fins de journalisme » et ainsi bénéficier de cette dérogation, elle a jugé que tel n’apparaissait pas être le cas s’agissant du traitement effectué par l’exploitant d’un moteur de recherche. La CJUE a ajouté que l’incompatibilité avec la directive pouvait résulter non seulement du fait que ces données étaient inexactes, mais aussi, en particulier, « du fait qu’elles [étaient] inadéquates, non pertinentes ou excessives au regard des finalités du traitement, qu’elles [n’étaient] pas mises à jour ou qu’elles [étaient] conservées pendant une durée excédant celle nécessaire, à moins que leur conservation s’impose à des fins historiques, statistiques ou scientifiques » (§ 92).

76.  Dans l’affaire Schrems (arrêt du 6 octobre 2015 (Grande Chambre), C‑362/14, EU:C:2015:650, §§ 41-42), la CJUE a précisé que les autorités nationales de contrôle devaient, notamment, assurer un juste équilibre entre, d’une part, le respect du droit fondamental à la vie privée et, d’autre part, les intérêts qui commandent une libre circulation des données à caractère personnel. Selon la CJUE, une réglementation ne prévoyant aucune possibilité pour le justiciable d’exercer des voies de droit afin d’avoir accès à des données à caractère personnel le concernant, ou d’obtenir la rectification ou la suppression de telles données, ne respectait pas le contenu essentiel du droit fondamental à une protection juridictionnelle effective, tel que consacré à l’article 47 de la Charte (§ 95).

77.  Plus récemment, dans l’affaire Tele2 Sverige (21 décembre 2016, C‑203/15, EU:C:2016:970), dans lequel elle était appelée à interpréter un règlement européen concernant le traitement de données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, dont les dispositions précisaient et complétaient la directive 95/46 (§ 82), la CJUE a déclaré au paragraphe 93 de l’arrêt :

« Ainsi, l’importance tant du droit au respect de la vie privée, garanti à l’article 7 de la Charte, que du droit à la protection des données à caractère personnel, garanti à l’article 8 de celle‑ci, telle qu’elle ressort de la jurisprudence de la Cour (...), doit être prise en compte lors de l’interprétation de l’article 15, paragraphe 1, de la directive 2002/58. Il en va de même du droit à la liberté d’expression eu égard à l’importance particulière que revêt cette liberté dans toute société démocratique. Ce droit fondamental, garanti à l’article 11 de la Charte, constitue l’un des fondements essentiels d’une société démocratique et pluraliste, faisant partie des valeurs sur lesquelles est, conformément à l’article 2 TUE, fondée l’Union (...) »

78.  Dans l’affaire Connolly c. Commission (arrêt du 6 mars 2001, C‑274/99 P, EU:C:2001:127), qui impliquait le droit à la liberté d’expression d’un fonctionnaire de l’Union européenne et les restrictions qui y avaient été apportées, la CJUE s’est exprimée ainsi aux paragraphes 37-42 :

« (...) [L]es droits fondamentaux font partie intégrante des principes généraux du droit dont la Cour assure le respect. À cet effet, la Cour s’inspire des traditions constitutionnelles communes aux États membres ainsi que des indications fournies par les instruments internationaux concernant la protection des droits de l’homme auxquels les États membres ont coopéré ou adhéré. La CEDH revêt, à cet égard, une signification particulière (...)

Ainsi que la Cour des droits de l’homme l’a jugé, « la liberté d’expression constitue l’un des fondements essentiels [d’une société démocratique], l’une des conditions primordiales de son progrès et de l’épanouissement de chacun. Sous réserve du paragraphe 2 de l’article 10 [de la CEDH], elle vaut non seulement pour les « informations » ou « idées » accueillies avec faveur ou considérées comme inoffensives ou indifférentes, mais aussi pour celles qui heurtent, choquent ou inquiètent : ainsi le veulent le pluralisme, la tolérance et l’esprit d’ouverture sans lesquels il n’est pas de « société démocratique » » (Cour eur. D. H., arrêts Handyside c. Royaume-Uni du 7 décembre 1976, série A no 24, § 49, Müller et autres, arrêt du 24 mai 1988, série A no 133, § 33, et Vogt c. Allemagne, arrêt du 26 septembre 1995, série A no 323, § 52).

(...)

Ces restrictions [prévues à l’article 10 § 2 de la Convention] appellent toutefois une interprétation étroite. Selon la Cour des droits de l’homme, l’adjectif « nécessaire », au sens de l’article 10, paragraphe 2, implique un « besoin social impérieux » et, si « [l]es États contractants jouissent d’une certaine marge d’appréciation pour juger de l’existence d’un tel besoin », l’ingérence doit être « proportionnée au but légitime poursuivi » et « les motifs invoqués par les autorités nationales pour la justifier » doivent être « pertinents et suffisants » (voir, notamment, Vogt c. Allemagne, précité, § 52 ; Wille c. Liechtenstein, arrêt du 28 octobre 1999, requête no 28396/95, § 61 à § 63). En outre, toute restriction préalable requiert un examen particulier (voir arrêt Wingrove c. Royaume-Uni du 25 novembre 1996, Recueil des arrêts et décisions 1996-V, p. 1957, § 58 et § 60).

(...)

Par ailleurs, les restrictions doivent être prévues par des dispositions normatives libellées de façon suffisamment précise pour permettre aux intéressés de régler leur conduite en s’entourant au besoin de conseils éclairés (voir Cour eur. D. H., arrêt Sunday Times c. Royaume-Uni du 26 avril 1979, série A no 30, § 49). »

79.  Dans l’affaire Philip Morris (arrêt du 4 mai 2016, C-547/14, EU:C:2016:325, § 147), la CJUE a confirmé la corrélation existant entre l’article 10 de la Convention et l’article 11 de la Charte :

« L’article 11 de la Charte consacre la liberté d’expression et d’information. Cette liberté est également protégée conformément à l’article 10 de la Convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, signée à Rome le 4 novembre 1950, qui s’applique en particulier, ainsi qu’il ressort de la jurisprudence de la Cour européenne des droits de l’homme, à la diffusion par un entrepreneur des informations à caractère commercial, notamment sous la forme de messages publicitaires. Or, la liberté d’expression et d’information prévue à l’article 11 de la Charte ayant, ainsi qu’il ressort de l’article 52, paragraphe 3, de la Charte et des explications relatives à celle-ci en ce qui concerne son article 11, le même sens et la même portée que cette liberté garantie par la CEDH, il convient de considérer que ladite liberté couvre l’utilisation, par un entrepreneur, sur les emballages et les étiquettes des produits du tabac, de mentions telles que celles faisant l’objet de l’article 13, paragraphe 1, de la directive 2014/40. »

B.  Instruments internationaux pertinents et éléments de droit comparé

1.  Documents du Conseil de l’Europe

80.  Adoptée sous l’égide du Conseil de l’Europe, la convention sur la protection des données formule un certain nombre de principes fondamentaux relatifs à la collecte et au traitement des données à caractère personnel. Aux termes de son article 1, le but cet instrument est de garantir à toute personne physique le respect de ses droits et de ses libertés fondamentales, et notamment de son droit à la vie privée, à l’égard du traitement automatisé des données à caractère personnel la concernant. La Convention expose les principes fondamentaux suivants :

« Article 5 – Qualité des données

Les données à caractère personnel faisant l’objet d’un traitement automatisé sont :

a)  obtenues et traitées loyalement et licitement ;

b)  enregistrées pour des finalités déterminées et légitimes et ne sont pas utilisées de manière incompatible avec ces finalités ;

c)  adéquates, pertinentes et non excessives par rapport aux finalités pour lesquelles elles sont enregistrées ;

d)  exactes et si nécessaire mises à jour ;

e)  conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire aux finalités pour lesquelles elles sont enregistrées.

(...)

Article 7 – Sécurité des données

Des mesures de sécurité appropriées sont prises pour la protection des données à caractère personnel enregistrées dans des fichiers automatisés contre la destruction accidentelle ou non autorisée, ou la perte accidentelle, ainsi que contre l’accès, la modification ou la diffusion non autorisés.

Article 8 – Garanties complémentaires pour la personne concernée

Toute personne doit pouvoir :

a)  connaître l’existence d’un fichier automatisé de données à caractère personnel, ses finalités principales, ainsi que l’identité et la résidence habituelle ou le principal établissement du maître du fichier ;

b)  obtenir à des intervalles raisonnables et sans délais ou frais excessifs la confirmation de l’existence ou non dans le fichier automatisé, de données à caractère personnel la concernant ainsi que la communication de ces données sous une forme intelligible ;

c)  obtenir, le cas échéant, la rectification de ces données ou leur effacement lorsqu’elles ont été traitées en violation des dispositions du droit interne donnant effet aux principes de base énoncés dans les articles 5 et 6 de la présente Convention ;

d)  disposer d’un recours s’il n’est pas donné suite à une demande de confirmation ou, le cas échéant, de communication, de rectification ou d’effacement, visée aux paragraphes b et c du présent article.

Article 9 – Exceptions et restrictions

Aucune exception aux dispositions des articles 5, 6 et 8 de la présente Convention n’est admise, sauf dans les limites définies au présent article.

Il est possible de déroger aux dispositions des articles 5, 6 et 8 de la présente Convention lorsqu’une telle dérogation, prévue par la loi de la Partie, constitue une mesure nécessaire dans une société démocratique :

a)  à la protection de la sécurité de l’État, à la sûreté publique, aux intérêts monétaires de l’État ou à la répression des infractions pénales ;

b)  à la protection de la personne concernée et des droits et libertés d’autrui.

Des restrictions à l’exercice des droits visés aux paragraphes b, c et d de l’article 8 peuvent être prévues par la loi pour les fichiers automatisés de données à caractère personnel utilisés à des fins de statistiques ou de recherches scientifiques, lorsqu’il n’existe manifestement pas de risques d’atteinte à la vie privée des personnes concernées. »

La convention sur la protection des données est actuellement mise à jour.

2.  Éléments de droit comparé

81.  Il ressort des informations dont dispose la Cour que, outre la Finlande, seuls l’Islande, l’Italie, la France, Monaco, la Suède et la Suisse prévoient une forme ou une autre de publicité des informations fiscales concernant des particuliers.

82.  En revanche, sur les quarante États membres du Conseil de l’Europe étudiés, trente-quatre prévoient que les informations fiscales à caractère personnel sont en principe secrètes. Pareilles données ne peuvent être divulguées qu’avec le consentement de la personne concernée ou dans les cas où la divulgation est prévue par la loi. Des exceptions à la règle du secret existent également pour certains types de données fiscales (dettes et exemptions fiscales, registres publics retraçant l’activité commerciale) ou pour des données concernant les affaires fiscales de fonctionnaires.

EN DROIT

I.  Exceptions préliminaires du Gouvernement

83.  Le Gouvernement soulève deux exceptions préliminaires concernant, d’une part, le non-respect par les sociétés requérantes du délai de six mois et, d’autre part, le défaut de qualité de victime.

A.  Délai de six mois

84.  Devant la Grande Chambre, le Gouvernement réitère l’exception préliminaire soulevée devant la chambre, soutenant que, contrairement aux exigences de l’article 35 § 1 de la Convention, les griefs tirés des articles 6 § 1 et 10 de la Convention n’ont pas été introduits dans le délai de six mois en ce qui concerne la première procédure (paragraphes 13-22 ci‑dessus). Il considère que la présente affaire porte sur deux procédures distinctes ayant deux objets différents : selon lui, la première concernait le point de savoir si les sociétés requérantes s’étaient livrées à un traitement illicite de données fiscales à caractère personnel, tandis que la seconde avait trait à la délivrance d’ordonnances relatives au traitement de données à caractère personnel. Il estime par conséquent qu’en application de l’article 35 §§ 1 et 4 de la Convention la requête doit être déclarée irrecevable pour autant qu’elle concerne la première procédure.

85.  Les sociétés requérantes allèguent que le but initial du médiateur chargé de la protection des données était d’obtenir une ordonnance leur interdisant de publier le magazine Veropörssi. Ce but n’ayant été atteint qu’à l’issue de la seconde phase de la procédure, elles estiment que la procédure ne peut être divisée en deux procédures séparées, avec des recours internes indépendants et distincts les uns des autres. Elles ajoutent que la Cour administrative suprême a renvoyé l’affaire devant la commission de protection des données en septembre 2009, mais qu’elle aurait également pu interdire la publication directement, sans procéder à ce renvoi. Elles soutiennent donc avoir présenté leurs griefs au titre des articles 6 § 1 et 10 de la Convention dans le délai de six mois.

86.  Ainsi que la chambre l’a fait observer, la première phase de la procédure s’est terminée le 23 septembre 2009 par la décision de la Cour administrative suprême d’annuler les décisions des juridictions inférieures et de renvoyer l’affaire devant la commission de protection des données. Du fait de ce renvoi, il n’y a pas eu de décision définitive, et la procédure s’est poursuivie avec une seconde phase. Ce n’est que le 18 juin 2012, date à laquelle la Cour administrative suprême a rendu son second arrêt – définitif – que la procédure interne est arrivée à son terme (paragraphe 28 ci-dessus).

87.  À l’instar de la chambre, la Grande Chambre estime que, dès lors qu’il n’y a eu qu’un seul arrêt définitif, il n’y a eu qu’une seule procédure aux fins du délai de six mois prévu à l’article 35 § 1 de la Convention pour l’introduction des requêtes, même si l’affaire a été examinée à deux reprises à des degrés de juridiction différents.

88.  Dans ces conditions, il y a lieu de rejeter la première exception préliminaire du Gouvernement et de considérer que les griefs tirés des articles 6 § 1 et 10 de la Convention ont été introduits dans le délai requis.

B.  Défaut de qualité de victime

89.  Lors de l’audience publique devant la Grande Chambre, le Gouvernement a soulevé pour la première fois une autre exception préliminaire motivée par la déclaration de faillite dont la première société requérante a fait l’objet le 15 mars 2016, après le renvoi de l’affaire à la Grande Chambre. Pour le Gouvernement, il en résulte que la première société requérante a perdu la qualité de victime aux fins de l’article 34 de la Convention.

90.  La Cour observe que l’exception du Gouvernement se fonde sur l’idée que, depuis cette date, la première société requérante et ses actifs sont gérés par le syndic de faillite et que l’évolution de sa situation juridique a privé cette société de la qualité de victime.

91.  Il convient de relever que le Gouvernement a attiré l’attention de la Cour sur ce point en septembre 2016 seulement. Quant aux sociétés requérantes, ce n’est que la veille de l’audience publique tenue le 14 septembre 2016 qu’elles ont informé la Cour de la procédure de faillite et lui ont indiqué que leur représentant était habilité à les représenter à l’audience.

92.  La Cour observe que, aux termes de l’article 55 de son règlement, « [s]i la Partie contractante défenderesse entend soulever une exception d’irrecevabilité, elle doit le faire, pour autant que la nature de l’exception et les circonstances le permettent, dans les observations écrites ou orales sur la recevabilité de la requête présentées par elle (...) ». Or, la décision sur la recevabilité de la requête a été adoptée le 21 juillet 2015, date à laquelle le fait sur lequel le Gouvernement fonde son exception n’était pas encore survenu. Celui-ci n’était donc pas en mesure de respecter le délai prescrit à l’article 55 du règlement.

93.  La Cour ne juge pas nécessaire d’examiner le point de savoir si le Gouvernement est forclos à soulever cette exception (paragraphe 89-91 ci‑dessus), car elle estime que rien ne l’empêche d’examiner proprio motu cette question, qui touche à sa compétence (voir par exemple R.P. et autres c. Royaume-Uni, no 38245/08, § 47, 9 octobre 2012, et Buzadji c. République de Moldova [GC], no 23755/07, § 70, CEDH 2016 (extraits)).

94.  Le syndic de faillite ne s’est pas opposé à ce que la société maintienne ses griefs devant la Cour, ainsi que l’atteste une lettre qu’il a envoyée à celle-ci la veille de l’audience. Compte tenu de ce que, en vertu du droit finlandais, la première société requérante, bien que gérée par le syndic de faillite, conserve la personnalité juridique, la Cour estime qu’elle peut toujours se prétendre victime des violations alléguées des articles 6 § 1 et 10 de la Convention.

95.  En conséquence, elle rejette également la seconde exception préliminaire du Gouvernement.

II.  SUR LA VIOLATION ALLÉGUÉE DE L’ARTICLE 10 DE LA CONVENTION

96.  Les sociétés requérantes allèguent que leur droit à la liberté d’expression protégé par le premier paragraphe de l’article 10 de la Convention a fait l’objet d’une ingérence qui, selon elles, ne se justifie pas au regard du second paragraphe de cette disposition. Elles soutiennent que la collecte d’informations fiscales n’était pas illégale en soi et que les données qu’elles ont recueillies et publiées se trouvaient déjà dans le domaine public. Selon elles, aucune personne n’a subi de ce fait une atteinte à son droit à la vie privée.

97.  L’article 10 de la Convention se lit ainsi :

« 1.  Toute personne a droit à la liberté d’expression. Ce droit comprend la liberté d’opinion et la liberté de recevoir ou de communiquer des informations ou des idées sans qu’il puisse y avoir ingérence d’autorités publiques et sans considération de frontière. Le présent article n’empêche pas les États de soumettre les entreprises de radiodiffusion, de cinéma ou de télévision à un régime d’autorisations.

2.  L’exercice de ces libertés comportant des devoirs et des responsabilités peut être soumis à certaines formalités, conditions, restrictions ou sanctions prévues par la loi, qui constituent des mesures nécessaires, dans une société démocratique, à la sécurité nationale, à l’intégrité territoriale ou à la sûreté publique, à la défense de l’ordre et à la prévention du crime, à la protection de la santé ou de la morale, à la protection de la réputation ou des droits d’autrui, pour empêcher la divulgation d’informations confidentielles ou pour garantir l’autorité et l’impartialité du pouvoir judiciaire. »

A.  L’arrêt de la chambre

98.  La chambre a conclu qu’il y avait eu une ingérence dans l’exercice par les sociétés requérantes de leur droit à communiquer des informations, mais a estimé que l’ingérence était « prévue par la loi » et poursuivait le but légitime de la protection de la réputation ou des droit d’autrui. Quant à la nécessité de l’ingérence dans une société démocratique, elle a observé que les données fiscales litigieuses étaient déjà consignées dans des documents publics en Finlande et relevaient donc de l’intérêt général. Elle a noté que ces informations avaient été reçues directement des autorités fiscales, et qu’il n’était pas prouvé ni même allégué que ces informations contenaient des erreurs factuelles ou des assertions inexactes, ou encore que les sociétés requérantes avaient agi de mauvaise foi. Pour la chambre, la seule question problématique du point de vue des juridictions et autorités internes tenait aux modalités de publication et à la quantité des informations publiées.

