–

pour le Land Nordrhein-Westfalen, par Mes M. Kottmann et C. Mensching, Rechtsanwälte,

–

pour le gouvernement allemand, par MM. J. Möller et D. Klebs, en qualité d’agents,

–

pour le gouvernement tchèque, par MM. M. Smolek, O. Serdula et J. Vláčil, en qualité d’agents,

–

pour le gouvernement polonais, par M. B. Majczyna, en qualité d’agent,

–

pour la Commission européenne, initialement par MM. H. Kranenborg et D. Nardi ainsi que par Mme K. Kaiser, puis par MM. H. Kranenborg, D. Nardi et F. Erlbacher, en qualité d’agents,

1

La demande de décision préjudicielle porte sur l’interprétation de l’article 23, paragraphe 1, sous e) et j), du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, ci-après le « RGPD »).

2

Cette demande a été présentée dans le cadre d’un litige opposant le Land Nordrhein-Westfalen à D.-H. T., agissant en qualité de syndic de faillite de J & S Service UG, au sujet d’une demande d’obtention de données fiscales concernant cette société.

3

Les considérants 2, 4, 14 et 73 du RGPD énoncent :

[…]

[…]

[…]

4

L’article 1er de ce règlement, intitulé « Objet et objectifs », prévoit :

« 1. Le présent règlement établit des règles relatives à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et des règles relatives à la libre circulation de ces données.

2. Le présent règlement protège les libertés et droits fondamentaux des personnes physiques, et en particulier leur droit à la protection des données à caractère personnel.

3. La libre circulation des données à caractère personnel au sein de l’Union n’est ni limitée ni interdite pour des motifs liés à la protection des personnes physiques à l’égard du traitement des données à caractère personnel. »

5

L’article 4 dudit règlement, intitulé « Définitions », dispose, à son point 1, que la notion de « données à caractère personnel » doit être comprise comme portant sur « toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée “personne concernée”) ; est réputée être une “personne physique identifiable” une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ».

6

Selon l’article 15, paragraphe 1, du même règlement, intitulé « Droit d’accès de la personne concernée », celle-ci a le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel ainsi que certaines informations que cet article énumère.

7

L’article 23 du RGPD, intitulé « Limitations », dispose, à son paragraphe 1 :

« Le droit de l’Union ou le droit de l’État membre auquel le responsable du traitement ou le sous-traitant est soumis peuvent, par la voie de mesures législatives, limiter la portée des obligations et des droits prévus aux articles 12 à 22 et à l’article 34, ainsi qu’à l’article 5 dans la mesure où les dispositions du droit en question correspondent aux droits et obligations prévus aux articles 12 à 22, lorsqu’une telle limitation respecte l’essence des libertés et droits fondamentaux et qu’elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir :

[…]

[…]

8

L’Abgabenordnung (code des impôts, BGBl. I 2002, p. 3866), dans sa version applicable au litige au principal (ci-après le « code des impôts »), prévoit, à son article 2a, intitulé « Champ d’application des dispositions relatives au traitement des données à caractère personnel » :

« […]

3. Les dispositions du présent code et de la législation fiscale relatives au traitement des données à caractère personnel sont sans application si le droit de l’Union européenne et notamment le [RGPD] s’applique, que ce soit directement ou mutatis mutandis en application du paragraphe 5 [du présent article].

[…]

5. Sauf disposition contraire, les dispositions du [RGPD], du présent code et de la législation fiscale relatives au traitement des données à caractère personnel des personnes physiques s’appliquent mutatis mutandis aux informations relatives à des

identifiés ou identifiables. »

9

L’article 32b du code des impôts, intitulé « Obligation d’information de l’administration fiscale lorsque les données à caractère personnel n’ont pas été collectées auprès de la personne concernée », dispose :

« 1. Outre dans les cas visés à l’article 14, paragraphe 5, du [RGPD] et à l’article 31c, paragraphe 2, [du présent code], l’administration fiscale n’est pas tenue à l’obligation d’informer la personne concernée conformément à l’article 14, paragraphes 1, 2 et 4, du [RGPD] lorsque

et que, par conséquent, l’intérêt de la personne concernée à obtenir les informations ne peut prévaloir. L’article 32a, paragraphe 2, [du présent code] s’applique mutatis mutandis.

