Affaires jointes C-468/10 et C-469/10

Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF)
et
Federación de Comercio Electrónico y Marketing Directo (FECEMD)

contre

Administración del Estado

(demandes de décision préjudicielle, introduites par le Tribunal Supremo)

«Traitement des données à caractère personnel — Directive 95/46/CE — Article 7, sous f) — Effet direct»

Sommaire de l’arrêt

1. Rapprochement des législations — Protection des personnes physiques à l’égard du traitement des données à caractère personnel — Directive 95/46 — Harmonisation complète — Liste limitative des cas de traitement licite de données à caractère personnel

(Directive du Parlement européen et du Conseil 95/46, art. 7)

2. Rapprochement des législations — Protection des personnes physiques à l’égard du traitement des données à caractère personnel — Directive 95/46 — Conditions de licéité d’un traitement de données à caractère personnel

(Charte des droits fondamentaux de l’Union européenne, art. 7 et 8; directive du Parlement européen et du Conseil 95/46, art.
5 et 7, f))

3. Rapprochement des législations — Protection des personnes physiques à l’égard du traitement des données à caractère personnel — Directive 95/46 — Marge d’appréciation des États membres — Portée

(Directive du Parlement européen et du Conseil 95/46, art. 5)

4. Rapprochement des législations — Protection des personnes physiques à l’égard du traitement des données à caractère personnel — Directive 95/46 — Conditions de licéité d’un traitement de données à caractère personnel

(Charte des droits fondamentaux de l’Union européenne, art. 7 et 8; directive du Parlement européen et du Conseil 95/46, art.
7, f))

5. Droits fondamentaux — Respect de la vie privée — Protection des données à caractère personnel — Limitations tolérées en vertu de la charte des droits fondamentaux de l’Union européenne

(Charte des droits fondamentaux de l’Union européenne, art. 7, 8 et 52, § 1)

6. Actes des institutions — Directives — Effet direct — Conditions

(Art. 249, al. 3, CE; directive du Parlement européen et du Conseil 95/46, art. 7, f))

1. L’harmonisation des législations nationales visée par la directive 95/46, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, ne se limite pas à une harmonisation minimale, mais aboutit à une harmonisation qui est, en principe, complète. Dans cette optique, cette directive entend assurer la libre circulation des données à caractère personnel, tout en garantissant un haut niveau de protection des droits et des intérêts des personnes visées par ces données. Dès lors, il découle de cet objectif que l’article 7 de ladite directive prévoit une liste exhaustive et limitative des cas dans lesquels un traitement de données à caractère personnel peut être considéré comme étant licite. Il s’ensuit que les États membres ne sauraient ni ajouter de nouveaux principes relatifs à la légitimation des traitements de données à caractère personnel à l’article 7 de cette directive ni prévoir des exigences supplémentaires qui viendraient modifier la portée de l’un des principes prévus à cet article.

Cette interprétation n’est pas remise en cause par la faculté qu’ont les États membres, en vertu de l’article 5 de la directive 95/46, de préciser les conditions dans lesquelles les traitements de données à caractère personnel sont licites. En effet, les États membres ne sauraient, en vertu de la marge d’appréciation dont ils disposent au titre de l’article 5 de la directive, introduire d’autres principes relatifs à la légitimation des traitements de données à caractère personnel que ceux énoncés à l’article 7 de cette directive ni modifier, par des exigences supplémentaires, la portée des principes prévus audit article 7.

(cf. points 29-30, 32-33, 35-36)

2. L’article 7, sous f), de la directive 95/46, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, doit être interprété en ce sens qu’il s’oppose à une réglementation nationale qui, en l’absence du consentement de la personne concernée et pour autoriser le traitement de ses données à caractère personnel nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable de ce traitement ou par le ou les tiers auxquels ces données sont communiquées, exige, outre le respect des droits et libertés fondamentaux de cette dernière, que lesdites données figurent dans des sources accessibles au public, excluant ainsi de façon catégorique et généralisée tout traitement de données ne figurant pas dans de telles sources.

En effet, d’une part, il découle de l’objectif de cette directive d’assurer la libre circulation des données à caractère personnel, tout en garantissant un haut niveau de protection des droits et des intérêts des personnes visées par ces données, que son article 7 prévoit une liste exhaustive et limitative des cas dans lesquels un traitement de données à caractère personnel peut être considéré comme étant licite. Les États membres ne sauraient par conséquent ni ajouter de nouveaux principes relatifs à la légitimation des traitements de données à caractère personnel ni prévoir des exigences supplémentaires qui viendraient modifier la portée de l’un des principes prévus à cet article 7. En outre, les États membres ne sauraient non plus introduire, au titre de l’article 5 de ladite directive, d’autres principes relatifs à la légitimation des traitements de données à caractère personnel que ceux énoncés à l’article 7 ni modifier, par des exigences supplémentaires, la portée des principes prévus audit article 7.

