CELEX: 62010CJ0468
Traitement des données à caractère personnel
Directive 95/46/CE
Article 7, sous f)
Effet direct

Les demandes de décision préjudicielle portent sur l’interprétation de l’article 7, sous f), de la directive 95/46/CE du Parlement
européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données
à caractère personnel et à la libre circulation de ces données (JO L 281, p. 31).
Ces demandes ont été présentées dans le cadre de litiges opposant l’Asociación Nacional de Establecimientos Financieros de
Crédito (ASNEF) et la Federación de Comercio Electrónico y Marketing Directo (FECEMD) à l’Administración del Estado.

Le cadre juridique

Le droit de l’Union
La directive 95/46
Les septième, huitième et dixième considérants de la directive 95/46 se lisent comme suit:
«(7)      considérant que les différences entre États membres quant au niveau de protection des droits et libertés des personnes, notamment
du droit à la vie privée, à l’égard des traitements de données à caractère personnel peuvent empêcher la transmission de ces
données du territoire d’un État membre à celui d’un autre État membre; que ces différences peuvent dès lors constituer un
obstacle à l’exercice d’une série d’activités économiques à l’échelle communautaire, fausser la concurrence et empêcher les
administrations de s’acquitter des responsabilités qui leur incombent en vertu du droit communautaire; que ces différences
de niveau de protection résultent de la disparité des dispositions nationales législatives, réglementaires et administratives;
(8)      considérant que, pour éliminer les obstacles à la circulation des données à caractère personnel, le niveau de protection des
droits et libertés des personnes à l’égard du traitement de ces données doit être équivalent dans tous les États membres;
que cet objectif, fondamental pour le marché intérieur, ne peut pas être atteint par la seule action des États membres, compte
tenu en particulier de l’ampleur des divergences qui existent actuellement entre les législations nationales applicables en
la matière et de la nécessité de coordonner les législations des États membres pour que le flux transfrontalier de données
à caractère personnel soit réglementé d’une manière cohérente et conforme à l’objectif du marché intérieur [...]; qu’une intervention
de la Communauté visant à un rapprochement des législations est donc nécessaire;
[...]
(10)      considérant que l’objet des législations nationales relatives au traitement des données à caractère personnel est d’assurer
le respect des droits et libertés fondamentaux, notamment du droit à la vie privée reconnu également dans l’article 8 de la
convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales[, signée à Rome le 4 novembre 1950
(ci-après la «CEDH»),] et dans les principes généraux du droit communautaire; que, pour cette raison, le rapprochement de
ces législations ne doit pas conduire à affaiblir la protection qu’elles assurent mais doit, au contraire, avoir pour objectif
de garantir un niveau élevé de protection dans la Communauté».
L’article 1
er
de cette directive, intitulé «Objet de la directive», est rédigé dans les termes suivants:
«1.      Les États membres assurent, conformément à la présente directive, la protection des libertés et droits fondamentaux des personnes
physiques, notamment de leur vie privée, à l’égard du traitement des données à caractère personnel.
2.      Les États membres ne peuvent restreindre ni interdire la libre circulation des données à caractère personnel entre États membres
pour des raisons relatives à la protection assurée en vertu du paragraphe 1.»
L’article 5 de la même directive est libellé comme suit:
«Les États membres précisent, dans les limites des dispositions du présent chapitre, les conditions dans lesquelles les traitements
de données à caractère personnel sont licites.»
L’article 7 de la directive 95/46 énonce:
«Les États membres prévoient que le traitement de données à caractère personnel ne peut être effectué que si:
a)      la personne concernée a indubitablement donné son consentement
ou
[...]
f)      il est nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le ou les tiers
auxquels les données sont communiquées, à condition que ne prévalent pas l’intérêt ou les droits et libertés fondamentaux
de la personne concernée, qui appellent une protection au titre de l’article 1
er
paragraphe 1.»