[…] »

10

Aux termes de l’article 32c dudit code, intitulé « Droit d’accès de la personne concernée » :

« 1. La personne concernée ne peut pas se prévaloir du droit d’accès dont elle est titulaire à l’égard de l’administration fiscale en vertu de l’article 15 du [RGPD] lorsque,

[…] »

11

L’article 32e du même code, intitulé « Rapport avec d’autres droits d’accès et d’information », énonce :

« Si la personne concernée ou un tiers a, en vertu du [Gesetz zur Regelung des Zugangs zu Informationen des Bundes (loi régissant l’accès aux informations de l’État fédéral)], du 5 septembre 2005 (BGBl. 2005 I, p. 2722), dans sa version applicable, ou en vertu des lois correspondantes des Länder, à l’égard de l’administration fiscale un droit d’accéder à des informations, les dispositions combinées des articles 12 à 15 du [RGPD] et des articles 32a à 32d [du présent code] s’appliquent mutatis mutandis. Des droits d’information concernant des données fiscales qui iraient au-delà sont à cet égard exclus. L’article 30, paragraphe 4, point 2, [du présent code] est à cet égard sans application. »

12

Aux termes de l’article 129, paragraphe 1, de l’Insolvenzordnung (loi sur l’insolvabilité), du 5 octobre 1994 (BGBl. 1994 I, p. 2866), dans sa version applicable au litige au principal :

« L’“Insolvenzverwalter” [praticien de l’insolvabilité] peut attaquer, aux conditions des articles 130 à 146, les actes juridiques qui ont été accomplis avant l’ouverture de la procédure d’insolvabilité et qui portent préjudice aux créanciers. »

13

Le Gesetz über die Freiheit des Zugangs zu Informationen für das Land Nordrhein-Westfalen (loi sur le libre accès aux informations pour le Land de Rhénanie du Nord–Westphalie), du 27 novembre 2001, dans sa version applicable au litige au principal (ci–après la « loi sur la liberté d’information »), prévoit, à son article 2, intitulé « Champ d’application » :

« 1) La présente loi s’applique à l’activité administrative des autorités publiques […]. Aux fins de la présente loi, une autorité publique est tout organisme qui accomplit des tâches d’administration publique.

[…] »

14

Aux termes de l’article 4 de la loi sur la liberté d’information, intitulé « Droit à l’information » :

« 1) Toute personne physique peut faire valoir envers les organismes visés à l’article 2, conformément à la présente loi, un droit d’accès aux informations officielles détenues par l’organisme.

2) D’éventuelles dispositions légales spéciales concernant l’accès aux informations administratives, la fourniture d’informations ou l’octroi d’un accès au dossier prévalent sur les dispositions de la présente loi. Le devoir de réserve ne s’applique pas dans le cadre de cette loi. »

15

D.-H. T., agissant en qualité de syndic de faillite de J & S Service, une société de droit allemand, a sollicité de l’administration fiscale, sur le fondement de l’article 4, paragraphe 1, de la loi sur la liberté d’information, des données fiscales sur cette société afin de pouvoir examiner l’opportunité d’introduire des actions révocatoires dans le cadre de la procédure d’insolvabilité.

16

Ces données portaient sur les mesures d’exécution forcée dont J & S Service était susceptible de faire l’objet, celles qui avaient déjà été mises en œuvre et les paiements reçus ainsi que sur la date à laquelle l’administration fiscale avait pris connaissance de l’insolvabilité de cette société. D.-H. T. a également sollicité la communication des extraits de compte pour tous les types d’impôts et de taxes gérés par l’administration fiscale pour les périodes imposables allant du mois de mars 2014 au mois de juin 2015.

17

L’administration fiscale ayant rejeté cette demande, D.-H. T. a saisi le Verwaltungsgericht (tribunal administratif, Allemagne) compétent, qui a fait droit, pour l’essentiel, à son recours.