D’autre part, pour effectuer la pondération nécessaire des droits et intérêts opposés en cause, prévue à l’article 7, sous f), de la même directive, les États membres peuvent établir des principes directeurs. Ils peuvent également prendre en considération le fait que la gravité de l’atteinte aux droits fondamentaux de la personne concernée par ledit traitement peut varier en fonction du fait de savoir si les données en cause figurent déjà, ou non, dans des sources accessibles au public. Dans ce dernier cas, l’atteinte sera plus grave.

Toutefois, il ne s’agit plus d’une simple précision mais d’une exigence supplémentaire, interdite par l’article 7, sous f), de cette directive, si une réglementation nationale exclut pour certaines catégories de données à caractère personnel la possibilité d’être traitées en prescrivant, pour ces catégories, de manière définitive le résultat de la pondération des droits et intérêts opposés, sans permettre un résultat différent en raison de circonstances particulières d’un cas concret.

(cf. points 29-30, 32, 36, 44-49, disp. 1)

3. La directive 95/46, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, comporte des règles caractérisées par une certaine souplesse et laisse dans de nombreux cas aux États membres le soin d’arrêter les détails ou de choisir parmi des options. Il importe ainsi de faire la distinction entre des mesures nationales qui prévoient des exigences supplémentaires modifiant la portée d’un principe visé à l’article 7 de cette directive, d’une part, et des mesures nationales qui prévoient une simple précision de l’un de ces principes, d’autre part. Le premier type de mesure nationale est interdit. Ce n’est que dans le cadre du second type de mesure nationale que, en vertu de l’article 5 de ladite directive, les États membres disposent d’une marge d’appréciation.

(cf. point 35)

4. L’article 7, sous f), de la directive 95/46, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, prévoit deux conditions cumulatives pour qu’un traitement de données à caractère personnel soit licite, à savoir, d’une part, que le traitement des données à caractère personnel doit être nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le ou les tiers auxquels les données sont communiquées et, d’autre part, que les droits et libertés fondamentaux de la personne concernée ne prévalent pas. La seconde de ces conditions nécessite une pondération des droits et intérêts opposés en cause qui dépend, en principe, des circonstances concrètes du cas particulier concerné et dans le cadre de laquelle la personne ou l’institution qui effectue la pondération doit tenir compte de l’importance des droits de la personne concernée résultant des articles 7 et 8 de la charte des droits fondamentaux de l’Union européenne.

(cf. points 38, 40)

5. Le respect du droit à la vie privée à l’égard du traitement des données à caractère personnel, reconnu par les articles 7 et 8 de la charte des droits fondamentaux de l’Union européenne, se rapporte à toute information concernant une personne physique identifiée ou identifiable. Toutefois, il résulte des articles 8, paragraphe 2, et 52, paragraphe 1, de la charte que, sous certaines conditions, des limitations peuvent être apportées audit droit.

(cf. point 42)

6. Dans tous les cas où les dispositions d’une directive apparaissent, du point de vue de leur contenu, inconditionnelles et suffisamment précises, les particuliers sont fondés à les invoquer devant les juridictions nationales à l’encontre de l’État, soit lorsque celui-ci s’est abstenu de transposer dans les délais la directive en droit national, soit lorsqu’il en a fait une transposition incorrecte. Tel est le cas de l’article 7, sous f), de la directive 95/46, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données. Si cette directive comporte, pour les États membres, une marge d’appréciation plus ou moins importante pour la mise en œuvre de certaines de ses dispositions, ledit article 7, sous f), énonce une obligation inconditionnelle.

