CELEX: 62009CJ0092
Protection des personnes physiques à l’égard du traitement des données à caractère personnel
Publication des informations relatives aux bénéficiaires d’aides agricoles
Validité des dispositions du droit de l’Union prévoyant cette publication et fixant les modalités de celle-ci
Charte des droits fondamentaux de l’Union européenne
Articles 7 et 8
Directive 95/46/CE
Interprétation des articles 18 et 20

Les demandes de décision préjudicielle portent sur la validité, d’une part, des articles 42, point 8 ter, et 44 bis du règlement
(CE) n° 1290/2005 du Conseil, du 21 juin 2005, relatif au financement de la politique agricole commune (JO L 209, p. 1), tel
que modifié par le règlement (CE) n° 1437/2007 du Conseil, du 26 novembre 2007 (JO L 322, p. 1, ci-après le «règlement n° 1290/2005»),
ainsi que, d’autre part, du règlement (CE) n° 259/2008 de la Commission, du 18 mars 2008, portant modalités d’application
du règlement n° 1290/2005 en ce qui concerne la publication des informations relatives aux bénéficiaires de fonds en provenance
du Fonds européen agricole de garantie (FEAGA) et du Fonds européen agricole pour le développement rural (Feader) (JO L 76,
p. 28), et de la directive 2006/24/CE du Parlement européen et du Conseil, du 15 mars 2006, sur la conservation de données
générées ou traitées dans le cadre de la fourniture de services de communications électroniques accessibles au public ou de
réseaux publics de communications, et modifiant la directive 2002/58/CE (JO L 105, p. 54). Pour le cas où la Cour devrait
considérer que la réglementation de l’Union visée au point précédent n’est pas invalide, les demandes de décision préjudicielle
portent également sur l’interprétation des articles 7, 18, paragraphe 2, second tiret, et 20 de la directive 95/46/CE du Parlement
européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données
à caractère personnel et à la libre circulation de ces données (JO L 281, p. 31).
Ces demandes ont été présentées dans le cadre de litiges opposant Volker und Markus Schecke GbR ainsi que M. Eifert (ci-après
les «requérants au principal») au Land Hessen au sujet de la publication sur le site Internet de la Bundesanstalt für Landwirtschaft
und Ernährung (Office fédéral pour l’agriculture et l’alimentation, ci-après la «Bundesanstalt») des données à caractère personnel
les concernant en tant que bénéficiaires de fonds provenant du FEAGA ou du Feader.
I –
Le cadre juridique
A –
La convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales
Sous l’intitulé «Droit au respect de la vie privée et familiale», l’article 8 de la convention européenne de sauvegarde des
droits de l’homme et des libertés fondamentales, signée à Rome le 4 novembre 1950 (ci-après la «CEDH»), prévoit:
«1.      Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance.
2.      Il ne peut y avoir ingérence d’une autorité publique dans l’exercice de ce droit que pour autant que cette ingérence est prévue
par la loi et qu’elle constitue une mesure qui, dans une société démocratique, est nécessaire à la sécurité nationale, à la
sûreté publique, au bien-être économique du pays, à la défense de l’ordre et à la prévention des infractions pénales, à la
protection de la santé ou de la morale, ou à la protection des droits et libertés d’autrui.»
B –
Le droit de l’Union
1.     La directive 95/46
Il ressort de l’article 1
er
, paragraphe 1, de la directive 95/46 que celle-ci vise à assurer la protection des libertés et droits fondamentaux des personnes
physiques, notamment de leur vie privée, à l’égard du traitement des données à caractère personnel. Conformément à l’article
2, sous a), de ladite directive, est considérée comme une donnée à caractère personnel «toute information concernant une personne
physique identifiée ou identifiable».
En vertu de l’article 7 de ladite directive, «[l]es États membres prévoient que le traitement de données à caractère personnel
ne peut être effectué que si:
a)      la personne concernée a indubitablement donné son consentement
ou
[…]
c)      il est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis
ou
[…]
e)      il est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique, dont est
investi le responsable du traitement ou le tiers auquel les données sont communiquées
[…]»
Aux termes de l’article 18, paragraphe 1, de la directive 95/46, «[l]es États membres prévoient que le responsable du traitement,
ou le cas échéant son représentant, doit adresser une notification à l’autorité de contrôle visée à l’article 28 préalablement
à la mise en œuvre d’un traitement entièrement ou partiellement automatisé».
L’article 18, paragraphe 2, second tiret, de la directive 95/46 dispose que les États membres peuvent prévoir une simplification
de la notification ou une dérogation à cette obligation notamment dans le cas suivant:
«lorsque le responsable du traitement désigne, conformément au droit national auquel il est soumis, un détaché à la protection
des données à caractère personnel chargé notamment:
–        d’assurer, d’une manière indépendante, l’application interne des dispositions nationales prises en application de la présente
directive,
–        de tenir un registre des traitements effectués par le responsable du traitement, contenant les informations visées à l’article
21 paragraphe 2,
et garantissant de la sorte que les traitements ne sont pas susceptibles de porter atteinte [aux] droits et libertés des personnes
concernées».
L’article 19, paragraphe 1, de la directive 95/46 dispose:
«Les États membres précisent les informations qui doivent figurer dans la notification. Elles comprennent au minimum:
a)      le nom et l’adresse du responsable du traitement et, le cas échéant, de son représentant;
b)      la ou les finalités du traitement;
c)      une description de la ou des catégories de personnes concernées et des données ou des catégories de données s’y rapportant;
d)      les destinataires ou les catégories de destinataires auxquels les données sont susceptibles d’être communiquées;
e)      les transferts de données envisagés à destination de pays tiers;
[…]»
L’article 20 de la directive 95/46, intitulé «Contrôles préalables», prévoit à ses paragraphes 1 et 2:
«1.      Les États membres précisent les traitements susceptibles de présenter des risques particuliers au regard des droits et libertés
des personnes concernées et veillent à ce que ces traitements soient examinés avant leur mise en œuvre.
2.      De tels examens préalables sont effectués par l’autorité de contrôle après réception de la notification du responsable du
traitement ou par le détaché à la protection des données, qui, en cas de doute, doit consulter l’autorité de contrôle.»
Conformément à l’article 21, paragraphe 2, premier et deuxième alinéas, de la directive 95/46, «[l]es États membres prévoient
que l’autorité de contrôle tient un registre des traitements notifiés en vertu de l’article 18 […] [qui] contient au minimum
les informations énumérées à l’article 19 paragraphe 1 points a) à e)».
En vertu de l’article 28 de la directive 95/46, chaque État membre est tenu de désigner une ou plusieurs autorités publiques
(ci-après l’«autorité de contrôle») qui sont chargées de surveiller, en toute indépendance, l’application, sur le territoire
de cet État, des dispositions nationales adoptées en application de ladite directive.
2.     Le règlement (CE) n° 45/2001
Le règlement (CE) n° 45/2001 du Parlement européen et du Conseil, du 18 décembre 2000, relatif à la protection des personnes
physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la
libre circulation de ces données (JO 2001, L 8, p.1), énonce en son article 27, paragraphes 1 et 2:
«1.      Les traitements susceptibles de présenter des risques particuliers au regard des droits et libertés des personnes concernées
du fait de leur nature, de leur portée ou de leurs finalités sont soumis au contrôle préalable du contrôleur européen de la
protection des données.
2.      Les traitements susceptibles de présenter de tels risques sont les suivants:
a)      les traitements de données relatives à la santé et les traitements de données relatives à des suspicions, infractions, condamnations
pénales ou mesures de sûreté;
b)      les traitements destinés à évaluer des aspects de la personnalité des personnes concernées, tels que leur compétence, leur
rendement ou leur comportement;
c)      les traitements permettant des interconnexions non prévues en vertu de la législation nationale ou communautaire entre des
données traitées pour des finalités différentes;
d)      les traitements visant à exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat.»
