1

Jusqu’en 2011, le requérant, CN, était fonctionnaire du Conseil de l’Union européenne. Le 23 septembre 2009, il a présenté une pétition au Parlement européen concernant le soutien accordé aux membres handicapés de la famille d’un fonctionnaire européen, les difficultés auxquelles sont confrontés les fonctionnaires européens ayant des problèmes de santé pendant leur carrière et le mauvais traitement de son dossier par le Conseil, par le biais d’un formulaire disponible en ligne sur le site Internet du Parlement.

2

Le 8 janvier 2010, la Commission européenne a été consultée, conformément à l’article 202, paragraphe 6, du règlement du Parlement (JO 2011, L 116, p. 1, ci-après le « règlement intérieur »), devenu article 216, paragraphe 6, du règlement intérieur dans sa version de juillet 2014.

3

Le 15 janvier 2010, la commission des pétitions du Parlement a informé le requérant que sa pétition avait été déclarée recevable.

4

Après avoir reçu la réponse de la Commission, le 15 mars 2010, la commission des pétitions a décidé de clore la pétition et en a informé le requérant, le 14 juin 2010.

5

Après avoir rejeté la pétition, le Parlement a publié sur son site Internet un document concernant cette pétition intitulé « communication aux membres » (ci-après la « communication »). La communication décrivait de manière sommaire le contenu de la pétition ainsi que la réponse de la Commission. En particulier, elle indiquait le nom du requérant, en précisant qu’il était atteint d’une maladie grave constituant une menace pour sa vie et que son fils avait un handicap mental ou physique grave.

6

En mai 2011, le requérant a été placé en arrêt-maladie par le Conseil en raison de son état de santé.

7

En avril 2012, le requérant a envoyé un courriel au service « Europe direct contact centre » de la Commission, qui l’a transmis au Parlement le 10 avril 2012. Dans ce courriel, le requérant demandait le retrait de la communication du site Internet du Parlement.

8

Le 20 avril 2012, le Parlement a répondu au requérant, indiquant qu’il avait retiré la communication d’Internet.

9

Le 31 août 2012, le requérant a réitéré sa demande par le biais de son conseil, car, selon lui, les données personnelles en question étaient encore visibles sur le site Internet du Parlement.

10

Le 24 septembre 2012, le Parlement a répondu que la publication de la communication était licite. Il a ajouté que les données personnelles du requérant seraient, toutefois, effacées d’Internet, malgré l’inexistence de toute obligation juridique de le faire.

11

Le Parlement a indiqué, en réponse à une question écrite du Tribunal, que les dernières opérations d’effacement, relatives aux moteurs de recherche habituels, avaient eu lieu le 8 octobre 2012.

12

Le 4 décembre 2012, le conseil du requérant a réitéré la demande, en relevant que les données personnelles en cause étaient encore visibles sur Internet.

13

Le 10 janvier 2013, le Parlement a répondu au conseil du requérant qu’il estimait que son comportement était licite. Il a ajouté que tous les documents présents sur son site Internet avaient, toutefois, été traités ou étaient en cours de traitement afin d’effacer les données personnelles du requérant.

14

Selon le requérant, les données personnelles en cause étaient disponibles sur Internet au moins jusqu’à cette dernière date.

15

Par requête déposée au greffe du Tribunal le 28 juin 2013, le requérant a introduit le présent recours.

16

Par acte déposé au greffe du Tribunal le 4 octobre 2013, le Contrôleur européen de la protection des données (CEPD) a demandé à intervenir dans la présente procédure au soutien des conclusions du requérant. Par ordonnance du 21 novembre 2013, le président de la sixième chambre a admis l’intervention. Le CEPD a déposé son mémoire en intervention le 7 février 2014. Les parties ont déposé leurs observations sur ce mémoire dans les délais impartis.

17

Le requérant conclut à ce qu’il plaise au Tribunal :

18

Le Parlement conclut à ce qu’il plaise au Tribunal :

19

Sur proposition du juge rapporteur, le Tribunal (sixième chambre) a décidé d’ouvrir la phase orale de la procédure et, dans le cadre des mesures d’organisation de la procédure prévues à l’article 64 du règlement de procédure du Tribunal du 2 mai 1991, a invité les parties à déposer certains documents et leur a posé des questions écrites, en les invitant à y répondre avant l’audience. Les parties ont déféré à ces demandes dans les délais impartis.

20

Les parties ont été entendues en leurs plaidoiries et en leurs réponses aux questions orales posées par le Tribunal lors de l’audience du 24 mars 2015.

21

Au soutien de son recours, le requérant avance un moyen unique, tiré de l’engagement de la responsabilité non contractuelle de l’Union. Selon lui, les trois conditions permettant d’engager cette responsabilité sont remplies en l’espèce, à savoir l’illégalité du comportement du Parlement, l’existence d’un préjudice et l’existence d’un lien de causalité entre l’illégalité et le préjudice.

22

Le CEPD soutient les conclusions du requérant en ce qui concerne l’illégalité du comportement du Parlement.

23

Le Parlement considère que le recours est intégralement non fondé.

24

À titre liminaire, le requérant fait valoir que, selon la jurisprudence, lorsqu’une illégalité apparaît dans un domaine où l’institution concernée détient un large pouvoir d’appréciation, l’engagement de la responsabilité non contractuelle de l’Union est subordonné à la constatation d’une violation suffisamment caractérisée d’une règle de droit ayant pour objet de conférer des droits aux particuliers. Le critère décisif pour considérer qu’une violation est suffisamment caractérisée serait celui de la méconnaissance manifeste et grave, par une institution, des limites qui s’imposent à son pouvoir d’appréciation.

25

À l’inverse, selon le requérant, lorsqu’une institution ne dispose que d’une marge d’appréciation considérablement réduite, voire inexistante, la simple infraction au droit de l’Union peut suffire à établir l’existence d’une violation suffisamment caractérisée.