(cf. points 51-52, 55, disp. 2)

ARRÊT DE LA COUR (troisième chambre)

24 novembre 2011 (*)

«Traitement des données à caractère personnel – Directive 95/46/CE – Article 7, sous f) – Effet direct»

Dans les affaires jointes C-468/10 et C-469/10,

ayant pour objet des demandes de décision préjudicielle au titre de l’article 267 TFUE, introduites par le Tribunal Supremo (Espagne), par décisions du 15 juillet 2010, parvenues à la Cour le 28 septembre 2010, dans les procédures

Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) (C-468/10),

Federación de Comercio Electrónico y Marketing Directo (FECEMD) (C-469/10)

contre

Administración del Estado,

en présence de:

Unión General de Trabajadores (UGT) (C-468/10 et C-469/10),

Telefónica de España SAU (C-468/10),

France Telecom España SA (C-468/10 et C-469/10),

Telefónica Móviles de España SAU (C-469/10),

Vodafone España SA (C-469/10),

Asociación de Usuarios de la Comunicación (C-469/10),

LA COUR (troisième chambre),

composée de M. K. Lenaerts (rapporteur), président de chambre, M^me R. Silva de Lapuerta, MM. E. Juhász, T. von Danwitz et D. Šváby, juges,

avocat général: M. P. Mengozzi,

greffier: M^me M. Ferreira, administrateur principal,

vu la procédure écrite et à la suite de l’audience du 15 septembre 2011,

considérant les observations présentées:

– pour l’Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF), par M^es C. Alonso Martínez et A. Creus Carreras, abogados,

– pour la Federación de Comercio Electrónico y Marketing Directo (FECEMD), par M^es R. García del Poyo Vizcaya et M. Á. Serrano Pérez, abogados,

– pour le gouvernement espagnol, par M. M. Muñoz Pérez, en qualité d’agent,

– pour la Commission européenne, par M^me I. Martínez del Peral et M. B. Martenczuk, en qualité d’agents,

vu la décision prise, l’avocat général entendu, de juger l’affaire sans conclusions,

rend le présent

Arrêt

1 Les demandes de décision préjudicielle portent sur l’interprétation de l’article 7, sous f), de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO L 281, p. 31).

2 Ces demandes ont été présentées dans le cadre de litiges opposant l’Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) et la Federación de Comercio Electrónico y Marketing Directo (FECEMD) à l’Administración del Estado.

Le cadre juridique

Le droit de l’Union

La directive 95/46

3 Les septième, huitième et dixième considérants de la directive 95/46 se lisent comme suit:

«(7) considérant que les différences entre États membres quant au niveau de protection des droits et libertés des personnes, notamment du droit à la vie privée, à l’égard des traitements de données à caractère personnel peuvent empêcher la transmission de ces données du territoire d’un État membre à celui d’un autre État membre; que ces différences peuvent dès lors constituer un obstacle à l’exercice d’une série d’activités économiques à l’échelle communautaire, fausser la concurrence et empêcher les administrations de s’acquitter des responsabilités qui leur incombent en vertu du droit communautaire; que ces différences de niveau de protection résultent de la disparité des dispositions nationales législatives, réglementaires et administratives;

(8) considérant que, pour éliminer les obstacles à la circulation des données à caractère personnel, le niveau de protection des droits et libertés des personnes à l’égard du traitement de ces données doit être équivalent dans tous les États membres;
que cet objectif, fondamental pour le marché intérieur, ne peut pas être atteint par la seule action des États membres, compte tenu en particulier de l’ampleur des divergences qui existent actuellement entre les législations nationales applicables en la matière et de la nécessité de coordonner les législations des États membres pour que le flux transfrontalier de données à caractère personnel soit réglementé d’une manière cohérente et conforme à l’objectif du marché intérieur […]; qu’une intervention de la Communauté visant à un rapprochement des législations est donc nécessaire;

[…]

(10) considérant que l’objet des législations nationales relatives au traitement des données à caractère personnel est d’assurer le respect des droits et libertés fondamentaux, notamment du droit à la vie privée reconnu également dans l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales[, signée à Rome le 4 novembre 1950 (ci-après la «CEDH»),] et dans les principes généraux du droit communautaire; que, pour cette raison, le rapprochement de ces législations ne doit pas conduire à affaiblir la protection qu’elles assurent mais doit, au contraire, avoir pour objectif de garantir un niveau élevé de protection dans la Communauté».

4 L’article 1^er de cette directive, intitulé «Objet de la directive», est rédigé dans les termes suivants:

«1. Les États membres assurent, conformément à la présente directive, la protection des libertés et droits fondamentaux des personnes physiques, notamment de leur vie privée, à l’égard du traitement des données à caractère personnel.

2. Les États membres ne peuvent restreindre ni interdire la libre circulation des données à caractère personnel entre États membres pour des raisons relatives à la protection assurée en vertu du paragraphe 1.»

5 L’article 5 de la même directive est libellé comme suit:

«Les États membres précisent, dans les limites des dispositions du présent chapitre, les conditions dans lesquelles les traitements de données à caractère personnel sont licites.»