3.     La directive 2006/24
La directive 2006/24 oblige les États membres à conserver, pendant un certain temps, les données générées ou traitées dans
le cadre de la fourniture de services de communications électroniques accessibles au public ou de réseaux publics de communications.
4.     Le règlement n° 1290/2005
Le règlement n° 1290/2005 détermine les conditions et règles spécifiques applicables au financement des dépenses relevant
de la politique agricole commune (ci-après la «PAC»).
L’article 42 du règlement n° 1290/2005 dispose que les modalités d’application de ce règlement sont arrêtées par la Commission
européenne. En vertu de l’article 42, point 8 ter, du même règlement, la Commission fixe notamment:
«les modalités concernant la publication des informations relatives aux bénéficiaires visée à l’article 44
bis
et les aspects pratiques relatifs à la protection des individus eu égard au traitement de leurs données personnelles, conformément
à la législation communautaire relative à la protection des données. Ces modalités garantissent notamment que les bénéficiaires
de fonds sont informés du fait que les données en question peuvent être rendues publiques et qu’elles peuvent être traitées
par les organes compétents en matière d’audit et d’enquête aux fins de la protection des intérêts financiers des Communautés,
et précisent le moment opportun pour cette information».
L’article 44 bis du règlement n° 1290/2005, intitulé «Publication de la liste des bénéficiaires», énonce:
«[…] les États membres assurent la publication annuelle a posteriori des noms des bénéficiaires du FEAGA et du Feader ainsi
que des montants reçus par chaque bénéficiaire au titre de chacun de ces Fonds.
Ces informations comprennent au minimum:
a)      dans le cas du FEAGA, l’indication du montant concerné, ventilé en paiements directs au sens de l’article 2, point d), du
règlement (CE) n° 1782/2003 et autres dépenses;
b)      dans le cas du Feader, le montant total du financement public par bénéficiaire.»
À cet égard, les treizième et quatorzième considérants du règlement n° 1437/2007, modifiant le règlement n° 1290/2005, sont
libellés comme suit:
«(13) Dans le cadre de la révision du règlement (CE, Euratom) n° 1605/2002 du Conseil du 25 juin 2002 portant règlement financier
applicable au budget général des Communautés européennes [JO L 248, p. 1], les dispositions relatives à la publication annuelle
a posteriori des noms des bénéficiaires de fonds en provenance du budget ont été ajoutées aux fins de la mise en œuvre de
l’initiative européenne en matière de transparence. Les modalités de cette publication feront l’objet de réglementations sectorielles.
Le FEAGA et le Feader relèvent tous deux du budget général des Communautés européennes et financent des dépenses en gestion
partagée entre les États membres et la Communauté. Il y a donc lieu d’établir les règles régissant la publication des informations
relatives aux bénéficiaires de ces fonds. Il convient à cette fin que les États membres assurent la publication annuelle a
posteriori des noms des bénéficiaires ainsi que des montants reçus par chaque bénéficiaire au titre de chacun de ces fonds.
(14)      Le fait de mettre ces informations à la disposition du public accroît la transparence de l’utilisation des fonds communautaires
dans le cadre de la [PAC] et améliore la bonne gestion financière de ces fonds, notamment en renforçant le contrôle public
de l’utilisation des sommes concernées. Compte tenu de l’importance primordiale des objectifs poursuivis, il est justifié,
conformément au principe de proportionnalité et aux exigences relatives à la protection des données à caractère personnel,
de prévoir la publication générale des informations pertinentes, étant donné que cette disposition ne va pas au-delà de ce
qui est nécessaire dans une société démocratique et aux fins de la prévention des irrégularités. Compte tenu de l’avis du
Contrôleur européen de la protection des données du 10 avril 2007 [JO C 134, p. 1], il convient de prévoir que les bénéficiaires
de fonds soient informés du fait que les données en question peuvent être rendues publiques et qu’elles peuvent être traitées
par les organes compétents en matière d’audit et d’enquête.»
5.     Le règlement n° 259/2008
Sur le fondement de l’article 42, point 8 ter, du règlement n° 1290/2005, la Commission a adopté le règlement n° 259/2008.
Le sixième considérant dudit règlement est libellé comme suit:
«Le fait de mettre [les] informations [concernant les bénéficiaires de fonds en provenance du FEAGA et du Feader] à la disposition
du public accroît la transparence de l’utilisation des fonds communautaires dans le cadre de la [PAC] et améliore la bonne
gestion financière de ces fonds, notamment en renforçant le contrôle public de l’utilisation des sommes concernées. Compte
tenu de l’importance primordiale des objectifs poursuivis, il est justifié, conformément au principe de proportionnalité et
aux exigences relatives à la protection des données à caractère personnel, de prévoir la publication générale des informations
pertinentes, étant donné que cette disposition ne va pas au-delà de ce qui est nécessaire dans une société démocratique et
aux fins de la prévention des irrégularités.»
Au septième considérant du même règlement, il est précisé que, «[a]fin de respecter les exigences en matière de protection
des données, il convient, préalablement à la publication, d’informer les bénéficiaires des fonds de la publication des données
les concernant».
L’article 1
er
, paragraphe 1, du règlement n° 259/2008 précise le contenu de la publication visée à l’article 44 bis du règlement n° 1290/2005
et dispose que celle-ci comprend les informations suivantes:
«a)      le prénom et le nom, lorsque les bénéficiaires sont des personnes physiques;
b)      le nom légal complet tel qu’il a été enregistré, lorsque les bénéficiaires sont des personnes morales;
c)      le nom complet de l’association tel qu’il a été enregistré ou officiellement reconnu, lorsque les bénéficiaires sont des associations
de personnes physiques ou morales sans personnalité juridique propre;
d)      la municipalité dans laquelle le bénéficiaire réside ou est enregistré et, le cas échéant, le code postal ou la partie de
ce code qui indique la municipalité;
e)      pour le [FEAGA], le montant des paiements directs au sens de l’article 2, point d), du règlement (CE) n° 1782/2003 reçus par
chaque bénéficiaire au cours de l’exercice concerné;
f)      pour le FEAGA, le montant des paiements autres que ceux visés au point e) reçus par chaque bénéficiaire au cours de l’exercice
concerné;
g)      pour le [Feader], le montant total des financements publics reçus par chaque bénéficiaire au cours de l’exercice concerné,
comprenant à la fois la contribution communautaire et la contribution nationale;
h)      la somme des montants visés aux points e), f) et g) reçus par chaque bénéficiaire au cours de l’exercice concerné;
i)      la devise de ces montants.»
Aux termes de l’article 2 du règlement n° 259/2008, «[l]es informations visées à l’article 1
er
sont publiées sur un site internet unique par État membre et peuvent être consultées au moyen d’un outil de recherche permettant
de rechercher les bénéficiaires par nom, municipalité, montants reçus visés aux points e), f), g) et h) de l’article 1
er
, ou en utilisant une combinaison de ces critères, et d’extraire toutes les informations correspondantes sous forme d’un ensemble
de données unique».
L’article 3, paragraphe 3, dudit règlement précise que «[l]es informations restent accessibles sur le site [Internet] pendant
deux ans à compter de la date de leur publication initiale».
L’article 4 du règlement n° 259/2008 dispose:
«1.      Les États membres signalent aux bénéficiaires que les données les concernant seront rendues publiques conformément au règlement
[…] n° 1290/2005 et au présent règlement, et que ces données peuvent être traitées par les organes des Communautés et des
États membres compétents en matière d’audit et d’enquête afin de protéger les intérêts financiers des Communautés.
2.      Dans le cas des données à caractère personnel, les informations visées au paragraphe 1 sont communiquées dans le respect des
prescriptions de la [directive 95/46], et les bénéficiaires sont informés des droits que leur confère cette directive en tant
que personnes concernées ainsi que des procédures applicables pour exercer ces droits.
3.      Les informations visées aux paragraphes 1 et 2 sont communiquées aux bénéficiaires sur les formulaires de demande de fonds
en provenance du FEAGA et du Feader, ou de quelque autre manière au moment de la collecte des données.