26

Le requérant considère que, en ce qui concerne la décision de publier la communication sur le site Internet du Parlement, celui-ci ne disposait d’aucun pouvoir d’appréciation, eu égard au cadre juridique applicable [l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, signée à Rome le 4 novembre 1950 (ci-après la « CEDH »), l’article 8, paragraphe 1, de la charte des droits fondamentaux de l’Union européenne, l’article 22 de la convention des Nations unies relative aux droits des personnes handicapées, adoptée le 13 décembre 2006 et ratifiée par l’Union le 23 décembre 2010 (ci-après la « convention relative aux droits des personnes handicapées »), ainsi que le règlement (CE) no 45/2001 du Parlement européen et du Conseil, du 18 décembre 2000, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (JO 2001, L 8, p. 1)].

27

Le requérant soutient que le Parlement a méconnu ces dispositions en publiant des informations sur son état de santé et celui de son fils ainsi que sur sa vie professionnelle.

28

En particulier, le requérant invoque l’article 5, sous d), et les articles 10 et 16 du règlement no 45/2001. Il ne résulterait pas du document dans lequel il a consenti au traitement public de sa pétition qu’il avait indubitablement donné son accord pour la publication de données personnelles ou qu’il avait donné son accord de manière explicite quant à la publication des données relatives à son état de santé et à la présence, dans sa famille, d’une personne handicapée.

29

De surcroît, bien que le requérant ait demandé le retrait des données personnelles du site Internet du Parlement, ce dernier aurait réagi initialement de manière négative et aurait accueilli la demande uniquement après l’intervention de son conseil, en méconnaissance du droit à l’effacement des données personnelles. Par ailleurs, le fait que le Parlement ait accepté d’effacer les données impliquerait qu’il ait reconnu implicitement l’illégalité de la publication. L’article 16 du règlement no 45/2001 ne prévoirait, en effet, que l’effacement des données dont le traitement est illicite.

30

Le devoir de transparence du Parlement ne pourrait pas justifier la divulgation de données personnelles relatives à l’état de santé et à la présence d’une personne handicapée dans la famille. Même à supposer que la publication d’un résumé des pétitions afin de donner des informations sur les activités des institutions de l’Union soit un intérêt digne de protection, l’atteinte aux droits du requérant serait disproportionnée.

31

Dans la réplique, le requérant ajoute que le Parlement a également violé l’article 12 de la décision du Bureau du 22 juin 2005 relative aux dispositions d’application du règlement no 45/2001 (JO C 308, p. 1, ci-après les « dispositions d’application du règlement no 45/2001 ») qui prévoit qu’une demande d’effacement doit être traitée dans un délai de quinze jours ouvrables et que, si l’effacement est accordé, il sera exécuté « sans délai ». Or, en l’espèce, la procédure aurait duré près de dix mois.

32

Selon le requérant, l’article 203 du règlement intérieur n’impose ni n’autorise la publication d’informations telles que celles du cas d’espèce. De surcroît, le règlement intérieur, un document d’organisation interne, ne saurait déroger au règlement no 45/2001.

33

Le Parlement considère que son comportement était légal.

34

S’agissant de la phase initiale du traitement public de la pétition, le Parlement fait valoir que son comportement était conforme à l’article 5, sous b) (traitement nécessaire au respect d’une obligation légale), à l’article 5, sous d) (traitement fondé sur le consentement indubitablement donné), à l’article 10, paragraphe 2, sous a) (consentement explicite au traitement des données sensibles), et à l’article 10, paragraphe 2, sous d) (traitement des données sensibles manifestement rendues publiques par la personne concernée), du règlement no 45/2001.

35

Premièrement, en particulier, en ce qui concerne l’argument relatif à l’article 5, sous b), du règlement no 45/2001, le Parlement rappelle que l’article 203 du règlement intérieur (devenu article 217) fixe comme règle générale la publicité des pétitions. Aux termes de son article 201, paragraphe 9 (devenu article 215, paragraphe 9), les pétitions deviennent en principe des documents publics et le nom du pétitionnaire ainsi que le contenu de sa pétition peuvent être publiés par le Parlement par souci de transparence. Dès lors, la présentation d’une pétition impliquerait, en principe, sa publicité, ce qui permettrait à d’autres citoyens de s’associer au signataire. Par ailleurs, le Parlement fait valoir que, en vertu des articles 10 TUE et 11 TUE et des articles 15 TFUE et 232 TFUE, ses travaux se déroulent principalement en public.

36

Deuxièmement, selon le Parlement, le traitement des données personnelles était conforme à l’article 5, sous d), du règlement no 45/2001, étant donné que le requérant avait indubitablement donné son consentement au traitement public de sa pétition. Le requérant aurait été dûment informé et il n’aurait pas fait usage de la possibilité qui lui avait été offerte de solliciter un traitement anonyme ou confidentiel de sa pétition.

37

Troisièmement, le Parlement soutient que le consentement donné par le requérant dans les conditions décrites ci-dessus était un consentement explicite pour le traitement des données sensibles au sens de l’article 10, paragraphe 2, sous a), du règlement no 45/2001.

38

En ce qui concerne la phase postérieure à la publication des données, relative à la demande d’effacement, le Parlement relève que la condition principale pour que la personne concernée puisse obtenir l’effacement de ses données sur la base de l’article 16 du règlement no 45/2001 est que le traitement de celles-ci soit illégal, ce qui n’était pas le cas en l’espèce. Malgré cela, le Parlement aurait effacé les données du requérant par simple courtoisie.

39

Le Parlement relève, par ailleurs, que le règlement no 45/2001 ne contient aucune disposition prévoyant la possibilité de retirer le consentement donné. À supposer qu’un tel retrait soit possible, il pourrait avoir des effets uniquement pour l’avenir. En outre, il serait impossible d’effacer rétroactivement certaines données, telles que celles figurant dans le procès-verbal d’une séance du Parlement, qui a été publié au Journal officiel de l’Union européenne.

40

Dans son mémoire en intervention, le CEPD se concentre sur la condition tenant au comportement prétendument illégal du Parlement.

41

Le CEPD considère que, pour que le consentement soit valable, il doit être informé et spécifique, à savoir lié à l’opération de traitement dont la personne a été informée. Pour le CEPD, ces conditions n’étaient pas réunies en l’espèce. Aucune des informations fournies dans le formulaire en ligne n’informerait clairement le pétitionnaire des conséquences exactes du traitement envisagé. En particulier, il n’aurait nullement été fait mention, dans ce formulaire, de ce que les données sensibles seraient rendues accessibles sur Internet. Le CEPD ajoute que l’article 10, paragraphe 2, sous a), du règlement no 45/2001 offre une protection supplémentaire par rapport à l’article 5, sous d), dudit règlement, en ce qu’il requiert que les informations fournies à la personne afin d’obtenir son consentement mentionnent clairement les données sensibles et l’opération de traitement envisagée. Selon le CEPD, toute autre interprétation dénuerait l’article 5, sous d), de ce règlement de contenu.

