Affaire C-247/23 [Deldits] ( i )

VP

contre

Országos Idegenrendészeti Főigazgatóság

(demande de décision préjudicielle, introduite par la Fővárosi Törvényszék)

Arrêt de la Cour (première chambre) du 13 mars 2025

« Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement (UE) 2016/679 – Article 5, paragraphe 1, sous d) – Principe d’exactitude – Article 16 – Droit de rectification – Article 23 – Limitations – Données relatives à l’identité de genre – Données inexactes dès leur inscription dans un registre public – Moyens de preuve – Pratique administrative consistant à demander la preuve d’un traitement chirurgical de réassignation sexuelle »

1. Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement 2016/679 – Droit de rectification – Limitations – Conditions – Vérification incombant à la juridiction de renvoi – Obligation de rectifier des données inexactes relatives à l’identité de genre – Respect du principe d’exactitude

   (Art. 16, § 1, TFUE ; charte des droits fondamentaux de l’Union européenne, art. 8, § 1 et 2 ; règlement du Parlement européen et du Conseil 2016/679, considérants 1, 10, 59 et 73 et art. 1er, 2, § 1, 4, points 1 et 2, 5, 6, 16 et 23)

   (voir points 23-28, 30, 32, 34-38, disp. 1)

2. Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement 2016/679 – Droit de rectification – Limitations – Conditions – Adoption d’une mesure législative interne – Respect de l’essence des libertés et droits fondamentaux – Proportionnalité – Exercice du droit de rectification des données relatives à l’identité de genre – Pratique administrative consistant à demander la preuve d’un traitement chirurgical de réassignation sexuelle – Inadmissibilité

   (Charte des droits fondamentaux de l’Union européenne, art. 3, 7 et 8 ; règlement du Parlement européen et du Conseil 2016/679, art. 16 et 23)

   (voir points 40-45, 49, 50, disp. 2)

Résumé

Saisie à titre préjudiciel par la Fővárosi Törvényszék (cour de Budapest-Capitale, Hongrie), la Cour se prononce sur le point de savoir, d’une part, si le règlement général sur la protection des données ( 1 ) impose à une autorité nationale chargée de la tenue d’un registre public de rectifier les données à caractère personnel relatives à l’identité de genre d’une personne physique lorsque ces données ne sont pas exactes et, d’autre part, si un État membre peut subordonner, par une pratique administrative, l’exercice du droit de rectification de telles données, contenues dans un registre public, à la production de preuves, notamment, d’un traitement chirurgical de réassignation sexuelle.

VP, une personne de nationalité iranienne, a obtenu le statut de réfugié en Hongrie en invoquant sa transidentité. Selon les attestations médicales produites à l’appui de sa demande, si VP était né femme, son identité de genre était masculine. À la suite de la reconnaissance de son statut de réfugié sur cette base, VP a toutefois été enregistré en tant que femme dans le registre de l’asile.

En 2022, VP a introduit une demande auprès de l’autorité en charge de l’asile, sur la base du droit de rectification consacré à l’article 16 du RGPD, visant à faire rectifier la mention de son genre comme étant masculin et à modifier son prénom dans le registre de l’asile. Elle y a annexé les attestations médicales précitées. Par décision du 11 octobre 2022, cette autorité a rejeté la demande de VP, au motif que cette dernière n’avait pas prouvé avoir subi de traitement chirurgical de réassignation sexuelle.

VP a formé un recours en annulation contre cette décision devant la juridiction de renvoi. Eu égard à l’absence, en droit hongrois, de procédure de reconnaissance juridique d’un changement d’identité de genre, et nourrissant des doutes quant à la portée de l’article 16 du RGPD dans un tel contexte, cette juridiction a interrogé la Cour sur l’interprétation de cet article.