L’article 13, paragraphe 1, de cette directive dispose:
«Les États membres peuvent prendre des mesures législatives visant à limiter la portée des obligations et des droits prévus
à l’article 6 paragraphe 1, à l’article 10, à l’article 11 paragraphe 1 et aux articles 12 et 21, lorsqu’une telle limitation
constitue une mesure nécessaire pour sauvegarder:
a)      la sûreté de l’État;
b)      la défense;
c)      la sécurité publique;
d)      la prévention, la recherche, la détection et la poursuite d’infractions pénales ou de manquements à la déontologie dans le
cas des professions réglementées;
e)      un intérêt économique ou financier important d’un État membre ou de l’Union européenne, y compris dans les domaines monétaire,
budgétaire et fiscal;
f)      une mission de contrôle, d’inspection ou de réglementation relevant, même à titre occasionnel, de l’exercice de l’autorité
publique, dans les cas visés aux points c), d) et e);
g)      la protection de la personne concernée ou des droits et libertés d’autrui.»

Le droit national
La loi organique 15/1999
La loi organique 15/1999 relative à la protection des données à caractère personnel (BOE n° 298, du 14 décembre 1999, p. 43088)
transpose la directive 95/46 en droit espagnol.
L’article 3, sous j), de la loi organique 15/1999 énumère les «sources accessibles au public» dans une liste exhaustive et
limitative, qui se lit comme suit:
«[...] les fichiers dont la consultation est ouverte à tous sans restriction ni autre exigence que le versement d’une contrepartie
si nécessaire. Au rang des sources accessibles au public figurent exclusivement la copie des listes électorales, les annuaires
téléphoniques dans les conditions prévues par leur réglementation spécifique et les listes de membres de groupes professionnels
qui ne comportent que les données concernant les nom, titre, profession, activité, niveau d’études, adresse et indication
de leur appartenance au groupe. De même, ont le caractère de sources accessibles au public les quotidiens et journaux officiels
ainsi que les médias.»
L’article 6, paragraphe 1, de la loi organique 15/1999 subordonne le traitement des données à la manifestation du consentement
indubitable de la personne concernée sauf si la loi en dispose autrement. Ainsi, l’article 6, paragraphe 2, in fine, de cette
loi prévoit que le consentement n’est pas requis notamment «lorsque les données figurent dans des sources accessibles au public
et que leur traitement est nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable du fichier ou par
le tiers auquel les données sont communiquées, à condition que ne soient pas violés les droits et libertés fondamentaux de
la personne concernée».
L’article 11, paragraphe 1, de la loi organique 15/1999 rappelle la nécessité du consentement de la personne concernée pour
pouvoir communiquer à des tiers les données à caractère personnel, le paragraphe 2 de cet article prévoyant cependant que
ce consentement n’est pas nécessaire, notamment, lorsqu’il s’agit de données figurant dans des sources accessibles au public.
L’arrêté royal 1720/2007
Le gouvernement espagnol a mis en œuvre la loi organique 15/1999 par l’arrêté royal 1720/2007 (BOE n° 17, du 19 janvier 2008,
p. 4103).
L’article 10, paragraphe 1, de l’arrêté royal 1720/2007 autorise le traitement et la cession des données à caractère personnel
si la personne concernée y consent préalablement.
Toutefois, l’article 10, paragraphe 2, de l’arrêté royal 1720/2007 dispose:
«[...] le traitement ou la cession de données à caractère personnel sont possibles sans le consentement de la personne concernée
lorsque:
a)      une norme ayant valeur de loi ou une norme de droit communautaire l’autorise et, en particulier, dans l’un des cas suivants:
–        le traitement ou la cession ont pour objet la réalisation d’un intérêt légitime du responsable du traitement ou du cessionnaire
concerné par ces normes, à condition que ne prévalent pas l’intérêt ou les droits et libertés fondamentaux des personnes concernées
visées à l’article 1
er
de la loi organique 15/1999 du 13 décembre;
–        le traitement ou la cession des données sont nécessaires à la réalisation d’une mission dont l’une de ces normes investit
le responsable du traitement;
b)      les données faisant l’objet du traitement ou de la cession figurent dans des sources accessibles au public et le responsable
du fichier ou le tiers auquel les données sont communiquées ont un intérêt légitime justifiant leur traitement ou leur communication,
à condition que cela ne porte pas atteinte aux droits et aux libertés fondamentaux de la personne concernée.
Cependant, les administrations publiques ne pourront communiquer, au titre de ce paragraphe, les données tirées de sources
accessibles au public à des responsables de fichiers privés que si elles y sont habilitées par une norme ayant valeur de loi.»