42

Eu égard à ce qui précède, le CEPD est d’avis que le Parlement n’a pas obtenu le consentement explicite du requérant au sens de l’article 10, paragraphe 2, sous a), du règlement no 45/2001.

43

En vertu de l’article 340, deuxième alinéa, TFUE, « [e]n matière de responsabilité non contractuelle, l’Union doit réparer, conformément aux principes généraux communs aux droits des États membres, les dommages causés par ses institutions ou par ses agents dans l’exercice de leurs fonctions ».

44

La Cour a jugé que l’engagement de la responsabilité non contractuelle de l’Union, au sens de l’article 340, deuxième alinéa, TFUE, pour comportement illicite de ses organes était subordonné à la réunion d’un ensemble de conditions, à savoir l’illégalité du comportement reproché à l’institution, la réalité du dommage et l’existence d’un lien de causalité entre le comportement allégué et le préjudice invoqué (arrêts du 11 juillet 1997, Oleifici Italiani/Commission, T-267/94, Rec, EU:T:1997:113, point 20, et du 9 septembre 2008, MyTravel/Commission, T-212/03, Rec, EU:T:2008:315, point 35). La condition du comportement illégal des institutions de l’Union requiert la violation suffisamment caractérisée d’une règle de droit ayant pour objet de conférer des droits aux particuliers (arrêt MyTravel/Commission, précité, EU:T:2008:315, point 37). Le critère décisif pour considérer qu’une violation du droit de l’Union est suffisamment caractérisée est celui de la méconnaissance manifeste et grave, par une institution de l’Union, des limites qui s’imposent à son pouvoir d’appréciation (arrêt du 5 mars 1996, Brasserie du pêcheur et Factortame, C-46/93 et C-48/93, Rec, EU:C:1996:79, point 55).

45

S’agissant de la condition relative à l’illégalité du comportement des institutions, il convient d’examiner, premièrement, si les règles de droit invoquées par le requérant ont pour objet de conférer des droits aux particuliers et, deuxièmement, si le Parlement a commis une violation suffisamment caractérisée de ces règles.

46

Dans la requête, le requérant invoque, d’une part, des dispositions relatives à la protection des données à caractère personnel contenues dans la charte des droits fondamentaux, dans le règlement no 45/2001 ainsi que dans les dispositions d’application du règlement no 45/2001 et, d’autre part, des dispositions relatives à la protection de la vie privée contenues dans la CEDH et dans la convention relative aux droits des personnes handicapées.

47

Il convient de relever que le droit à la protection des données à caractère personnel consacré par l’article 8 de la charte des droits fondamentaux est développé par le règlement no 45/2001 en ce qui concerne les actes des institutions et des organes de l’Union et par les dispositions d’application du règlement no 45/2001 en ce qui concerne plus particulièrement le Parlement. Ces différentes dispositions ont pour objet de conférer des droits aux particuliers. Dès lors, elles peuvent être invoquées par le requérant dans le cadre de son recours en indemnité.

48

S’agissant de l’existence d’une prétendue violation suffisamment caractérisée de ces règles, les arguments développés par le requérant concernent essentiellement l’application du règlement no 45/2001 et de ses dispositions d’application. Il ne conteste pas, notamment, que ces règles sont compatibles avec le droit consacré par la charte des droits fondamentaux. Dès lors, et contrairement à ce que prétend le requérant, l’arrêt du 9 novembre 2010, Volker und Markus Schecke et Eifert (C-92/09 et C-93/09, Rec, EU:C:2010:662), n’est pas pertinent pour la solution du présent litige.

49

De plus, selon la jurisprudence, il ressort de la première phrase du considérant 15 du règlement no 45/2001 qu’un renvoi à d’autres dispositions ne se révèle pas nécessaire pour un traitement effectué dans l’exercice d’activités situées dans le champ d’application dudit règlement, étant donné que, dans de tels cas, c’est manifestement le règlement no 45/2001 lui-même qui s’applique (arrêt du 29 juin 2010, Commission/Bavarian Lager, C-28/08 P, Rec, EU:C:2010:378, point 62). Par conséquent, aux fins du présent recours, il y a lieu d’analyser les dispositions du règlement no 45/2001 et ses dispositions d’application.

50

Il résulte de la jurisprudence qu’il convient de donner à l’expression « données relatives à la santé » une interprétation large, de sorte qu’elle comprenne des informations concernant tous les aspects, tant physiques que psychiques, de la santé d’une personne [voir, par analogie, arrêt du 6 novembre 2003, Lindqvist, C-101/01, Rec, EU:C:2003:596, point 50, concernant la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO L 281, p. 31)]. Cependant, cette notion ne peut pas être élargie jusqu’à englober des expressions n’entraînant la divulgation d’aucune donnée relative à la santé ou à la condition médicale d’une personne (voir, en ce sens, arrêt du 31 mai 2005, Dionyssopoulou/Conseil, T-105/03, RecFP, EU:T:2005:189, point 33).

51

C’est à la lumière de ces considérations qu’il y a lieu d’examiner, d’abord, la publication initiale des données personnelles en cause et, ensuite, la réponse du Parlement à la demande du requérant de retirer ces données de son site Internet.

52

À titre liminaire, il convient de relever que, en l’espèce, le Parlement a réalisé une série d’opérations de traitement des données personnelles au sens de l’article 2, sous b), du règlement no 45/2001. La diffusion de données à caractère personnel, y compris la diffusion sur Internet, constitue une telle opération de traitement au sens de ladite disposition.

53

La communication publiée sur le site Internet du Parlement indiquait, notamment, que le requérant, qui était identifié nominativement, avait eu récemment une maladie grave pouvant porter atteinte à sa vie et que son fils était atteint d’un handicap. La communication contenait également certaines informations relatives à la carrière du requérant.