99.  La chambre a relevé qu’après avoir reçu l’arrêt de la CJUE, la Cour administrative suprême a conclu que la publication de l’intégralité de la base de données contenant des données à caractère personnel collectées à des fins journalistiques ne pouvait être considérée comme une activité de journalisme. Elle a estimé que l’intérêt général ne nécessitait pas la publication de données à caractère personnel à une échelle telle qu’en l’espèce, et qu’il en allait de même pour le service de SMS. La chambre a observé que, dans son analyse, la Cour administrative suprême avait attaché de l’importance tant au droit à la liberté d’expression des sociétés requérantes qu’au droit au respect de la vie privée des contribuables dont les informations fiscales avaient été publiées. Elle a considéré que la haute juridiction finlandaise avait mis en balance ces intérêts dans son raisonnement, donnant une interprétation restrictive de la liberté d’expression des sociétés requérantes, conformément à la décision de la CJUE sur la nécessité d’interpréter la dérogation strictement de manière à protéger le droit à la vie privée. La chambre a jugé ce raisonnement acceptable. Selon elle, la Cour devait avoir, dans de telles circonstances, des raisons sérieuses pour substituer son avis à celui des juridictions internes.

100.  En ce qui concerne les sanctions imposées par les autorités internes, la chambre a relevé qu’il n’avait pas été interdit aux sociétés requérantes de publier les informations concernées d’une manière générale, mais seulement dans une certaine mesure. Elle a conclu que la décision des sociétés requérantes de cesser leurs activités commerciales ne résultait donc pas directement des mesures adoptées par les juridictions et autorités internes, mais avait été prise par les intéressées elles-mêmes au regard de considérations économiques.

B.  Thèses des parties devant la Grande Chambre

1.  Les sociétés requérantes

101.  Les sociétés requérantes allèguent que les décisions des juridictions internes les ont empêchées de communiquer des informations et ont eu pour conséquence de leur interdire « totalement » de mener leurs activités de publication. Elles soutiennent que cette ingérence a revêtu la forme d’une interdiction préalable. Elles affirment que, tous les ans, le 1er novembre, lorsque les données fiscales de l’année précédente deviennent publiques, de nombreux journaux et autres médias publient des données fiscales à caractère personnel en versions imprimée et électronique. Pour les sociétés requérantes, ces opérations ne présentent aucune différence par rapport à leurs activités, sauf en ce qui concerne la quantité de données publiées. La majorité des personnes dont les données sont accessibles par ce moyen ne seraient pas connues du public, et leurs situations et professions seraient très diverses. La justice ne se serait jamais particulièrement intéressée à l’identité des personnes dont le nom et le revenu imposable ont été publiés, et les activités des autres médias n’auraient pas davantage été soumises à l’examen du médiateur chargé de la protection des données.

102.  Les sociétés requérantes considèrent que l’ingérence dans l’exercice de leur droit à la liberté d’expression n’était pas « prévue par la loi ». Elles soutiennent que, notamment, la publication de données fiscales a été approuvée par le législateur finlandais. Selon elles, il ressort des travaux préparatoires relatifs à la loi sur la publication et la confidentialité des informations fiscales que ce type de publication avait lieu depuis des années et qu’elle servait également certains buts sociétaux. La phase d’élaboration de cette loi aurait été l’occasion d’une discussion approfondie, ayant impliqué une évaluation des avantages et des inconvénients de la publication, et le législateur aurait finalement décidé de maintenir l’accès du public aux données fiscales. La loi sur les données à caractère personnel n’aurait pas visé à restreindre les activités de publication. Les documents préparatoires à cette loi préciseraient que le statut juridique doit rester inchangé. L’exception à des fins de journalisme devrait s’appliquer aux bases de données conçues pour étayer une publication, de manière à prévenir des restrictions préalables même indirectes à la liberté d’expression, et les violations possibles du droit à la vie privée devraient être examinées et traitées a posteriori. Sur cette base, les sociétés requérantes allèguent que l’ingérence n’était pas « prévue par la loi » au sens de l’article 10 § 2 de la Convention.

103.  Les sociétés requérantes considèrent par ailleurs que l’ingérence litigieuse n’était pas « nécessaire dans une société démocratique ». Elles indiquent que c’est uniquement la quantité des informations qui était en cause, et non leur exactitude. Les critères de mise en balance appliqués par la Cour fonctionneraient le mieux lorsque le droit à la vie privée d’un ou de deux particuliers est concerné. En pareille situation, les données relatives à un individu particulier seraient mises en exergue. Lorsque des centaines de milliers de noms sont publiés, tous selon les mêmes modalités, les informations concernant une personne spécifique « se fondraient dans la masse ». La publication de telles données ne serait pas de nature à porter atteinte à la vie privée d’une personne. Les sociétés requérantes expliquent qu’en pareil cas, il faudrait appliquer un autre type de critère de mise en balance qui prendrait mieux en compte la nature de la masse de données publiées, c’est-à-dire un critère protégeant le droit à la vie privée d’une population importante d’individus. Elles ajoutent que, lors de la publication par d’autres médias d’informations fiscales sur, par exemple, 150 000 personnes, il n’a jamais été demandé que ces informations soient examinées à la lumière des critères de mise en balance de la Cour, et que ce n’est que lorsqu’elles-mêmes ont publié 1,2 million de noms que ces critères sont devenus applicables.

104.  Les sociétés requérantes indiquent que la question de l’intérêt général a été examinée lors de l’adoption de la loi sur la divulgation et la confidentialité des données fiscales. Selon elles, l’accès du public aux données fiscales permet à la population de connaître les résultats des politiques fiscales, de même que l’évolution des écarts de revenu et de patrimoine entre, par exemple, différentes régions, professions et entre hommes et femmes. Cela permettrait également à l’administration fiscale finlandaise d’exercer un contrôle dès lors que les particuliers lui feraient part directement de leurs soupçons de fraude fiscale. Rien qu’en 2015, l’administration fiscale aurait reçu 15 000 signalements de la sorte. Par conséquent, le législateur finlandais aurait déjà ménagé un équilibre entre les données fiscales publiques et publiables, d’une part, et la protection du droit à la vie privée, d’autre part, et les autorités nationales ne bénéficieraient donc d’aucune marge d’appréciation ou jouiraient, tout au plus, d’une marge d’appréciation très étroite. Il n’y aurait donc pas lieu de procéder à une nouvelle mise en balance. Les sociétés requérantes soutiennent que, contrairement à la situation dans l’affaire Fressoz et Roire c. France ([GC], no 29183/95, CEDH 1999-I), elles ont en l’espèce obtenu les informations fiscales légalement à partir des registres fiscaux publics, et de la même manière que tout membre du public. Pour elles, l’effet sur la vie privée d’une personne ne peut être significativement différent selon que les informations sont obtenues en s’adressant à elles ou à d’autres médias, ou en téléphonant à un service opéré par l’administration fiscale elle-même. Ces informations étant selon elles aussi facilement disponibles, leur publication ne pourrait porter atteinte à la vie privée de quiconque.

105.  Renvoyant à la définition des activités de journalisme figurant dans le projet de Règlement général sur la protection des données de l’UE, les sociétés requérantes allèguent que leurs activités de publication devraient être considérées comme du journalisme. Le raisonnement de la Cour administrative suprême serait en contradiction avec cette définition, ce qui risquerait de mettre en danger l’idée même de liberté d’expression. Eu égard aux termes employés par la Cour administrative suprême dans son arrêt, les sociétés requérantes se demandent quelle est la quantité d’informations publiées à partir de laquelle les informations perdent leur caractère publiable. Elles estiment que nul n’a jamais défini en quelle quantité et selon quelles modalités on pouvait légalement publier des données fiscales. Elles ajoutent que la juridiction finlandaise n’a pas pris en compte les critères de mise en balance qui se dégagent de la jurisprudence de la Cour et n’a appliqué que le critère de l’intérêt général. Pour les sociétés requérantes, la quantité d’informations publiables ne devrait pas être plafonnée.

2.  Le Gouvernement

106.  Le Gouvernement souscrit en substance au constat de non-violation de la chambre mais estime qu’il n’y a pas eu d’ingérence dans l’exercice par les sociétés requérantes de leur droit à communiquer des informations. Pour lui, les sociétés requérantes pouvaient continuer à recueillir et publier des informations fiscales publiques pour autant qu’elles respectaient les exigences de la législation sur la protection des données.

107.  Dans le cas où la Cour conclurait à l’existence d’une ingérence, le Gouvernement, à l’instar de la chambre, considère que l’ingérence était prévue par la loi et poursuivait le but légitime de la protection de la réputation ou des droits d’autrui. Quant à savoir si l’ingérence était nécessaire dans une société démocratique, le Gouvernement souscrit également à la conclusion de la chambre selon laquelle l’objet général de la publication, à savoir les données fiscales relatives aux revenus imposables de personnes physiques, était une question d’intérêt général. Il explique qu’en Finlande, les informations fiscales sont mises à la disposition du public mais que l’accès à ces données et l’utilisation qui en est faite doivent respecter la loi sur les données à caractère personnel et la loi sur la transparence des activités publiques. Pour le Gouvernement, l’accès du public à ces données n’entraîne pas un droit de les publier systématiquement, et le respect des données à caractère personnel et du droit à la vie privée découlant de l’article 8 de la Convention exige que la divulgation de telles informations soit soumise à certains contrôles.

108.  Le Gouvernement expose que les sociétés requérantes ont demandé les données en cause à la direction générale des impôts en 2000 et 2001 et que, sur la base d’un avis du médiateur chargé de la protection des données, la direction a demandé aux sociétés requérantes de fournir d’autres informations concernant leur demande et a indiqué que les données ne pourraient pas être divulguées si le magazine Veropörssi continuait à les publier selon les mêmes modalités. Les sociétés requérantes auraient alors annulé la commande et déclaré qu’elles transmettraient des informations au médiateur chargé de la protection des données et à la direction générale des impôts l’année suivante, ce qu’elles n’auraient jamais fait. Elles auraient préféré recruter des employés afin de collecter manuellement des données fiscales auprès des centres locaux des impôts.

109.  Le Gouvernement ajoute que, selon les lignes directrices à l’intention des journalistes en vigueur à l’époque des faits, le droit à la vie privée s’appliquait également à la publication de documents publics ou d’autres informations provenant de sources publiques. Il estime que les lignes directrices énonçaient clairement que le fait de mettre des informations à la disposition du public ne signifiait pas nécessairement que celles-ci pouvaient être librement publiées.

110.  Le Gouvernement explique que, ainsi que les juridictions internes l’ont souligné, les modalités et l’ampleur de la publication revêtaient de l’importance. Il souligne que les données publiées dans Veropörssi portaient sur 1,2 million de personnes, soit pratiquement un tiers du nombre total de contribuables en Finlande. Il affirme que les données fiscales publiées par les autres médias finlandais concernaient 50 000 à 100 000 personnes par an, ce qui représentait d’après lui un volume bien moindre par rapport aux informations diffusées par les sociétés requérantes. Il ajoute que celles-ci publiaient, sans aucune analyse, des informations sur des personnes ayant des revenus faibles à moyens, qui n’étaient pas des personnalités publiques et qui n’occupaient pas une position éminente dans la société. Il estime donc que les activités de publication des sociétés requérantes ne relevaient pas du journalisme de données (data journalism) consistant à tirer des conclusions à partir de telles données et à soumettre au débat public des questions d’intérêt général. Il soutient que la publication de telles données à l’échelle décrite ci-dessus ne contribuait pas au débat public au point de prévaloir sur l’intérêt général à la protection du traitement des données à caractère personnel, mais visait avant tout à satisfaire la curiosité des lecteurs. D’après le Gouvernement, ce n’est ni la publication des données fiscales telles quelles ni la participation à un quelconque débat public sur une question d’importance générale qui ont été interdites aux sociétés requérantes.

111.  Si l’intérêt général à assurer la transparence des données fiscales exigeait qu’il fût possible de les divulguer, par exemple au moyen de leur publication par les médias, le Gouvernement est d’avis que ce but aurait pu être atteint sans pour autant traiter des données à caractère personnel à une échelle interdite par la loi sur les données à caractère personnel et par la directive sur la protection des données. Il estime que la présente espèce se distingue de l’affaire Fressoz et Roire (précitée), dans laquelle, expose-t-il, la publication de données concernait une seule personne jouant un rôle clé dans un débat public sur une question socialement importante. Il affirme que, contrairement aux allégations des sociétés requérantes, la présente affaire n’était pas abstraite et hypothétique, et que les activités des intéressées ont été préjudiciables à des personnes privées : entre 2000 et 2010, le médiateur chargé de la protection des données aurait reçu plusieurs plaintes lui demandant d’intervenir à cet égard. Le Gouvernement en déduit qu’il existait un besoin social impérieux de protéger la vie privée garantie par l’article 8 de la Convention.

112.  Quant à l’interprétation de la directive sur la protection des données, le Gouvernement rappelle que la CJUE a observé dans son arrêt rendu en l’espèce qu’il convenait d’interpréter largement la notion de journalisme et que les dérogations et limitations concernant la protection des données devaient s’opérer dans les limites du strict nécessaire. Il avance que les sociétés requérantes n’ont, de manière générale, jamais été empêchées de publier des données fiscales. Le Gouvernement assure que si elles l’avaient souhaité, elles auraient pu adapter leurs activités de manière à se conformer à la loi sur les données à caractère personnel.

113.  Se référant à la marge d’appréciation, le Gouvernement déclare, à l’instar de la chambre, qu’il faudrait des raisons sérieuses pour que la Cour puisse substituer ses propres vues à celle des juridictions internes. Il soutient que celles-ci ont agi dans le cadre de la marge d’appréciation dont elles disposaient et ont ménagé un juste équilibre entre les intérêts concurrents en jeu. Il estime en conséquence que l’ingérence incriminée était « nécessaire dans une société démocratique » et qu’il n’y a pas eu violation de l’article 10 de la Convention.

C.  Observations des tiers intervenants

1.  L’European Information Society Institute

114.  L’European Information Society Institute explique que le journalisme de données consiste à rendre des informations existantes plus utiles pour le public. Il indique que le traitement et l’analyse de données disponibles sur un sujet particulier constituent également une activité de journalisme importante en soi. Selon lui, soustraire à la protection de l’article 10 les cas où des journalistes publient des bases de données compromettrait la protection à accorder à un large éventail d’activités permettant aux journalistes de communiquer des informations au public. Le tiers intervenant ajoute que si l’utilisation des nouvelles technologies était exclue de la protection de l’article 10, le droit de communiquer des informations ainsi que le droit d’en recevoir en serait gravement atteint.

115.  Le tiers intervenant estime que les critères traditionnels appliqués pour déterminer les limites de la quantité d’informations pouvant être publiées et traitées par des acteurs privés ne se prêtent guère à une mise en balance des tensions créées par le journalisme de données. Il considère que les critères de mise en balance précédemment utilisés par la Cour ne sont pas appropriés dans des affaires telles que l’espèce. Le tiers intervenant est d’avis que, lorsque des journalistes de données publient des informations qui sont dans l’intérêt général, leurs actions devraient, dans une société démocratique, être soutenues et non pas étouffées. L’European Information Society Institute suggère en conséquence que la Cour revoie sa façon d’appliquer la jurisprudence existante aux affaires où les journalistes traitent des données en vue de communiquer des informations au public, qu’elle étende la protection de l’article 10 à des formes novatrices de journalisme, et qu’elle reconnaisse que la norme appliquée pour déterminer comment l’article 10 protège les journalistes qui se livrent au traitement de données pourrait avoir des conséquences importantes.

2.  NORDPLUS Law and Media Network

116.  L’association NORDPLUS Law and Media Network estime qu’il serait important que la Cour développe des principes relatifs à la liberté d’expression à la lumière des conditions actuelles et qu’elle examine comment les principes établis s’appliquent dans le contexte des médias numériques. Elle indique que de nombreuses lignes directrices des Nations unies, de l’Union européenne et de l’OCDE se réfèrent à la neutralité des médias et à la neutralité technologique s’agissant de l’environnement des médias numériques. Elle considère que la présente affaire est également l’occasion de revoir la définition existante de « journaliste ». Le tiers intervenant explique que les lignes directrices de l’Union européenne soulignent la nécessité d’aller au-delà de la conception traditionnelle du journaliste et de l’élargir à ceux dont la liberté d’expression devrait être protégée. Il ajoute que pareil élargissement pourrait également avoir un impact sur le critère de mise en balance et son éventuelle révision. Pour le tiers intervenant, la Cour devrait également examiner si la notion d’« effet dissuasif » doit être considérée différemment dans le nouvel environnement médiatique.

117.  D’après le tiers intervenant, l’accès à l’information est une des bases de la participation au débat démocratique et une condition préalable pour que les médias puissent remplir leur rôle de « chien de garde public ». De nombreux pays auraient des traditions différentes en matière de publicité des informations. En Finlande, la transparence serait une valeur sociétale extrêmement importante. NORDPLUS Law and Media Network conclut qu’il y a lieu de clarifier la jurisprudence de la Cour afin de réduire l’incertitude qui existerait quant à la liberté d’expression et au droit à la vie privée dans le contexte des médias numériques.

3.  ARTICLE 19, Access to Information Programme et Társaság a Szabadságjogokért

118.  Les associations ARTICLE 19, Access to Information Programme et Társaság a Szabadságjogokért indiquent que la CJUE a adopté en 2008 une définition large du journalisme dans l’affaire Satakunnan Markkinapörssi. Elles ajoutent que le Comité des Ministres du Conseil de l’Europe a également défini le terme journaliste de manière large comme « toute personne physique ou morale pratiquant à titre régulier ou professionnel la collecte et la diffusion d’informations au public par l’intermédiaire de tout moyen de communication de masse ». La High Court irlandaise aurait étendu le privilège journalistique aux blogueurs, et le rapporteur spécial des Nations unies sur la liberté d’expression aurait relevé dans son rapport en 2015 que des personnes autres que les journalistes professionnels remplissaient un « rôle vital de chiens de garde ». Pour les tiers intervenants, la Cour ne devrait donc pas fixer la norme de protection au titre de l’article 10 en deçà de celles mentionnées ci-dessus.