6 L’article 7 de la directive 95/46 énonce:

«Les États membres prévoient que le traitement de données à caractère personnel ne peut être effectué que si:

a) la personne concernée a indubitablement donné son consentement

ou

[…]

f) il est nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le ou les tiers auxquels les données sont communiquées, à condition que ne prévalent pas l’intérêt ou les droits et libertés fondamentaux de la personne concernée, qui appellent une protection au titre de l’article 1^er paragraphe 1.»

7 L’article 13, paragraphe 1, de cette directive dispose:

«Les États membres peuvent prendre des mesures législatives visant à limiter la portée des obligations et des droits prévus à l’article 6 paragraphe 1, à l’article 10, à l’article 11 paragraphe 1 et aux articles 12 et 21, lorsqu’une telle limitation constitue une mesure nécessaire pour sauvegarder:

a) la sûreté de l’État;

b) la défense;

c) la sécurité publique;

d) la prévention, la recherche, la détection et la poursuite d’infractions pénales ou de manquements à la déontologie dans le cas des professions réglementées;

e) un intérêt économique ou financier important d’un État membre ou de l’Union européenne, y compris dans les domaines monétaire, budgétaire et fiscal;

f) une mission de contrôle, d’inspection ou de réglementation relevant, même à titre occasionnel, de l’exercice de l’autorité publique, dans les cas visés aux points c), d) et e);

g) la protection de la personne concernée ou des droits et libertés d’autrui.»

Le droit national

La loi organique 15/1999

8 La loi organique 15/1999 relative à la protection des données à caractère personnel (BOE n° 298, du 14 décembre 1999, p. 43088) transpose la directive 95/46 en droit espagnol.

9 L’article 3, sous j), de la loi organique 15/1999 énumère les «sources accessibles au public» dans une liste exhaustive et limitative, qui se lit comme suit:

«[…] les fichiers dont la consultation est ouverte à tous sans restriction ni autre exigence que le versement d’une contrepartie si nécessaire. Au rang des sources accessibles au public figurent exclusivement la copie des listes électorales, les annuaires téléphoniques dans les conditions prévues par leur réglementation spécifique et les listes de membres de groupes professionnels qui ne comportent que les données concernant les nom, titre, profession, activité, niveau d’études, adresse et indication de leur appartenance au groupe. De même, ont le caractère de sources accessibles au public les quotidiens et journaux officiels ainsi que les médias.»

10 L’article 6, paragraphe 1, de la loi organique 15/1999 subordonne le traitement des données à la manifestation du consentement indubitable de la personne concernée sauf si la loi en dispose autrement. Ainsi, l’article 6, paragraphe 2, in fine, de cette loi prévoit que le consentement n’est pas requis notamment «lorsque les données figurent dans des sources accessibles au public et que leur traitement est nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable du fichier ou par le tiers auquel les données sont communiquées, à condition que ne soient pas violés les droits et libertés fondamentaux de la personne concernée».

11 L’article 11, paragraphe 1, de la loi organique 15/1999 rappelle la nécessité du consentement de la personne concernée pour pouvoir communiquer à des tiers les données à caractère personnel, le paragraphe 2 de cet article prévoyant cependant que ce consentement n’est pas nécessaire, notamment, lorsqu’il s’agit de données figurant dans des sources accessibles au public.

L’arrêté royal 1720/2007

12 Le gouvernement espagnol a mis en œuvre la loi organique 15/1999 par l’arrêté royal 1720/2007 (BOE n° 17, du 19 janvier 2008, p. 4103).

13 L’article 10, paragraphe 1, de l’arrêté royal 1720/2007 autorise le traitement et la cession des données à caractère personnel si la personne concernée y consent préalablement.

14 Toutefois, l’article 10, paragraphe 2, de l’arrêté royal 1720/2007 dispose:

«[…] le traitement ou la cession de données à caractère personnel sont possibles sans le consentement de la personne concernée lorsque:

a) une norme ayant valeur de loi ou une norme de droit communautaire l’autorise et, en particulier, dans l’un des cas suivants:

– le traitement ou la cession ont pour objet la réalisation d’un intérêt légitime du responsable du traitement ou du cessionnaire concerné par ces normes, à condition que ne prévalent pas l’intérêt ou les droits et libertés fondamentaux des personnes concernées visées à l’article 1^er de la loi organique 15/1999 du 13 décembre;

– le traitement ou la cession des données sont nécessaires à la réalisation d’une mission dont l’une de ces normes investit le responsable du traitement;

b) les données faisant l’objet du traitement ou de la cession figurent dans des sources accessibles au public et le responsable du fichier ou le tiers auquel les données sont communiquées ont un intérêt légitime justifiant leur traitement ou leur communication, à condition que cela ne porte pas atteinte aux droits et aux libertés fondamentaux de la personne concernée.