54

Dès lors, force est de constater que le traitement de données effectué par le Parlement concernait des données à caractère personnel du requérant (notamment des informations relatives à sa carrière) ainsi que des données à caractère personnel sensibles relatives à la santé du requérant et à celle de son fils. Il y a lieu d’examiner séparément le traitement de ces différentes séries de données personnelles.

55

Premièrement, le traitement des données personnelles sensibles du requérant doit être examiné à la lumière de l’article 10 du règlement no 45/2001.

56

Aux termes de l’article 10, paragraphe 1, du règlement no 45/2001, le traitement des données à caractère personnel qui révèlent des données relatives à la santé est interdit. Cependant, selon l’article 10, paragraphe 2, sous a), dudit règlement, cette interdiction ne s’applique pas, notamment, lorsque la personne concernée a donné son consentement explicite.

57

Dans ce contexte, il convient de rappeler que l’article 2, sous h), du règlement no 45/2001 définit le consentement de la personne concernée comme « toute manifestation de volonté, libre, spécifique et informée par laquelle la personne concernée accepte que des données à caractère personnel la concernant fassent l’objet d’un traitement ».

58

En l’occurrence, il y a lieu de déterminer si, comme le prétend le Parlement, le requérant avait donné son consentement explicite pour la publication de ses données personnelles sensibles sur Internet.

59

Dans le cas présent, étant donné que l’article 2, sous h), du règlement no 45/2001 n’impose aucune condition quant à la forme, le dépôt de la pétition peut être regardé comme une manifestation de volonté par le requérant.

60

Par ailleurs, ce dernier n’invoque aucune circonstance susceptible de mettre en doute le fait que la pétition a été librement déposée, sans coercition, contrainte, intimidation ou tromperie.

61

En vertu de la même disposition, le consentement doit être spécifique, à savoir lié à une opération de traitement (ou à une série d’opérations de traitement) à des finalités précises. Ladite disposition prévoit également que, pour être valable, le consentement doit être informé, ce qui implique que la personne concernée dispose, au moment de donner son consentement, des informations essentielles portant sur les aspects fondamentaux du traitement, eu égard au contexte du cas d’espèce.

62

Enfin, ainsi qu’il résulte de l’article 10, paragraphe 2, sous a), du règlement no 45/2001, lorsque le consentement porte sur le traitement de données sensibles, il doit être explicite. En d’autres termes, ce consentement doit être exprès, sans qu’il soit possible de le déduire implicitement des actions de la personne concernée.

63

C’est à la lumière de ces considérations qu’il convient d’examiner le cas d’espèce.

64

Il y a lieu de relever que le site Internet du Parlement recommande aux pétitionnaires de lire l’« aide en ligne » avant de soumettre une pétition. Ladite « aide en ligne » contenait ce qui suit sous la rubrique « Publicité d’une pétition » :

« Les pétitionnaires doivent savoir que les procès-verbaux sont publiés au Journal officiel et que, de ce fait, certaines informations, comme le nom du pétitionnaire et le numéro de la pétition, sont disponibles sur Internet. Cela a des implications sur la protection des données personnelles et l’attention des pétitionnaires est appelée tout spécialement sur ce point. Si, en tant que pétitionnaire, vous ne souhaitez pas que votre nom soit divulgué, le Parlement européen respectera votre droit au respect de la vie privée. Toutefois, il faut en faire clairement et explicitement la demande dans votre pétition. De la même manière, si vous souhaitez que votre pétition soit traitée de façon confidentielle, il convient de le demander clairement. La commission des pétitions est attachée à la transparence, aussi ses réunions peuvent-elles être visionnées en ligne. Il est donc possible de suivre les débats sur n’importe quel ordinateur, à partir du site du Parlement européen. En règle générale, les réunions de commission sont publiques. Les pétitionnaires peuvent y assister lorsque leur pétition y est examinée s’ils en font la demande. »

65

En outre, au moment du dépôt de sa pétition par le biais du site Internet du Parlement, le requérant a rempli un formulaire en répondant par l’affirmative aux questions suivantes :

« Dans le cas où la commission des pétitions déclarerait votre pétition recevable, êtes-vous d’accord pour que celle-ci soit traitée publiquement ? »

« Acceptez-vous que votre nom soit inscrit sur un registre public accessible par Internet ? »

66

Par ailleurs, il convient de prendre en compte les éléments ci-après.

67

En premier lieu, le Tribunal doit prendre en considération l’économie et la finalité du droit de pétition au Parlement accordé par les articles 24 TFUE et 227 TFUE. Ce droit de pétition est expressément conçu comme un instrument de participation à la vie démocratique, dont la vocation est d’être transparente afin de permettre à d’autres citoyens de s’y associer éventuellement et, partant, de susciter un débat public. De plus, il convient de faire référence aux articles 15 TFUE et 232 TFUE, qui prévoient que les travaux du Parlement se déroulent principalement en public. C’est donc dans ce contexte que les règles gouvernant l’exercice du droit de pétition, et notamment celles figurant aux articles 201 et suivants du règlement intérieur (devenus articles 215 et suivants), sont censées être appliquées.

68

En deuxième lieu, il y a lieu de se référer au sens ordinaire de l’expression « traitée publiquement » pour une personne moyenne, lorsqu’elle est appelée à remplir un formulaire au moment du dépôt de sa pétition.

69

En troisième lieu, il convient de rappeler que, au moment du dépôt, le requérant a été informé par le Parlement du fait qu’il pouvait demander un traitement anonyme, voire confidentiel, de sa pétition, que les procès-verbaux étaient publiés au Journal officiel, que « certaines informations », y compris le nom du pétitionnaire, étaient disponibles sur Internet, qu’il y avait un registre public accessible sur Internet et que les réunions de la commission des pétitions pouvaient être visionnées en ligne.

70

En quatrième lieu, il importe de relever le contenu spécifique de la pétition en cause, à savoir le fait qu’une institution de l’Union n’avait prétendument pas dûment pris en compte la maladie du requérant (et le handicap de son fils) aux fins de sa carrière, une question qui, en principe, suscite un certain intérêt public. Il convient d’ajouter que l’accusé de réception confirmait explicitement que l’objet de la pétition portait précisément sur ces considérations. Dès lors, la publication de ces informations portait sur le contenu spécifique de la pétition, et non sur des éléments accessoires ou superflus.