Les litiges au principal et les questions préjudicielles
L’ASNEF, d’une part, et la FECEMD, d’autre part, ont formé un recours contentieux administratif contre plusieurs articles
de l’arrêté royal 1720/2007.
Parmi les dispositions attaquées figure l’article 10, paragraphe 2, sous a), premier tiret, et sous b), premier alinéa, dudit
arrêté dont l’ASNEF et la FECEMD considèrent qu’elles violent l’article 7, sous f), de la directive 95/46.
En particulier, l’ASNEF et la FECEMD considèrent que le droit espagnol ajoute à la condition tirée de l’intérêt légitime au
traitement des données sans le consentement de la personne concernée une condition qui n’existe pas dans la directive 95/46,
à savoir que les données figurent dans des sources accessibles au public.
Le Tribunal Supremo estime que le bien-fondé des recours introduits respectivement par l’ASNEF et la FECEMD dépend dans une
large mesure de l’interprétation par la Cour de l’article 7, sous f), de la directive 95/46. Ainsi, il précise que si la Cour
estimait qu’il n’appartient pas aux États membres d’ajouter des conditions supplémentaires à celles prévues à cette disposition
et qu’il peut être reconnu à ladite disposition un effet direct, l’article 10, paragraphe 2, sous b), de l’arrêté royal 1720/2007
devrait être écarté.
Le Tribunal Supremo explique que, en l’absence de consentement de la personne concernée, pour autoriser le traitement des
données à caractère personnel de cette dernière nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable
de ce traitement ou par le ou les tiers auxquels ces données sont communiquées, le droit espagnol exige, outre le respect
des droits et libertés fondamentaux de la personne concernée, que lesdites données figurent dans les fichiers énumérés à l’article
3, sous j), de la loi organique 15/1999. À cet égard, il estime que cette loi et l’arrêté royal 1720/2007 restreignent la
portée de l’article 7, sous f), de la directive 95/46.
Selon le Tribunal Supremo, cette restriction constitue un obstacle à la libre circulation des données à caractère personnel
qui n’est compatible avec la directive 95/46 que si l’intérêt ou les droits et libertés fondamentaux du titulaire des données
l’exigent. Il en déduit que la seule possibilité d’éviter une contradiction entre cette directive et le droit espagnol serait
de considérer que la libre circulation des données à caractère personnel figurant dans des fichiers autres que ceux énumérés
à l’article 3, sous j), de la loi organique 15/1999 porte atteinte à l’intérêt ou aux droits et libertés fondamentaux du titulaire
des données.
Toutefois, le Tribunal Supremo se demande si une telle interprétation est conforme à la volonté du législateur de l’Union.
Dans ces circonstances, estimant que la solution des deux affaires dont il est saisi dépend de l’interprétation de dispositions
du droit de l’Union, le Tribunal Supremo a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles
suivantes, qui sont formulées dans des termes identiques dans chacune desdites affaires:
«1)      L’article 7, sous f), de la directive 95/46 [...] doit-il être interprété en ce sens qu’il s’oppose à une réglementation nationale
qui, en l’absence du consentement de la personne concernée et pour autoriser le traitement de ses données à caractère personnel
nécessaire à la réalisation d’un intérêt légitime du responsable du traitement ou des tiers auxquels les données sont communiquées,
exige, outre le respect des droits et libertés fondamentaux de cette dernière, que les données figurent dans des sources accessibles
au public?
2)      Les conditions exigées par la jurisprudence de la Cour sont-elles réunies dans [ledit] article 7, sous f), [...] pour lui
attribuer un effet direct?»
Par ordonnance du Président de la Cour du 26 octobre 2010, les affaires C-468/10 et C-469/10 ont été jointes aux fins des
procédures écrite et orale ainsi que de l’arrêt.

Sur les questions préjudicielles

Sur la première question
Par sa première question, la juridiction de renvoi demande, en substance, si l’article 7, sous f), de la directive 95/46 doit
être interprété en ce sens qu’il s’oppose à une réglementation nationale qui, en l’absence du consentement de la personne
concernée et pour autoriser le traitement de ses données à caractère personnel nécessaire à la réalisation de l’intérêt légitime
poursuivi par le responsable de ce traitement ou par le ou les tiers auxquels ces données sont communiquées, exige, outre
le respect des droits et libertés fondamentaux de cette dernière, que lesdites données figurent dans des sources accessibles
au public.