[…]»
II –
Les litiges au principal et les questions préjudicielles
Les requérants au principal, dont les uns sont établis et l’autre réside dans le Land Hessen, sont respectivement une entreprise
agricole ayant la forme juridique d’une société de droit civil (affaire C-92/09) et un exploitant agricole à plein temps (affaire
C‑93/09). Au titre de l’exercice 2008, ils ont introduit, auprès de l’autorité locale compétente, des demandes de fonds provenant
du FEAGA ou du Feader, auxquelles il a été fait droit par décisions des 5 (affaire C‑93/09) et 31 décembre 2008 (affaire C‑92/09).
Dans les deux cas, le formulaire de la demande comportait la mention suivante:
«Je reconnais avoir pris connaissance du fait que l’article 44 bis du règlement […] n° 1290/2005 impose la publication des
informations relatives aux bénéficiaires [de fonds provenant] du FEAGA et du Feader, ainsi qu’aux montants reçus par chaque
bénéficiaire. La publication concerne toutes les mesures qui ont fait l’objet d’une demande dans le cadre de la demande commune
en tant que demande unique au sens de l’article 11 du règlement (CE) n° 796/2004 et est effectuée tous les ans jusqu’au plus
tard le 31 mars de l’année suivante.»
La juridiction de renvoi explique que le site Internet de la Bundesanstalt tient à la disposition du public les noms des bénéficiaires
d’aides du FEAGA et du Feader, la localité dans laquelle ils sont établis ou résident et le code postal de celle-ci, ainsi
que les montants annuels perçus. Ce site est équipé d’un outil de recherche.
Les 26 septembre (affaire C‑92/09) et 18 décembre 2008 (affaire C‑93/09), les requérants au principal ont formé des recours
visant à empêcher la publication des données les concernant. Selon ces derniers, la publication des montants reçus du FEAGA
ou du Feader ne serait pas justifiée par des intérêts publics prépondérants. Par ailleurs, les règles relatives au Fonds social
européen ne prévoiraient pas la désignation nominative des bénéficiaires. Dans leurs recours, ils concluent à ce qu’il soit
enjoint au Land Hessen de s’abstenir ou de refuser de transmettre ou de publier ces données aux fins de la publication générale
d’informations relatives aux moyens financiers provenant du FEAGA et du Feader qui leur ont été accordés.
Le Land Hessen, qui considère que l’obligation de publication des données concernant les requérants au principal découle des
règlements n
os
1290/2005 et 259/2008, s’est néanmoins engagé à ne pas publier les montants reçus par ces requérants en tant que bénéficiaires
d’aides du FEAGA ou du Feader avant qu’une décision définitive ait été rendue dans les procédures au principal.
La juridiction de renvoi considère que l’obligation de publication résultant de l’article 44 bis du règlement n° 1290/2005
constitue une atteinte injustifiée au droit fondamental à la protection des données à caractère personnel. Elle estime que
cette disposition, qui poursuit l’objectif d’accroître la transparence de l’utilisation des fonds européens, n’améliore pas
la prévention des irrégularités, des mécanismes de contrôle étendus existant pour la mise en œuvre de celle-ci. La juridiction
de renvoi, en se fondant sur l’arrêt du 20 mai 2003, Österreichischer Rundfunk e.a. (C‑465/00, C‑138/01 et C‑139/01, Rec.
p. I‑4989), est d’avis que, en tout état de cause, ladite obligation de publication n’est pas proportionnelle à l’objectif
poursuivi. Par ailleurs, selon la même juridiction, l’article 42, point 8 ter, du règlement n° 1290/2005 octroierait à la
Commission une marge d’appréciation trop étendue en ce qui concerne tant la détermination des données à publier que le moyen
de publication et serait ainsi incompatible avec les articles 202, troisième tiret, CE, et 211, quatrième tiret, CE.
Indépendamment de la question de la validité des articles 42, point 8 ter, et 44 bis du règlement n° 1290/2005, la juridiction
de renvoi considère que le règlement n° 259/2008, qui prévoit la publication des informations relatives aux bénéficiaires
d’aides du FEAGA et du Feader exclusivement sur Internet, viole le droit fondamental à la protection des données à caractère
personnel. Elle met en exergue le fait que ce dernier règlement ne limite pas l’accès au site Internet concerné aux adresses
de l’«Internet Protocol» (ci-après les «adresses IP») localisées sur le territoire de l’Union européenne. Par ailleurs, il
serait impossible de retirer les données d’Internet après l’expiration de la période de deux ans prévue à l’article 3, paragraphe
3, du règlement n° 259/2008. Selon ladite juridiction, le fait de publier les données exclusivement sur Internet aurait, en
outre, un effet dissuasif. D’une part, les citoyens désireux de s’informer devraient avoir accès à Internet. D’autre part,
ces citoyens s’exposeraient au risque de stockage de leurs données au sens de la directive 2006/24. Il serait paradoxal, d’une
part, de renforcer le contrôle sur les télécommunications et, d’autre part, de prévoir que les informations censées permettre
la participation des citoyens aux affaires publiques ne soient accessibles que par voie électronique.
Pour le cas où la Cour considérerait que les dispositions citées aux points 30 et 31 du présent arrêt ne sont pas invalides,
la juridiction de renvoi cherche encore à obtenir une interprétation de différentes dispositions de la directive 95/46. Elle
estime que la publication de données à caractère personnel ne peut avoir lieu que si les mesures prévues à l’article 18, paragraphe
2, second tiret, de cette directive ont été prises. Selon les informations fournies par la juridiction nationale, le législateur
allemand, en particulier celui du Land Hessen, a fait usage de la possibilité offerte par ladite disposition. Toutefois, selon
la même juridiction, la notification du ministère de l’Environnement, de l’Espace rural et de la Protection des consommateurs
hessois au détaché à la protection des données à caractère personnel a été effectuée de manière incomplète. En effet, des
informations n’auraient pas été communiquées à ce dernier, telles que le fait que le traitement de données est effectué par
la Bundesanstalt pour le compte dudit Land et, le cas échéant, avec l’aide d’un tiers privé, des informations concrètes sur
les délais d’effacement ainsi que sur le fournisseur d’accès et des données sur l’enregistrement des adresses IP.
Par ailleurs, la publication des informations concernant les bénéficiaires d’aides agricoles aurait dû être précédée d’un
contrôle préalable, tel que prévu à l’article 20 de la directive 95/46. Or, selon la juridiction de renvoi, un contrôle préalable
a été réalisé, en l’espèce, non par une autorité de contrôle centrale, mais par le détaché à la protection des données de
l’entreprise ou de l’administration responsable et sur la base de notifications incomplètes.
Enfin, la juridiction de renvoi s’interroge sur la licéité, au regard de l’article 7, sous e), de la directive 95/46, de l’enregistrement
des adresses IP des utilisateurs qui consultent les informations relatives aux bénéficiaires d’aides du FEAGA et du Feader
sur le site Internet de la Bundesanstalt.
Dans ces conditions, le Verwaltungsgericht Wiesbaden a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles
suivantes, lesquelles sont rédigées en des termes identiques dans chacune des affaires C‑92/09 et C‑93/09:
«1)      Les articles [42], point 8 ter, et 44 bis du règlement […] n° 1290/2005 […], introduits par le règlement […] n° 1437/2007
[…], sont-ils invalides?
2)      Le règlement […] n° 259/2008 […]
a)      est-il invalide,
b)      ou bien n’est-il valide que parce que la directive 2006/24 […] est invalide?
Dans l’hypothèse où les dispositions citées dans les première et deuxième questions sont valides:
3)      L’article 18, paragraphe 2, second tiret, de la directive 95/46 […] doit-il être interprété en ce sens que la publication
en vertu du règlement […] n° 259/2008 […] ne peut avoir lieu que si elle a été précédée de la procédure prévue à cet article
en lieu et place de la notification à l’autorité de contrôle?