71

À cet égard, l’article 201, paragraphe 9, du règlement intérieur dispose que, « [u]ne fois inscrites sur le rôle général, les pétitions deviennent en principe des documents publics, et le nom du pétitionnaire ainsi que le contenu de la pétition peuvent être publiés par le Parlement par souci de transparence ». Le paragraphe 10 du même article dispose que, « [n]onobstant les dispositions du paragraphe 9, les pétitionnaires peuvent demander que leur nom ne soit pas révélé en vue de protéger leur vie privée, auquel cas le Parlement est tenu de respecter une telle demande ».

72

Aux termes de l’article 203 du règlement intérieur relatif à la publicité des pétitions :

« 1. Les pétitions inscrites sur le rôle général visé à l’article [201], paragraphe 6, ainsi que les décisions les plus importantes relatives à la procédure d’examen de celles-ci, sont annoncées en séance plénière. Ces communications figurent au procès-verbal de la séance.

2. Le titre et le texte résumé des pétitions inscrites sur le rôle général ainsi que les avis accompagnant le traitement de la pétition et les décisions essentielles sont déposés dans une base de données accessible au public, à condition que les pétitionnaires aient donné leur accord. Les pétitions à traiter confidentiellement sont déposées dans les archives du Parlement, où elles peuvent être consultées par chaque député. »

73

Plus particulièrement, les pétitions sont, en principe, des documents publics, même s’il peut être dérogé à cette règle à la demande de l’intéressé. Ainsi que le Parlement l’a souligné lors de l’audience, toute autre conclusion équivaudrait à lui imposer une obligation de censure relative au contenu de la pétition déposée par le requérant.

74

Par conséquent, il y a lieu de constater que, en l’espèce, eu égard à l’ensemble des circonstances spécifiques reprises aux points 64 à 73 ci-dessus, le requérant a réalisé une « manifestation de volonté libre et informée ». En effet, une lecture attentive des informations fournies par le Parlement aurait dû permettre à un pétitionnaire raisonnablement attentif d’apprécier la portée de son action et les conséquences de celle-ci. Par ailleurs, cette manifestation de volonté était spécifique, car le Parlement a informé le requérant du fait que sa plainte, dont l’objet concernait de façon inhérente les considérations indiquées au point 70 ci-dessus, serait accessible sur Internet. Enfin, le requérant a donné son consentement explicite en cochant les cases du formulaire relatives au traitement public et à l’inscription sur un registre accessible sur Internet, sans que son consentement doive être déduit implicitement d’une action quelconque.

75

L’ensemble de ces circonstances distinguent de manière fondamentale le cas présent des faits à l’origine de l’affaire V/Parlement (arrêt du 5 juillet 2011, V/Parlement, F-46/09, RecFP, EU:F:2011:101, point 138), dans laquelle la personne concernée n’avait donné aucun consentement au transfert, par la Commission et vers le Parlement, des données médicales la concernant.

76

Au vu de l’ensemble des considérations qui précèdent, le Tribunal estime que, en l’espèce, le requérant avait donné son consentement explicite à la divulgation des informations sensibles en question, au sens de l’article 10, paragraphe 2, sous a), du règlement no 45/2001.

77

Deuxièmement, en ce qui concerne les données personnelles ne figurant pas parmi celles mentionnées à l’article 10, paragraphe 1, du règlement no 45/2001 (telles que celles relatives à la carrière du requérant), leur traitement est soumis au régime prévu à l’article 5 du règlement no 45/2001. Aux termes de l’article 5, sous d), de ce règlement, le traitement peut être effectué, notamment, lorsque la personne concernée a indubitablement donné son consentement. En d’autres termes, le traitement peut être effectué lorsque la personne concernée a donné son consentement avec certitude et sans ambiguïté.

78

Il convient de relever que, alors que l’article 10, paragraphe 2, sous a), du règlement no 45/2001 requiert que le consentement soit explicite, l’article 5, sous d), dudit règlement exige un consentement indubitablement donné. Ainsi que le CEPD l’a relevé, il est logique de considérer, compte tenu de la nature des données personnelles sensibles, que les conditions requises pour le consentement au sens de l’article 5, sous d), du règlement no 45/2001 ne peuvent pas être plus strictes que celles prévues à l’article 10, paragraphe 2, sous a), dudit règlement.

79

Par conséquent, il y a lieu de se référer aux considérations exposées aux points 57 à 74 ci-dessus, qui doivent être appliquées mutatis mutandis en l’espèce au traitement des données personnelles autres que les données personnelles sensibles du requérant. En particulier, en ce qui concerne l’objectif de la pétition, il importe de souligner qu’elle visait spécifiquement le fait qu’une institution de l’Union n’avait pas dûment pris en compte la situation personnelle du requérant aux fins de sa carrière.

80

Dans ces circonstances, le Tribunal considère que le requérant avait indubitablement effectué une « manifestation de volonté libre, spécifique et informée » pour le traitement de ses données personnelles par le Parlement et, notamment, leur divulgation dans le contexte de traitement d’une pétition par le Parlement.

81

Les justifications prévues à l’article 5 du règlement no 45/2001 pour le traitement des données n’étant pas cumulatives, ainsi qu’il ressort du libellé de cette disposition, il n’est pas nécessaire d’examiner si le traitement des données personnelles était également justifié en vertu d’une autre des dispositions invoquées par le Parlement.

82

Au vu de ce qui précède, le Tribunal considère que le Parlement n’a pas commis de violation suffisamment caractérisée d’une règle de droit en diffusant les données personnelles en cause sur Internet.

83

Troisièmement, il convient de relever que, dans la mesure où elle indique que le fils du requérant est atteint d’un handicap mental ou physique grave, la communication contient également des données personnelles sensibles relatives à ce dernier, même s’il n’y est pas désigné nominativement.

84

En l’absence de toute indication de ce que le requérant est le représentant légal de son fils, le consentement explicite qu’il a donné ne saurait justifier le traitement desdites données par le Parlement, en vertu de l’article 10, paragraphe 2, sous a), du règlement no 45/2001.