18

L’Oberverwaltungsgericht (tribunal administratif supérieur, Allemagne) compétent a rejeté l’appel interjeté par le Land Nordrhein-Westfalen contre le jugement de première instance. Cette juridiction a notamment considéré que le droit d’accès aux informations, exercé sur le fondement de la loi sur la liberté d’information, n’était pas écarté par des règles spécifiques existantes en matière fiscale et qu’il ne se heurtait à aucun motif d’exclusion.

19

Selon ladite juridiction, dès lors que, dans le cadre de la procédure d’insolvabilité, le pouvoir de disposer des informations fiscales avait été transféré au syndic de faillite, ce transfert englobait également les secrets d’affaires et les informations fiscales dans la mesure nécessaire à la bonne gestion du patrimoine du débiteur insolvable. Partant, bien que les renseignements sollicités fussent couverts par le secret fiscal, D.–H. T. était en droit, en sa qualité de syndic de faillite, de demander à J & S Service toutes les informations ayant un lien avec la procédure d’insolvabilité. L’obligation de participation du débiteur insolvable englobait également l’obligation de libérer l’administration fiscale du secret fiscal.

20

Le Land Nordrhein-Westfalen a formé un pourvoi en Revision contre la décision de l’Oberverwaltungsgericht (tribunal administratif supérieur) compétent devant le Bundesverwaltungsgericht (Cour administrative fédérale, Allemagne).

21

À titre liminaire, cette juridiction observe que le RGPD n’est pas directement applicable en l’occurrence car l’affaire au principal ne porte pas sur des données à caractère personnel se rapportant à une personne physique, au sens de l’article 1er, paragraphe 1, et de l’article 4, point 1, de ce règlement, ni sur le droit d’accès conféré à la personne concernée, au sens de l’article 15 dudit règlement. Selon la juridiction de renvoi, le droit d’accès prévu à ce dernier article est un droit attaché à la personne concernée par le traitement des données à caractère personnel qui n’entre pas dans la masse de la faillite et échappe donc au transfert des pouvoirs de gestion et de disposition vers le syndic de faillite.

22

Néanmoins, ladite juridiction rappelle que, afin de garantir l’interprétation uniforme du droit de l’Union, la Cour s’est déjà déclarée compétente pour statuer sur des demandes de décision préjudicielle portant sur des dispositions de ce droit dans des situations purement internes, dans lesquelles ces dispositions avaient été rendues directement et inconditionnellement applicables par le droit national.

23

Or, cette condition serait remplie en l’occurrence, car l’article 2a, paragraphe 5, du code des impôts renvoie, en ce qui concerne le traitement des données à caractère personnel des personnes morales, aux dispositions du RGPD.

24

Dans ce contexte, par sa première question, la juridiction de renvoi s’interroge, en substance, sur la possibilité pour l’administration fiscale de limiter l’accès aux données fiscales d’un débiteur d’impôt sur le fondement de l’article 23, paragraphe 1, sous j), du RGPD, auquel l’article 32c, paragraphe 1, point 2, du code des impôts renvoie expressément.

25

Dans l’hypothèse où il serait considéré que l’administration fiscale peut invoquer l’article 23, paragraphe 1, sous j), du RGPD, la juridiction de renvoi souhaiterait savoir si la notion d’« exécution des demandes de droit civil » figurant à cette disposition englobe également la défense contre des prétentions relevant du droit civil.

26

À cet égard, la juridiction de renvoi fait valoir que, en droit national, l’article 32c, paragraphe 1, point 2, du code des impôts inclut expressément la défense contre des prétentions relevant du droit civil afin de limiter le droit d’accès de la personne concernée. Cette disposition vise à assurer que l’administration fiscale ne soit pas traitée différemment par rapport aux autres créanciers ou débiteurs. Les obligations d’information qui lui incombent devraient dès lors uniquement être régies par le droit civil et soumis à la condition que le droit d’agir en révocation soit établi en substance et que seuls restent encore à déterminer la nature et l’étendue de ce droit.