4)      L’article 20 de la directive 95/46 […] doit-il être interprété en ce sens que la publication en vertu du règlement […] n° 259/2008
[…] ne peut avoir lieu que lorsque le contrôle préalable que le droit national prescrit pour ce cas de figure a été réalisé?
5)      Dans l’hypothèse d’une réponse affirmative à la quatrième question: l’article 20 de la directive 95/46 […] doit-il être interprété
en ce sens qu’un contrôle préalable n’est pas valable lorsqu’il a été effectué sur la base d’un registre, au sens de l’article
18, paragraphe 2, second tiret, de cette même directive, qui ne contient pas toutes les informations prescrites?
6)      L’article 7 – en particulier sous e), en l’espèce – de la directive 95/46 […] doit-il être interprété en ce sens qu’il s’oppose
à une pratique consistant à enregistrer les adresses IP des utilisateurs d’un site Internet sans leur consentement exprès?»
Par ordonnance du président de la Cour du 4 mai 2009, les affaires C‑92/09 et C‑93/09 ont été jointes aux fins de la procédure
écrite et orale ainsi que de l’arrêt.
III –
Sur les questions préjudicielles
Les décisions de renvoi comportent, d’une part, des questions relatives à la validité des règlements n
os
1290/2005 et 259/2008, à savoir les première et deuxième questions, et, d’autre part, des questions portant sur l’interprétation
de la directive 95/46, à savoir les troisième à sixième questions. Avant d’examiner le fond, il y a lieu de s’interroger sur
la recevabilité tant de la seconde partie de la deuxième question que de la sixième question.
A –
Sur la recevabilité
Par la seconde partie de sa deuxième question et sa sixième question, la juridiction de renvoi interroge la Cour, respectivement,
sur la validité de la directive 2006/24 et sur l’interprétation de l’article 7, sous e), de la directive 95/46, aux fins de
pouvoir apprécier si la conservation de certaines données concernant les utilisateurs des sites Internet prévue par la législation
de l’Union et la législation allemande est légale.
À cet égard, il y a lieu de rappeler d’emblée que, si, compte tenu de la répartition des compétences dans le cadre de la procédure
préjudicielle, il incombe à la seule juridiction nationale de définir l’objet des questions qu’elle entend poser à la Cour,
celle-ci a jugé que, dans des circonstances exceptionnelles, il lui appartient d’examiner les conditions dans lesquelles elle
est saisie par le juge national en vue de vérifier sa propre compétence (arrêt du 1
er
octobre 2009, Woningstichting Sint Servatius, C‑567/07, Rec. p. I‑9021, point 42).
Tel est le cas, notamment, lorsque le problème soumis à la Cour est de nature purement hypothétique ou lorsque l’interprétation
d’une règle de l’Union ou l’examen de sa validité, demandée par la juridiction nationale, n’a aucun rapport avec la réalité
ou l’objet du litige au principal (voir, en ce sens, arrêts du 15 décembre 1995, Bosman, C‑415/93, Rec. p. I‑4921, point 61;
du 15 juin 2006, Acereda Herrera, C‑466/04, Rec. p. I‑5341, point 48; du 31 janvier 2008, Centro Europa 7, C‑380/05, Rec.
p. I‑349, point 53, et Woningstichting Sint Servatius, précité, point 43).
Il ressort des décisions de renvoi que chacun des requérants au principal a formé un recours devant la juridiction de renvoi
contre la publication, en vertu des règlements n
os
1290/2005 et 259/2008, des données le concernant. Leurs recours visent à ce que le Land Hessen s’abstienne ou refuse de transmettre
ou de publier les informations relatives aux aides qu’ils ont perçues du FEAGA et du Feader.
La seconde partie de la deuxième question et la sixième question ne présentent pas de rapport avec l’objet des litiges au
principal. En effet, elles portent non pas sur la publication des données relatives aux bénéficiaires d’aides desdits Fonds,
tels que les requérants au principal, mais sur la conservation des données relatives aux personnes consultant des sites Internet.
L’examen de la seconde partie de la deuxième question et la sixième question ne présentant ainsi aucune utilité pour la solution
des litiges au principal, il n’y a pas lieu de répondre à celles-ci.
B –
Sur le fond
1.     Sur la première question et la première partie de la deuxième question
a)     Observations liminaires
Par sa première question et la première partie de sa deuxième question, la juridiction de renvoi demande à la Cour d’examiner
la validité, d’une part, de l’article 44 bis du règlement n° 1290/2005 ainsi que du règlement n° 259/2008 comportant les modalités
d’application de l’obligation de publication édictée par cet article 44 bis et, d’autre part, de l’article 42, point 8 ter,
du règlement n° 1290/2005, disposition qui constitue la base juridique du règlement n° 259/2008.
La juridiction de renvoi estime que l’obligation de publication de données relatives aux bénéficiaires d’aides du FEAGA et
du Feader, qui résulte des dispositions citées au point précédent, constitue une atteinte injustifiée au droit fondamental
à la protection des données à caractère personnel. Elle se réfère à cet effet en substance à l’article 8 de la CEDH.
Il doit être rappelé que, conformément à l’article 6, paragraphe 1, TUE, l’Union reconnaît les droits, les libertés et les
principes énoncés dans la charte des droits fondamentaux de l’Union européenne (ci-après la «charte»), «laquelle a la même
valeur juridique que les traités».
Dans ces conditions, la validité des articles 42, point 8 ter, et 44 bis du règlement n° 1290/2005 ainsi que du règlement
n° 259/2008 doit être appréciée au regard des dispositions de la charte.
À cet égard, il importe de relever que l’article 8, paragraphe 1, de la charte énonce que «[t]oute personne a droit à la protection
des données à caractère personnel la concernant». Ce droit fondamental est étroitement lié au droit au respect de la vie privée
consacré à l’article 7 de cette même charte.
Le droit à la protection des données à caractère personnel n’apparaît toutefois pas comme une prérogative absolue, mais doit
être pris en considération par rapport à sa fonction dans la société (voir, en ce sens, arrêt du 12 juin 2003, Schmidberger,
C‑112/00, Rec. p. I‑5659, point 80 et jurisprudence citée).
L’article 8, paragraphe 2, de la charte autorise ainsi le traitement des données à caractère personnel si certaines conditions
sont réunies. À cet égard, ladite disposition prévoit que les données à caractère personnel «doivent être traitées loyalement,
à des fins déterminées et sur la base du consentement de la personne concernée ou en vertu d’un autre fondement légitime prévu
par la loi».
Par ailleurs, l’article 52, paragraphe 1, de la charte admet que des limitations peuvent être apportées à l’exercice de droits
tels que ceux consacrés aux articles 7 et 8 de celle-ci, pour autant que ces limitations sont prévues par la loi, qu’elles
respectent le contenu essentiel desdits droits et libertés et que, dans le respect du principe de proportionnalité, elles
sont nécessaires et répondent effectivement à des objectifs d’intérêt général reconnus par l’Union ou au besoin de protection
des droits et libertés d’autrui.
Enfin, il ressort de l’article 52, paragraphe 3, de la charte que, dans la mesure où celle-ci contient des droits correspondant
à des droits garantis par la CEDH, leur sens et leur portée sont les mêmes que ceux que leur confère ladite convention. L’article
53 de la charte ajoute à cet effet qu’aucune disposition de celle-ci ne doit être interprétée comme limitant ou portant atteinte
aux droits reconnus, notamment, par la CEDH.