119.  Les tiers intervenants estiment que la divulgation de données publiques à caractère personnel peut contribuer au bien de la société en générant transparence et responsabilité autour des actions de ceux qui exercent le pouvoir au sein de la société ou, inversement, se comportent de façon illégale. Ils considèrent que la publication de telles informations ne satisfait pas simplement la curiosité des lecteurs, mais contribue grandement à un journalisme d’intérêt général. Pour les trois associations, ces arguments revêtent encore plus de pertinence lorsque les données à caractère personnel en question ont été précédemment publiées par l’État ou sont d’une autre façon tombées dans le domaine public en vertu de la législation nationale. Le fait que ces informations ont été rendues publiques impliquerait l’existence d’un intérêt général concernant l’accès à ces données. L’intérêt général à les publier l’emporterait donc sur les considérations de vie privée et, après la publication, ces informations ne pourraient plus passer pour être intrinsèquement privées.

D.  Appréciation de la Cour

1.  Remarques liminaires sur la portée et le contexte de l’appréciation de la Cour

120.  La Cour relève d’emblée que la présente affaire est inhabituelle dans la mesure où, en Finlande, les données fiscales en cause étaient accessibles au public. De plus, les sociétés requérantes, ainsi qu’elles l’indiquent, n’étaient pas les seules parmi les médias finlandais à collecter, traiter et publier des données fiscales telles que celles parues dans le magazine Veropörssi. La différence entre l’activité des intéressées et celle des autres médias tenait aux modalités de publication et au volume des données publiées.

121.  De plus, comme exposé au paragraphe 81 ci-dessus, seul un très petit nombre d’États membres du Conseil de l’Europe prévoient un accès du public aux données fiscales, ce qui soulève des questions concernant la marge d’appréciation dont la Finlande bénéficie s’agissant de prévoir et de réglementer l’accès du public à de telles données, et de concilier cet accès avec les exigences posées par les règles en matière de protection des données et avec le droit de la presse à la liberté d’expression.

122.  Eu égard à ce contexte et au fait qu’au cœur de la présente affaire se trouve la question de savoir si le juste équilibre a été ménagé entre ce droit et le droit à la vie privée tels que les consacre la législation interne sur la protection des données et l’accès à l’information, il convient d’exposer d’emblée certains des principes généraux qui se dégagent de la jurisprudence de la Cour relative, d’une part, à l’article 10 et la liberté de la presse, et, d’autre part, au droit à la vie privée découlant de l’article 8 de la Convention dans le contexte particulier de la protection des données.

123.  Compte tenu de la nécessité de protéger les valeurs qui sous‑tendent la Convention et considérant que les droits qu’elle consacre respectivement en ses articles 10 et 8 méritent un égal respect, il y a lieu de ménager un équilibre qui préserve l’essence de l’un et l’autre de ces droits (voir aussi Delfi AS c. Estonie [GC], no 64569/09, § 110, CEDH 2015).

a)  L’article 10 et la liberté de la presse

124.  La Cour a constamment déclaré que la liberté d’expression constitue l’un des fondements essentiels d’une société démocratique, l’une des conditions primordiales de son progrès et de l’épanouissement de chacun. Sous réserve du paragraphe 2 de l’article 10, elle vaut non seulement pour les « informations » ou « idées » accueillies avec faveur ou considérées comme inoffensives ou indifférentes, mais aussi pour celles qui heurtent, choquent ou inquiètent : ainsi le veulent le pluralisme, la tolérance et l’esprit d’ouverture sans lesquels il n’est pas de « société démocratique ». Telle que la consacre l’article 10, la liberté d’expression est assortie d’exceptions, qui appellent toutefois une interprétation étroite, et le besoin de la restreindre doit se trouver établi de manière convaincante (Von Hannover c. Allemagne (no 2) [GC], nos 40660/08 et 60641/08, § 101, CEDH 2012, Couderc et Hachette Filipacchi Associés c. France [GC], no 40454/07, § 88, CEDH 2015 (extraits), et Bédat c. Suisse [GC], no 56925/08, § 48, CEDH 2016).

125.  Si la presse ne doit pas franchir certaines limites, tenant notamment à la protection de la réputation ou des droits d’autrui, il lui incombe néanmoins de communiquer, dans le respect de ses devoirs et de ses responsabilités, des informations et des idées sur toutes les questions d’intérêt général. Cependant, la mission d’information comporte nécessairement des « devoirs et des responsabilités » ainsi que des limites que les organes de presse doivent s’imposer spontanément (Couderc et Hachette Filipacchi Associés, précité, § 89, et Von Hannover (no 2), précité, § 102).

126.  La Cour a reconnu à plusieurs reprises le rôle crucial joué par les médias s’agissant de faciliter l’exercice par le public du droit de recevoir et de communiquer des informations et des idées et de contribuer à la réalisation de ce droit. À la fonction de la presse qui consiste à diffuser des informations et des idées sur des questions d’intérêt général s’ajoute le droit pour le public d’en recevoir. S’il en allait autrement, la presse ne pourrait jouer son rôle indispensable de « chien de garde » (voir, pour un arrêt récent, Magyar Helsinki Bizottság c. Hongrie [GC], no 18030/11, § 165, 8 novembre 2016, CEDH 2016, avec d’autres références).

127.  De plus, la Cour a constamment rappelé qu’il ne lui appartenait pas, ni d’ailleurs aux juridictions internes, de se substituer à la presse dans le choix du mode de compte rendu à adopter dans un cas donné (Jersild c. Danemark, 23 septembre 1994, § 31, série A no 298, et Stoll c. Suisse [GC], no 69698/01, § 146, CEDH 2007‑V)

128.  Enfin, il est bien établi que la collecte d’informations est une étape préparatoire essentielle du travail de journalisme et qu’elle est inhérente à la liberté de la presse et, à ce titre, protégée (Magyar Helsinki Bizottság, précité, § 130, avec d’autres références).

b)  L’article 8, le droit à la vie privée et la protection des données

129.  Quant à la question de savoir si, dans les circonstances de la cause, le droit à la vie privée protégé par l’article 8 entre en jeu, eu égard à l’accessibilité au public des données fiscales traitées et publiées par les sociétés requérantes, la Cour a constamment rappelé que la notion de « vie privée » est une notion large, non susceptible d’une définition exhaustive (S. et Marper c. Royaume-Uni [GC], nos 30562/04 et 30566/04, § 66, CEDH 2008, et Vukota-Bojić c. Suisse, no 61838/10, § 52, 18 octobre 2016).

130.  Outre qu’elle a jugé dans de nombreuses affaires que le droit à la vie privée consacré par l’article 8 protégeait l’intégrité physique et morale de la personne, la Cour a également précisé que la vie privée s’étendait aux activités professionnelles ou commerciales (Niemietz c. Allemagne, 16 décembre 1992, § 29, série A no 251‑B) ou au droit de vivre en privé, loin de toute attention non voulue (Smirnova c. Russie, nos 46133/99 et 48183/99, § 95, CEDH 2003‑IX (extraits)).

131.  Par ailleurs, la Cour a dit également qu’il existe une zone d’interaction entre l’individu et des tiers qui, même dans un contexte public, peut relever de la « vie privée » (Couderc et Hachette Filipacchi Associés, précité, § 83, et P.G. et J.H. c. Royaume-Uni, no 44787/98, § 56, CEDH 2001‑IX).

132.  La grande majorité des affaires dans lesquelles la Cour a été appelée à examiner la mise en balance par les autorités internes de la liberté de la presse consacrée par l’article 10 et du droit à la vie privée protégé par l’article 8 de la Convention portaient sur des atteintes alléguées au droit à la vie privée d’une ou de plusieurs personnes nommément désignées, atteintes qui découlaient de la publication d’éléments particuliers (voir, par exemple, Flinkkilä et autres c. Finlande, no 25576/04, 6 avril 2010, et Ristamäki et Korvola c. Finlande, no 66456/09, 29 octobre 2013).

133.  Dans le contexte particulier de la protection des données, la Cour s’est référée à plusieurs reprises à la Convention sur la protection des données (paragraphe 80 ci-dessus) qui a inspiré la directive sur la protection des données appliquée par les juridictions internes en l’espèce. Cette convention, en son article 2, définit les données personnelles comme « toute information concernant une personne physique identifiée ou identifiable ». Dans l’affaire Amann, précitée (§ 65), qui portait sur la conservation de données personnelles, la Cour, dans la partie de l’arrêt consacrée à la discussion sur l’applicabilité de l’article 8, s’est livrée à une interprétation de la notion de vie privée :

« La Cour rappelle que la mémorisation de données relatives à la « vie privée » d’un individu entre dans le champ d’application de l’article 8 § 1 (arrêt Leander c. Suède du 26 mars 1987, série A no 116, p. 22, § 48).

À cet égard, elle souligne que le terme « vie privée » ne doit pas être interprété de façon restrictive. En particulier, le respect de la vie privée englobe le droit pour l’individu de nouer et développer des relations avec ses semblables ; de surcroît, aucune raison de principe ne permet d’exclure les activités professionnelles ou commerciales de la notion de « vie privée » (arrêts Niemietz c. Allemagne du 16 décembre 1992, série A no 251-B, pp. 33-34, § 29, et Halford précité, pp. 1015‑1016, § 42).

Cette interprétation extensive concorde avec celle de la Convention élaborée au sein du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel du 28 janvier 1981, entrée en vigueur le 1er octobre 1985, dont le but est « de garantir, sur le territoire de chaque Partie, à toute personne physique (...) le respect de ses droits et de ses libertés fondamentales, et notamment de son droit à la vie privée, à l’égard du traitement automatisé des données à caractère personnel la concernant » (article 1), ces dernières étant définies comme « toute information concernant une personne physique identifiée ou identifiable » (article 2). »

134.  Le fait que les informations en cause sont déjà dans le domaine public ne les soustrait pas nécessairement à la protection de l’article 8. Ainsi, dans l’affaire Von Hannover c. Allemagne (no 59320/00, §§ 74-75 et 77, CEDH 2004‑VI), concernant la publication de photographies qui avaient été prises dans des lieux publics d’une personne connue n’exerçant aucune fonction officielle, la Cour a estimé que l’intérêt à publier ces informations devait être mis en balance avec des considérations liées à la vie privée, même si les apparitions en public de cette personne pouvaient être considérées comme des « informations publiques ».

135.  De même, dans l’affaire Magyar Helsinki Bizottság (précitée, §§ 176–178), la raison principale ayant amené la Cour à écarter les considérations de vie privée ne tenait pas à la nature publique des informations auxquelles la requérante avait cherché à avoir accès, qui est un facteur à prendre en compte dans tout exercice de mise en balance, mais au fait que les autorités internes n’avaient nullement recherché si celles qui leur étaient demandées pouvaient revêtir un intérêt public. Ces autorités s’étaient préoccupées uniquement de la situation des avocats commis d’office du point de vue de la loi hongroise sur les données, qui ne permettait que des exceptions très limitées à la règle générale de non-divulgation des données à caractère personnel. De plus, le Gouvernement dans cette affaire n’avait pas démontré que la divulgation des informations sollicitées eût pu porter atteinte à la jouissance par les avocats concernés de leur droit au respect de la vie privée (ibidem, § 194).

136.  Il ressort de la jurisprudence établie que les considérations liées à la vie privée entrent en jeu dans les situations où des informations ont été recueillies sur une personne bien précise, où des données à caractère personnel ont été traitées ou utilisées et où les éléments en question avaient été rendus publics d’une manière ou dans une mesure excédant ce à quoi les intéressés pouvaient raisonnablement s’attendre (Uzun c. Allemagne, no 35623/05, §§ 44–46, CEDH 2010 (extraits) ; voir également Rotaru c. Roumanie, précité, §§ 43–44, P.G. et J.H. c. Royaume-Uni, précité, § 57, Amann, précité, §§ 65–67, et M.N. et autres c. Saint-Marin, no 28005/12, §§ 52‑53, 7 juillet 2015).

137.  La protection des données à caractère personnel joue un rôle fondamental pour l’exercice du droit au respect de la vie privée et familiale consacré par l’article 8 de la Convention. La législation interne doit donc ménager des garanties appropriées pour empêcher toute utilisation de données à caractère personnel qui ne serait pas conforme aux garanties prévues dans cet article (S. et Marper, précité, § 103). L’article 8 de la Convention consacre donc le droit à une forme d’auto-détermination informationnelle, qui autorise les personnes à invoquer leur droit à la vie privée en ce qui concerne des données qui, bien que neutres, sont collectées, traitées et diffusées à la collectivité, selon des formes ou modalités telles que leurs droits au titre de l’article 8 peuvent être mis en jeu.

138.  À la lumière des considérations ci-dessus et de la jurisprudence existante de la Cour sur l’article 8 de la Convention, il apparaît que les données collectées et traitées par les sociétés requérantes et publiées par elles dans le journal Veropörssi, qui donnaient des précisions sur les revenus imposables provenant du travail et d’autres sources, ainsi que du patrimoine net imposable de nombreuses personnes, relevaient clairement de la vie privée de celles-ci, indépendamment du fait que, en vertu du droit finlandais, le public avait la possibilité d’accéder à ces données suivant certaines règles.

2.  Sur l’existence d’une ingérence

139.  La Cour relève qu’en application des décisions des autorités nationales en matière de protection des données et des juridictions internes, la première société requérante s’est vu interdire de traiter des données fiscales selon les mêmes modalités et à la même échelle qu’en 2002 et de transmettre ces données à un service de SMS. Les juridictions internes ont estimé que la collecte de données à caractère personnel et leur traitement dans le fichier de référence de la première société requérante ne pouvaient en tant que tels être jugés contraires aux règles de protection des données, pour autant, notamment, que les données aient été convenablement protégées. Cependant, compte tenu des modalités et de l’ampleur de la publication ultérieure dans le magazine Veropörssi des données à caractère personnel figurant dans le fichier de référence, elles ont conclu que la première société requérante ne pouvait pas invoquer la dérogation à des fins de journalisme et s’était donc livrée à un traitement de données à caractère personnel concernant des personnes physiques qui contrevenait à la loi sur les données à caractère personnel. La seconde société requérante s’est vu interdire de collecter, sauvegarder ou transmettre à un service de SMS toute information extraite des fichiers de la première société requérante et publiée dans le magazine Veropörssi (paragraphe 23 ci‑dessus).

140.  La Cour estime que la décision de la commission de protection des données, entérinée par les juridictions nationales, a entraîné une ingérence dans l’exercice par les sociétés requérantes du droit de communiquer des idées, tel que garanti par l’article 10 de la Convention.

141.  Eu égard au paragraphe 2 de l’article 10, cette ingérence devait être « prévue par la loi », poursuivre un ou plusieurs buts légitimes au sens de cette disposition, et être « nécessaire dans une société démocratique ».

3.  Prévue par la loi

142.  Les mots « prévue par la loi » contenus au deuxième paragraphe de l’article 10 non seulement imposent que la mesure incriminée ait une base légale en droit interne, mais visent aussi la qualité de la loi en cause : ainsi, celle-ci doit être accessible aux justiciables et prévisible dans ses effets (voir, parmi beaucoup d’autres, Delfi AS, précité, § 120, avec d’autres références).

143.  Quant à l’exigence de prévisibilité, la Cour a dit à de nombreuses reprises qu’on ne peut considérer comme une « loi » au sens de l’article 10 § 2 qu’une norme énoncée avec assez de précision pour permettre à une personne de régler sa conduite. En s’entourant au besoin de conseils éclairés, elle doit être à même de prévoir, à un degré raisonnable dans les circonstances de la cause, les conséquences qui peuvent découler d’un acte déterminé (Delfi AS, précité, § 121, et Centro Europa 7 S.r.l. et Di Stefano c. Italie [GC], no 38433/09, § 141, CEDH 2012).

144.  La fonction de décision confiée aux tribunaux nationaux sert précisément à dissiper les doutes qui pourraient subsister quant à l’interprétation des normes ; le pouvoir de la Cour de contrôler le respect du droit interne est donc limité, puisqu’il incombe au premier chef aux autorités nationales, et singulièrement aux cours et tribunaux, d’interpréter et d’appliquer le droit interne (Kudrevičius et autres c. Lituanie [GC], no 37553/05, § 110, CEDH 2015, avec d’autres références). Le niveau de précision de la législation interne – qui ne peut en aucun cas prévoir toutes les hypothèses – dépend dans une large mesure du contenu de la loi en question, du domaine qu’elle est censée couvrir et du nombre et du statut de ceux à qui elle s’adresse (Delfi AS, § 122, et Kudrevičius, § 110, tous deux précités).

145.  La Cour a déjà dit que l’on pouvait attendre des professionnels, habitués à devoir faire preuve d’une grande prudence dans l’exercice de leur métier, qu’ils mettent un soin particulier à évaluer les risques qu’il comporte (Delfi AS, précité, § 122, avec d’autres références et, dans le contexte de données bancaires, G.S.B. c. Suisse, no 28601/11, § 69, 22 décembre 2015).

146.  En l’espèce, les sociétés requérantes et le Gouvernement (voir, respectivement, les paragraphes 102 et 107 ci-dessus) ont des avis divergents sur le point de savoir si l’ingérence dans l’exercice par les sociétés requérantes de la liberté d’expression était « prévue par la loi ».

147.  Quant à l’existence d’une base légale claire pour l’ingérence litigieuse, la Cour ne voit aucune raison de mettre en cause la conclusion de la Cour administrative suprême en l’espèce selon laquelle les articles 2 § 5, 32 et 44 § 1 de la loi sur les données à caractère personnel formaient la base légale de l’ingérence litigieuse (paragraphe 22 ci-dessus).

148.  En ce qui concerne la prévisibilité de la législation finlandaise et de son interprétation et application par les juridictions nationales, en l’absence de dispositions légales internes réglementant explicitement la quantité de données pouvant être publiées, et eu égard au fait que plusieurs médias en Finlande se livraient également, dans une certaine mesure, à des activités de publication de données fiscales similaires, la question se pose de savoir si l’on peut considérer que les sociétés requérantes pouvaient prévoir que leurs activités spécifiques de publication se heurteraient à la législation en vigueur, compte tenu de l’existence de la dérogation à des fins de journalisme.

149.  Pour la Cour, le libellé de la législation pertinente en matière de protection des données et la nature et la portée de la dérogation à des fins de journalisme que les sociétés ont cherché à invoquer, ainsi que la manière dont ces dispositions ont été appliquées à la suite des directives d’interprétation données aux juridictions finlandaises par la CJUE, étaient suffisamment prévisibles. La loi sur les données à caractère personnel transposait en droit finlandais la directive sur la protection des données. Selon cette loi, le traitement des données à caractère personnel recouvrait la collecte, l’enregistrement, l’organisation, l’utilisation, le transfert, la diffusion, la conservation, la manipulation, l’interconnexion, la protection, la suppression et l’effacement de données à caractère personnel, ainsi que toute autre mesure appliquée à de telles données (paragraphe 34 ci-dessus). Il ressort de manière raisonnablement claire de ce libellé et des travaux préparatoires pertinents (paragraphe 36 ci-dessus) qu’il était possible que les autorités nationales concluent à un moment ou à un autre, ainsi qu’elles l’ont fait en l’espèce, qu’une base de données établie à des fins de journalisme ne pouvait pas être diffusée telle quelle. La quantité et la forme des données publiées ne pouvaient pas excéder la portée de la dérogation, et celle-ci, de par sa nature même, devait être interprétée de manière restrictive, ainsi que la CJUE l’a clairement indiqué.