27

Enfin, la juridiction de renvoi se demande si une disposition nationale apportant une limitation au droit d’accès conféré par l’article 15 du RGPD afin de s’opposer à des actions révocatoires susceptibles d’être introduites dans le cadre d’une procédure d’insolvabilité contre l’administration fiscale trouve son fondement dans l’article 23, paragraphe 1, sous e), de ce règlement.

28

À cet égard, cette juridiction fait valoir que l’objectif de l’article 32c, paragraphe 1, point 2, du code des impôts consiste à traiter l’administration fiscale de la même manière que d’autres créanciers et débiteurs lorsqu’il s’agit de créances de droit civil ainsi qu’à favoriser une imposition régulière et conforme à la loi et par conséquent la sauvegarde des recettes fiscales. Ces objectifs pourraient constituer des objectifs importants d’intérêt public général dans le domaine budgétaire et fiscal, au sens de l’article 23, paragraphe 1, sous e), du RGPD.

29

Néanmoins, selon ladite juridiction, par l’article 32c, paragraphe 1, point 2, du code des impôts, le législateur national a fait plutôt usage de la limitation figurant à l’article 23, paragraphe 1, sous j), du RGPD. En effet, les données fiscales sollicitées présenteraient un intérêt non pas pour les créances fiscales elles-mêmes, mais pour les opérations de paiement qui intéressent le droit de l’insolvabilité, en tant qu’actes susceptibles d’être, le cas échéant, révoqués en application de la loi sur l’insolvabilité, du 5 octobre 1994, dans sa version applicable au litige au principal.

30

C’est dans ces conditions que le Bundesverwaltungsgericht (Cour administrative fédérale) a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :

31

Selon une jurisprudence constante, dans le cadre de la coopération entre la Cour et les juridictions nationales instituée à l’article 267 TFUE, il appartient au seul juge national qui est saisi du litige et qui doit assumer la responsabilité de la décision juridictionnelle à intervenir d’apprécier, au regard des particularités de l’affaire, tant la nécessité d’une décision préjudicielle pour être en mesure de rendre son jugement que la pertinence des questions qu’il pose à la Cour. En conséquence, dès lors que les questions posées portent sur l’interprétation du droit de l’Union, la Cour est, en principe, tenue de statuer (arrêts du 18 octobre 1990, Dzodzi, C-297/88 et C-197/89, EU:C:1990:360, points 34 et 35, ainsi que du 14 février 2019, Milivojević, C-630/17, EU:C:2019:123, point 47 et jurisprudence citée).

32

Toutefois, il est également de jurisprudence constante qu’il appartient à la Cour d’examiner les conditions dans lesquelles elle est saisie par le juge national en vue de vérifier sa propre compétence (arrêt du 16 juin 2016, Rodríguez Sánchez, C-351/14, EU:C:2016:447, point 55 et jurisprudence citée).

33

À cet égard, il y a lieu de rappeler que la Cour s’est, à maintes reprises, déclarée compétente pour statuer sur des demandes de décision préjudicielle portant sur des dispositions du droit de l’Union dans des situations dans lesquelles les faits en cause au principal se situaient en dehors du champ d’application de celui-ci et relevaient dès lors de la seule compétence des États membres, mais dans lesquelles lesdites dispositions du droit de l’Union avaient été rendues applicables par le droit national en raison d’un renvoi opéré par ce dernier au contenu de celles-ci (arrêt du 12 juillet 2012, SC Volksbank România, C-602/10, EU:C:2012:443, point 86 et jurisprudence citée).

34

Une telle compétence est justifiée par l’intérêt manifeste, pour l’ordre juridique de l’Union à ce que, afin d’éviter des divergences d’interprétation futures, les dispositions reprises du droit de l’Union reçoivent une interprétation uniforme [voir, en ce sens, arrêts du 18 octobre 1990, Dzodzi, C-297/88 et C-197/89, EU:C:1990:360, point 37, ainsi que du 12 décembre 2019, G. S. et V. G. (Menace pour l’ordre public), C-381/18 et C-382/18, EU:C:2019:1072, point 42 et jurisprudence citée].