L’article 1
er
de la directive 95/46 impose aux États membres d’assurer la protection des libertés et des droits fondamentaux des personnes
physiques, notamment de leur vie privée, à l’égard du traitement des données à caractère personnel (voir, en ce sens, arrêt
du 16 décembre 2008, Huber, C‑524/06, Rec. p. I‑9705, point 47).
Conformément aux dispositions du chapitre II de la directive 95/46, intitulé «Conditions générales de licéité des traitements
de données à caractère personnel», sous réserve des dérogations admises au titre de l’article 13 de cette directive, tout
traitement de données à caractère personnel doit, d’une part, être conforme aux principes relatifs à la qualité des données
énoncés à l’article 6 de ladite directive et, d’autre part, répondre à l’un des six principes relatifs à la légitimation des
traitements de données énumérés à l’article 7 de cette même directive (voir, en ce sens, arrêts du 20 mai 2003, Österreichischer
Rundfunk e.a., C‑465/00, C‑138/01 et C‑139/01, Rec. p. I‑4989, point 65, ainsi que Huber, précité, point 48).
Il ressort du septième considérant de la directive 95/46 que l’établissement et le fonctionnement du marché intérieur sont
susceptibles d’être sérieusement affectés par les différences entre les régimes nationaux applicables au traitement des données
à caractère personnel (voir arrêt du 6 novembre 2003, Lindqvist, C‑101/01, Rec. p. I‑12971, point 79).
Dans ce contexte, il faut rappeler que la directive 95/46 vise, ainsi qu’il ressort notamment de son huitième considérant,
à rendre équivalent dans tous les États membres le niveau de protection des droits et libertés des personnes à l’égard du
traitement de données à caractère personnel. Son dixième considérant ajoute que le rapprochement des législations nationales
applicables en la matière ne doit pas conduire à affaiblir la protection qu’elles assurent, mais doit, au contraire, avoir
pour objectif de garantir un niveau élevé de protection dans l’Union (voir, en ce sens, arrêts précités Lindqvist, point 95,
et Huber, point 50).
Ainsi, il a été jugé que l’harmonisation desdites législations nationales ne se limite pas à une harmonisation minimale, mais
aboutit à une harmonisation qui est, en principe, complète. C’est dans cette optique que la directive 95/46 entend assurer
la libre circulation des données à caractère personnel, tout en garantissant un haut niveau de protection des droits et des
intérêts des personnes visées par ces données (voir arrêt Lindqvist, précité, point 96).
Dès lors, il découle de l’objectif consistant à assurer un niveau de protection équivalent dans tous les États membres que
l’article 7 de la directive 95/46 prévoit une liste exhaustive et limitative des cas dans lesquels un traitement de données
à caractère personnel peut être considéré comme étant licite.
Cette interprétation est corroborée par les termes «ne peut être effectué que si» et la conjonction «ou» contenus dans l’article
7 de la directive 95/46, qui mettent en évidence la nature exhaustive et limitative de la liste figurant à cet article.
Il s’ensuit que les États membres ne sauraient ni ajouter de nouveaux principes relatifs à la légitimation des traitements
de données à caractère personnel à l’article 7 de la directive 95/46 ni prévoir des exigences supplémentaires qui viendraient
modifier la portée de l’un des six principes prévus à cet article.
L’interprétation qui précède n’est pas remise en cause par l’article 5 de la directive 95/46. En effet, cet article n’autorise
les États membres qu’à préciser, dans les limites du chapitre II de ladite directive et, partant, de l’article 7 de celle-ci,
les conditions dans lesquelles les traitements de données à caractère personnel sont licites.
La marge d’appréciation dont, en vertu dudit article 5, disposent les États membres ne peut donc être utilisée que conformément
à l’objectif poursuivi par la directive 95/46 consistant à maintenir un équilibre entre la libre circulation des données à
caractère personnel et la protection de la vie privée (voir arrêt Lindqvist, précité, point 97).