150.  Le fait que l’affaire des sociétés requérantes était la première de ce type au regard de la loi sur les données à caractère personnel (voir Kudrevičius, précité, § 115, et, mutatis mutandis, concernant l’article 7 de la Convention, Huhtamäki c. Finlande, no 54468/09, § 51, 6 mars 2012, avec d’autres références), et que la Cour administrative suprême a demandé à la CJUE des directives quant à l’interprétation de la dérogation prévue à l’article 9 de la directive sur la protection des données ne rendent pas l’interprétation et l’application de cette dérogation par les juridictions internes arbitraires ou imprévisibles. D’ailleurs, quant à la demande préjudicielle, la Cour a régulièrement souligné l’importance, pour la protection des droits fondamentaux au sein de l’Union européenne, du dialogue judiciaire entre la CJUE et les juridictions nationales des États membres de l’UE, sous la forme de renvois préjudiciels à la CJUE (Bosphorus Hava Yolları Turizm ve Ticaret Anonim Şirketi c. Irlande [GC], no 45036/98, § 164, CEDH 2005‑VI, et Avotiņš c. Lettonie [GC], no 17502/07, §§ 105 et 109, CEDH 2016).

151.  De plus, les sociétés requérantes étaient des entreprises de médias et, en cette qualité, auraient dû avoir conscience que la collecte et la diffusion à grande échelle des données en cause – qui concernaient environ un tiers des contribuables finlandais ou 1,2 million de personnes, soit un nombre dix à vingt fois supérieur au nombre de données divulguées par les autres médias à l’époque des faits – pouvaient ne pas être considérées comme un traitement de données effectué aux « seules » fins de journalisme au regard de la loi finlandaise ou de la réglementation de l’Union européenne.

152.  En l’espèce, à la suite de la commande de données fiscales effectuée par les sociétés requérantes auprès de la direction générale des impôts en 2000 et 2001, le médiateur chargé de la protection des données a invité les intéressées à fournir d’autres informations concernant leurs commandes et leur a indiqué que les données ne pourraient pas être divulguées si le magazine Veropörssi continuait de paraître sous sa forme habituelle. Or, au lieu de se conformer à la demande d’information du médiateur, les sociétés requérantes ont contourné la voie ordinairement suivie par les journalistes pour accéder aux données recherchées et se sont organisées pour que celles-ci fussent collectées manuellement dans les centres locaux des impôts (paragraphe 12 ci-dessus). La Cour n’a pas à spéculer sur les raisons qui ont incité les sociétés requérantes à agir de la sorte, mais leur attitude donne à penser qu’elles s’attendaient à rencontrer des difficultés pour invoquer la dérogation à des fins de journalisme et la législation nationale pertinente sur l’accès aux données fiscales.

153.  De plus, la version de 1992 des lignes directrices à l’intention des journalistes – mises à jour en 2005, 2011 et 2014 – indiquait expressément que les principes en matière de protection des personnes s’appliquaient également à l’utilisation d’informations figurant dans des documents publics ou d’autres sources publiques, et que le fait de mettre des informations à la disposition du public ne signifiait pas nécessairement que ces informations pouvaient être librement publiées. Les sociétés requérantes avaient certainement connaissance de ces lignes directrices, élaborées à des fins d’autorégulation par les journalistes et éditeurs finlandais.

154.  À la lumière des considérations qui précèdent, la Cour conclut que l’ingérence litigieuse dans l’exercice par les sociétés requérantes de leur droit à la liberté d’expression était « prévue par la loi ».

4.  But légitime

155.  Les parties ne contestent pas en substance que l’ingérence dans l’exercice par les sociétés requérantes de la liberté d’expression poursuivait le but légitime de la « protection de la réputation ou des droits d’autrui ».

156.  Cependant, tout en reconnaissant que le besoin de protection contre les violations de la vie privée peut être une considération pertinente, les sociétés requérantes soutiennent que le législateur finlandais avait déjà envisagé, évalué et accepté cet élément lors de l’adoption de la loi sur les données à caractère personnel. Elles estiment que la nécessité alléguée de protéger la vie privée en l’espèce était abstraite et hypothétique. Elles ajoutent que le droit à la vie privée n’était, en l’espèce, pratiquement pas menacé, et que, quoi qu’il en soit, l’affaire ne concerne aucunement la vie privée d’individus isolés.

157.  La Cour relève que, contrairement à ce que soutiennent les sociétés requérantes, il ressort sans conteste du dossier que le médiateur chargé de la protection des données a agi sur le fondement de plaintes concrètes d’individus alléguant que la publication de données fiscales dans le magazine Veropörssi avait porté atteinte à leur droit à la vie privée. Ainsi que le montrent clairement les chiffres indiqués au paragraphe 9 ci-dessus, les pratiques de publication des sociétés requérantes ciblaient un groupe très important de personnes physiques assujetties à l’impôt en Finlande. On peut raisonnablement considérer que l’ensemble des contribuables finlandais ont été lésés, directement ou indirectement, par l’activité de publication des sociétés requérantes, étant donné que les lecteurs étaient en mesure d’évaluer les revenus imposables de tout contribuable simplement en regardant si son nom figurait ou non dans les listes publiées par le magazine Veropörssi.

158.  Indépendamment de la question de savoir s’il était nécessaire d’identifier chacun des plaignants au niveau national, la Cour estime que l’argument des sociétés requérantes ne tient pas compte de la nature et de la portée des obligations des autorités nationales chargées de la protection des données en application, notamment, de l’article 44 de la loi sur les données à caractère personnel et des dispositions correspondantes de la directive sur la protection des données. Concernant celles-ci, il convient de noter que, selon la CJUE, la garantie d’indépendance des autorités nationales de contrôle a été établie en vue de renforcer la protection des personnes et des organismes qui sont concernés par leurs décisions. Pour garantir cette protection, les autorités nationales de contrôle doivent, notamment, assurer un juste équilibre entre, d’une part, le respect du droit fondamental à la vie privée et, d’autre part, les intérêts qui commandent une libre circulation des données à caractère personnel (voir l’arrêt de la CJUE en l’affaire Schrems, citée au paragraphe 76 ci-dessus). La protection de la vie privée était donc au cœur de la législation relative à la protection des données que ces autorités avaient mandat de faire respecter.

159.  À la lumière des considérations qui précèdent, et eu égard aux buts de la Convention sur la protection des données, qui a inspiré la directive 95/46 et, plus récemment, le règlement 2016/79 (paragraphes 59 et 67 ci-dessus), l’ingérence dans l’exercice par les sociétés requérantes de leur droit à la liberté d’expression poursuivait à l’évidence le but légitime de « la protection de la réputation ou des droits d’autrui » au sens de l’article 10 § 2.

5.  Nécessaire dans une société démocratique

160.  Comme indiqué ci-dessus, il s’agit principalement en l’espèce de déterminer si l’ingérence dans l’exercice par les sociétés requérantes de leur droit à la liberté d’expression était « nécessaire dans une société démocratique » et si, pour trancher cette question, les juridictions internes ont ménagé un juste équilibre entre ce droit et le droit au respect de la vie privée.

161.  Ayant exposé ci-dessus – paragraphes 120-138 – certains principes généraux relatifs au droit à la liberté d’expression et au droit au respect de la vie privée, et expliqué pourquoi l’article 8 de la Convention entre clairement en jeu dans des circonstances telles que celles de l’espèce, la Cour juge utile de réitérer les critères de mise en balance de ces deux droits en pareil cas.

a)  Les principes généraux concernant la marge d’appréciation et la mise en balance de droits

162.  Le choix des mesures propres à garantir l’observation de l’article 8 de la Convention relève en principe de la marge d’appréciation des États contractants, et ce que les obligations à la charge de l’État soient positives ou négatives (Couderc et Hachette Filipacchi Associés, précité, § 90, et Von Hannover (no 2), précité § 104, avec les références citées). De même, sur le terrain de l’article 10 de la Convention, les États contractants disposent d’une certaine marge d’appréciation pour juger de la nécessité et de l’ampleur d’une ingérence dans la liberté d’expression protégée par cette disposition (ibidem).

163.  Dans les affaires qui nécessitent une mise en balance entre le droit au respect de la vie privée et le droit à la liberté d’expression, la Cour rappelle que l’issue de la requête ne saurait en principe varier selon que l’affaire a été portée devant elle sous l’angle de l’article 8 de la Convention, par la personne faisant l’objet du reportage, ou sous l’angle de l’article 10, par l’éditeur qui l’a publié. En effet, comme indiqué ci-dessus, ces droits méritent un égal respect (paragraphe 123 ci-dessus). Dès lors, la marge d’appréciation devrait en principe être la même dans les deux cas.

164.  Selon la jurisprudence constante de la Cour, la condition de « nécessité dans une société démocratique » commande de déterminer si l’ingérence incriminée correspondait à un besoin social impérieux, si elle était proportionnée au but légitime poursuivi, et si les motifs fournis par les autorités nationales pour la justifier sont pertinents et suffisants (Sunday Times c. Royaume-Uni (no 1), 26 avril 1979, § 62, série A no 30). La marge d’appréciation dont jouissent les autorités nationales pour déterminer s’il existe pareil besoin et quelles mesures doivent être adoptées pour y répondre n’est pas illimitée, elle va de pair avec un contrôle européen exercé par la Cour, qui doit dire en dernier ressort si une restriction se concilie avec la liberté d’expression telle que la protège l’article 10. Comme indiqué ci-dessus, dans l’exercice de son pouvoir de contrôle, la Cour n’a pas pour tâche de se substituer aux juridictions nationales, mais il lui incombe de vérifier, à la lumière de l’ensemble de l’affaire, si les décisions qu’elles ont rendues en vertu de leur pouvoir d’appréciation se concilient avec les dispositions de la Convention invoquées (voir, en particulier, le résumé des principes pertinents dans l’affaire Perinçek c. Suisse [GC], no 27510/08, § 198, CEDH 2015 (extraits) ainsi que Von Hannover (no 2), précité, § 105). Si la mise en balance à laquelle ont procédé les autorités nationales s’est faite dans le respect des critères établis dans la jurisprudence de la Cour, il faut des raisons sérieuses pour que celle‑ci substitue son avis à celui des juridictions internes (Couderc et Hachette Filipacchi Associés, précité, § 92, et Von Hannover (no 2), précité, § 107).

165.  La Cour a déjà eu l’occasion d’énoncer les principes pertinents qui doivent guider son appréciation – et, surtout, celle des juridictions internes – de la nécessité. Elle a ainsi posé un certain nombre de critères dans le contexte de la mise en balance des droits en présence. Les critères pertinents qui ont été jusqu’ici ainsi définis sont la contribution à un débat d’intérêt général, la notoriété de la personne visée, l’objet du reportage, le comportement antérieur de la personne concernée, le contenu, la forme et les répercussions de la publication, ainsi que, le cas échéant, les circonstances de la prise des photographies. Dans le cadre d’une requête introduite sous l’angle de l’article 10, la Cour vérifie en outre le mode d’obtention des informations et leur véracité ainsi que la gravité de la sanction imposée aux journalistes ou aux éditeurs (Couderc et Hachette Filipacchi Associés, précité, § 93, Von Hannover (no 2), précité, §§ 109-113, et Axel Springer AG c. Allemagne [GC], no 39954/08, §§ 90-95, 7 février 2012).

166.  La Cour estime que les critères ainsi définis peuvent être transposés à la présente affaire, même si certains d’entre eux peuvent revêtir plus ou moins de pertinence eu égard aux circonstances particulières de l’espèce, laquelle, comme expliqué ci-dessus (paragraphes 8-9), porte sur la collecte, le traitement et la publication en masse de données qui étaient publiquement accessibles conformément à certaines règles et qui se rapportaient à un grand nombre de personnes privées dans l’État défendeur.

b)  Application en l’espèce des principes généraux pertinents

i.  Contribution de la publication litigieuse à un débat d’intérêt général

167.  Ainsi que la Cour l’a rappelé à maintes reprises, l’article 10 § 2 de la Convention ne laisse guère de place pour des restrictions à la liberté d’expression dans le domaine du discours politique ou de questions d’intérêt général (Sürek c. Turquie (no 1) [GC], no 26682/95, § 61, CEDH 1999-IV, et Wingrove c. Royaume-Uni, 25 novembre 1996, § 58, Recueil des arrêts et décsions 1996-V). La marge d’appréciation des États est en effet réduite en matière de débat touchant à l’intérêt général (Couderc et Hachette Filipacchi Associés, précité, § 96, avec d’autres références).

168.  La Cour a pris en compte l’importance de la question pour le public ainsi que la nature de l’information révélée pour déterminer si une publication divulguant des éléments de la vie privée concernait également une question d’intérêt général (Couderc et Hachette Filipacchi Associés, précité, § 98, et Von Hannover (no 2), précité, § 109).

169.  Cependant, s’il existe un droit du public à être informé, droit qui est essentiel dans une société démocratique et peut même, dans des circonstances particulières, porter sur des aspects de la vie privée de personnes publiques, des publications ayant pour seul objet de satisfaire la curiosité d’un certain lectorat sur les détails de la vie privée d’une personne ne sauraient, quelle que soit la notoriété de cette personne, passer pour contribuer à un quelconque débat d’intérêt général pour la société (Von Hannover, précité, § 65, MGN Limited c. Royaume-Uni, no 39401/04, § 143, 18 janvier 2011, et Alkaya c. Turquie, no 42811/06, § 35, 9 octobre 2012).

170.  Pour vérifier qu’une publication portant sur la vie privée d’autrui ne tend pas uniquement à satisfaire la curiosité d’un certain lectorat mais constitue également une information d’importance générale, il faut apprécier la totalité de la publication et avoir égard au contexte dans lequel elle s’inscrit (Couderc et Hachette Filipacchi Associés, précité, §  102, Tønsbergs Blad A.S. et Haukom c. Norvège, no 510/04, § 87, 1er mars 2007, Björk Eiðsdóttir c. Islande, no 46443/09, § 67, 10 juillet 2012, et Erla Hlynsdόttir c. Islande, no 43380/10, § 64, 10 juillet 2012).

171.  Ont trait à un intérêt général les questions qui touchent le public dans une mesure telle qu’il peut légitimement s’y intéresser, qui éveillent son attention ou le préoccupent sensiblement, notamment parce qu’elles concernent le bien-être des citoyens ou la vie de la collectivité. Tel est le cas également des questions qui sont susceptibles de créer une forte controverse, qui portent sur un thème social important, ou qui ont trait à un problème dont le public aurait intérêt à être informé. L’intérêt public ne saurait être réduit aux attentes d’un public friand de détails quant à la vie privée d’autrui, ni au goût des lecteurs pour le sensationnel voire, parfois, pour le voyeurisme (Couderc et Hachette Filipacchi Associés, précité, §§ 101 et 103, et les références qui s’y trouvent citées).

172.  Incontestablement, le fait d’autoriser l’accès du public à des documents officiels, y compris à des données fiscales, vise à garantir la disponibilité d’informations aux fins de permettre la tenue d’un débat sur des questions d’intérêt général. Pareil accès, bien que soumis à des règles et restrictions légales claires, a une base constitutionnelle en droit finlandais et constitue un droit consacré depuis de nombreuses décennies (paragraphes 37–39 ci-dessus).

173.  La politique législative finlandaise prévoyant l’accès du public aux données fiscales était motivée par la nécessité de garantir la possibilité pour le public de contrôler les activités des autorités de l’État. Les sociétés requérantes allèguent que l’accès aux données fiscales permet également la surveillance des citoyens entre eux et la dénonciation de la fraude fiscale, mais la Cour n’est pas en mesure de confirmer, sur la base des travaux préparatoires pertinents et des éléments dont elle dispose, qu’il s’agissait là d’un objectif du régime d’accès prévu par le droit finlandais (paragraphe 43 ci-dessus), ou que cet objectif de surveillance a pris de l’importance au fil du temps.

174.  Cependant, l’accès du public aux données fiscales, qui est soumis à des règles et procédures claires, et la transparence générale du système fiscal finlandais ne signifient pas que l’activité de publication litigieuse ait elle-même contribué à un débat d’intérêt général. Considérant cette activité dans son intégralité et dans son contexte, et à la lumière de la jurisprudence susmentionnée (paragraphes 162–166 ci-dessus), la Cour, à l’instar de la Cour administrative suprême, n’est pas convaincue que la publication de données fiscales par les sociétés requérantes selon les modalités et à l’échelle en question ait contribué à un tel débat, ou même qu’il s’agissait là du principal objectif de cette publication.

175.  La dérogation à des fins de journalisme prévue à l’article 2 § 5 de la loi sur les données à caractère personnel vise à permettre aux journalistes d’accéder à des données, de les collecter et de les traiter afin qu’ils puissent mener leurs activités de journalisme, qui sont reconnues comme essentielles dans une société démocratique. Ce point a été clairement exposé par la Cour administrative suprême dans sa décision de 2009 (paragraphe 22 ci-dessus), dans laquelle elle déclarait qu’il aurait été inacceptable d’apporter des restrictions au traitement de données fiscales par des journalistes à un stade antérieur à la publication ou à la divulgation puisqu’en pratique cela aurait pu signifier qu’une décision était prise sur le point de savoir que les données pouvaient être publiées. Cependant, l’existence d’un intérêt général à ce que de grandes quantités de données fiscales soient accessibles et à ce que la collecte de ces données soit autorisée ne signifie pas nécessairement ou automatiquement qu’il existe également un intérêt général à diffuser en masse pareilles données brutes, telles quelles, sans aucun apport analytique. Il ressort clairement des travaux préparatoires à la législation interne (paragraphe 36 ci-dessus) que les bases de données établies à des fins de journalisme ne sont pas censées être mises à la disposition de personnes qui n’exercent aucune activité de journalisme, ce qui met en évidence que le privilège journalistique en question concerne le traitement de données effectué en interne. Cette distinction entre le traitement de données à des fins de journalisme et la diffusion des données brutes auxquelles les journalistes ont accès dans des conditions privilégiées a été clairement établie par la Cour administrative suprême dans sa première décision de 2009.