Dans ces conditions, il doit être considéré, d’une part, que le respect du droit à la vie privée à l’égard du traitement des
données à caractère personnel, reconnu par les articles 7 et 8 de la charte, se rapporte à toute information concernant une
personne physique identifiée ou identifiable (voir, notamment, Cour eur. D. H., arrêts Amann c. Suisse du 16 février 2000,
Recueil des arrêts et décisions
2000-II, § 65, ainsi que Rotaru c. Roumanie du 4 mai 2000,
Recueil des arrêts et décisions
2000-V, § 43) et, d’autre part, que les limitations susceptibles d’être légitimement apportées au droit à la protection des
données à caractère personnel, correspondent à celles tolérées dans le cadre de l’article 8 de la CEDH.
b)     Sur la validité de l’article 44 bis du règlement n° 1290/2005 et du règlement n° 259/2008
Il doit être rappelé en premier lieu que la publication imposée par l’article 44 bis du règlement n° 1290/2005 et le règlement
n° 259/2008 mettant en œuvre cet article identifie nommément l’ensemble des bénéficiaires d’aides du FEAGA et du Feader, parmi
lesquels figurent à la fois des personnes physiques et morales. Or, eu égard à ce qui a été exposé au point 52 du présent
arrêt, les personnes morales ne peuvent se prévaloir de la protection des articles 7 et 8 de la charte à l’égard d’une telle
identification que dans la mesure où le nom légal de la personne morale identifie une ou plusieurs personnes physiques.
Tel est le cas notamment de la requérante au principal dans l’affaire C‑92/09. En effet, le nom légal de la société concernée
identifie directement des personnes physiques qui sont des associés de celle-ci.
En second lieu, il convient de vérifier si l’article 44 bis du règlement n° 1290/2005 et le règlement n° 259/2008 portent
à l’égard des bénéficiaires d’aides du FEAGA et du Feader qui sont des personnes physiques identifiées ou identifiables (ci-après
«les bénéficiaires concernés») une atteinte aux droits qui leur sont reconnus par les articles 7 et 8 de la charte et, le
cas échéant, si une telle atteinte est justifiée au regard de l’article 52 de celle-ci.
i)     Sur l’existence d’une atteinte aux droits reconnus aux articles 7 et 8 de la charte
L’article 44 bis du règlement n° 1290/2005 oblige les États membres à assurer la publication annuelle a posteriori des noms
des bénéficiaires d’aides du FEAGA et du Feader ainsi que des montants reçus par chaque bénéficiaire au titre de chacun de
ces Fonds. Il ressort du quatorzième considérant du règlement n° 1437/2007, modifiant le règlement n° 1290/2005, que lesdites
informations doivent faire l’objet d’une «publication générale».
Le règlement n° 259/2008 précise, à son article 1
er
, paragraphe 1, sous d), le contenu de la publication et prévoit que sont publiés, outre les éléments cités au point précédent
et d’autres informations relatives aux aides perçues, «la municipalité dans laquelle le bénéficiaire réside ou est enregistré
et, le cas échéant, le code postal ou la partie de ce code qui indique la municipalité». L’article 2 du même règlement prévoit
que les informations sont publiées sur un site Internet unique par État membre et peuvent être consultées au moyen d’un outil
de recherche.
Il n’est pas contesté que les montants que les bénéficiaires concernés perçoivent du FEAGA et du Feader représentent une partie,
souvent considérable, de leurs recettes. La publication sur un site Internet des données nominatives relatives auxdits bénéficiaires
et aux montants précis perçus par ceux-ci constitue ainsi, en raison du fait que ces données deviennent accessibles aux tiers,
une ingérence dans leur vie privée au sens de l’article 7 de la charte (voir, en ce sens, arrêt Österreichischer Rundfunk
e.a., précité, points 73 et 74).
À cet égard, demeure sans incidence le fait que les données publiées ont trait à des activités professionnelles (voir arrêt
Österreichischer Rundfunk e.a., précité, points 73 et 74). La Cour européenne des droits de l’homme a jugé, à cet égard, concernant
l’interprétation de l’article 8 de la CEDH, que les termes «vie privée» ne devaient pas être interprétés de façon restrictive
et qu’«aucune raison de principe ne permet d’exclure les activités professionnelles […] de la notion de ‘vie privée’» (voir,
notamment, Cour eur. D. H., arrêts précités Amann c. Suisse, § 65, ainsi que Rotaru c. Roumanie, § 43).
Par ailleurs, la publication imposée par l’article 44 bis du règlement n° 1290/2005 et par le règlement n° 259/2008 constitue
un traitement de données à caractère personnel relevant de l’article 8, paragraphe 2, de la charte.
Le Land Hessen met toutefois en cause l’existence même d’une ingérence dans la vie privée des requérants au principal dès
lors que ceux-ci avaient été informés, dans leur formulaire de demande d’aides, de la publication obligatoire des données
les concernant et avaient, conformément à l’article 8, paragraphe 2, de la charte, donné leur consentement à cette publication
en déposant leur demande.
À cet égard, il doit être constaté que l’article 42, point 8 ter, du règlement n° 1290/2005 prévoit uniquement que «les bénéficiaires
de fonds sont informés du fait que les données [les concernant, à savoir leurs noms et les montants reçus de chacun des Fonds]
peuvent être rendues publiques». L’article 4, paragraphe 1, du règlement n° 259/2008 contient une disposition similaire en
prévoyant que «les États membres signalent aux bénéficiaires que les données les concernant seront rendues publiques».
La réglementation de l’Union en cause, qui se borne à prévoir que les bénéficiaires d’aides seront informés au préalable de
la publication des données les concernant, ne cherche donc pas à fonder le traitement de données à caractère personnel qu’elle
instaure sur le consentement des bénéficiaires concernés. Par ailleurs, il doit être constaté que, dans les affaires au principal,
les requérants ont, dans les formulaires de demande d’aides seulement «reconn[u] avoir pris connaissance du fait que l’article
44 bis du règlement n° 1290/2005 impose la publication des informations relatives aux bénéficiaires [de fonds provenant] du
FEAGA et du Feader».
Dès lors que, d’une part, la publication des données nominatives relatives aux bénéficiaires concernés et aux montants précis
provenant du FEAGA et du Feader perçus par ceux-ci constitue une atteinte, dans le chef de ces bénéficiaires, aux droits reconnus
par les articles 7 et 8 de la charte et que, d’autre part, un tel traitement de données à caractère personnel ne repose pas
sur le consentement desdits bénéficiaires, il doit être examiné si cette atteinte est justifiée au regard de l’article 52,
paragraphe 1, de la charte.
ii)  Sur la justification de l’atteinte aux droits reconnus par les articles 7 et 8 de la charte
Il y a lieu de rappeler que l’article 52, paragraphe 1, de la charte admet que des limitations peuvent être apportées à l’exercice
de droits tels que ceux consacrés aux articles 7 et 8 de celle-ci, pour autant que ces limitations sont prévues par la loi,
respectent le contenu essentiel desdits droits et libertés et que, dans le respect du principe de proportionnalité, elles
sont nécessaires et répondent effectivement à des objectifs d’intérêt général reconnus par l’Union ou au besoin de protection
des droits et libertés d’autrui.
En premier lieu, il est constant que l’ingérence résultant de la publication sur un site Internet de données nominatives relatives
aux bénéficiaires concernés doit être regardée comme ayant été «prévue par la loi» au sens de l’article 52, paragraphe 1,
de la charte. En effet, les articles 1
er
, paragraphe 1, et 2 du règlement n° 259/2008 prévoient expressément une telle publication.
En deuxième lieu, quant au point de savoir si ladite ingérence répond à un objectif d’intérêt général reconnu par l’Union
au sens de l’article 52, paragraphe 1, de la charte, il ressort du quatorzième considérant du règlement n° 1437/2007, modifiant
le règlement n° 1290/2005, et du sixième considérant du règlement n° 259/2008 que la publication des noms des bénéficiaires
des aides du FEAGA et du Feader et des montants qu’ils perçoivent de ces Fonds vise à «accroît[re] la transparence de l’utilisation
des fonds communautaires de la [PAC] et [à] améliore[r] la bonne gestion financière de ces fonds, notamment en renforçant
le contrôle public de l’utilisation des sommes concernées».