85

Toutefois, le fils du requérant n’est pas partie au présent recours. En outre, ainsi que cela vient d’être exposé, il n’y a aucune preuve que le requérant soit le représentant légal de son fils ou qu’il ait reçu mandat pour introduire le présent recours au nom de ce dernier.

86

À cet égard, il convient de rappeler que, selon la jurisprudence, afin de garantir l’effet utile de la condition tenant à la violation d’une règle de droit conférant des droits aux particuliers, il est nécessaire que la protection offerte par la règle invoquée soit effective à l’égard de la personne qui l’invoque et, donc, que cette personne soit parmi celles auxquelles la règle en question confère des droits. Il ne saurait être admis comme source d’indemnité une règle ne protégeant pas le particulier contre l’illégalité qu’il invoque, mais un autre particulier (arrêts du 12 septembre 2007, Nikolaou/Commission, T-259/03, EU:T:2007:254, point 44, et du 9 juillet 2009, Ristic e.a./Commission, T-238/07, EU:T:2009:263, point 60). Il en résulte que le requérant ne saurait invoquer, dans le cadre de son recours en indemnité, des illégalités découlant de la prétendue violation des droits d’un tiers, notamment son fils.

87

Il convient d’examiner, alors, si le comportement du Parlement à la suite de la demande de retrait de son site Internet des données personnelles du requérant est susceptible de constituer une violation suffisamment caractérisée d’une règle de droit ayant pour objet de conférer des droits aux particuliers.

88

Selon le requérant, lorsqu’il a demandé le retrait des données personnelles du site Internet du Parlement, celui-ci a réagi initialement de manière négative et n’a accueilli la demande qu’à la suite de l’intervention de son conseil, en méconnaissance du droit à l’effacement des données personnelles. Par ailleurs, le fait que le Parlement a accepté d’effacer les données impliquerait qu’il a reconnu implicitement l’illégalité de la publication. Enfin, le requérant ajoute que le Parlement a violé l’article 12 des dispositions d’application du règlement no 45/2001.

89

En substance, les arguments du requérant impliquent l’analyse de deux questions : premièrement, celle de savoir s’il avait le droit d’obtenir le retrait de ses données personnelles et, deuxièmement, celle de savoir si le Parlement a traité cette demande de façon diligente.

90

En ce qui concerne la première question, il convient de relever que l’article 16 du règlement no 45/2001 confère le droit d’obtenir l’effacement des données personnelles uniquement lorsque le traitement est illicite (voir, en ce sens, arrêt du 16 septembre 2009, Vinci/BCE, F-130/07, RecFP, EU:F:2009:114, points 66 et 67), ainsi que le requérant l’admet lui-même. Dès lors, cette disposition ne peut pas être invoquée à l’appui d’une demande d’effacement lorsque le traitement est licite, comme c’est le cas en l’espèce (voir points 52 et suivants). Le fait que le Parlement ait décidé d’accueillir la demande n’implique pas en soi la reconnaissance de l’illégalité de la publication initiale. À cet égard, il y a lieu de rappeler que le Parlement a expliqué qu’il avait effacé les données par courtoisie.

91

Par ailleurs, il convient de constater que, aux termes de l’article 18 du règlement no 45/2001, la personne concernée a le droit de s’opposer à tout moment, pour des raisons impérieuses et légitimes tenant à sa situation particulière, à ce que des données la concernant fassent l’objet d’un traitement, sauf lorsque, notamment, elle a indubitablement donné son consentement au sens de l’article 5, sous d), du même règlement.

92

De surcroît, dans la mesure où le traitement des données en l’espèce était fondé sur le consentement de la personne intéressée, il y a lieu de relever que le règlement no 45/2001 ne prévoit pas explicitement la possibilité de retirer le consentement initialement donné.

93

À la lumière des considérations qui précèdent, le Tribunal considère que le requérant ne pouvait pas invoquer un droit à l’effacement des données personnelles en cause sur la base du règlement no 45/2001. Il convient d’ajouter que le requérant n’a pas invoqué valablement un quelconque autre fondement pour sa demande d’effacement. En tout état de cause, il convient de rappeler que le Parlement, malgré l’absence de toute obligation contraignante, a procédé à l’effacement des données de son site Internet.

94

Enfin, il convient de relever que l’affaire ayant donné lieu à l’arrêt du 13 mai 2014, Google Spain et Google (C-131/12, Rec, EU:C:2014:317), relative au « droit à l’oubli » sur Internet, concernait un cadre factuel et juridique très différent de celui de l’espèce. En particulier, même si, dans cet arrêt, la Cour a considéré, en substance, qu’un tel droit pouvait exister sous certaines conditions, force est de constater que les dispositions de la directive 95/46 sur lesquelles la Cour a fondé sa motivation [à savoir l’article 7, sous f), l’article 12, sous b), et l’article 14, premier alinéa, sous a), de la directive 95/46] diffèrent notablement de celles en cause dans le cas d’espèce, qui est lié essentiellement à la question du consentement de la personne concernée. En effet, il convient de rappeler que, à la différence du cas d’espèce, dans l’affaire Google la personne concernée n’avait pas donné son consentement à la publication initiale de ses données à caractère personnel.

95

En ce qui concerne la seconde question, le requérant n’a pas invoqué la violation d’une règle ou d’un principe de droit dans l’hypothèse où la publication initiale par le Parlement aurait été licite, comme c’était le cas en l’espèce.

96

Tout d’abord, il convient de relever que l’article 12 des dispositions d’application du règlement no 45/2001, relatif au droit d’effacement, dispose en son paragraphe 3 :

« Le responsable du traitement doit répondre dans le délai de 15 jours ouvrables à partir de la réception de la demande d’effacement. Si la demande est acceptée, celle-ci doit être exécutée sans délai. Si le responsable du traitement considère que la demande n’est pas justifiée, il dispose d’un délai de 15 jours ouvrables pour en informer, par lettre motivée, la personne concernée. »

97

Il résulte de cette disposition que le Parlement dispose d’un délai de 15 jours ouvrables pour répondre à une demande d’effacement, qu’elle soit fondée ou non. En l’espèce, le requérant a envoyé sa demande au service « Europe direct contact centre » de la Commission, qui l’a transmise au Parlement le 10 avril 2012. Ce dernier a répondu à ladite demande dans le délai prescrit. Contrairement à ce que soutient le requérant, le Parlement n’a jamais rejeté la demande. En réalité, ainsi qu’il ressort des réponses du 20 avril 2012, du 24 septembre 2012 et du 10 janvier 2013, le Parlement a accepté l’effacement, tout en soulignant, à juste titre, que la publication était licite.