176.  De plus, la dérogation ne peut être invoquée que si l’activité de traitement des données est exercée aux « seules » fins de journalisme. Or, ainsi que la Cour administrative suprême l’a conclu, la publication des données fiscales dans le magazine Veropörssi pratiquement in extenso, sous forme de catalogues, même si ceux-ci étaient divisés en différentes parties et organisés selon la commune de résidence, revient à divulguer l’intégralité du fichier de référence établi à des fins de journalisme ; dans ces conditions, l’opération ne peut avoir eu pour seule finalité de transmettre des informations, des opinions ou des idées. Les sociétés requérantes soutiennent que la diffusion de registres fiscaux au public permet à celui-ci de prendre connaissance des résultats de la politique fiscale – évolution des différences entre les revenus et le patrimoine, par exemple en fonction des régions, des professions ou du sexe –, mais n’expliquent pas comment leurs lecteurs seraient en mesure de se livrer à une telle analyse sur la base des données brutes, publiées en masse, dans le magazine Veropörssi.

177.  Enfin, le fait que les informations en question ont pu permettre à des citoyens curieux de répartir en catégories, selon leur situation économique, des personnes nominativement désignées qui ne sont pas des personnages publics pourrait être considéré comme une manifestation des attentes d’un public friand de détails quant à la vie privée d’autrui, et donc, en tant que tel, comme une forme de sensationnalisme, voire de voyeurisme (Couderc et Hachette Filipacchi Associés, précité, § 101).

178.  À la lumière des considérations ci-dessus, la Cour ne peut que souscrire au point de vue de la Cour administrative suprême selon lequel la publication litigieuse n’avait pas pour seule finalité, comme l’exigeaient le droit interne et le droit européen, la divulgation au public d’informations, d’opinions et d’idées. Cette conclusion est corroborée par la présentation de la publication, sa forme, son contenu et la quantité des données divulguées. Par ailleurs, la Cour estime que la publication litigieuse ne saurait passer pour contribuer à un débat d’intérêt général ou être assimilée au type de discours, à savoir au discours politique, qui, du fait de la position privilégiée dont il bénéficie traditionnellement dans sa jurisprudence, appelle un examen strict au regard de la Convention et ne laisse guère de place pour des restrictions en vertu de l’article 10 § 2 (voir, à cet égard, Sürek c. Turquie (no 1), précité, § 61, et Wingrove, précité, § 58).

ii.  Objet de la publication litigieuse et notoriété des personnes visées

179.  Les données publiées dans le magazine Veropörssi comprenaient les noms et prénoms de personnes physiques dont les revenus imposables annuels dépassaient certains seuils (paragraphe 9 ci-dessus), ainsi que le montant, arrondi à la centaine d’euros, de leurs revenus provenant du travail et d’autres sources, et des précisions relatives à leur patrimoine net imposable. Les données ont été publiées dans le magazine sous la forme d’une liste alphabétique et classées selon la commune de résidence et la tranche de revenus.

180.  En l’espèce, la publication dans le magazine Veropörssi visait 1,2 million de personnes physiques. Toutes étaient des contribuables mais seules certaines d’entre elles – très peu en réalité – avaient des revenus élevés, ou étaient des personnages publics ou des personnalités connues au sens de la jurisprudence de la Cour. La majorité des personnes dont les données ont été fournies dans le magazine relevaient de tranches de revenus modestes. Selon les estimations, les données en cause concernaient un tiers de la population finlandaise, et la majorité des salariés à temps plein. Contrairement au contenu d’autres publications finlandaises, les informations publiées par les sociétés requérantes ne se rapportaient pas spécifiquement à des catégories particulières de personnes telles que les personnalités politiques, les fonctionnaires, les personnages publics ou d’autres personnes appartenant à la sphère publique à raison de leurs activités ou de leurs hauts revenus (voir, à cet égard, Krone Verlag GmbH & Co. KG c. Autriche, no 34315/96, § 37, 26 février 2002, et News Verlags GmbH & Co.KG c. Autriche, no 31457/96, § 54, CEDH 2000‑I) ou de leur position (Verlagsgruppe News GmbH c. Autriche (no 2), no 10520/02, § 36, 14 décembre 2006). Ainsi que la Cour l’a déjà dit, ces catégories de personnes s’exposent inévitablement et consciemment à un contrôle attentif de leurs faits et gestes tant par les journalistes que par la masse des citoyens (voir, entre autres, Lingens v. Austria, 8 July 1986, § 42, Series A no. 103 et Couderc et Hachette Filipacchi Associés, précité, §§ 120–121).

181.  Les sociétés requérantes invoquent l’anonymat relatif des personnes physiques dont les noms et données sont parus dans le magazine et étaient accessibles au public par le service de SMS, ainsi que le volume considérable des informations publiées, pour minimiser une ingérence éventuelle dans le droit à la vie privée de ces personnes, arguant que plus les données publiées sont nombreuses, moins l’atteinte à la vie privée est importante dès lors que, ainsi qu’elles l’expliquent, les informations spécifiques « se fondraient dans la masse » (paragraphe 103 ci-dessus). Cependant, à supposer même que cet aspect puisse avoir pour effet d’atténuer ou de réduire le degré de l’ingérence résultant de la publication litigieuse, il ne tient pas compte du caractère personnel des données ni du fait que celles-ci ont été fournies aux autorités fiscales compétentes à des fins bien précises mais que les sociétés requérantes y ont accédé à d’autres fins. De même, il fait abstraction du fait que les modalités et l’échelle de l’activité de publication impliquaient que les données ainsi publiées couvraient d’une façon ou d’une autre l’intégralité des contribuables adultes, soit en tant que bénéficiaires d’un certain revenu s’ils figuraient dans la liste soit, à raison des seuils salariaux, en tant que non-bénéficiaires d’un tel revenu s’ils en étaient exclus (voir également le paragraphe 157 ci‑dessus). C’est précisément la collecte, le traitement et la diffusion en masse d’informations qui sont visés par la législation sur la protection des données telle que celle en cause devant les juridictions internes.

iii.  Modalités d’obtention des informations et véracité de celles-ci

182.  L’exactitude des informations publiées n’a jamais été contestée en l’espèce. Ces informations, recueillies auprès des centres locaux des impôts, étaient exactes.

183.  Quant aux modalités d’obtention des informations, il importe de rappeler qu’en matière de liberté de la presse, la Cour a dit que, en raison des devoirs et responsabilités inhérents à l’exercice de la liberté d’expression, la garantie que l’article 10 offre aux journalistes en ce qui concerne les comptes rendus sur des questions d’intérêt général est subordonnée à la condition que les intéressés agissent de bonne foi de manière à fournir des informations exactes et dignes de crédit dans le respect de la déontologie journalistique (Magyar Helsinki Bizottság, précité, § 159, avec d’autres références).

184.  La Cour rappelle qu’en l’espèce les sociétés requérantes ont annulé leur commande de données auprès de la direction générale des impôts, préférant rémunérer des personnes pour collecter manuellement des données fiscales dans les centres locaux des impôts (paragraphe 12 ci-dessus). Elles se sont ainsi soustraites aux limitations tant légales (en esquivant l’obligation de démontrer que les données seraient collectées à des fins de journalisme et ne seraient pas publiées sous forme de liste) que pratiques (en employant des personnes pour recueillir les informations manuellement afin d’avoir un accès illimité aux données fiscales à caractère personnel en vue de leur diffusion ultérieure) imposées par la législation interne pertinente. Les données ont ensuite été publiées à l’état brut, sous forme de catalogues ou de listes.

185.  Si la Cour ne peut que souscrire à l’observation figurant dans l’arrêt de la chambre selon laquelle les informations n’ont pas été obtenues par des moyens illicites, il n’en demeure pas moins que la stratégie des sociétés requérantes a manifestement consisté à contourner les voies normalement empruntées par les journalistes pour accéder à des données fiscales et, en conséquence, les garde-fous mis en place par les autorités internes pour réglementer l’accès à ces informations et leur diffusion.

iv.  Contenu, forme et conséquences de la publication, et considérations y afférentes

186.  La Cour rappelle que, comme indiqué ci-dessus (paragraphe 127 ci‑dessus), la manière de traiter un sujet relève de la liberté journalistique. Il n’appartient ni à elle ni aux juridictions nationales de se substituer à la presse en la matière (Jersild, précité, § 31, et Couderc et Hachette Filipacchi Associés, précité, § 139). L’article 10 laisse également aux journalistes le soin de décider quels détails doivent être publiés pour assurer la crédibilité d’une publication (Fressoz et Roire, précité, § 54, et ibidem). Les journalistes sont en outre libres de choisir, parmi les informations qui leur parviennent, celles qu’ils traiteront et la manière dont ils le feront. Cette liberté n’est cependant pas exempte de responsabilités (ibidem). Les choix qu’ils opèrent à cet égard doivent être fondés sur les règles d’éthique et de déontologie de leur profession (Couderc et Hachette Filipacchi Associés, précité, § 138).

187.  Dans les cas où les informations litigieuses se trouvaient déjà dans le domaine public, la Cour en a tenu compte pour déterminer si la restriction litigieuse à la liberté d’expression était « nécessaire » aux fins de l’article 10 § 2. Dans certaines affaires, cet élément a été déterminant dans la décision de la Cour de conclure à la violation de la garantie prévue par l’article 10 (Weber c. Suisse, 22 mai 1990, §§ 48-52, série A no 177, Observer et Guardian c. Royaume-Uni, 26 novembre 1991, §§ 66-71, série A no 216, Sunday Times c. Royaume-Uni (no 2), 26 novembre 1991, §§ 52‑56, série A no 217, et Vereniging Weekblad Bluf ! c. Pays-Bas, 9 février 1995, §§ 41‑46, série A no 306‑A. Dans d’autres affaires, notamment celles concernant la liberté de la presse de rendre compte de procédures judiciaires publiques, elle a jugé que la nécessité de protéger le droit au respect de la vie privée en vertu de l’article 8 de la Convention prévalait sur le fait que les informations se trouvaient déjà dans le domaine public (Egeland et Hanseid c. Norvège, no 34438/04, §§ 62-63, 16 avril 2009, et Chabanov et Tren c. Russie, no 5433/02, §§ 44-50, 14 décembre 2006).

188.  Il convient de noter que la CJUE a précisé clairement – en particulier dans l’affaire Satakunnan Markkinapörssi Oy, précitée, § 48, et dans l’affaire Google Spain, précitée, § 30 – que le caractère public des données traitées n’excluait celles-ci ni du champ d’application de la directive sur la protection des données ni des garanties mises en place par celle-ci en vue de protéger la vie privée (paragraphes 20 et 75 ci-dessus).

189.  Si les données fiscales en question étaient accessibles au public en Finlande, elles pouvaient être consultées uniquement dans les centres locaux des impôts et la consultation était soumise à des conditions claires. Il était interdit de copier ces informations sur des clés USB. Les journalistes pouvaient recevoir des données fiscales sous forme numérique, mais pareille extraction était également soumise à des conditions, et des limites étaient posées à la quantité de données pouvant faire l’objet d’une telle opération. Les journalistes devaient préciser que les informations étaient demandées à des fins de journalisme et qu’elles ne seraient pas publiées sous forme de listes (paragraphes 49–51 ci-dessus). Dès lors, les informations relatives à des personnes physiques étaient certes accessibles au public, mais des règles et des garanties bien spécifiques s’appliquaient.

190.  L’accessibilité des données en question au public en vertu du droit interne ne signifie pas nécessairement qu’elles pouvaient être publiées sans aucune restriction (paragraphes 48 et 54 ci-dessus). La publication des données dans un magazine et leur diffusion ultérieure au moyen d’un service de SMS les ont rendues accessibles selon des modalités et à une échelle qui n’étaient pas prévues par le législateur.

191.  Comme indiqué ci-dessus, la collecte d’informations est une étape préparatoire essentielle du travail de journalisme ; elle est inhérente à la liberté de la presse et, à ce titre, protégée (paragraphe 128 ci-dessus). Il convient de noter qu’en l’espèce la Cour administrative suprême a mis en cause non pas la collecte de données brutes par les sociétés requérantes, une activité qui est au cœur de la liberté de la presse, mais la diffusion des données selon les modalités et à l’échelle décrites ci-dessus.

192.  À ce stade, il faut également rappeler que la Finlande est l’un des rares États membres du Conseil de l’Europe qui autorisent le public à accéder aussi largement aux données fiscales. Pour apprécier la marge d’appréciation dont jouit l’État en pareil cas, ainsi que la proportionnalité de l’ingérence litigieuse et le régime finlandais à l’origine de celle-ci, la Cour doit également étudier les choix législatifs sous-jacents et, dans ce contexte, la qualité de l’examen parlementaire et judiciaire de la nécessité de la législation et des mesures en découlant qui portent atteinte à la liberté d’expression (voir, à cet égard, Animal Defenders International c. Royaume‑Uni [GC], no 48876/08, §§ 108 et 110, CEDH 2013 (extraits)).

193.  Ainsi que les deux parties en conviennent, le Parlement a procédé à un examen rigoureux et pertinent de la législation finlandaise relative à l’accès aux informations et aux données fiscales en particulier, ainsi que de celle concernant la protection des données. En outre, cet examen et les débats au niveau interne se reflètent dans le régime de protection des données mis en place au sein de l’Union européenne par l’adoption de la directive sur la protection des données et, par la suite, du règlement 2016/79.

194.  La Cour observe qu’en adoptant la loi sur la publication et la confidentialité des informations fiscales le législateur national s’est prononcé en faveur du maintien de l’accessibilité au public des données fiscales en question. Le fait que le parlement finlandais s’est ainsi livré à un exercice de mise en balance des intérêts privés et publics en jeu lorsqu’il s’est prononcé sur cette question ne signifie pas que le traitement de pareilles données fiscales échappe à toute considération relative à la protection des données, ainsi que l’allèguent les sociétés requérantes. L’adoption de l’article 2 § 5 de la loi sur les données à caractère personnel traduit une volonté, d’une part, de concilier le droit à la vie privée avec le droit à la liberté d’expression et, d’autre part, de prendre en considération le rôle de la presse, mais, ainsi que la Cour administrative suprême l’a indiqué, la possibilité d’invoquer la dérogation à des fins de journalisme est subordonnée au respect de certaines conditions. De plus, la loi sur la publication et la confidentialité des informations fiscales énonce clairement que pareilles informations « sont publiques dans la mesure prévue par la présente loi » (paragraphe 39 ci-dessus).

195.  La Cour souligne que les garanties contenues dans le droit national ont été introduites précisément en raison de l’accessibilité au public de données fiscales à caractère personnel, de la nature et de l’objectif de la législation relative à la protection des données et de la dérogation connexe en matière de journalisme. Dans ces circonstances, et conformément à l’approche exposée dans l’affaire Animal Defenders International (précitée, § 108), les autorités de l’État défendeur jouissaient d’une ample marge d’appréciation s’agissant de décider des modalités à adopter pour ménager un juste équilibre entre les droits tirés respectivement de l’article 8 et de l’article 10 de la Convention en l’espèce. De plus, s’il convient de poser des limites à la marge d’appréciation dont disposent les États et d’en soumettre l’exercice au contrôle extérieur de la Cour, celle-ci, lorsqu’un État a choisi, de manière quelque peu exceptionnelle, dans l’intérêt de la transparence, d’inscrire dans la Constitution l’accessibilité au public des données fiscales, peut aussi tenir compte de ce fait dans son appréciation de la mise en balance globale effectuée par les autorités internes.

196.  En l’espèce, dans l’exercice de mise en balance de ces droits, les juridictions internes ont cherché à ménager un équilibre entre la liberté d’expression et le droit à la vie privée consacré par la législation sur la protection des données. Lorsqu’elles ont examiné l’ingérence litigieuse à la lumière de la dérogation prévue à l’article 2 § 5 de la loi sur les données à caractère personnel et du critère de l’intérêt général, ces juridictions, en particulier la Cour administrative suprême, ont analysé la jurisprudence pertinente des organes de la Convention et de la CJUE et ont scrupuleusement appliqué celle de la Cour aux faits de l’espèce.

v.  Sévérité de la sanction imposée aux journalistes ou éditeurs

197.  Comme indiqué dans l’arrêt de la chambre, les sociétés requérantes n’ont pas été empêchées de diffuser des données fiscales ou de continuer à publier le magazine Veropörssi, mais elles devaient le faire selon des modalités conformes à la règlementation finlandaise et aux règles de l’Union européenne sur la protection des données et l’accès aux informations. Si les limitations imposées quant à la quantité de données à publier ont pu, en pratique, rendre certaines des activités commerciales des sociétés requérantes moins lucratives, il ne s’agit pas là, en soi, d’une sanction au sens de la jurisprudence de la Cour.

vi.  Conclusion

198.  À la lumière des considérations ci-dessus, la Cour estime que lorsqu’elles ont apprécié les circonstances soumises à leur examen, les autorités internes compétentes, en particulier la Cour administrative suprême, ont tenu dûment compte des principes et critères exposés dans sa jurisprudence concernant la mise en balance du droit au respect de la vie privée et du droit à la liberté d’expression. Ce faisant, la Cour administrative suprême a attaché une importance particulière à son constat que la publication des données fiscales selon les modalités et à l’échelle en question n’avait pas contribué à un débat d’intérêt général, et que les sociétés requérantes ne pouvaient pas prétendre, en substance, que cette activité de publication avait été exercée aux seules fins de journalisme au sens de la législation nationale et européenne. La Cour ne voit aucune raison sérieuse de substituer son avis à celui des juridictions internes et d’écarter le résultat de la mise en balance effectuée par celles-ci (Von Hannover (no 2), précité, § 107, et Perinçek, précité, § 198). Elle estime que les motifs invoqués étaient pertinents et suffisants pour démontrer que l’ingérence litigieuse était « nécessaire dans une société démocratique », et que les autorités de l’État défendeur ont agi dans les limites de leur marge d’appréciation et ménagé un juste équilibre entre les intérêts concurrents en jeu.

199.  Partant, la Cour conclut qu’il n’y a pas eu violation de l’article 10 de la Convention.

III.  SUR LA VIOLATION ALLÉGUÉE DE L’ARTICLE 6 § 1 DE LA CONVENTION

200.  Les sociétés requérantes se plaignent au regard de l’article 6 § 1 de la Convention de la durée de la procédure devant les juridictions internes.