Appréciation de la Cour

En premier lieu, la Cour rappelle, tout d’abord, que, aux termes de l’article 16 du RGPD, la personne concernée a le droit d’obtenir du responsable du traitement, dans les meilleurs délais, la rectification des données à caractère personnel la concernant qui sont inexactes. Cette disposition concrétise le droit fondamental consacré à l’article 8, paragraphe 2, seconde phrase, de la charte des droits fondamentaux de l’Union européenne ( 2 ), selon lequel toute personne a le droit d’accéder aux données collectées la concernant et d’en obtenir la rectification.

Ensuite, l’article 16 du RGPD doit être lu à la lumière, d’une part, du principe d’exactitude ( 3 ), en vertu duquel les données traitées doivent être exactes et, si nécessaire, tenues à jour, étant précisé que toutes les mesures raisonnables doivent être prises pour que les données qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder. D’autre part, cette disposition doit également être lue à la lumière du considérant 59 du RGPD, dont il ressort que des modalités devraient être prévues pour faciliter la rectification, à la demande de la personne concernée, de ses données à caractère personnel.

À cet égard, la Cour réitère sa jurisprudence, selon laquelle le caractère exact et complet de données à caractère personnel doit être apprécié au regard de la finalité pour laquelle ces données ont été collectées.

Enfin, la Cour observe que l’objectif poursuivi par le RGPD consiste, entre autres, à garantir un niveau élevé de protection du droit des personnes physiques à la vie privée à l’égard du traitement des données à caractère personnel. Conformément à cet objectif, tout traitement de telles données doit, notamment, être conforme au principe d’exactitude, mais également satisfaire aux conditions de licéité prévues par ce règlement ( 4 ).

En l’occurrence, il incombe à la juridiction de renvoi de vérifier l’exactitude de la donnée en cause au regard de la finalité pour laquelle celle-ci a été collectée et d’apprécier, en particulier, à la lumière du droit national, si la collecte de cette donnée a pour but d’identifier la personne concernée. Si tel devait être le cas, ladite donnée semblerait donc viser l’identité de genre vécue par cette personne, et non celle qui lui aurait été assignée à la naissance.

À cet égard, un État membre ne saurait se prévaloir de dispositions de droit national spécifiques, adoptées sur la base de l’article 6, paragraphes 2 et 3, du RGPD, pour faire obstacle au droit de rectification. En effet, d’une part, il ressort du RGPD ( 5 ) que ces dispositions spécifiques sont uniquement destinées à préciser davantage l’application des règles contenues dans ce règlement, et non à y déroger. D’autre part, le droit de rectification ne peut être limité que dans les conditions énoncées à l’article 23 dudit règlement. Ainsi, un État membre peut notamment prévoir, par des mesures législatives internes, des limitations à ce droit, s’agissant de données à caractère personnel figurant dans des registres publics tenus pour des motifs d’intérêt public général. Cependant, en l’occurrence, il n’apparaît pas que le législateur hongrois aurait limité, en respectant les conditions visées à l’article 23 du RGPD, la portée du droit de rectification, ni que l’autorité en charge de l’asile aurait motivé son refus de la rectification demandée en invoquant une telle limitation légale.

En tout état de cause, un État membre ne saurait invoquer l’absence, dans son droit national, de procédure de reconnaissance juridique de la transidentité pour faire obstacle au droit de rectification. En effet, si le droit de l’Union ne porte pas atteinte à la compétence des États membres dans le domaine de l’état civil des personnes et de la reconnaissance juridique de leur identité de genre, ces États doivent toutefois, dans l’exercice de cette compétence, respecter le droit de l’Union. Partant, une réglementation nationale qui fait obstacle à ce qu’une personne transgenre, faute de la reconnaissance de son identité de genre, puisse remplir une condition nécessaire au bénéfice d’un droit protégé par le droit de l’Union, tel que, en l’occurrence, le droit de rectification, doit être considérée comme étant, en principe, incompatible avec le droit de l’Union.