Il y a lieu de rappeler que le principe de transparence est inscrit aux articles 1
er
TUE et 10 TUE ainsi qu’à l’article 15 TFUE. Il permet d’assurer une meilleure participation des citoyens au processus décisionnel
ainsi que de garantir une plus grande légitimité, efficacité et responsabilité de l’administration à l’égard des citoyens
dans un système démocratique (voir arrêts du 6 mars 2003, Interporc/Commission, C‑41/00 P, Rec. p. I‑2125, point 39, et du
29 juin 2010, Commission/Bavarian Lager, C‑28/08 P, non encore publié au Recueil, point 54).
Or, en renforçant le contrôle public de l’utilisation des sommes versées par le FEAGA et le Feader, la publication imposée
par les dispositions dont la validité est contestée contribue à l’utilisation appropriée des fonds publics par l’administration
(voir, en ce sens, arrêt Österreichischer Rundfunk e.a., précité, point 81).
Par ailleurs, ladite publication relative à l’utilisation des sommes versées par les Fonds agricoles concernés permettra aux
citoyens une meilleure participation au débat public qui entoure les décisions concernant les orientations de la PAC.
Partant, en visant à accroître la transparence de l’utilisation des fonds dans le cadre de la PAC, l’article 44 bis du règlement
n° 1290/2005 et le règlement n° 259/2008 poursuivent un objectif d’intérêt général reconnu par l’Union.
En troisième lieu, il convient également de vérifier si la limitation apportée aux droits consacrés par les articles 7 et
8 de la charte est proportionnée au but légitime recherché (voir, notamment, Cour eur. D. H., arrêt Gillow c. Royaume-Uni
du 24 novembre 1986, série A n° 109, § 55, ainsi que arrêt Österreichischer Rundfunk e.a., précité, point 83).
À cet effet, les requérants au principal relèvent que les données dont la publication est prévue à l’article 44 bis du règlement
n° 1290/2005 et par le règlement n° 259/2008 permettent aux tiers de procéder à des déductions relatives à leurs revenus.
Ils expliquent que ces aides représentent entre 30 % et 70 % des recettes totales des bénéficiaires concernés. Les intérêts
légitimes du public seraient satisfaits par la publication de données statistiques anonymes.
Selon une jurisprudence constante, le principe de proportionnalité, qui fait partie des principes généraux du droit de l’Union,
exige que les moyens mis en œuvre par un acte de l’Union soient aptes à réaliser l’objectif visé et n’aillent pas au-delà
de ce qui est nécessaire pour l’atteindre (arrêt du 8 juin 2010, Vodafone e.a., C‑58/08, non encore publié au Recueil, point
51 et jurisprudence citée).
Il n’est pas contesté que la publication au moyen d’Internet des données nominatives relatives aux bénéficiaires concernés
ainsi qu’aux montants précis provenant du FEAGA et du Feader perçus par ceux-ci soit apte à augmenter la transparence en ce
qui concerne l’utilisation des aides agricoles concernées. De telles informations mises à la disposition des citoyens renforcent
le contrôle public sur l’utilisation des sommes concernées et contribuent à une utilisation optimale des fonds publics.
Quant au caractère nécessaire de la mesure, il convient de rappeler que l’objectif de la publication en cause ne saurait être
poursuivi sans tenir compte du fait que ledit objectif doit être concilié avec les droits fondamentaux consacrés aux articles
7 et 8 de la charte (voir, en ce sens, arrêt du 16 décembre 2008, Satakunnan Markkinapörssi et Satamedia, C‑73/07, Rec. p. I‑9831,
point 53).
Il y a donc lieu de vérifier si le Conseil de l’Union européenne et la Commission ont effectué une pondération équilibrée
entre l’intérêt de l’Union à garantir la transparence de ses actions et une utilisation optimale des fonds publics, d’une
part, et l’atteinte au droit des bénéficiaires concernés au respect de leur vie privée, en général, et à la protection de
leurs données à caractère personnel, en particulier, d’autre part. À cet égard, la Cour a déjà jugé que les dérogations à
la protection des données à caractère personnel et les limitations de celle-ci doivent s’opérer dans les limites du strict
nécessaire (arrêt Satakunnan Markkinapörssi et Satamedia, précité, point 56).
Les États membres qui ont déposé des observations écrites devant la Cour, le Conseil et la Commission arguent que l’objectif
poursuivi par la publication imposée par l’article 44 bis du règlement n° 1290/2005 et par le règlement n° 259/2008 ne pouvait
pas être atteint par des mesures moins attentatoires au droit des bénéficiaires concernés au respect de leur vie privée, en
général, et à la protection de leurs données à caractère personnel, en particulier. Des informations limitées aux bénéficiaires
concernés dont les aides perçues dépassent un certain seuil n’offriraient pas au contribuable une image fidèle de la PAC.
En effet, ce dernier aurait l’impression qu’il n’y aurait que de «gros» bénéficiaires d’aides des Fonds agricoles concernés,
alors que les «petits» bénéficiaires seraient très nombreux. Limiter la publication aux personnes morales ne serait pas non
plus satisfaisant. La Commission fait valoir à cet effet que, parmi les plus gros bénéficiaires des aides agricoles, figurent
des personnes physiques.
Si, certes, dans une société démocratique, les contribuables ont le droit d’être tenus informés de l’utilisation des fonds
publics (arrêt Österreichischer Rundfunk e.a., précité, point 85), il n’en demeure pas moins qu’une pondération équilibrée
des différents intérêts en cause nécessitait, avant l’adoption des dispositions dont la validité est contestée, la vérification,
par les institutions concernées, du point de savoir si la publication au moyen d’un site Internet unique par État membre et
librement consultable des données nominatives relatives à tous les bénéficiaires concernés et aux montants précis provenant
du FEAGA et du Feader perçus par chacun de ceux-ci – et cela sans opérer de distinction en fonction de la durée, de la fréquence
ou du type et de l’importance des aides perçues – n’allait pas au-delà de ce qui était nécessaire à la réalisation des objectifs
légitimes poursuivis, eu égard notamment à l’atteinte générée par une telle publication aux droits reconnus par les articles
7 et 8 de la charte.
Or, s’agissant des personnes physiques bénéficiaires d’aides du FEAGA et du Feader, il n’apparaît pas que le Conseil et la
Commission ont cherché à effectuer une telle pondération équilibrée entre l’intérêt de l’Union à garantir la transparence
de ses actions ainsi qu’une utilisation optimale des fonds publics, d’une part, et les droits fondamentaux consacrés aux articles
7 et 8 de la charte, d’autre part.
En effet, rien n’indique que le Conseil et la Commission ont pris en considération, lors de l’adoption de l’article 44 bis
du règlement n° 1290/2005 et du règlement n° 259/2008, des modalités de publication d’informations relatives aux bénéficiaires
concernés qui seraient conformes à l’objectif d’une telle publication tout en étant moins attentatoires au droit de ces bénéficiaires
au respect de leur vie privée, en général, et à la protection de leurs données à caractère personnel, en particulier, telles
que la limitation de la publication de données nominatives relatives auxdits bénéficiaires en fonction des périodes pendant
lesquelles ils ont perçu des aides, de la fréquence ou encore du type et de l’importance de celles-ci.
Une publication nominative ainsi limitée pourrait, le cas échéant, être accompagnée d’explications pertinentes concernant
les autres personnes physiques bénéficiaires d’aides desdits Fonds et les montants perçus par ces dernières.
Les institutions auraient donc dû examiner, dans le cadre d’une pondération équilibrée des différents intérêts en cause, si
une publication nominative limitée, telle qu’indiquée au point 81 du présent arrêt, n’aurait pas été suffisante pour atteindre
les objectifs de la réglementation de l’Union en cause au principal. En particulier, il n’apparaît pas qu’une telle limitation,
qui préserverait certains des bénéficiaires concernés d’une ingérence dans leur vie privée, ne donnerait pas au citoyen une
image suffisamment fidèle des aides versées par le FEAGA et le Feader permettant d’atteindre les objectifs de ladite réglementation.