L’article 6 § 1 de la Convention, en ses passages pertinents, se lit ainsi :

« Toute personne a droit à ce que sa cause soit entendue (...) dans un délai raisonnable, par un tribunal (...) qui décidera (...) des contestations sur ses droits et obligations de caractère civil (...) »

A.  L’arrêt de la chambre

201.  La chambre a relevé que la procédure litigieuse devant les autorités et tribunaux internes avait duré plus de six ans et six mois pour deux degrés de juridiction, l’affaire ayant été examinée deux fois à chaque degré. Elle a précisé qu’il n’y avait pas eu de période d’inactivité particulièrement longue imputable aux autorités et juridictions internes. Elle a estimé que, même si l’affaire présentait une certaine complexité, cela ne pouvait en soi justifier la durée totale de la procédure. Selon la chambre, le caractère excessif de celle-ci s’expliquait essentiellement par le fait que l’affaire avait été examinée à deux reprises à chaque degré de juridiction.

B.  Observations des parties

1.  Les sociétés requérantes

202.  Les sociétés requérantes soutiennent que la procédure judiciaire en l’espèce s’est étendue sur huit ans pour trois degrés de juridiction, l’affaire ayant été examinée deux fois à chaque degré. Elles allèguent que la Cour administrative suprême aurait eu le pouvoir de prononcer l’interdiction dans sa première décision de 2009 sans renvoyer l’affaire devant la commission de protection des données. Elles estiment que cette juridiction aurait pu procéder ainsi à des fins d’économie procédurale et au nom de leur droit à un procès équitable dans un délai raisonnable. La durée de la procédure aurait donc emporté violation de leur droit découlant de l’article 6 § 1 de la Convention.

2.  Le Gouvernement

203.  Le Gouvernement ne souscrit pas aux conclusions de la chambre. Il estime que, si l’on exclut l’intervalle de temps consacré à la procédure de renvoi préjudiciel devant la CJUE, la première procédure a duré trois ans et trois mois et demi, et la seconde environ deux ans et trois mois, soit en tout cinq ans et sept mois, dont il faudrait déduire les six mois consacrés à la préparation au niveau national du renvoi préjudiciel. En conséquence, la durée globale est selon lui de cinq ans et sept jours.

204.  Le Gouvernement soutient qu’aucune des phases procédurales n’a été très longue. Selon lui, l’affaire a donné lieu à deux procédures distinctes ayant eu des objets différents, même si elles ont mis en cause les mêmes parties à raison des mêmes faits. La première aurait porté sur le point de savoir si les sociétés requérantes avaient traité des données à caractère personnel au mépris de la loi sur les données à caractère personnel. La Cour administrative suprême aurait annulé la décision contestée et renvoyé l’affaire devant la commission de protection des données, qui aurait alors dû réexaminer l’affaire du point de vue administratif pour rendre une décision administrative. La seconde procédure aurait eu pour objet la question de savoir si la nouvelle décision de la commission de protection des données du 26 novembre 2009 était conforme à l’arrêt précédemment rendu par la Cour administrative suprême.

205.  Le Gouvernement estime que la question était exceptionnellement complexe sur le plan juridique. Il explique qu’outre la préparation habituelle, le traitement de l’affaire a impliqué la rédaction du renvoi préjudiciel à la CJUE, la décision avant dire droit y relative, ainsi que deux audiences. Il indique que la présente espèce était la première affaire dans le cadre de laquelle les autorités internes ont eu à examiner la liberté de communiquer des informations fiscales et la protection des données, et qu’aucune jurisprudence interne antérieure n’existait en la matière.

206.  Par ailleurs, la deuxième procédure aurait été prolongée d’un mois et demi du fait du comportement des sociétés requérantes, un retard qui ne serait donc pas imputable au Gouvernement.

207.  Le Gouvernement conclut qu’eu égard aux circonstances particulières de l’affaire la procédure a été conduite dans un délai raisonnable au sens de l’article 6 § 1 de la Convention.

C.  Appréciation de la Cour

208.  La Cour observe que la période à prendre en considération a débuté le 12 février 2004, date à laquelle un recours a été formé contre la première décision de la commission de protection des données, et s’est terminée le 18 juin 2012 avec le prononcé par la Cour administrative suprême de la décision définitive en l’espèce. La procédure devant la CJUE, saisie d’une question préjudicielle, a duré un an et dix mois. D’après la jurisprudence de la Cour, cette période ne saurait être prise en considération dans l’appréciation de la durée imputable aux autorités internes (Pafitis et autres c. Grèce, 26 février 1998, § 95, Recueil 1998-I, et Koua Poirrez c. France, no 40892/98, § 61, CEDH 2003-X). Si l’on déduit cette période de la durée totale, la procédure litigieuse devant les autorités et tribunaux internes s’est étendue sur six ans et six mois pour deux degrés de juridiction, l’affaire ayant été examinée deux fois à chaque degré.

209.  Selon la jurisprudence bien établie, le caractère raisonnable de la durée d’une procédure doit s’apprécier suivant les circonstances de la cause et à l’aide des critères suivants : la complexité de l’affaire, le comportement des requérants et celui des autorités compétentes ainsi que l’enjeu du litige pour les intéressés (voir, parmi beaucoup d’autres, Frydlender c. France [GC], no 30979/96, § 43, CEDH 2000-VII, et Paroisse Gréco-Catholique Lupeni et autres c. Roumanie [GC], no 76943/11, § 143, CEDH 2016 (extraits)).

210.  La Cour partage l’avis du Gouvernement selon lequel il n’y a pas eu de période d’inactivité particulièrement longue imputable aux autorités et juridictions internes. La procédure devant celles-ci a duré environ un an et demi à chaque stade, ce qui, en soi, ne saurait passer pour déraisonnable.

211.  La durée totale de la procédure est néanmoins excessive, ce qui semble s’expliquer par le fait que l’affaire a été examinée deux fois à chaque degré de juridiction. Pour la Cour, même si l’on admet l’argument du Gouvernement selon lequel le comportement des sociétés requérantes a prolongé la seconde procédure d’un mois et demi et que cette période doit être déduite de la durée globale, il n’en reste pas moins que la procédure dans son ensemble a connu une durée excessive.

212.  La Cour reconnaît que l’affaire revêtait une certaine complexité sur le plan juridique, ce que montre la rareté de la jurisprudence au niveau national, la nécessité de saisir la CJUE de questions relatives à l’interprétation du droit de l’Union européenne et le fait même que l’affaire a été renvoyée devant la Grande Chambre. Cependant, on ne saurait prétendre que la complexité juridique de l’affaire explique en soi l’intégralité de la durée de la procédure. Le renvoi de l’affaire devant la commission de protection des données pour un nouvel examen a également participé à cette complexité.

213.  Quant à l’enjeu pour les sociétés requérantes, il est indéniable que les décisions internes litigieuses, en imposant des limites à l’ampleur et aux modalités de leurs activités de publication de données fiscales, ont eu des conséquences sur la poursuite par les intéressées de ces activités.

214.  Eu égard à l’ensemble des éléments soumis à son examen, la Cour conclut que, même si l’on tient compte de la complexité de l’affaire sur le plan juridique, la durée globale de la procédure en l’espèce ne répondait pas à l’exigence du délai raisonnable.

215.  Partant, il y a eu violation de l’article 6 § 1 de la Convention à raison de la durée de la procédure.

IV.  SUR L’APPLICATION DE L’ARTICLE 41 DE LA CONVENTION

216.  Aux termes de l’article 41 de la Convention,

« Si la Cour déclare qu’il y a eu violation de la Convention ou de ses Protocoles, et si le droit interne de la Haute Partie contractante ne permet d’effacer qu’imparfaitement les conséquences de cette violation, la Cour accorde à la partie lésée, s’il y a lieu, une satisfaction équitable. »

A.  Dommage

217.  Les sociétés requérantes réclament une somme de 900 000 euros (EUR) pour dommage matériel, ce qui équivaudrait à la perte nette de revenu qu’elles prétendent avoir subie sur trois ans. Elles n’ont pas précisé la part du préjudice matériel correspondant à chacune des deux dispositions de la Convention dont elles allèguent la violation.

218.  Le Gouvernement souscrit à la conclusion de la chambre selon laquelle aucun lien de causalité n’a été établi entre le préjudice que les sociétés requérantes disent avoir subi et la violation alléguée de l’article 6 § 1 ou de l’article 10 de la Convention. Il estime en conséquence qu’aucune indemnité ne doit être octroyée à ce titre. Dans le cas où la Cour déciderait d’accorder une indemnité pour dommage matériel, il l’invite à réserver la question de l’application de l’article 41 de la Convention.

219.  Eu égard aux éléments produits devant elle, la Cour ne discerne aucun lien de causalité entre la violation constatée de l’article 6 de la Convention et le dommage matériel allégué par les sociétés requérantes, et rejette donc cette demande. Quant au dommage moral, elle relève que les sociétés requérantes n’ont formulé aucune demande à ce titre.

B.  Frais et dépens

220.  Les sociétés requérantes demandent 58 050 EUR pour les frais et dépens exposés devant les juridictions nationales et devant la Cour.

221.  Le Gouvernement rappelle que la chambre a octroyé aux sociétés requérantes une indemnité de 9 500 EUR (taxe sur la valeur ajoutée comprise) pour couvrir l’ensemble des frais afférents à la procédure interne et devant la Cour. Il estime que ce montant est raisonnable et qu’il n’y a pas lieu de le réévaluer.

222.  Selon la jurisprudence de la Cour, un requérant ne peut obtenir le remboursement de ses frais et dépens que dans la mesure où se trouvent établis leur réalité, leur nécessité et le caractère raisonnable de leur taux. En l’espèce, contrairement à ce qu’exige l’article 60 § 2 du règlement, les sociétés requérantes n’ont pas accompagné leur demande de remboursement des frais exposés devant la Grande Chambre des justificatifs pertinents. Il convient donc de rejeter la demande supplémentaire présentée au titre des frais et dépens engagés aux fins de la procédure devant la Grande Chambre. Compte tenu des justificatifs produits par les sociétés requérantes à l’appui de leurs prétentions devant la chambre ainsi que des critères exposés ci‑dessus, la Cour juge raisonnable d’octroyer aux intéressées la somme de 9 500 EUR (taxe sur la valeur ajoutée comprise) au titre des frais et dépens exposés devant les juridictions internes et devant la chambre.

C.  Intérêts moratoires

223.  La Cour juge approprié de calquer le taux des intérêts moratoires sur le taux d’intérêt de la facilité de prêt marginal de la Banque centrale européenne majoré de trois points de pourcentage.

PAR CES MOTIFS, LA COUR,

1.  Rejette, à l’unanimité, les exceptions préliminaires du Gouvernement ;

2.  Dit, par quinze voix contre deux, qu’il n’y a pas eu violation de l’article 10 de la Convention ;

3.  Dit, par quinze voix contre deux, qu’il y a eu violation de l’article 6 § 1 de la Convention ;

4.  Dit, par quatorze voix contre trois,

a)  que l’État défendeur doit verser aux sociétés requérantes, dans les trois mois, 9 500 EUR (neuf mille cinq cents euros), y compris tout montant pouvant être dû à titre d’impôt, pour frais et dépens ;

b)  qu’à compter de l’expiration dudit délai et jusqu’au versement, ce montant sera à majorer d’un intérêt simple à un taux égal à celui de la facilité de prêt marginal de la Banque centrale européenne applicable pendant cette période, augmenté de trois points de pourcentage ;

5.  Rejette, par quinze voix contre deux, la demande de satisfaction équitable pour le surplus.

Fait en français et en anglais, puis prononcé en audience publique au Palais des droits de l’homme, à Strasbourg le 27 juin 2017.

 Lawrence Early András Sajó
 Jurisconsulte Président

Au présent arrêt se trouve joint, conformément aux articles 45 § 2 de la Convention et 74 § 2 du règlement, l’exposé des opinions séparées suivantes :

a)  opinion en partie dissidente des juges Nußberger et López Guerra ;

b)  opinion dissidente des juges Sajó et Karakaş.

A.S.
T.L.E.

OPINION EN PARTIE DISSIDENTE DES JUGES NUSSBERGER ET LÓPEZ-GUERRA

(Traduction)

1.  La question au cœur de cette importante affaire a trait à la mise en balance du droit à la protection des données et du droit à la liberté d’expression. Nous souscrivons pleinement à la position de la majorité sur ce point.

2.  Néanmoins, il nous faut marquer notre désaccord en ce qui concerne une question secondaire. En effet, nous ne pouvons souscrire au constat de violation de l’article 6 § 1 de la Convention à raison de la durée de la procédure.

3.  Certes, la procédure dans son ensemble s’est étendue sur plus de six ans et six mois pour deux degrés de juridiction (paragraphe 208 de l’arrêt), mais il convient de noter que quatre juridictions distinctes ont connu de l’affaire, se livrant à chaque fois à un nouvel examen des questions juridiques. Tout d’abord, le tribunal administratif d’Helsinki a été saisi du recours du médiateur chargé de la protection des données contre le refus de la commission de protection des données d’interdire aux sociétés requérantes de traiter les données fiscales selon les mêmes modalités et à la même échelle qu’en 2002 et de transmettre ces données à un service de SMS. La Cour administrative suprême a dû alors rendre une décision en deuxième et dernier ressort. Après l’arrêt préjudiciel de la Cour de justice de l’Union européenne, l’affaire a été renvoyée à la commission, c’est-à-dire au niveau administratif, pour que celle-ci émette l’interdiction correspondante. Ce sont alors les sociétés requérantes qui – tout en ayant conscience que la question juridique avait déjà été tranchée par deux juridictions – ont engagé un recours contre la décision de la commission. La cour administrative de Turku – encore une juridiction différente – a rejeté l’appel des requérantes. Celles-ci, refusant de nouveau d’accepter cette décision, ont une fois de plus porté l’affaire devant la Cour administrative suprême, alors même que, manifestement, elles n’avaient aucune chance de succès.

4.  Les deux procédures se présentaient donc différemment. La première d’entre elles portait sur le recours du médiateur contre le refus de la commission d’interdire l’activité des requérantes, alors que la deuxième procédure avait pour objet l’appel des sociétés requérantes contre la décision opposée. La première contestation concernait l’inactivité des autorités, alors que la deuxième avait trait à l’activité des mêmes autorités.

5.  Il importe de relever que la seconde procédure a été initiée uniquement par les sociétés requérantes. Celles-ci ont fait usage d’un recours juridique à leur disposition, ce qui est parfaitement légitime. Cependant, selon la jurisprudence constante de la Cour, si l’on ne peut blâmer un requérant de tirer pleinement parti des voies de recours que lui ouvre le droit interne, pareil comportement doit être considéré comme constituant un fait objectif, non imputable à l’État défendeur et qui entre en ligne de compte pour déterminer s’il y a eu ou non dépassement du délai raisonnable prévu à l’article 6 § 1 (Erkner et Hofauer c. Autriche, n° 9616/81, § 68, 23 avril 1987, Girardi c. Autriche, no 50064/99, § 56, 11 décembre 2003, Sociedade de Construções Martins & Vieira, Lda., et autres c. Portugal, nos 56637/10 et 5 autres, § 48, 30 octobre 2014, O’Neill et Lauchlan c. Royaume-Uni, nos 41516/10 et 75702/13, § 92, 28 juin 2016).

6.  Certes, la Cour suprême aurait pu elle-même décider de l’affaire. Mais pareil choix aurait mis les sociétés requérantes dans l’impossibilité d’engager de nouveau un recours; et aurait donc réduit l’éventail de leurs recours juridiques. L’attitude des sociétés requérantes, qui se plaignent de s’être vu offrir la possibilité de faire un recours puis d’avoir usé de cette possibilité, est quelque peu contradictoire. Cette stratégie procédurale a été librement choisie par les intéressées. Elle ne leur a pas été imposée.

7.  De plus, il faut avoir égard à la complexité juridique de l’affaire, notamment mise en évidence par le fait que la procédure devant la Cour européenne des droits de l’homme s’est aussi étendue sur près de cinq ans.

8.  Enfin, et surtout, aucune période d’inactivité particulièrement longue n’est à reprocher aux autorités et aux juridictions nationales.

9.  Dès lors, il nous semble que, eu égard aux critères bien établis dans la jurisprudence de la Cour concernant les affaires de durée de procédure, il n’existe aucune base permettant de fonder un constat de violation de l’article 6 § 1 de la Convention en l’espèce.

OPINION DISSIDENTE DES JUGES SAJÓ ET KARAKAŞ

(Traduction)

1.  La Cour dit depuis longtemps que les médias – qui jouent un rôle crucial de « chiens de garde » – doivent bénéficier d’une protection solide de leur droit à la liberté d’expression. Cependant, la Cour juge opportun, dans l’arrêt qu’elle rend aujourd’hui, d’affaiblir cette protection en affirmant de manière étonnante qu’un journal publiant un ensemble de données accessibles au public ne se livre pas à une « activité de journalisme », et en défendant la mesure de censure particulièrement sévère dirigée contre ce journal, lequel a à présent fait faillite.

2.  Pour nous, il n’appartient pas aux juridictions internes d’émettre un jugement sur ce que recouvre la notion d’« activité de journalisme ». Nous jugeons peu convaincante l’appréciation de la Cour selon laquelle les informations relatives aux contribuables – qui font l’objet de plusieurs lois en Finlande – ne représentent pas une véritable « question d’intérêt général ». Nous ne croyons pas que la marge d’appréciation a été correctement appliquée en l’espèce, ni que les droits concurrents en jeu, à savoir le droit à la liberté d’expression des sociétés requérantes et le droit individuel à la vie privée des contribuables finlandais, ont été convenablement mis en balance.

3.  C’est pourquoi, avec tout le respect que nous devons à la majorité, nous exprimons notre désaccord avec l’opinion exprimée par la Cour.

A.  Activité journalistique et contribution à un intérêt général légitime

4.  Nul ne conteste qu’il y a eu ingérence dans l’exercice par les sociétés requérantes de leur droit à la liberté d’expression (paragraphe 140 de l’arrêt). Nous nous démarquons cependant de la majorité en ce qui concerne la légalité de cette ingérence.

5.  En droit finlandais, les informations sur le revenu et les biens imposables des contribuables sont publiques[1]. En 2002, les sociétés requérantes ont publié une certaine quantité de telles informations. En avril 2003, le médiateur chargé de la protection des données, invoquant des intérêts liés à la vie privée de contribuables, a demandé à ce que la commission de protection des données empêche les sociétés requérantes de publier les données fiscales. Cette demande a été rejetée au motif que les sociétés requérantes se livraient à des activités de journalisme et pouvaient donc se prévaloir d’une dérogation aux restrictions prévues par la loi régissant le traitement des données[2]. En février 2007, la Cour administrative suprême, lors de son examen de l’affaire, a posé une question préjudicielle à la Cour de justice de l’Union européenne (CJUE) sur l’interprétation à donner à la directive européenne sur la protection des données[3], également applicable au traitement litigieux. En décembre 2008, la CJUE a estimé que les activités relatives au traitement de données figurant dans des documents accessibles au public pouvaient être qualifiées d’« activités de journalisme », si elles avaient pour objet la divulgation au public d’informations, d’opinions ou d’idées par quelque moyen de transmission que ce fût. En septembre 2009, la Cour administrative suprême a conclu que la publication de l’ensemble de la base de données ne pouvait être considérée comme une activité de journalisme, et elle a ordonné à la commission de protection des données d’interdire aux sociétés requérantes de publier de telles données.