Par conséquent, la Cour conclut que l’article 16 du RGPD doit être interprété en ce sens qu’il impose à une autorité nationale chargée de la tenue d’un registre public de rectifier les données à caractère personnel relatives à l’identité de genre d’une personne physique lorsque ces données ne sont pas exactes, au sens de ce règlement.

En second lieu, la Cour constate que l’article 16 du RGPD ne précise pas quels sont les éléments de preuve qui peuvent être exigés par un responsable du traitement afin d’établir le caractère inexact des données à caractère personnel dont une personne physique sollicite la rectification.

Dans ce contexte, si la personne concernée, sollicitant la rectification de ces données, peut être tenue de fournir les éléments de preuve pertinents et suffisants qui peuvent, eu égard aux circonstances du cas d’espèce, raisonnablement être exigés de cette personne pour établir l’inexactitude desdites données, la Cour rappelle toutefois qu’un État membre ne peut limiter l’exercice du droit de rectification que dans le respect de l’article 23 du RGPD. La Cour précise que le droit de rectification peut faire l’objet de limitations dans le contexte de la tenue de registres publics conservés pour des motifs d’intérêt public général, notamment afin de garantir la fiabilité et la cohérence de ces registres.

En l’occurrence, l’État membre concerné a adopté une pratique administrative consistant à subordonner l’exercice, par une personne transgenre, de son droit de rectification des données relatives à son identité de genre, figurant dans un registre public, à la production de preuves d’un traitement chirurgical de réassignation sexuelle. Une telle pratique administrative donne lieu à une limitation du droit de rectification.

À cet égard, la Cour relève, premièrement, qu’une telle pratique administrative ne répond pas à l’exigence selon laquelle le droit d’un État membre ne peut limiter la portée du droit de rectification que par la voie de mesures législatives.

Deuxièmement, cette pratique administrative porte atteinte, notamment, à l’essence du droit à l’intégrité de la personne et du droit au respect de la vie privée, respectivement visés aux articles 3 et 7 de la Charte. La Cour rappelle, dans ce contexte, que la Cour européenne des droits de l’homme a notamment jugé que la reconnaissance de l’identité de genre d’une personne transgenre ne pouvait pas être subordonnée à la réalisation d’un traitement chirurgical non souhaité par cette personne ( 6 ).

Enfin, troisièmement, une telle pratique administrative n’est, en tout état de cause, pas nécessaire ni proportionnée afin de garantir la fiabilité et la cohérence d’un registre public, tel que le registre de l’asile, dès lors qu’une attestation médicale, y compris un psychodiagnostic préalable, peut constituer un élément de preuve pertinent et suffisant à cet égard.

Ainsi, la Cour en déduit que l’article 16 du RGPD doit être interprété en ce sens que, aux fins de l’exercice du droit de rectification des données à caractère personnel relatives à l’identité de genre d’une personne physique, contenues dans un registre public, cette personne peut être tenue de fournir les éléments de preuve pertinents et suffisants qui peuvent raisonnablement être exigés de ladite personne pour établir l’inexactitude de ces données. Cependant, un État membre ne peut en aucun cas subordonner, par une pratique administrative, l’exercice de ce droit à la production de preuves d’un traitement chirurgical de réassignation sexuelle.

( i ) Le nom de la présente affaire est un nom fictif. Il ne correspond au nom réel d’aucune partie à la procédure.

( 1 ) Article 16 du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, ci-après le « RGPD »).

( 2 ) Ci-après la « Charte ».

( 3 ) Principe visé à l’article 5, paragraphe 1, sous d), du RGPD.

( 4 ) Voir article 6 du RGPD.

( 5 ) Voir considérant 10, troisième phrase, du RGPD.

( 6 ) Voir, en ce sens, Cour EDH, 19 janvier 2021, X et Y c. Roumanie (CE :ECHR :2021 :0119JUD000214516, paragraphes 165 et 167 ainsi que jurisprudence citée).