Cependant, les administrations publiques ne pourront communiquer, au titre de ce paragraphe, les données tirées de sources accessibles au public à des responsables de fichiers privés que si elles y sont habilitées par une norme ayant valeur de loi.»

Les litiges au principal et les questions préjudicielles

15 L’ASNEF, d’une part, et la FECEMD, d’autre part, ont formé un recours contentieux administratif contre plusieurs articles de l’arrêté royal 1720/2007.

16 Parmi les dispositions attaquées figure l’article 10, paragraphe 2, sous a), premier tiret, et sous b), premier alinéa, dudit arrêté dont l’ASNEF et la FECEMD considèrent qu’elles violent l’article 7, sous f), de la directive 95/46.

17 En particulier, l’ASNEF et la FECEMD considèrent que le droit espagnol ajoute à la condition tirée de l’intérêt légitime au traitement des données sans le consentement de la personne concernée une condition qui n’existe pas dans la directive 95/46, à savoir que les données figurent dans des sources accessibles au public.

18 Le Tribunal Supremo estime que le bien-fondé des recours introduits respectivement par l’ASNEF et la FECEMD dépend dans une large mesure de l’interprétation par la Cour de l’article 7, sous f), de la directive 95/46. Ainsi, il précise que si la Cour estimait qu’il n’appartient pas aux États membres d’ajouter des conditions supplémentaires à celles prévues à cette disposition et qu’il peut être reconnu à ladite disposition un effet direct, l’article 10, paragraphe 2, sous b), de l’arrêté royal 1720/2007 devrait être écarté.

19 Le Tribunal Supremo explique que, en l’absence de consentement de la personne concernée, pour autoriser le traitement des données à caractère personnel de cette dernière nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable de ce traitement ou par le ou les tiers auxquels ces données sont communiquées, le droit espagnol exige, outre le respect des droits et libertés fondamentaux de la personne concernée, que lesdites données figurent dans les fichiers énumérés à l’article 3, sous j), de la loi organique 15/1999. À cet égard, il estime que cette loi et l’arrêté royal 1720/2007 restreignent la portée de l’article 7, sous f), de la directive 95/46.

20 Selon le Tribunal Supremo, cette restriction constitue un obstacle à la libre circulation des données à caractère personnel qui n’est compatible avec la directive 95/46 que si l’intérêt ou les droits et libertés fondamentaux du titulaire des données l’exigent. Il en déduit que la seule possibilité d’éviter une contradiction entre cette directive et le droit espagnol serait de considérer que la libre circulation des données à caractère personnel figurant dans des fichiers autres que ceux énumérés à l’article 3, sous j), de la loi organique 15/1999 porte atteinte à l’intérêt ou aux droits et libertés fondamentaux du titulaire des données.

21 Toutefois, le Tribunal Supremo se demande si une telle interprétation est conforme à la volonté du législateur de l’Union.

22 Dans ces circonstances, estimant que la solution des deux affaires dont il est saisi dépend de l’interprétation de dispositions du droit de l’Union, le Tribunal Supremo a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes, qui sont formulées dans des termes identiques dans chacune desdites affaires:

«1) L’article 7, sous f), de la directive 95/46 […] doit-il être interprété en ce sens qu’il s’oppose à une réglementation nationale qui, en l’absence du consentement de la personne concernée et pour autoriser le traitement de ses données à caractère personnel nécessaire à la réalisation d’un intérêt légitime du responsable du traitement ou des tiers auxquels les données sont communiquées, exige, outre le respect des droits et libertés fondamentaux de cette dernière, que les données figurent dans des sources accessibles au public?

2) Les conditions exigées par la jurisprudence de la Cour sont-elles réunies dans [ledit] article 7, sous f), […] pour lui attribuer un effet direct?»

23 Par ordonnance du Président de la Cour du 26 octobre 2010, les affaires C-468/10 et C-469/10 ont été jointes aux fins des procédures écrite et orale ainsi que de l’arrêt.

Sur les questions préjudicielles

Sur la première question

24 Par sa première question, la juridiction de renvoi demande, en substance, si l’article 7, sous f), de la directive 95/46 doit être interprété en ce sens qu’il s’oppose à une réglementation nationale qui, en l’absence du consentement de la personne concernée et pour autoriser le traitement de ses données à caractère personnel nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable de ce traitement ou par le ou les tiers auxquels ces données sont communiquées, exige, outre le respect des droits et libertés fondamentaux de cette dernière, que lesdites données figurent dans des sources accessibles au public.