6.  En vertu de la loi sur les données à caractère personnel, pareilles données peuvent être traitées sans le consentement de la personne concernée uniquement dans des cas strictement limités, notamment l’accomplissement de contrats, la protection des intérêts vitaux d’une personne, ou lorsque la commission de protection des données a autorisé le traitement à la lumière d’un « intérêt général important », ainsi que dans quelques autres situations (article 8 de la loi). Cependant, un responsable potentiel d’un traitement de données n’est pas soumis à ces limitations lorsque le traitement de données est effectué à des fins « de journalisme ou d’expression artistique ou littéraire » (article 2 § 5). De même, la directive européenne sur la protection des données énonce de manière limitative les buts pour lesquels les données peuvent être traitées, tout en énonçant que « les États membres peuvent prévoir des exceptions » à ces limitations « s’agissant du traitement de données personnelles menées uniquement à des fins journalistiques » (article 9). Dès lors, la question de savoir si un requérant mène une « activité de journalisme » revêt une importance cruciale puisque, dans l’affirmative, les moyens employés pour obtenir de telles données et l’usage qui en est fait n’ont aucune pertinence.

7.  La Cour, se fondant certainement sur l’avis de la Cour administrative suprême finlandaise, énonce que « la publication des données fiscales dans le magazine Veropörssi pratiquement in extenso (…) revient à divulguer l’intégralité du fichier de référence établi à des fins de journalisme ; dans ces conditions, l’opération ne peut avoir eu pour seule finalité de transmettre des informations, des opinions ou des idées » (paragraphe 176 de l’arrêt, italique ajouté). Illogique de prime abord – pouvons-nous abruptement affirmer que la publication de données ne constitue pas une tentative de « transmettre des informations » ?–, cette conclusion est également incohérente par rapport à notre jurisprudence, qui n’a jamais énoncé qu’une société de presse enregistrée qui publie des données dans un journal ne mène pas des « activités de journalisme ». Elle est également incohérente par rapport à la propre description par la Cour des sociétés requérantes comme des « entreprises de médias » (paragraphe 151 de l’arrêt).

8.  L’arrêt rendu aujourd’hui souligne le fait que les requérantes ont publié des « données [fiscales] brutes, telles quelles, sans aucun apport analytique » (paragraphe 175 de l’arrêt), mais la Cour n’a jamais exigé qu’un journaliste se livre à une « analyse » pour considérer qu’il satisfait à ses obligations en matière de diffusion d’informations au public. De plus, ainsi que l’a longtemps souligné notre jurisprudence, il n’appartient pas à la Cour – ni, d’ailleurs, aux juridictions nationales – de substituer ses propres vues à celles de la presse quant à savoir quelles techniques de reportage doivent être adoptées (Axel Springer AG c. Allemagne [GC], no 39954/08, § 81, 7 février 2012 ; Jersild c. Danemark, 23 septembre 1994, § 31, série A no 298). L’article 10 laisse aux journalistes le soin de décider de communiquer des informations sur des questions d’intérêt général dès lors que ceux-ci s’expriment de bonne foi (voir la partie D ci-dessous), sur la base de faits exacts et dans le respect de l’éthique journalistique (Fressoz et Roire c. France [GC], no 29183/95, § 54, CEDH 1999‑I). Le journalisme est avant tout affaire de collecte et de présentation de faits et non d’apport « analytique »[4]. Le fait prime l’opinion.

9.  La Cour tente de diluer encore plus l’importance des arguments des requérants en soutenant que la « publication litigieuse » ne peut être considérée comme une contribution à un débat d’intérêt général ou à une forme de discours politique, qui bénéficie d’une position privilégiée dans sa jurisprudence (paragraphe 178 de l’arrêt). Nous trouvons ce raisonnement forcé, pour la raison évidente que le législateur finlandais a décidé de rendre les données fiscales accessibles au public. Ce point revêt d’autant plus d’importance que, comme le relève la majorité, la Finlande se situe à cet égard dans une petite minorité des États parties à la Convention, mettant ainsi un fort accent sur l’intérêt général à la publicité et à la transparence en ce qui concerne les données fiscales (paragraphes 81 et 120–121 de l’arrêt).

10.  La majorité énonce que « l’existence d’un intérêt général à ce que de grandes quantités de données fiscales soient accessibles et à ce que la collecte de ces données soit autorisée ne signifie pas nécessairement ou automatiquement qu’il existe également un intérêt général à diffuser en masse pareilles données brutes, telles quelles » (paragraphe 175 de l’arrêt)[5]. Est-ce à dire que des informations accessibles au public seraient impropres à la publication ? La diffusion des informations est l’un des objectifs habituels de la décision de rendre la collecte de données accessible au public[6]. De plus, la Cour décide que la publication d’une « certaine » quantité de données ne bénéficie pas de la protection de la loi, bien que la loi ne précise nulle part qu’il existe un seuil de cette nature. Le fait même que le droit finlandais met de telles données à la disposition du public prouve que la diffusion de ces données non seulement est légale mais qu’elle constitue également une question sérieuse d’intérêt général dans le contexte finlandais. En réalité, la loi sur la publication et la confidentialité des informations fiscales, qui déclare de telles données publiques, stipule que ces dispositions prévalent sur celles de la loi sur la transparence des activités de l’État et sur celles de la loi sur les données à caractère personnel (article 2 ; voir également le paragraphe 15 des observations des requérantes en date du 23 avril 2014 et le paragraphe 26 de leurs observations du 17 mars 2016).

11.  La majorité tente de plus de prétendre que, étant donné que les données ont été publiées en masse et sous une forme « brute », leur simple volume empêcherait le public d’observer et de surveiller les activités de l’État (paragraphe 176 de l’arrêt). La Cour ajoute que les informations peuvent permettre de satisfaire le goût d’un certain public pour le sensationnel voire, parfois, pour le voyeurisme, quant à la vie privée d’autrui (paragraphe 177 de l’arrêt). La Cour conclut donc que « l’unique objet » de la publication ne peut pas avoir été la divulgation au public d’informations importantes (paragraphe 178 de l’arrêt).

12.  Cependant, la Cour omet de considérer qu’une plus grande quantité de données contribue bien à l’intérêt général puisque cela promeut la transparence fiscale (ce qui constitue la raison de l’adoption de la loi en premier lieu). De plus, le fait que les données puissent ou non être utilisées à des fins de voyeurisme n’amoindrit pas (et exclut encore moins) l’intérêt général que présentent les informations publiées. La publication d’une quantité d’informations plus importante ne saurait signifier automatiquement que les informations sont de moindre valeur, présentent un intérêt général plus faible, ou relèvent du voyeurisme ou du sensationnalisme (voir, a contrario, Von Hannover c. Allemagne, no 59320/00, § 65, CEDH 2004‑VI). La publication litigieuse n’est pas une publication concernant des aspects intimes de la vie privée qui sont généralement l’objet du voyeurisme, un terme qui n’a jamais été défini par la majorité[7].

B.  La légalité de l’interdiction de publication

13.  Dès lors que nous ne souscrivons pas à l’avis de la Cour selon lequel la publication litigieuse n’était pas de nature « journalistique », nous devons conclure que la décision de la commission de protection des données d’interdire rétroactivement aux requérantes de publier des données fiscales de la manière dont elles le voulaient était imprévisible et n’était donc pas prévue par la loi (paragraphes 13 et 34 de l’arrêt).

14.  La loi sur la publication et la confidentialité des informations fiscales prévoit que les données fiscales, y compris le nom, l’année de naissance et la municipalité de résidence d’un contribuable, sont publiques (article 5). Elle précise en outre que la loi sur les données personnelles ne restreint pas la collecte de données à des fins de journalisme (article 16 § 3). Comme dit ci-dessus, en vertu de la loi sur les données personnelles, les journalistes, lorsqu’ils traitent des données à caractère personnel, sont soumis à un ensemble de restrictions moins sévères que le reste de la population[8]. Dans le cas de données fiscales, l’obligation de protection doit être considérée dans le cadre d’un contexte légal qui rend ces données publiques.

15.  À la lumière de ces lois, la demande du médiateur chargé de la protection des données en 2003 et l’arrêt consécutif de la Cour administrative suprême en 2007 (!) ordonnant aux requérantes de cesser la publication étaient imprévisibles et arbitraires. Notamment, l’ordonnance s’opposait non pas à la publication en elle-même mais au volume et au format de la publication de ces données, un critère que les requérantes ne pouvaient raisonnablement pas avoir prévu. De plus, et surtout, eu égard à l’exemption en matière de journalisme prévue tant dans la loi sur la publication et la confidentialité des informations fiscales que dans la loi sur la protection des données à caractère personnel, les requérantes pouvaient raisonnablement penser que leur publication était protégée. La confusion observée à de multiples niveaux des organes juridictionnels de contrôle sur le point de savoir si l’exemption journalistique s’appliquait en l’espèce vient également conforter cette idée (voir, notamment, les paragraphes 15, 17, 19, 20 et 23 de l’arrêt).

16.  Ainsi que la majorité le relève, la Cour a dit à de nombreuses reprises qu’on ne peut considérer comme une « loi » au sens de l’article 10 § 2 qu’une norme énoncée avec assez de précision pour permettre à une personne de régler sa conduite (paragraphe 143 de l’arrêt). En l’espèce, l’idée que les requérantes, deux entreprises de médias, pouvaient prévoir qu’elles ne seraient pas protégées par l’exemption en matière de journalisme est hautement improbable (paragraphe 143 de l’arrêt), eu égard au libellé de la loi applicable et compte tenu de la compréhension du terme « journalisme » par la Cour. En outre, dans deux applications antérieures de la loi sur les données personnelles, il avait été conclu d’une part que des données fiscales publiques pouvaient être communiquées en masse aux médias par la voie électronique, et d’autre part qu’une entreprise de médias qui avait publié des données sur un groupe de 10 000 personnes considérées comme les plus fortunées de Finlande s’était livrée à un traitement de données à des fins de journalisme (paragraphe 38 de l’arrêt)[9].

17.  À la lumière des considérations ci-dessus, force nous est de conclure que l’ingérence n’était pas prévisible, et qu’elle n’était donc pas « prévue par la loi ».

C.  Marge d’appréciation

18.  Quant à la marge d’appréciation qu’il convient d’accorder en l’espèce, nous pensons que les autorités de l’État défendeur n’ont pas agi dans les limites de cette marge lorsqu’elles ont ménagé un juste équilibre entre les intérêts opposés en jeu.

19.  Tout d’abord, on présume dans cette affaire que le parlement finlandais a agi dans les limites de sa marge d’appréciation lorsqu’il a prévu un tel degré d’accès du public aux données fiscales (indépendamment du fait que la Finlande est l’un des très rares membres du Conseil de l’Europe à avoir pris une telle décision). La Cour a déclaré attacher une grande importance à la qualité du contrôle parlementaire de la nécessité d’une législation restreignant des droits (Animal Defenders International c. Royaume-Uni [GC], no 48876/08, §§ 108 et 110, CEDH 2013 (extraits))[10]. En l’espèce, la majorité estime que le contrôle parlementaire mené par le parlement finlandais a été « rigoureux et pertinent » (paragraphe 193 de l’arrêt). Cependant, il est contradictoire d’accorder une ample marge d’appréciation aux autorités finlandaises pour adopter une loi en raison de sa légitimité démocratique tout en accordant également une telle marge d’appréciation aux juridictions internes s’agissant de limiter la portée d’un texte qui a été démocratiquement débattu et adopté. Lorsque des intérêts opposés ont déjà été mis en balance par le législateur, la Cour serait en contradiction avec sa propre position exprimée dans l’arrêt Animal Defenders International en encourageant la non-prise en compte de choix démocratiques nationaux, particulièrement si la seule raison d’accorder la marge d’appréciation est en premier lieu la qualité du contrôle parlementaire[11].

20.  L’arrêt est de ce point de vue ambigu. On ne voit pas clairement si la Cour accorde aux juridictions une ample marge d’appréciation pour contrôler la législation et ménager un nouvel équilibre entre les droits en jeu (limitant ainsi la portée de son propre contrôle), ou si elle accorde une petite marge d’appréciation au parlement pour interpréter de manière étroite une loi, de manière à favoriser un droit à la vie privée qui n’était pas mis en avant dans le texte lui-même. L’arrêt semble même dire que les restrictions à l’article 10 (qui se fondent sur la loi sur les données personnelles) devraient bénéficier d’une ample marge d’appréciation, mais que tel ne devrait pas être le cas pour les restrictions à l’article 8 (fondées sur la loi sur la publication et la confidentialité des informations fiscales). Le libellé est au mieux hésitant, et aucune raison n’est donnée pour expliquer la préférence de la Cour autre que son souhait de se ranger aux côtés d’une juridiction nationale contre le législateur. L’arrêt d’aujourd’hui illustre clairement, une fois de plus, qu’il n’y a pas de principe objectif pour appliquer la doctrine de la marge d’appréciation[12], particulièrement après l’application qui en a été faite dans l’arrêt Animal Defenders International. Tout en prétendant accorder une ample marge d’appréciation aux autorités de l’État défendeur pour ménager un équilibre entre les droits en jeu, la Cour souhaite aussi permettre aux juridictions internes non seulement de révoquer judiciairement ce qui a été démocratiquement adopté, mais également de redéfinir le sens des notions d’« activités de journalisme » et de « but journalistique ».

21.  Indépendamment du fait qu’elles sont liées au contexte, ces notions ne peuvent être définies par les juridictions nationales. Il s’ensuit que les autorités internes ne peuvent se voir accorder une marge d’appréciation pour prendre une telle décision. Une approche similaire est suivie en ce qui concerne la notion de « journalisme responsable », qui a été utilisée, quoique de manière non explicite, pour autoriser l’analyse moins stricte de la mise en balance accomplie par l’État et la proportionnalité de la mesure adoptée (voir, respectivement, Pentikäinen c. Finlande [GC], no 11882/10, § 90, CEDH 2015 et, plus récemment, Erdtmann c. Allemagne (déc.), no 56328/10, § 20, 5 janvier 2016). La notion de « journalisme responsable » a récemment été utilisée comme l’un des facteurs permettant d’accorder une marge d’appréciation plus large, ce qui a eu pour résultat d’amoindrir la liberté de la presse (Rusu c. Roumanie, no 25721/04, § 24, 8 mars 2016, où les principes dégagés dans l’affaire Pentikäinen ont été réinterprétés et appliqués de manière large ; Bédat c. Suisse [GC], no 56925/08, §§ 49–54, CEDH 2016 ; Salihu et autres c. Suède (déc.), n° 33628/15, §§ 53–56, 10 mai 2016 ; Kunitsyna c. Russie, no 9406/05, § 45, 13 décembre 2016 ; et Travaglio c. Italie (déc.), n° 64746/14, § 36, 24 janvier 2017). Permettre aux États de déterminer les limites de ces notions revient à endosser implicitement une position, que l’on voit émerger dans certains États membres, selon laquelle toute activité de journalisme qui se montre critique envers l’État n’est pas journalistique mais simplement illégale, comme une forme de terrorisme ou une menace pour la sécurité nationale. Or, l’article 10 ne confère pas aux juridictions nationales un tel pouvoir fondamental, et la Cour ne devrait pas le faire non plus.

22.  Eu égard aux considérations ci-dessus et au fait que cette affaire implique un discours d’intérêt général diffusé par une publication à des fins de journalisme, l’État défendeur ne devrait pas bénéficier d’une ample marge d’appréciation pour restreindre ce discours.

D.  Mise en balance des droits concurrents

23.  On pourrait éprouver un sentiment de réserve instinctif face aux lois de transparence fiscale en Finlande et demander à la Cour de contrôler la compatibilité d’une telle législation avec l’article 8 lorsqu’un individu affecté par ces lois soumet une requête en bonne et due forme contre celles‑ci. Cependant, ce n’est pas ce que la Cour a été appelée à faire en l’espèce et elle ne saurait le faire en dénaturant sa jurisprudence pour restreindre la liberté d’expression. Toute préoccupation relative aux lois internes autorisant une transparence fiscale absolue doit donc être laissée en dehors de l’exercice de mise en balance.

24.  Il appartient à la Cour de décider si elle doit adopter une approche de mise en balance ou appliquer le critère de nécessité. Jusqu’ici, elle a appliqué soit l’un, soit l’autre – jamais les deux en même temps, contrairement à ce qu’elle fait dans l’arrêt d’aujourd’hui. Alors que, conformément à la jurisprudence dominante, la mise en balance entre deux droits consacrés par la Convention exige que la Cour s’incline devant les choix nationaux, les deux droits en conflit doivent cependant être dûment considérés (c’est-à-dire que la Cour doit exercer son propre contrôle lorsqu’un droit est simplement déclaré déterminant sans motivation convenable). Cependant, en l’espèce, en se livrant à l’exercice de mise en balance, les juridictions internes n’ont pas tenu dûment compte des deux droits en jeu, et la Cour n’a même pas examiné la question, alors qu’elle est tenue de le faire en vertu de sa propre jurisprudence. Dans les affaires où l’exercice de mise en balance mené par les juridictions internes a exclu l’une ou l’autre des considérations requises, la Cour doit conclure à la violation. La jurisprudence de la Cour requiert un examen en bonne et due forme des éléments suivants, parmi d’autres.

25.  Tout d’abord, l’ingérence concerne la presse et le journalisme. Si le journalisme n’est pas exempt de certaines obligations et responsabilités, les restrictions qui lui sont apportées entraînent un contrôle plus strict. L’article 10 § 2 de la Convention laisse peu de place aux restrictions au discours politique ou au débat sur des questions d’intérêt général. La Cour est appelée à exercer le contrôle le plus scrupuleux lorsque des mesures ou des sanctions prises par les autorités nationales sont de nature à décourager la participation de la presse à des débats sur des questions d’intérêt général (voir, par exemple, Wingrove c. Royaume-Uni, 25 novembre 1996, § 58, Recueil des arrêts et décisions 1996‑V ; Bladet Tromsø et Stensaas c. Norvège [GC], no 21980/93, § 64, CEDH 1999‑III ; et Jersild, précité, § 35). En l’espèce, les requérantes ont publié des informations qui concernaient directement des questions d’intérêt général. À noter que les questions relatives à l’emploi, aux salaires et à la transparence fiscale ont déjà été considérées par la Cour comme des questions d’intérêt général (Fressoz et Roire, précité, §§ 51 et 53).