35

La compétence de la Cour est toutefois limitée à l’examen des seules dispositions du droit de l’Union. Elle ne peut pas, dans sa réponse au juge national, tenir compte de l’économie générale des dispositions du droit interne qui, en même temps qu’elles se réfèrent au droit de l’Union, déterminent l’étendue de cette référence. La prise en considération des limites que le législateur national a pu apporter à l’application du droit de l’Union à des situations purement internes, auxquelles il n’est applicable que par l’intermédiaire de la loi nationale, relève du droit interne et, par conséquent, de la compétence exclusive des juridictions de l’État membre (voir, en ce sens, arrêt du 18 octobre 1990, Dzodzi, C-297/88 et C-197/89, EU:C:1990:360, point 42).

36

En l’occurrence, il ressort des indications fournies par la juridiction de renvoi que, en vertu du renvoi opéré par l’article 2a, paragraphe 5, point 2, du code des impôts, les dispositions du RGPD relatives au traitement des données à caractère personnel des personnes physiques s’appliquent mutatis mutandis aux personnes morales.

37

En particulier, l’article 32b de ce code prévoit que l’administration fiscale n’est pas tenue de fournir des informations lorsque les données à caractère personnel n’ont pas été collectées auprès de la personne concernée, si ces informations sont susceptibles de compromettre la bonne exécution des missions relevant de sa compétence ou de la compétence d’autres organismes publics, au sens de l’article 23, paragraphe 1, sous d) à h), du RGPD.

38

Selon, l’article 32c, paragraphe 1, point 2, dudit code, la personne concernée ne peut pas se prévaloir du droit d’accès dont elle dispose à l’égard de l’administration fiscale en vertu de l’article 15 du RGPD si la fourniture de l’information sollicitée est susceptible d’affecter l’invocation, l’exercice ou la défense de droits relevant du droit civil par cette administration ou la défense de ladite administration contre des prétentions relevant du droit civil, au sens de l’article 23, paragraphe 1, sous j), de ce règlement, invoquées contre elle.

39

Il ressort de la demande de décision préjudicielle que les dispositions du code des impôts en cause au principal renvoient à l’article 23 du RGPD afin d’encadrer l’obligation d’information de l’administration fiscale ainsi que le droit d’accès de la personne concernée à l’égard de cette administration, dans l’objectif de remédier à la situation défavorable dans laquelle se trouverait cette administration par rapport aux créanciers de droit privé dans le cadre des procédures d’insolvabilité et de contribuer ainsi à la sauvegarde des recettes fiscales.

40

Dans le litige au principal, la personne concernée par les informations sollicitées est une personne morale, à savoir une société en faillite.

41

Or, ainsi qu’il ressort de l’article 1er, paragraphe 1, du RGPD, ce règlement établit des règles relatives à la protection des données à caractère personnel des personnes physiques et ne couvre pas les données qui concernent les personnes morales.

42

L’article 23 de ce règlement, dont la juridiction de renvoi demande l’interprétation, régit les situations dans lesquelles le droit de l’Union ou le droit de l’État membre auquel le responsable du traitement ou le sous-traitant est soumis peuvent limiter la portée des droits accordés aux personnes concernées, définies comme des personnes physiques identifiées ou identifiables, et des obligations correspondantes imposées aux responsables du traitement.

43

En l’occurrence, les questions préjudicielles portent sur l’interprétation de l’article 23, paragraphe 1, du RGPD dans une situation dans laquelle ces dispositions ont été rendues applicables aux personnes morales afin d’encadrer les obligations d’information incombant aux autorités publiques en vertu de la loi sur la liberté d’information.

44

Toutefois, les dispositions du code des impôts en cause au principal ne se bornent pas à rendre applicables les dispositions du RGPD en dehors du champ d’application de ce règlement, mais ils en modifient l’objet et la portée.