Les États membres ayant présenté des observations écrites devant la Cour ainsi que le Conseil et la Commission se réfèrent
également à la part importante de la PAC dans le budget de l’Union pour justifier la nécessité de la publication imposée par
l’article 44 bis du règlement n° 1290/2005 et par le règlement n° 259/2008.
Cet argument doit être rejeté. Il doit être rappelé que les institutions sont tenues de mettre en balance, avant de divulguer
des informations concernant une personne physique, l’intérêt de l’Union à garantir la transparence de ses actions et l’atteinte
aux droits reconnus par les articles 7 et 8 de la charte. Or, aucune prééminence automatique ne saurait être reconnue à l’objectif
de transparence sur le droit à la protection des données à caractère personnel (voir, en ce sens, arrêt Commission/Bavarian
Lager, précité, points 75 à 79), même si des intérêts économiques importants sont en jeu.
Il ressort de ce qui précède qu’il n’apparaît pas que les institutions ont effectué une pondération équilibrée entre, d’une
part, les objectifs de l’article 44 bis du règlement n° 1290/2005 ainsi que du règlement n° 259/2008 et, d’autre part, les
droits reconnus aux personnes physiques par les articles 7 et 8 de la charte. Eu égard au fait que les dérogations à la protection
des données à caractère personnel et les limitations de celle-ci doivent s’opérer dans les limites du strict nécessaire (arrêt
Satakunnan Markkinapörssi et Satamedia, précité, point 56) et que des mesures portant des atteintes moins importantes pour
les personnes physiques audit droit fondamental sont concevables tout en contribuant de manière efficace aux objectifs de
la réglementation de l’Union en cause, il doit être constaté que le Conseil et la Commission, en imposant la publication des
noms de toutes les personnes physiques bénéficiaires d’aides du FEAGA et du Feader ainsi que des montants précis perçus par
ceux-ci, ont excédé les limites qu’impose le respect du principe de proportionnalité.
Enfin, s’agissant des personnes morales bénéficiaires d’aides du FEAGA et du Feader, et dans la mesure où elles peuvent se
prévaloir des droits reconnus aux articles 7 et 8 de la charte (voir point 53 du présent arrêt), il doit être considéré que
l’obligation de publication résultant des dispositions de la réglementation de l’Union dont la validité est mise en cause
n’excède pas les limites qu’impose le respect du principe de proportionnalité. En effet, la gravité de l’atteinte au droit
à la protection des données à caractère personnel se présente différemment pour les personnes morales et pour les personnes
physiques. Il importe de relever à cet égard que les personnes morales sont déjà soumises à une obligation accrue de publication
de données les concernant. Par ailleurs, l’obligation pour les autorités nationales compétentes d’examiner avant la publication
des données en cause, pour chaque personne morale bénéficiaire d’aides du FEAGA ou du Feader, si le nom de celle-ci identifie
des personnes physiques imposerait à ces autorités une charge administrative démesurée (voir, en ce sens, Cour eur. D. H.,
arrêt K.U. c. Finlande du 2 mars 2009, requête n° 2872/02, non encore publié, § 48).
Dans ces conditions, il doit être considéré que les dispositions du droit de l’Union dont la validité est mise en cause par
la juridiction de renvoi observent, pour autant qu’elles se rapportent à la publication des données relatives aux personnes
morales, un juste équilibre en ce qui concerne la prise en considération des intérêts respectifs en présence.
Sur le fondement de tout ce qui précède, l’article 44 bis du règlement n° 1290/2005 et le règlement n° 259/2008 doivent être
déclarés invalides dans la mesure où, s’agissant des personnes physiques bénéficiaires d’aides du FEAGA et du Feader, ces
dispositions imposent la publication de données à caractère personnel relatives à tout bénéficiaire, sans opérer de distinction
selon des critères pertinents, tels que les périodes pendant lesquelles elles ont perçu de telles aides, la fréquence ou encore
le type et l’importance de celles-ci.
c)     Sur la validité de l’article 42, point 8 ter, du règlement n° 1290/2005
Il y a lieu de rappeler que l’article 42, point 8 ter, du règlement n° 1290/2005 habilite la Commission à fixer les modalités
d’exécution du seul article 44 bis dudit règlement.
Or, l’article 44 bis du règlement n° 1290/2005 devant être déclaré invalide pour les motifs évoqués ci-dessus, l’article 42,
point 8 ter, dudit règlement doit être déclaré invalide de la même manière.
Il y a donc lieu de répondre à la première question et à la première partie de la deuxième question que les articles 42, point
8 ter, et 44 bis du règlement n° 1290/2005, ainsi que le règlement n° 259/2008, sont invalides dans la mesure où, s’agissant
des personnes physiques bénéficiaires d’aides du FEAGA et du Feader, ces dispositions imposent la publication de données à
caractère personnel relatives à tout bénéficiaire, sans opérer de distinction selon des critères pertinents, tels que les
périodes pendant lesquelles elles ont perçu de telles aides, la fréquence ou encore le type et l’importance de celles-ci.
d)     Sur les effets dans le temps de l’invalidité constatée
Il y a lieu de rappeler que, lorsque des considérations impérieuses de sécurité juridique le justifient, la Cour bénéficie,
en vertu de l’article 264, second alinéa, TFUE, applicable, par analogie, également dans le cadre d’un renvoi préjudiciel
en appréciation de validité des actes de l’Union, au titre de l’article 267 TFUE, d’un pouvoir d’appréciation pour indiquer,
dans chaque cas particulier, ceux des effets de l’acte concerné qui doivent être considérés comme définitifs (voir, en ce
sens, arrêt du 22 décembre 2008, Regie Networks, C‑333/07, Rec. p. I‑10807, point 121 et jurisprudence citée).
Eu égard au nombre élevé de publications qui ont eu lieu dans les États membres sur la base d’une réglementation considérée
comme étant valide, il y a lieu de reconnaître que l’invalidité des dispositions  mentionnées au point 92 du présent arrêt
ne permet pas de remettre en cause les effets de la publication des listes des bénéficiaires d’aides du FEAGA et du Feader
effectuée par les autorités nationales, sur le fondement desdites dispositions, pendant la période antérieure à la date du
prononcé du présent arrêt.
2.     Sur la troisième question
Par sa troisième question, la juridiction de renvoi demande, en substance, si l’article 18, paragraphe 2, second tiret, de
la directive 95/46 doit être interprété en ce sens que la publication des informations résultant des articles 42, point 8
ter, et 44 bis du règlement n° 1290/2005, ainsi que du règlement n° 259/2008, ne peut avoir lieu que si le détaché à la protection
des données à caractère personnel a procédé, préalablement à une telle publication, à la tenue d’un registre complet au sens
dudit article 18, paragraphe 2, second tiret.
À cet égard, il y a lieu de rappeler que l’article 18, paragraphe 1, de la directive 95/46 établit le principe de la notification
à l’autorité de contrôle préalablement à la mise en œuvre d’un traitement de données à caractère personnel, qui est entièrement
ou partiellement automatisé, ou d’un ensemble de tels traitements ayant une même finalité ou des finalités liées. Ainsi que
l’explique le quarante-huitième considérant de la même directive, «la notification à l’autorité de contrôle a pour objet d’organiser
la publicité des finalités du traitement, ainsi que de ses principales caractéristiques, en vue de son contrôle au regard
des dispositions nationales prises en application de [ladite] directive».
L’article 18, paragraphe 2, second tiret, de la directive 95/46 dispose toutefois que les États membres peuvent prévoir la
simplification de la notification ou la dérogation à cette obligation notamment lorsque le responsable du traitement désigne
un détaché à la protection des données à caractère personnel. Il ressort des décisions de renvoi qu’une telle désignation
a été effectuée dans le Land Hessen pour ce qui concerne la publication des données résultant des articles 42, point 8 ter,
et 44 bis du règlement n° 1290/2005 ainsi que du règlement n° 259/2008.