98

Les données personnelles ont été effacées aux alentours du 8 octobre 2012, selon le Parlement, et du 10 janvier 2013, selon le requérant.

99

Dans sa défense, le Parlement a indiqué qu’il avait fallu un certain temps pour retrouver les documents où figuraient les données du requérant et pour prendre les mesures techniques nécessaires. Ainsi que le Parlement l’a expliqué lors de l’audience en réponse aux questions du Tribunal, l’effacement complet d’Internet est une procédure techniquement délicate. Le Tribunal estime que ce sont ces difficultés techniques qui expliquent le laps de temps qu’il a fallu au Parlement, dont les services techniques ont dû intervenir à plusieurs reprises, pour effacer les données en cause et que ce dernier n’a pas initialement opposé un refus à la demande du requérant.

100

Il y a lieu de relever que l’article 12, paragraphe 3, des dispositions d’application du règlement no 45/2001 prévoit que, lorsque la demande est acceptée, elle est exécutée sans délai. Or, cette disposition vise les situations dans lesquelles la demande est acceptée parce qu’elle est fondée, à savoir parce que le traitement est illégal. Dans ces circonstances, il est logique qu’elle doive être exécutée sans délai. En revanche, lorsque, comme en l’espèce, la demande n’est pas fondée, mais est acceptée par courtoisie, il n’y a pas de raison d’imposer une obligation d’exécution « sans délai ». Dans ce cas, le Parlement est uniquement tenu de donner suite à son engagement dans un délai raisonnable. Au regard des explications fournies par le Parlement, le Tribunal considère que, en l’espèce, il n’a pas commis d’illégalité dans le traitement de la demande d’effacement, y compris dans son exécution.

101

Au vu de ce qui précède, le Tribunal estime que le Parlement n’a pas commis de violation suffisamment caractérisée d’une règle de droit à la suite de la demande d’effacement introduite par le requérant.

102

En ce qui concerne les dispositions relatives à la protection de la vie privée invoquées par le requérant, il convient de relever que, selon l’article 6, paragraphe 3, TUE, les droits fondamentaux, tels qu’ils sont garantis par la CEDH, font partie du droit de l’Union en tant que principes généraux, même si l’Union n’est pas partie à la CEDH. En revanche, la convention relative aux droits des personnes handicapées a été ratifiée par l’Union.

103

Cependant, indépendamment de la question de savoir si, eu égard à leur nature et à leur économie (arrêts du 23 novembre 1999, Portugal/Conseil, C-149/96, Rec, EU:C:1999:574, point 47, et du 3 février 2005, Chiquita Brands e.a./Commission, T-19/01, Rec, EU:T:2005:31, point 114), la CEDH et la convention relative aux droits des personnes handicapées contiennent des dispositions ayant pour objet de conférer des droits aux particuliers, force est de constater que le requérant se borne à invoquer la violation de l’article 22 de la convention relative aux droits des personnes handicapées, sans fournir aucun argument spécifique à l’appui de cette prétention.

104

Il en va de même pour la prétendue violation de l’article 8 de la CEDH. À cet égard, le requérant se limite à citer trois arrêts de la Cour européenne des droits de l’homme qui, selon lui, démontrent que le droit au respect de la vie privée comporte le droit à garder son état de santé secret (Cour eur. D.H., S. et Marper c. Royaume-Uni, no 30562/04 et 30566/04, 4 décembre 2008) ainsi que le droit à la non-divulgation de données concernant la vie professionnelle (Cour eur. D.H., Amman c. Suisse, no 27798/95, 16 février 2000, et Rotaru c. Roumanie, no 28341/95, 4 mai 2000). Cependant, ces arrêts portent sur des situations très différentes de la situation de l’espèce, notamment sur la conservation de données biométriques de personnes soupçonnées d’avoir commis des infractions criminelles, l’interception d’un appel téléphonique professionnel et la création par les autorités publiques d’une fiche contenant des informations personnelles variées.

105

Par ailleurs, l’arrêt du 5 octobre 1994, X/Commission (C-404/92 P, Rec, EU:C:1994:361), cité par le requérant à l’appui de ses allégations, concerne également une question très différente, notamment le refus de la Commission d’embaucher une personne après avoir pratiqué des tests susceptibles d’aboutir à des soupçons qu’elle était infectée par le virus du sida, en dépit de l’opposition de celle-ci à la réalisation de tels tests. Force est de constater que l’arrêt V/Parlement, point 75 supra (EU:F:2011:101, points 110 et suivants), concerne également une situation qui n’est pas comparable, puisqu’il porte sur le transfert de données médicales d’un ancien employé de la Commission au Parlement sans le consentement de l’intéressé, ce qui a mené au retrait de l’offre d’emploi du Parlement.

106

Dès lors, à la lumière des considérations qui précèdent, il est difficile d’identifier un parallélisme ou une similitude entre les faits à l’origine de ces arrêts et la situation de l’espèce qui puisse étayer les arguments du requérant.

107

Par ailleurs, pour les raisons exposées aux points 52 et suivants, il n’est pas possible de considérer qu’il y a « ingérence d’une autorité publique » dans la vie privée au sens de l’article 8 de la CEDH lorsque le requérant donne son consentement à la divulgation d’informations comme dans le cas d’espèce.

108

Par conséquent, le Tribunal estime que le requérant n’a pas établi l’existence d’une violation de la convention relative aux droits des personnes handicapées ou de la CEDH par le Parlement.

109

Au vu de ce qui précède, il y a lieu de rejeter les arguments relatifs à l’illégalité du comportement du Parlement.

110

Les trois conditions relatives à l’engagement de la responsabilité non contractuelle de l’Union étant cumulatives (arrêt du 10 juillet 2014, Nikolaou/Cour des comptes, C-220/13 P, Rec, EU:C:2014:2057, point 52), il y a lieu de rejeter le recours dans son ensemble, sans qu’il soit nécessaire d’examiner les arguments relatifs au préjudice et au lien de causalité. Cependant, en l’espèce, le Tribunal estime opportun d’examiner ces arguments.