25 L’article 1^er de la directive 95/46 impose aux États membres d’assurer la protection des libertés et des droits fondamentaux des personnes physiques, notamment de leur vie privée, à l’égard du traitement des données à caractère personnel (voir, en ce sens, arrêt du 16 décembre 2008, Huber, C-524/06, Rec. p. I-9705, point 47).

26 Conformément aux dispositions du chapitre II de la directive 95/46, intitulé «Conditions générales de licéité des traitements de données à caractère personnel», sous réserve des dérogations admises au titre de l’article 13 de cette directive, tout traitement de données à caractère personnel doit, d’une part, être conforme aux principes relatifs à la qualité des données énoncés à l’article 6 de ladite directive et, d’autre part, répondre à l’un des six principes relatifs à la légitimation des traitements de données énumérés à l’article 7 de cette même directive (voir, en ce sens, arrêts du 20 mai 2003, Österreichischer Rundfunk e.a., C-465/00, C-138/01 et C-139/01, Rec. p. I-4989, point 65, ainsi que Huber, précité, point 48).

27 Il ressort du septième considérant de la directive 95/46 que l’établissement et le fonctionnement du marché intérieur sont susceptibles d’être sérieusement affectés par les différences entre les régimes nationaux applicables au traitement des données à caractère personnel (voir arrêt du 6 novembre 2003, Lindqvist, C-101/01, Rec. p. I-12971, point 79).

28 Dans ce contexte, il faut rappeler que la directive 95/46 vise, ainsi qu’il ressort notamment de son huitième considérant, à rendre équivalent dans tous les États membres le niveau de protection des droits et libertés des personnes à l’égard du traitement de données à caractère personnel. Son dixième considérant ajoute que le rapprochement des législations nationales applicables en la matière ne doit pas conduire à affaiblir la protection qu’elles assurent, mais doit, au contraire, avoir pour objectif de garantir un niveau élevé de protection dans l’Union (voir, en ce sens, arrêts précités Lindqvist, point 95, et Huber, point 50).

29 Ainsi, il a été jugé que l’harmonisation desdites législations nationales ne se limite pas à une harmonisation minimale, mais aboutit à une harmonisation qui est, en principe, complète. C’est dans cette optique que la directive 95/46 entend assurer la libre circulation des données à caractère personnel, tout en garantissant un haut niveau de protection des droits et des intérêts des personnes visées par ces données (voir arrêt Lindqvist, précité, point 96).

30 Dès lors, il découle de l’objectif consistant à assurer un niveau de protection équivalent dans tous les États membres que l’article 7 de la directive 95/46 prévoit une liste exhaustive et limitative des cas dans lesquels un traitement de données à caractère personnel peut être considéré comme étant licite.

31 Cette interprétation est corroborée par les termes «ne peut être effectué que si» et la conjonction «ou» contenus dans l’article 7 de la directive 95/46, qui mettent en évidence la nature exhaustive et limitative de la liste figurant à cet article.

32 Il s’ensuit que les États membres ne sauraient ni ajouter de nouveaux principes relatifs à la légitimation des traitements de données à caractère personnel à l’article 7 de la directive 95/46 ni prévoir des exigences supplémentaires qui viendraient modifier la portée de l’un des six principes prévus à cet article.

33 L’interprétation qui précède n’est pas remise en cause par l’article 5 de la directive 95/46. En effet, cet article n’autorise les États membres qu’à préciser, dans les limites du chapitre II de ladite directive et, partant, de l’article 7 de celle-ci, les conditions dans lesquelles les traitements de données à caractère personnel sont licites.

34 La marge d’appréciation dont, en vertu dudit article 5, disposent les États membres ne peut donc être utilisée que conformément à l’objectif poursuivi par la directive 95/46 consistant à maintenir un équilibre entre la libre circulation des données à caractère personnel et la protection de la vie privée (voir arrêt Lindqvist, précité, point 97).

35 La directive 95/46 comporte des règles caractérisées par une certaine souplesse et laisse dans de nombreux cas aux États membres le soin d’arrêter les détails ou de choisir parmi des options (voir arrêt Lindqvist, précité, point 83). Il importe ainsi de faire la distinction entre des mesures nationales qui prévoient des exigences supplémentaires modifiant la portée d’un principe visé à l’article 7 de la directive 95/46, d’une part, et des mesures nationales qui prévoient une simple précision de l’un de ces principes, d’autre part. Le premier type de mesure nationale est interdit. Ce n’est que dans le cadre du second type de mesure nationale que, en vertu de l’article 5 de la directive 95/46, les États membres disposent d’une marge d’appréciation.

