CELEX: 62007FJ0130
Fonction publique
Personnel de la BCE
Traitement prétendument illicite de données médicales
Visite médicale imposée

1.
Fonctionnaires – Agents de la Banque centrale européenne – Recours – Acte faisant grief – Notion – Refus d’effacement des
données à caractère personnel insérées par l’administration dans un dossier personnel – Inclusion
(Règlement du Parlement européen et du Conseil n
o
45/2001, art. 16 ; conditions d’emploi du personnel de la Banque centrale européenne, art. 42)
2.
Fonctionnaires – Agents de la Banque centrale européenne – Recours – Obligation d’introduire une demande préalable malgré
l’absence de décision attaquable – Absence
(Conditions d’emploi du personnel de la Banque centrale européenne, art. 41 et 42 ; règles applicables au personnel de la
Banque centrale européenne, art. 8.1.0)
3.
Rapprochement des législations – Protection des personnes physiques à l’égard du traitement des données à caractère personnel
– Traitement de ces données par les institutions et organes communautaires – Règlement n
o
45/2001 – Collecte de données médicales visant à contrôler une situation d’absentéisme chronique – Légalité
[Règlement du Parlement européen et du Conseil n
o
45/2001, art. 4, § 1, sous c)]
4.
Rapprochement des législations – Protection des personnes physiques à l’égard du traitement des données à caractère personnel
– Traitement de ces données par les institutions et organes communautaires – Règlement n
o
45/2001 – Collecte de données médicales visant à contrôler le caractère justifié de l’absence pour congé de maladie – Étendue
du contrôle
[Règlement du Parlement européen et du Conseil n
o
45/2001, art. 10, § 2, sous b) ; conditions d’emploi du personnel de la Banque centrale européenne, art. 31 ; règles applicables
au personnel de la Banque centrale européenne, art. 5.13.4)
5.
Rapprochement des législations – Protection des personnes physiques à l’égard du traitement des données à caractère personnel
– Traitement de ces données par les institutions et organes communautaires – Règlement n
o
45/2001 – Traitement de données à caractère médical – Base juridique
[Règlement du Parlement européen et du Conseil n
o
45/2001, art. 10, § 2, sous b)]
6.
Rapprochement des législations – Protection des personnes physiques à l’égard du traitement des données à caractère personnel
– Traitement de ces données par les institutions et organes communautaires – Règlement n
o
45/2001 – Acte d’une institution ou organe communautaire autorisant le traitement de données des membres du personnel – Respect
de la vie privée des membres du personnel – Conditions
(Règlement du Parlement européen et du Conseil n
o
45/2001)
1.
Constitue un acte attaquable au sens de l’article 42 des conditions d’emploi du personnel de la Banque centrale européenne
une décision de la Banque rejetant la demande d’un membre du personnel visant à obtenir l’effacement des données à caractère
personnel insérées dans son dossier personnel par l’administration. En effet, il ressort de l’article 16 du règlement n
o
45/2001, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les
institutions et organes communautaires et à la libre circulation de ces données, qu’un refus d’effacement sera illégal, si
les données en cause ont fait l’objet d’un traitement illicite et, notamment, d’une collecte illégale. Dès lors, en examinant
la légalité d’un refus d’effacement, le juge est susceptible de contrôler la légalité de l’ensemble des traitements dont auront
fait l’objet les données en cause, notamment les opérations d’enregistrement et de conservation (c’est-à-dire d’insertion)
de ces données.
Par ailleurs, si l’article 16 du règlement n
o
45/2001 ne se réfère qu’au caractère « illicite » de ces traitements en mentionnant la violation des dispositions des sections
1, 2 et 3 de son chapitre II, il ne peut être interprété comme limitant le contrôle de la légalité de ces traitements au seul
respect des dispositions des sections qu’il mentionne. Il appartient par conséquent au juge d’apprécier si un moyen tiré de
l’illégalité d’un traitement est susceptible de porter atteinte au respect de la vie privée que ledit règlement a pour objet
d’assurer à l’égard des traitements de données à caractère personnel.
(voir points 46 à 48, 66 et 67)
2.
Les règles applicables au personnel de la Banque centrale européenne ne prévoyant pas une procédure spécifique de demande
préalable dans le cas où aucune décision attaquable n’a été prise auparavant par la Banque, il ne saurait être reproché à
un requérant d’avoir introduit une demande d’examen précontentieux sans qu’une décision attaquable ait été prise préalablement
par la Banque.
Par ailleurs, dès lors qu’il suppose nécessairement l’existence d’une décision préalable, le délai de deux mois, courant à
compter de la communication de la décision contestée, tel que prévu à l’article 8.1.0 des règles applicables au personnel,
ne saurait s’appliquer dans le cas où c’est au cours d’une procédure d’examen précontentieux que naît une décision susceptible
d’être contestée par la suite dans le cadre d’une réclamation, puis d’un recours contentieux.
(voir points 51, 53 et 55)
3.