26.  Deuxièmement, les informations publiées par les requérantes ne visaient pas à causer (et n’ont d’ailleurs pas causé) un quelconque préjudice[13]. En mettant en balance l’article 8 et l’article 10, la Cour doit également avoir égard « à la gravité de l’intrusion dans la vie privée et aux répercussions de la publication pour la personne visée » (Gourguénidzé c. Géorgie, no 71678/01, § 41, 17 octobre 2006). En même temps, l’ingérence a imposé une lourde charge aux requérantes et leur a occasionné un préjudice réel, les poussant finalement à la faillite. Le préjudice pour le grand public, contrairement à celui causé aux sociétés requérantes, était spéculatif et diffus. Eu égard à la nature publique des données et à la portée de l’ensemble des données publiées, tout préjudice résultant directement de la publication des sociétés requérantes était relativement inconséquent en ce qui concerne le public en général. L’absence de toute contestation individuelle de la loi ne fait que corroborer l’absence de préjudice individualisé en jeu. En revanche, on fait peser une charge importante sur les journalistes lorsqu’on prescrit des exigences sur la quantité de données qu’ils peuvent recueillir et publier, et sur la forme sous laquelle ils doivent les publier, etc.

27.  Troisièmement, les informations publiées par les requérantes étaient censées être publiques et elles n’étaient soumises à aucune exigence de confidentialité. Le droit interne confère à toute personne le droit d’accéder aux informations relatives aux contribuables[14], et l’article 12 de la Constitution finlandaise garantit de plus un droit à diffuser et à recevoir des informations sans entrave préalable par quiconque. La Cour a constamment assuré qu’« [à] la fonction des médias consistant à communiquer de telles informations et idées s’ajoute le droit, pour le public, d’en recevoir » (News Verlags GmbH & Co.KG c. Autriche, no 31457/96, § 56, CEDH 2000‑I ; Dupuis et autres c. France, no 1914/02, § 35, 7 juin 2007 ; Campos Dâmaso c. Portugal, no 17107/05, § 31, 24 avril 2008 ; et Axel Springer AG, précité, §§ 79-80). Lorsqu’on se livre à la mise en balance relativement à l’article 10, on doit impérativement tenir compte du manque ou du défaut total de confidentialité et/ou d’intimité personnelle afférent aux informations publiées par des journalistes. Dans l’arrêt Fressoz et Roire (précité), la Cour a expressément examiné s’il existait un « intérêt de garder secrètes des informations dont le contenu avait déjà été rendu public (…) et était susceptible d’être déjà connu par un grand nombre de personnes » (§ 53)[15]. Elle a jugé injustifié d’empêcher la diffusion d’informations tombées dans le domaine public.

28.  Quatrièmement les sociétés requérantes ont agi de bonne foi lorsqu’elles ont publié les données fiscales. La norme de la responsabilité journalistique implique la condition que les journalistes agissent de bonne foi de manière à fournir des informations fiables et précises dans le respect des principes d’un journalisme responsable (Pentikäinen, précité, § 90 ; Bladet Tromsø et Stensaas, précité, § 65 ; Fressoz et Roire, précité, § 54 ; Kasabova c. Bulgarie, no 22385/03, §§ 61 et 63-68, 19 avril 2011 ; et Times Newspapers Ltd c. Royaume-Uni (nos 1 et 2), nos 3002/03 et 23676/03, § 42, CEDH 2009). Des moyens inhabituels d’obtenir des informations ne constituent pas de la mauvaise foi au regard de la jurisprudence de la Cour (Stoll c. Suisse [GC], no 69698/01, § 103, CEDH 2007‑V ; et Fressoz et Roire, précité, § 54[16]). Conformément à la responsabilité que la Cour impose aux journalistes, les requérantes ont agi d’une manière qui a bien eu pour effet de fournir des informations fiables et précises au public et elles n’avaient aucune intention trompeuse (Stoll, précité, § 152 ; et Couderc et Hachette Filipacchi Associés ([GC], n° 40454/07, § 131, CEDH 2015 (extraits)). La Grande Chambre n’est pas revenue sur la conclusion de la chambre selon laquelle les requérantes ne s’étaient rendues coupables d’aucune erreur factuelle ni d’aucune tromperie, ni n’avaient agi de mauvaise foi (paragraphe 67 de l’arrêt de chambre et paragraphe 98 de l’arrêt de Grande Chambre)[17].

29.  Enfin, les contribuables finlandais peuvent difficilement se prévaloir des arguments de vie privée quant aux informations publiées. La jurisprudence de la Cour exige de manière non équivoque l’existence d’une « espérance légitime de protection et de respect de sa vie privée » pour que la liberté d’expression « cède devant les exigences de l’article 8 » (Von Hannover c. Allemagne (n° 2) [GC], nos 40660/08 et 60641/08, § 97, CEDH 2012). De plus, il faut que « l’information en cause [soit] de nature privée et intime et qu’il n’y a[it] pas d’intérêt public à sa diffusion » (Couderc et Hachette Filipacchi Associés, précité, § 89 ; et Mosley c. Royaume-Uni, no 48009/08, § 131, 10 mai 2011). Les informations publiées en l’espèce étaient déjà accessibles à tous et n’étaient pas de nature « intime »[18]. Ainsi, l’extension à la présente affaire des règles spécifiquement conçues dans les arrêts Von Hannover et Couderc et Hachette Filipacchi Associés pour couvrir des affaires concernant la diffusion d’informations « intimes » qui avaient causé un préjudice individualisé est une mauvaise application flagrante des principes dégagés par la Cour.

30.  La Cour a pour tâche de déterminer si l’ingérence par les autorités internes se fondait sur des motifs convenables et crédibles. Après avoir décrit les éléments de mise en balance qui auraient dû être inclus dans l’appréciation, elle ne démontre en rien dans le présent arrêt pourquoi l’exercice de mise en balance (même si celui-ci est applicable) exigerait que les requérantes (ou d’autres éditeurs) cèdent devant les exigences de l’article 8 pour des publications de données concernant 1,2 million de personnes, mais non pour des données concernant 150 000 individus (paragraphe 103 de l’arrêt).

E.  Conclusion

31.  L’article 10 consacre bien entendu le droit de « diffuser des informations et des idées sans ingérence par une autorité publique ». L’arrêt d’aujourd’hui soumet ce droit à une limitation par l’État défendeur qui est imprévisible et disproportionnée par rapport à tout but légitime.

32.  Accorder aux autorités internes une discrétion large pour définir « l’activité de journalisme » aux fins de l’article 10 peut conduire à des efforts systématiques pour restreindre le discours politique. Il convient de noter que les juridictions finlandaises étaient tenues d’interpréter le terme « journalisme » de manière large (voir l’affaire C‑3/07 Tietosuojavaltuutettu c. Satakunnan Markkinapörssi Oy et Satamedia Oy, arrêt du 16 décembre 2008 (Grande Chambre) CJUE). En l’espèce, les sociétés requérantes, des entreprises de médias, se sont vu dénier la protection journalistique par la Cour qui, dans son examen de la position de la juridiction interne, a appliqué une ample marge d’appréciation sur la base de plusieurs critères qui doivent être considérés comme arbitraires : la quantité d’informations publiées, le format utilisé pour cette publication et le manque allégué d’un « intérêt général » quant à la diffusion des données fiscales[19]. Accepter ces critères comme des critères valables pour restreindre l’expression journalistique signifierait que les autorités, au nom de « l’intérêt général », pourraient censurer des publications qui, à leurs yeux, ne promeuvent pas la discussion d’une question d’intérêt public. Les articles 8 à 11 de la Convention prévoient plusieurs buts légitimes propres à justifier une ingérence dans la manifestation par une personne de sa liberté d’expression. Cette énumération de buts légitimes est strictement limitative et nécessairement restrictive (Leyla Şahin c. Turquie [GC], no 44774/98, § 154, CEDH 2005‑XI). « L’intérêt général » susmentionné n’est pas inclus dans ces buts. De plus, sous prétexte d’avoir recours à un critère de mise en balance souple, la Cour a omis de vérifier de manière appropriée s’il existait ou non un intérêt général quant à cette publication, qualifiée de voyeuriste sans autre explication.

33.  Ici, sous couvert d’intérêts mal définis et diffus en matière de vie privée, on a utilisé des considérations relatives à l’intérêt général au respect de la vie privée des contribuables, premièrement, pour limiter une loi qui rend de telles informations publiques et, deuxièmement, pour restreindre le droit des journalistes de diffuser des informations au public. Pire, cette restriction n’a pas été examinée conformément à la norme de contrôle plus strict requise par l’article 10 § 2. Nous regrettons la restriction considérable apportée au droit des journalistes de communiquer des informations précises revêtant une grande importance pour le public, et nous nous voyons donc contraints de nous dissocier de la majorité.

[1].  Article 5 de la loi sur la publication et la confidentialité des informations fiscales.

[2].  La loi sur les données à caractère personnel régit la protection de la vie privée des individus en ce qui concerne les données à caractère personnel. Elle dispose notamment qu’un traitement de données doit être effectué uniquement sous réserve que des conditions précisément énumérées soient respectées. Cependant, l’article 2 § 5 de la loi exempte les personnes menant des « activités de journalisme » de la plupart de ces conditions lorsqu’elles traitent des données à caractère personnel.

[3].  Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données.

[4].  Dans l’arrêt en l’affaire Magyar Helsinki Bizottság c. Hongrie ([GC], n° 18030/11, § 109, CEDH 2016), la Cour a dit que « [l]a collecte d’informations serait une partie essentielle du travail de journalisme et l’État serait tenu de ne pas faire obstacle à la circulation des informations ». Voir également la recommandation no R(2000)7 sur le droit des journalistes de ne pas révéler leurs sources d'information, adoptée par le Comité des Ministres du Conseil de l'Europe le 8 mars 2000, dans laquelle le terme « journaliste » désigne « toute personne physique ou morale pratiquant à titre régulier ou professionnel la collecte et la diffusion d'informations au public par l'intermédiaire de tout moyen de communication de masse », ainsi que la recommandation CM/Rec(2011)7 du Comité des Ministres aux États membres sur une nouvelle conception des médias, adoptée le 6 juillet 2011, qui donne une nouvelle définition large des médias englobant « tous ceux qui participent à la production et à la diffusion, à un public potentiellement vaste, de contenus (informations, analyses, commentaires, opinions, éducation, culture, art et divertissements sous forme écrite, sonore, visuelle, audiovisuelle ou toute autre forme) et d’applications destinées à faciliter la communication de masse interactive (…) tout en conservant (…) la surveillance ou le contrôle éditorial de ces contenus ».

[5].  Dans l’affaire Dammann c. Suisse, n° 77551/01, § 52, 25 avril 2006), la Cour a dit que la collecte d’informations était une étape préparatoire essentielle du travail de journalisme et qu’elle était inhérente à la liberté de la presse et, à ce titre, protégée (voir aussi Shapovalov c. Ukraine, n° 45835/05, § 68, 31 juillet 2012).

[6].  Dans certains États membres, les données générées par les services secrets sont quelquefois accessibles aux historiens ou aux personnes directement concernées (« objets de surveillance », mais leur divulgation au public est soumise à des limitations. Cela peut être justifié comme une exception (souvent utilisée abusivement dans le cas des archives des services secrets communistes), mais aucune circonstance de la sorte n’est présente en l’espèce.

[7].  Le voyeurisme est défini comme la « pratique consistant à rechercher un plaisir sexuel en regardant d’autres personnes lorsqu’elles sont nues ou en train de se livrer à des rapports sexuels » ou comme la « tendance à se repaître de la souffrance ou de la détresse d’autrui » (Oxford Dictionary, Oxford University Press, 2017). Ce terme figure dans cette acception dans les arrêts Von Hannover (§ 65) et Couderc et Hachette Filipacchi Associés ([GC], n° 40454/07, §§ 99, 101, CEDH 2015 (extraits)), où la Cour l’emploie de manière générale en relation avec la curiosité sexuelle. Il va sans dire qu’aucun de ces éléments n’est présent en l’espèce, sauf à présumer que les données fiscales sont une source de plaisir sexuel.

[8].  Ces restrictions comprennent l’obligation de protéger les données (article 32) ainsi que les codes de conduite par secteur, les ordonnances émises par la commission de protection des données et la responsabilité délictuelle potentielle, et certaines dispositions pénales dès lors que les données n’ont pas déjà été publiées (articles 39 § 3, 40 §§ 1 et 3 respectivement).

[9].  L’arrêt parle de voyeurisme. Peut-on réellement prétendre que les biens personnels des gens les plus fortunés relèvent d’une question d’intérêt général mais pas ceux des personnes moins riches ? Le droit à la vie privée des riches serait-il moins important que celui de Monsieur-tout-le-monde ? De plus, la grande quantité de données divulguées par les sociétés requérantes fournit en réalité au public un aperçu plus précis sur un large éventail de questions d’intérêt général. Par exemple, quel pourcentage de revenu est versé en tant qu’impôt par les individus plus riches par rapport à ceux ayant des revenus plus modestes ? Ou bien dans quelle mesure les revenus et les biens sont-ils affectés par le genre, la profession ou la commune de résidence d’une personne ? (Voir les observations des requérantes en date du 17 mars 2016, § 53).

[10].  Voir, dans le même sens : National Union of Rail, Maritime et Transport Workers c. Royaume-Uni, n° 31045/10, CEDH 2014, qui fait relever de l’article 11 l’ample marge d’appréciation appliquée à l’origine aux politiques socioéconomiques. Voilà qui est assez ironique. En vertu des articles 10 et 11, l’intérêt général ne saurait constituer un motif de restriction à moins qu’il s’agisse d’une question d’ordre public, etc. Cependant, dès lors qu’une mesure est prise dans le cadre d’une politique socioéconomique, elle fournit soudainement une « carte blanche » potentielle sous la forme d’une ample marge d’appréciation.

[11].  L’un d’entre nous était également dissident dans l’affaire Animal Defenders International. Selon l’opinion dissidente en question, l’idée que l’on pourrait permettre au processus démocratique de la législation d’abaisser la norme de contrôle dans le domaine des droits de l’homme était inacceptable. Ici, nous renvoyons à l’affaire Animal Defenders International simplement pour montrer les contradictions internes du raisonnement de la majorité.

[12].  Voir Lech Garlicki, « Cultural Values in Supranational Adjudication: is there a « cultural margin of appreciation » in Strasbourg? », dans l’ouvrage de Klaus Stern, Michael Sachs, et Helmut Siekmann, Der grundrechtsgeprägte Verfassungsstaat: Festschrift für Klaus Stern zum 80. Geburtstag (2012) ; et George Letsas, « Two Concepts of the Margin of Appreciation », dans l’ouvrage A Theory of Interpretation of the European Convention on Human Rights, Oxford University Press (2007), pp. 80-98.

[13].  Dans l’affaire Fressoz et Roire (précitée, § 48), la Grande Chambre a expressément relevé que, de l’avis du Gouvernement, la publication des avis d’imposition d’une seule personne « visait simplement à déstabiliser [celle-ci] ». Cependant, la Cour a quand même tranché en faveur des requérants, des journalistes, déclarant que leur condamnation pour avoir republié des informations fiscales qui étaient déjà publiques avait emporté violation de l’article 10. Dans un contexte où « [l]es contribuables communaux peuvent (…) consulter la liste des personnes assujetties à l’impôt dans leur commune, liste faisant mention du revenu imposable et du montant de l’impôt pour chaque contribuable », et où « [l]es informations en question (…) ne peuvent [pas] être diffusées ». Cependant, la Cour, dans l’affaire Fressoz et Roire, a estimé que ces informations « sont ainsi rendues accessibles à un grand nombre de personnes qui peuvent à leur tour les communiquer à d’autres. Si la publication des avis d’imposition était en l’espèce prohibée, les informations qu’ils véhiculaient n’étaient plus secrètes » (§ 53). Le revirement est frappant.

[14].  Voir la « loi sur la publication et la confidentialité des informations fiscales », n° 1346/1999, §§ 5 – 9 et la « loi sur la transparence des activités publiques », n° 621/1999, §§ 2, 6, 7, 9, 13 § 1, 17 § 1, et 20 (entre autres).

[15].  Voir également Weber c. Suisse, 22 mai 1990, § 51, série A n° 177, et Vereniging Weekblad Bluf ! c. Pays-Bas, 9 février 1995, § 41, série A n° 306-A.

[16].  La Cour a dit que « [l’]article [10], par essence, laisse aux journalistes le soin de décider s’il est nécessaire ou non de reproduire le support de leurs informations pour en asseoir la crédibilité. Il protège le droit des journalistes de communiquer des informations sur des questions d’intérêt général dès lors qu’ils s’expriment de bonne foi, sur la base de faits exacts et fournissent des informations « fiables et précises » dans le respect de l’éthique journalistique. »

[17].  La Cour observe que « l’exactitude des informations publiées n’a pas été contestée, même devant les juridictions internes. Il n’est pas prouvé ni même allégué que ces informations contenaient des erreurs factuelles ou des assertions inexactes ou encore que les sociétés requérantes avaient agi de mauvaise foi » (voir, sur ce point, Flinkkilä et autres c. Finlande, n° 25576/04, § 81, 6 avril 2010) ».

[18].  Ce n’est pas la première fois que la Cour étend des restrictions prévues pour des situations spécifiques. En l’espèce, l’arrêt applique à mauvais escient une règle développée pour des données de nature intime sans que soit démontrée la similarité de situations sinon différentes. Citer mécaniquement des formules magiques provenant d’affaires de principe (ou même en les déformant, ce qui a été le cas avec la notion de « journalisme responsable » dans l’affaire Pentikäinen c. Finlande) ne rend pas la requête plus convaincante. Nous ne pensons pas que cette extension soit opportune mais nous pouvons nous tromper. En tout cas, nous ne nous trompons certainement pas en affirmant que nous n’avons rien à contester puisqu’aucune raison n’a été donnée. L’extension d’un principe est toujours injuste dès lors qu’il n’y a pas de justification. L’autorité ne peut se substituer à la raison.

[19].  Il convient de noter que même le Gouvernement ne conteste pas l’existence d’un intérêt général dans cette publication : il déclare seulement que cet intérêt général est dépassé par un intérêt privé : « il est évident que les activités de publication selon les modalités et la portée susmentionnées n’ont pas contribué à un débat public d’une façon qui primerait l’intérêt général de protéger le traitement des données personnelles relatives aux personnes concernées (allocution du gouvernement finlandais lors de l’audience devant la Grande Chambre du 14 septembre 2016, § 53).