36 Il s’ensuit qu’au titre de l’article 5 de la directive 95/46, les États membres ne sauraient non plus introduire d’autres principes relatifs à la légitimation des traitements de données à caractère personnel que ceux énoncés à l’article 7 de cette directive ni modifier, par des exigences supplémentaires, la portée des six principes prévus audit article 7.

37 En l’occurrence, l’article 7, sous f), de la directive 95/46 dispose que le traitement de données à caractère personnel est licite s’«il est nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le ou les tiers auxquels les données sont communiquées, à condition que ne prévalent pas l’intérêt ou les droits et libertés fondamentaux de la personne concernée, qui appellent une protection au titre de l’article 1er paragraphe 1».

38 Ledit article 7, sous f), prévoit deux conditions cumulatives pour qu’un traitement de données à caractère personnel soit licite, à savoir, d’une part, que le traitement des données à caractère personnel doit être nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le ou les tiers auxquels les données sont communiquées et, d’autre part, que les droits et libertés fondamentaux de la personne concernée ne prévalent pas.

39 Il s’ensuit que, s’agissant du traitement de données à caractère personnel, l’article 7, sous f), de la directive 95/46 s’oppose à toute réglementation nationale qui, en l’absence du consentement de la personne concernée, impose, outre les deux conditions cumulatives mentionnées au point précédent, des exigences supplémentaires.

40 Toutefois, il convient de tenir compte du fait que la seconde de ces conditions nécessite une pondération des droits et intérêts opposés en cause qui dépend, en principe, des circonstances concrètes du cas particulier concerné et dans le cadre de laquelle la personne ou l’institution qui effectue la pondération doit tenir compte de l’importance des droits de la personne concernée résultant des articles 7 et 8 de la charte des droits fondamentaux de l’Union européenne (ci-après la «charte»).

41 À cet égard, il y a lieu de relever que l’article 8, paragraphe 1, de la charte énonce que «[t]oute personne a droit à la protection des données à caractère personnel la concernant». Ce droit fondamental est étroitement lié au droit au respect de la vie privée consacré à l’article 7 de la charte (arrêt du 9 novembre 2010, Volker und Markus Schecke et Eifert, C-92/09 et C-93/09, non encore publié au Recueil, point 47).

42 Selon la jurisprudence de la Cour, le respect du droit à la vie privée à l’égard du traitement des données à caractère personnel, reconnu par les articles 7 et 8 de la charte, se rapporte à toute information concernant une personne physique identifiée ou identifiable (voir arrêt Volker und Markus Schecke et Eifert, précité, point 52). Toutefois, il résulte des articles 8, paragraphe 2, et 52, paragraphe 1, de la charte que, sous certaines conditions, des limitations peuvent être apportées audit droit.

43 En outre, il incombe aux États membres, lors de la transposition de la directive 95/46, de veiller à se fonder sur une interprétation de cette dernière qui leur permette d’assurer un juste équilibre entre les différents droits et libertés fondamentaux protégés par l’ordre juridique de l’Union (voir, par analogie, arrêt du 29 janvier 2008, Promusicae, C-275/06, Rec. p. I-271, point 68).

44 S’agissant de la pondération nécessaire en vertu de l’article 7, sous f), de la directive 95/46, il est possible de prendre en considération le fait que la gravité de l’atteinte aux droits fondamentaux de la personne concernée par ledit traitement peut varier en fonction du fait de savoir si les données en cause figurent déjà, ou non, dans des sources accessibles au public.

45 En effet, à la différence des traitements de données figurant dans des sources accessibles au public, les traitements de données figurant dans des sources qui ne sont pas accessibles au public impliquent nécessairement que des informations sur la vie privée de la personne concernée seront désormais connues par le responsable du traitement et, le cas échéant, par le ou les tiers auxquels les données sont communiquées. Cette atteinte plus grave aux droits de la personne concernée, consacrés aux articles 7 et 8 de la charte, doit être prise en compte à sa juste valeur en la mettant en balance avec l’intérêt légitime poursuivi par le responsable du traitement ou par le ou les tiers auxquels les données sont communiquées.

46 À cet égard, il convient de souligner que rien ne s’oppose à ce que, dans l’exercice de leur marge d’appréciation consacrée à l’article 5 de la directive 95/46, les États membres établissent des principes directeurs pour ladite pondération.