Selon l’article 18, paragraphe 2, second tiret, de la directive 95/46, différentes tâches incombent à un détaché à la protection
des données à caractère personnel qui sont de nature à garantir que les traitements ne sont pas susceptibles de porter atteinte
aux droits et libertés des personnes concernées. Le détaché est ainsi chargé, notamment, de tenir «un registre des traitements
effectués par le responsable du traitement, contenant les informations visées à l’article 21, paragraphe 2, [de la directive
95/46]». Cette dernière disposition renvoie à l’article 19, paragraphe 1, sous a) à e), de la même directive.
Toutefois, contrairement à ce qu’estime la juridiction de renvoi, l’article 18, paragraphe 2, second tiret, de la directive
95/46 n’impose aucune disposition faisant obligation au détaché à la protection des données à caractère personnel de tenir
un registre contenant les informations visées à l’article 21, paragraphe 2, de la même directive, lu en combinaison avec l’article
19, paragraphe 1, sous a) à e), de celle-ci, dès avant la mise en œuvre du traitement de données concerné. En effet, le registre
auquel il est fait référence à l’article 18, paragraphe 2, second tiret, de ladite directive ne doit contenir que les «traitements
effectués».
Dans ces conditions, l’absence, dont fait état la juridiction de renvoi, d’un registre complet préalablement au traitement
de données ne saurait affecter la légalité d’une publication, telle que celle résultant des articles 42, point 8 ter, et 44 bis
du règlement n° 1290/2005, ainsi que du règlement n° 259/2008.
Il y a donc lieu de répondre à la troisième question que l’article 18, paragraphe 2, second tiret, de la directive 95/46 doit
être interprété en ce sens qu’il ne soumet pas le détaché à la protection des données à caractère personnel à une obligation
de procéder à la tenue du registre prévue par cette disposition préalablement à la mise en œuvre d’un traitement de données
à caractère personnel, tel que celui résultant des articles 42, point 8 ter, et 44 bis du règlement n° 1290/2005, ainsi que
du règlement n° 259/2008.
3.     Sur la quatrième question
Par sa quatrième question, la juridiction de renvoi demande, en substance, si l’article 20 de la directive 95/46 doit être
interprété en ce sens qu’il soumet la publication des informations résultant des articles 42, point 8 ter, et 44 bis du règlement
n° 1290/2005, ainsi que du règlement n° 259/2008, aux contrôles préalables prévus par ledit article 20.
Il doit être rappelé d’emblée que l’article 20, paragraphe 1, de la directive 95/46 dispose que «[l]es États membres précisent
les traitements susceptibles de présenter des risques particuliers au regard des droits et libertés des personnes concernées
et veillent à ce que ces traitements soient examinés avant leur mise en œuvre».
Il s’ensuit que la directive 95/46 ne soumet pas les traitements de données à caractère personnel à un contrôle préalable
généralisé. En effet, ainsi qu’il ressort du cinquante-deuxième considérant de cette directive, le législateur de l’Union
a considéré que «le contrôle
a posteriori
par les autorités compétentes doit être en général considéré comme une mesure suffisante».
S’agissant des traitements soumis aux contrôles préalables, à savoir ceux qui sont susceptibles de présenter des risques particuliers
au regard des droits et des libertés des personnes concernées, le cinquante-troisième considérant de la directive 95/46 énonce
que des traitements peuvent présenter de tels risques «du fait de leur nature, de leur portée ou de leurs finalités». Même
s’il est loisible aux États membres de préciser davantage dans leur législation les traitements susceptibles de présenter
des risques particuliers au regard des droits et des libertés des personnes concernées, ladite directive prévoit, ainsi qu’il
ressort de son cinquante-quatrième considérant, que leur nombre «devrait être très restreint».
Il y a lieu de relever en outre que, en vertu de l’article 27, paragraphe 1, du règlement n° 45/2001, les traitements de données
à caractère personnel susceptibles de présenter des risques particuliers au regard des droits et libertés des personnes concernées
sont également soumis à un contrôle préalable lorsqu’ils sont effectués par des institutions et des organes de l’Union. Le
paragraphe 2 du même article précise les traitements susceptibles de présenter de tels risques. Or, eu égard au parallélisme
entre les dispositions de la directive 95/46 et celles du règlement n° 45/2001 relatives aux contrôles préalables, l’énumération
effectuée à l’article 27, paragraphe 2, de ce règlement des traitements susceptibles de présenter des risques particuliers
au regard des droits et libertés des personnes concernées doit être considérée comme pertinente pour l’interprétation de l’article
20 de la directive 95/46.
Or, il n’apparaît pas que la publication des données imposée par les articles 42, point 8 ter, et 44 bis du règlement n° 1290/2005,
ainsi que par le règlement n° 259/2008, relève de l’une des catégories de traitements visées à l’article 27, paragraphe 2,
du règlement n° 45/2001.
Dans ces conditions, il y a lieu de répondre à la quatrième question que l’article 20 de la directive 95/46 doit être interprété
en ce sens qu’il ne fait pas obligation aux États membres de soumettre aux contrôles préalables prévus par cette disposition
la publication des informations résultant des articles 42, point 8 ter, et 44 bis du règlement n° 1290/2005 ainsi que du règlement
n° 259/2008.
Eu égard à la réponse donnée à la quatrième question, il n’y a plus lieu de répondre à la cinquième question.
IV –
Sur les dépens
La procédure revêtant, à l’égard des parties au principal, le caractère d’un incident soulevé devant la juridiction de renvoi,
il appartient à celle-ci de statuer sur les dépens. Les frais exposés pour soumettre des observations à la Cour, autres que
ceux desdites parties, ne peuvent faire l’objet d’un remboursement.
Par ces motifs, la Cour (grande chambre) dit pour droit:
1)
Les articles 42, point 8 ter, et 44 bis du règlement (CE) n° 1290/2005 du Conseil, du 21 juin 2005, relatif au financement
de la politique agricole commune, tel que modifié par le règlement (CE) n° 1437/2007 du Conseil, du 26 novembre 2007, ainsi
que le règlement (CE) n° 259/2008 de la Commission, du 18 mars 2008, portant modalités d’application du règlement n° 1290/2005
en ce qui concerne la publication des informations relatives aux bénéficiaires de fonds en provenance du Fonds européen agricole
de garantie (FEAGA) et du Fonds européen agricole pour le développement rural (Feader), sont invalides dans la mesure où,
s’agissant des personnes physiques bénéficiaires d’aides du FEAGA et du Feader, ces dispositions imposent la publication de
données à caractère personnel relatives à tout bénéficiaire, sans opérer de distinction selon des critères pertinents, tels
que les périodes pendant lesquelles elles ont perçu de telles aides, la fréquence ou encore le type et l’importance de celles-ci.
2)
L’invalidité des dispositions du droit de l’Union mentionnées au point 1 de ce dispositif ne permet pas de remettre en cause
les effets de la publication des listes des bénéficiaires d’aides du FEAGA et du Feader effectuée par les autorités nationales,
sur le fondement desdites dispositions, pendant la période antérieure à la date du prononcé du présent arrêt.
3)
L’article 18, paragraphe 2, second tiret, de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995,
relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation
de ces données, doit être interprété en ce sens qu’il ne soumet pas le détaché à la protection des données à caractère personnel
à une obligation de procéder à la tenue du registre prévue par cette disposition préalablement à la mise en œuvre d’un traitement
de données à caractère personnel, tel que celui résultant des articles 42, point 8 ter, et 44 bis du règlement n° 1290/2005,
tel que modifié par le règlement n° 1437/2007, ainsi que du règlement n° 259/2008.
4)
L’article 20 de la directive 95/46 doit être interprété en ce sens qu’il ne fait pas obligation aux États membres de soumettre
aux contrôles préalables prévus par cette disposition la publication des informations résultant des articles 42, point 8 ter,
et 44 bis du règlement n° 1290/2005, tel que modifié par le règlement n° 1437/2007, ainsi que du règlement n° 259/2008.
Signatures
*
Langue de procédure: l’allemand.