45

En effet, s’il est vrai que les dispositions du code des impôts en cause au principal procèdent d’une reproduction presque littérale de certaines dispositions du RGPD, la finalité et le contexte dans lequel ce dernier a été adopté diffèrent substantiellement de la finalité et du contexte de la législation interne en cause au principal, car ce règlement cherche notamment à garantir le respect des droits fondamentaux reconnus aux personnes physiques et, dans le même temps, à mettre en balance ces droits avec la nécessité de sauvegarder d’autres intérêts légitimes dans une société démocratique.

46

À cet égard, il convient de faire observer, en premier lieu, que la notion d’informations afférentes aux personnes morales est strictement distincte de la notion de données à caractère personnel des personnes physiques telle que la définit le droit de l’Union. Le droit de toute personne physique à la protection des données à caractère personnel la concernant est un droit fondamental garanti par l’article 8, paragraphe 1, de la charte des droits fondamentaux. En conséquence, les limitations apportées à un tel droit doivent être prévues par la loi, respecter l’essence des libertés et des droits fondamentaux et constituer une mesure nécessaire et proportionnée dans une société démocratique pour garantir certains intérêts publics et privés, ainsi que le rappelle l’article 23, paragraphe 1, du RGPD. En revanche, les informations afférentes aux personnes morales ne bénéficient pas d’une protection comparable en droit de l’Union.

47

Ainsi, le droit allemand se réfère, en réalité, non à la protection des données personnelles des personnes physiques, régie par le RGPD en droit de l’Union, mais à la notion, propre au droit national, de protection des données personnelles des personnes morales. Dans ces conditions, les questions préjudicielles portent non pas véritablement sur l’interprétation d’une disposition du droit de l’Union qui aurait été rendue applicable, au-delà de son champ d’application, par une disposition de droit national, mais sur une notion de droit national sans équivalent en droit de l’Union.

48

En second lieu, ainsi que M. l’avocat général l’a relevé, en substance, aux points 86 et 88 de ses conclusions, l’article 23, paragraphe 1, du RGPD vise à assurer un juste équilibre entre le respect des droits fondamentaux des personnes physiques affectées par le traitement des données à caractère personnel et la nécessité de sauvegarder d’autres intérêts légitimes dans une société démocratique. L’interprétation des limitations qu’il prévoit requiert, dès lors, une mise en balance entre les droits fondamentaux reconnus aux personnes physiques et les intérêts à la préservation desquels ces limitations concourent.

49

Par conséquent, l’article 23 du RGPD ne saurait être lu en faisant abstraction du fait qu’il vise spécifiquement à garantir les droits fondamentaux des personnes physiques.

50

Une interprétation de dispositions dudit règlement ne saurait, dès lors, être effectuée de la même manière en ce qui concerne les personnes physiques et en ce qui concerne les personnes morales dont le droit à la protection des données n’a pas été défini par le RGPD. Il ne peut donc pas être conclu, contrairement à ce que considère la juridiction de renvoi, qu’il existe, en l’occurrence, un intérêt manifeste à ce que la Cour interprète ces dispositions en vue d’assurer leur uniformité d’interprétation.

51

Dans ces conditions, il n’est pas possible de considérer que les dispositions du droit de l’Union soumises à l’interprétation de la Cour ont été rendues applicables en tant que telles par le droit national, fût-ce en dehors du champ d’application de ce règlement (voir, par analogie, arrêt du 28 mars 1995, Kleinwort Benson, C-346/93, EU:C:1995:85, point 19).

52

Compte tenu de l’ensemble des considérations qui précèdent, il y a lieu de constater que la Cour n’est pas compétente pour répondre aux questions posées par le Bundesverwaltungsgericht (Cour administrative fédérale).

53

La procédure revêtant, à l’égard des parties au principal, le caractère d’un incident soulevé devant la juridiction de renvoi, il appartient à celle-ci de statuer sur les dépens. Les frais exposés pour soumettre des observations à la Cour, autres que ceux desdites parties, ne peuvent faire l’objet d’un remboursement.

Par ces motifs, la Cour (première chambre) dit pour droit :

La Cour n’est pas compétente pour répondre aux questions posées par le Bundesverwaltungsgericht (Cour administrative fédérale, Allemagne), par décision du 4 juillet 2019.

Signatures