47 Toutefois, il ne s’agit plus d’une précision au sens dudit article 5 si une réglementation nationale exclut pour certaines catégories de données à caractère personnel la possibilité d’être traitées en prescrivant, pour ces catégories, de manière définitive le résultat de la pondération des droits et intérêts opposés, sans permettre un résultat différent en raison de circonstances particulières d’un cas concret.

48 Dès lors, sans préjudice de l’article 8 de la directive 95/46 concernant des traitements portant sur des catégories particulières de données, disposition qui n’est pas en cause dans le litige au principal, l’article 7, sous f), de cette directive s’oppose à ce qu’un État membre exclue de façon catégorique et généralisée la possibilité pour certaines catégories de données à caractère personnel d’être traitées, sans permettre une pondération des droits et intérêts opposés en cause dans un cas particulier.

49 Au vu de ces considérations, il convient de répondre à la première question que l’article 7, sous f), de la directive 95/46 doit être interprété en ce sens qu’il s’oppose à une réglementation nationale qui, en l’absence du consentement de la personne concernée et pour autoriser le traitement de ses données à caractère personnel nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable de ce traitement ou par le ou les tiers auxquels ces données sont communiquées, exige, outre le respect des droits et libertés fondamentaux de cette dernière, que lesdites données figurent dans des sources accessibles au public, excluant ainsi de façon catégorique et généralisée tout traitement de données ne figurant pas dans de telles sources.

Sur la seconde question

50 Par sa seconde question, la juridiction de renvoi demande, en substance, si l’article 7, sous f), de la directive 95/46 a un effet direct.

51 À cet égard, il y a lieu de rappeler que, selon une jurisprudence constante de la Cour, dans tous les cas où les dispositions d’une directive apparaissent, du point de vue de leur contenu, inconditionnelles et suffisamment précises, les particuliers sont fondés à les invoquer devant les juridictions nationales à l’encontre de l’État, soit lorsque celui-ci s’est abstenu de transposer dans les délais la directive en droit national, soit lorsqu’il en a fait une transposition incorrecte (voir arrêt du 3 mars 2011, Auto Nikolovi, C-203/10, non encore publié au Recueil, point 61 et jurisprudence citée).

52 Force est de constater que l’article 7, sous f), de la directive 95/46 est une disposition suffisamment précise pour être invoquée par un particulier et appliquée par les juridictions nationales. En outre, si la directive 95/46 comporte indéniablement, pour les États membres, une marge d’appréciation plus ou moins importante pour la mise en œuvre de certaines de ses dispositions, ledit article 7, sous f), quant à lui, énonce une obligation inconditionnelle (voir, par analogie, arrêt Österreichischer Rundfunk e.a., précité, point 100).

53 L’emploi de l’expression «à condition que» dans le texte même de l’article 7, sous f), de la directive 95/46 n’est pas de nature, à lui seul, à remettre en cause le caractère inconditionnel de cette disposition, au sens de ladite jurisprudence.

54 En effet, cette expression vise à établir l’un des deux éléments cumulatifs prévus à l’article 7, sous f), de la directive 95/46 au respect desquels est subordonnée la possibilité de traiter des données à caractère personnel sans le consentement de la personne concernée. Cet élément étant défini, il n’enlève pas audit article 7, sous f), son caractère précis et inconditionnel.

55 Il convient donc de répondre à la seconde question que l’article 7, sous f), de la directive 95/46 a un effet direct.

Sur les dépens

56 La procédure revêtant, à l’égard des parties au principal, le caractère d’un incident soulevé devant la juridiction de renvoi, il appartient à celle-ci de statuer sur les dépens. Les frais exposés pour soumettre des observations à la Cour, autres que ceux desdites parties, ne peuvent faire l’objet d’un remboursement.

Par ces motifs, la Cour (troisième chambre) dit pour droit:

1) L’article 7, sous f), de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, doit être interprété en ce sens qu’il s’oppose à une réglementation nationale qui, en l’absence du consentement de la personne concernée et pour autoriser le traitement de ses données à caractère personnel nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable de ce traitement ou par le ou les tiers auxquels ces données sont communiquées, exige, outre le respect des droits et libertés fondamentaux de cette dernière, que lesdites données figurent dans des sources accessibles au public, excluant ainsi de façon catégorique et généralisée tout traitement de données ne figurant pas dans de telles sources.

2) L’article 7, sous f), de la directive 95/46 a un effet direct.

Signatures

* Langue de procédure: l’espagnol.