Dans le cas où une institution ou un organe communautaire est autorisé à procéder à une collecte de données médicales de son
personnel ayant un caractère potentiellement invasif et comportant des risques d’atteinte à la vie privée, l’usage d’une telle
collecte ne saurait aller au-delà de ce qui est strictement nécessaire, compte tenu des circonstances de fait dans lesquelles
l’institution ou l’organe exerce ce pouvoir. Il lui appartient donc de respecter le principe de proportionnalité, notamment
tel qu’il est décliné en matière de protection à l’égard des traitements de données à caractère personnel par l’article 4,
paragraphe 1, sous c), du règlement n
o
45/2001, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les
institutions et organes communautaires et à la libre circulation de ces données. Il appartient également au juge communautaire
de contrôler le respect de ce principe.
Ne saurait être regardée comme présentant un caractère excessif une collecte de données médicales à laquelle procède l’institution
ou l’organe communautaire, sous forme d’un examen complet de l’état de santé général d’un membre du personnel, ayant pour
objet, d’une part, de contrôler le caractère justifié des absences répétées de ce dernier et, d’autre part, d’évaluer la nécessité
de procéder à un aménagement des conditions de travail de l’intéressé en raison d’éventuelles difficultés à exercer ses fonctions
du fait de son état de santé. En effet, dans ces circonstances, l’administration peut valablement considérer qu’un examen
complet de l’état de santé de l’agent est nécessaire pour mettre fin à une situation d’absentéisme chronique qu’elle estime
insatisfaisante tant pour elle‑même que pour l’intéressé. D’ailleurs, dans une telle situation, une institution est en droit,
sinon obligée du fait de ses devoirs envers son personnel, d’évaluer la nécessité de procéder à l’aménagement des conditions
de travail d’un membre du personnel au regard d’éventuelles difficultés de ce membre à exercer ses fonctions du fait de son
état de santé.
(voir points 87, 89, 90, 102 et 139)
4.
Si les dispositions de l’article 10, paragraphe 2, sous b), du règlement n
o
45/2001, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les
institutions et organes communautaires et à la libre circulation de ces données, prévoient que les traitements de données
relevant de leur champ d’application doivent être nécessaires afin de respecter les obligations et les droits spécifiques
du responsable du traitement en matière de droit du travail, il ne résulte pas de ces dispositions que tout texte prévoyant
l’existence d’un traitement relatif à des « catégories particulières de données », au sens du titre de l’article 10 dudit
règlement, doive lui-même énoncer explicitement la finalité exacte de ce traitement et justifier ainsi de son caractère nécessaire.
En tout état de cause, si l’article 5.13.4 des règles applicables au personnel de la Banque centrale européenne ne fait pas
expressément apparaître les objectifs susceptibles de justifier l’usage de la collecte de données médicales qu’il prévoit,
ces objectifs se déduisent clairement du contexte dans lequel s’insère ledit article. En effet, l’ensemble des dispositions
de l’article 5.13 a pour objet de préciser les conditions d’application de l’article 31 des conditions d’emploi du personnel
de la Banque, lequel prévoit qu’« un membre du personnel qui justifie être empêché d’exercer ses fonctions par suite de maladie
ou d’accident, bénéficie d’un congé de maladie rémunéré ». Les mesures prévues à l’article 5.13.4 ont donc vocation à s’appliquer
en cas d’absence pour congé de maladie aux fins de contrôler le caractère justifié de l’absence, le caractère plus ou moins
étendu de ce contrôle pouvant légitimement varier selon, notamment, la fréquence des absences.
(voir points 100, 101 et 138)
5.
Il ne résulte pas des dispositions de l’article 10, paragraphe 2, sous b), du règlement n
o
45/2001, relatif au traitement des données à caractère personnel par les institutions et organes communautaires et à la libre
circulation de ces données, que celles-ci imposeraient que tout traitement portant sur des catégories particulières de données
au sens du paragraphe 1 dudit article soit autorisé par un texte dont l’existence serait prévue directement dans les traités
instituant les Communautés européennes. En effet, une telle interprétation n’est pas conforme au libellé du texte et en particulier
à l’emploi de l’expression « sur la base de » qui, si elle implique un lien entre le texte prévoyant un traitement de données
et les traités, n’implique pas pour autant que ce lien soit direct.
Par ailleurs, s’il est vrai que la version française dudit article 10, paragraphe 2, sous b), du règlement n
o
45/2001, prévoit qu’un traitement de données à caractère, notamment, médical doit être autorisé par les traités ou d’autres
« actes législatifs » adoptés sur la base de ces traités, l’expression « actes législatifs » doit être interprétée comme renvoyant
à la notion d’« acte de portée normative », comme c’est le cas d’autres versions linguistiques qui emploient une expression
plus générale ne renvoyant pas à la nécessité d’une autorisation du traitement par un acte émanant d’un organe particulier.
(voir points 115, 116, 118 et 119)
6.
S’agissant d’un acte d’une institution ou organe communautaire autorisant le traitement de données à caractère personnel des
membres de son personnel et relevant du champ d’application du règlement n
o
45/2001, relatif au traitement des données à caractère personnel par les institutions et organes communautaires et à la libre
circulation de ces données, la protection de la vie privée des membres du personnel est suffisamment assurée lorsque le texte
autorisant un traitement de données est un acte de portée normative faisant l’objet d’une publicité suffisante et que le traitement
en cause présente un caractère prévisible.
(voir point 122)