111

Le requérant fait valoir que le comportement illégal du Parlement lui a causé un préjudice matériel et moral.

112

Premièrement, le requérant avance qu’il a été contraint de recourir aux services d’un conseil juridique et que ce n’est qu’après deux mises en demeure de la part de celui-ci que le Parlement a retiré le document de son site Internet. De ce fait, le requérant aurait encouru des frais d’un montant de 1000 euros, ce qui constitue son préjudice matériel.

113

Deuxièmement, s’agissant du préjudice moral, le requérant avance qu’il résulte de l’attitude dédaigneuse et dilatoire du Parlement, qui l’aurait profondément blessé et lui aurait causé un stress important, inquiet que son fils, atteint d’une pathologie mentale grave et très fragile, puisse prendre connaissance des informations publiées. Il estime le préjudice moral ex aequo et bono à 40000 euros.

114

Dans la réplique, le requérant soutient que le laps de temps écoulé entre la publication et la demande d’effacement n’a aucune importance. Par ailleurs, il relève qu’il a introduit sa demande d’effacement sans délai, aussitôt qu’il a eu connaissance de la publication des données.

115

Le requérant estime qu’il existe un lien de causalité direct entre l’illégalité et le préjudice, car celui-ci résulte de la publication des informations par le Parlement ainsi que de la difficulté d’obtenir le retrait des informations.

116

Le Parlement ne conteste pas que, si l’existence d’un comportement illégal était établi, le requérant aurait subi un préjudice matériel de 1000 euros en raison des frais d’avocat. Cependant, il considère que le requérant n’a pas démontré l’existence d’un préjudice moral.

117

Enfin, le Parlement ne conteste pas l’existence d’un lien de causalité si le Tribunal considère qu’il y a eu un comportement illégal et que le requérant a subi un préjudice.

118

Il importe de rappeler que, selon la jurisprudence, en ce qui concerne la condition du préjudice, ce dernier doit être réel et certain. En revanche, un dommage purement hypothétique et indéterminé ne donne pas droit à réparation (arrêt du 28 avril 2010, BST/Commission, T-452/05, Rec, EU:T:2010:167, point 165). Cependant, la condition relative à l’existence d’un préjudice certain est remplie dès lors que le préjudice est imminent et prévisible avec une certitude suffisante, même s’il ne peut pas encore être chiffré avec précision (arrêt du 14 janvier 1987, Zuckerfabrik Bedburg e.a./Conseil et Commission, 281/84, Rec, EU:C:1987:3, point 14).

119

C’est à la partie qui met en cause la responsabilité de l’Union qu’il incombe d’apporter des preuves quant à l’existence ou à l’étendue du préjudice qu’elle invoque et d’établir entre ce dommage et le comportement incriminé de l’institution mise en cause un lien suffisamment direct de cause à effet (arrêt BST/Commission, point 118 supra, EU:T:2010:167, point 167).

120

Il convient de relever que le Parlement ne conteste pas l’existence du préjudice matériel invoqué par le requérant, soit les frais de son conseil juridique, à supposer qu’il existe un comportement illégal.

121

En revanche, s’agissant du préjudice moral, force est de constater que le requérant n’a pas démontré l’existence d’un tel préjudice. Il s’est limité à alléguer que l’attitude dédaigneuse et dilatoire du Parlement l’avait profondément blessé et lui avait causé un stress important, sans apporter aucun élément de preuve à l’appui de cette allégation. Par conséquent, celle-ci ne saurait être retenue.

122

Au vu de ce qui précède, il y a lieu de rejeter les arguments du requérant relatifs à l’existence d’un préjudice moral.

123

Enfin, il convient de rappeler qu’un lien de causalité est admis lorsqu’il existe une relation directe de cause à effet entre la faute commise par l’institution concernée et le préjudice invoqué et qu’il appartient aux requérants d’en apporter la preuve (arrêt du 28 septembre 1999, Hautem/BEI, T-140/97, RecFP, EU:T:1999:176, point 85). Selon une jurisprudence constante, le préjudice doit découler de façon suffisamment directe du comportement reproché (arrêt du 25 juin 1997, Perillo/Commission, T-7/96, Rec, EU:T:1997:94, point 41).

124

Il découle de la jurisprudence que, bien qu’il ne puisse être interdit aux intéressés de s’assurer dans une phase précontentieuse de conseils d’avocat, il s’agit de leur propre choix, qui ne peut être imputé à l’institution concernée (arrêts du 9 mars 1978, Herpels/Commission, 54/77, Rec, EU:C:1978:45, point 48 ; du 28 juin 2007, Internationaler Hilfsfonds/Commission, C-331/05 P, Rec, EU:C:2007:390, point 24, et du 8 juillet 2008, Franchet et Byk/Commission, T-48/05, Rec, EU:T:2008:257, point 415). Les frais, ainsi engagés librement par l’intéressé, ne peuvent, dès lors, être imputables au Parlement (voir, en ce sens, arrêt Internationaler Hilfsfonds/Commission, précité, EU:C:2007:390, point 27). Dès lors, tout lien de causalité entre le prétendu dommage matériel subi par le requérant et les agissements du Parlement fait défaut.

125

Par conséquent, les arguments du requérant relatifs au lien de causalité entre la prétendue illégalité et le préjudice matériel doivent également être rejetés.

126

Dans ces circonstances, il y a lieu de rejeter la demande du requérant tendant à la réparation du préjudice prétendument subi comme étant non fondée.

127

Aux termes de l’article 134, paragraphe 1, du règlement de procédure du Tribunal, toute partie qui succombe est condamnée aux dépens, s’il est conclu en ce sens. Le requérant ayant succombé, il y a lieu de le condamner aux dépens, conformément aux conclusions du Parlement.

128

En vertu de l’article 138, paragraphe 1, du règlement de procédure, le CEPD supportera ses propres dépens.

Par ces motifs,

LE TRIBUNAL (sixième chambre)

déclare et arrête :

Frimodt Nielsen

Dehousse

Collins

Ainsi prononcé en audience publique à Luxembourg, le 3 décembre 2015.

Signatures