La directive 95/46 comporte des règles caractérisées par une certaine souplesse et laisse dans de nombreux cas aux États membres
le soin d’arrêter les détails ou de choisir parmi des options (voir arrêt Lindqvist, précité, point 83). Il importe ainsi
de faire la distinction entre des mesures nationales qui prévoient des exigences supplémentaires modifiant la portée d’un
principe visé à l’article 7 de la directive 95/46, d’une part, et des mesures nationales qui prévoient une simple précision
de l’un de ces principes, d’autre part. Le premier type de mesure nationale est interdit. Ce n’est que dans le cadre du second
type de mesure nationale que, en vertu de l’article 5 de la directive 95/46, les États membres disposent d’une marge d’appréciation.
Il s’ensuit qu’au titre de l’article 5 de la directive 95/46, les États membres ne sauraient non plus introduire d’autres
principes relatifs à la légitimation des traitements de données à caractère personnel que ceux énoncés à l’article 7 de cette
directive ni modifier, par des exigences supplémentaires, la portée des six principes prévus audit article 7.
En l’occurrence, l’article 7, sous f), de la directive 95/46 dispose que le traitement de données à caractère personnel est
licite s’«il est nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le ou
les tiers auxquels les données sont communiquées, à condition que ne prévalent pas l’intérêt ou les droits et libertés fondamentaux
de la personne concernée, qui appellent une protection au titre de l’article 1
er
paragraphe 1».
Ledit article 7, sous f), prévoit deux conditions cumulatives pour qu’un traitement de données à caractère personnel soit
licite, à savoir, d’une part, que le traitement des données à caractère personnel doit être nécessaire à la réalisation de
l’intérêt légitime poursuivi par le responsable du traitement ou par le ou les tiers auxquels les données sont communiquées
et, d’autre part, que les droits et libertés fondamentaux de la personne concernée ne prévalent pas.
Il s’ensuit que, s’agissant du traitement de données à caractère personnel, l’article 7, sous f), de la directive 95/46 s’oppose
à toute réglementation nationale qui, en l’absence du consentement de la personne concernée, impose, outre les deux conditions
cumulatives mentionnées au point précédent, des exigences supplémentaires.
Toutefois, il convient de tenir compte du fait que la seconde de ces conditions nécessite une pondération des droits et intérêts
opposés en cause qui dépend, en principe, des circonstances concrètes du cas particulier concerné et dans le cadre de laquelle
la personne ou l’institution qui effectue la pondération doit tenir compte de l’importance des droits de la personne concernée
résultant des articles 7 et 8 de la charte des droits fondamentaux de l’Union européenne (ci-après la «charte»).
À cet égard, il y a lieu de relever que l’article 8, paragraphe 1, de la charte énonce que «[t]oute personne a droit à la
protection des données à caractère personnel la concernant». Ce droit fondamental est étroitement lié au droit au respect
de la vie privée consacré à l’article 7 de la charte (arrêt du 9 novembre 2010, Volker und Markus Schecke et Eifert, C‑92/09
et C‑93/09, non encore publié au Recueil, point 47).
Selon la jurisprudence de la Cour, le respect du droit à la vie privée à l’égard du traitement des données à caractère personnel,
reconnu par les articles 7 et 8 de la charte, se rapporte à toute information concernant une personne physique identifiée
ou identifiable (voir arrêt Volker und Markus Schecke et Eifert, précité, point 52). Toutefois, il résulte des articles 8,
paragraphe 2, et 52, paragraphe 1, de la charte que, sous certaines conditions, des limitations peuvent être apportées audit
droit.
En outre, il incombe aux États membres, lors de la transposition de la directive 95/46, de veiller à se fonder sur une interprétation
de cette dernière qui leur permette d’assurer un juste équilibre entre les différents droits et libertés fondamentaux protégés
par l’ordre juridique de l’Union (voir, par analogie, arrêt du 29 janvier 2008, Promusicae, C‑275/06, Rec. p. I‑271, point
68).
S’agissant de la pondération nécessaire en vertu de l’article 7, sous f), de la directive 95/46, il est possible de prendre
en considération le fait que la gravité de l’atteinte aux droits fondamentaux de la personne concernée par ledit traitement
peut varier en fonction du fait de savoir si les données en cause figurent déjà, ou non, dans des sources accessibles au public.
En effet, à la différence des traitements de données figurant dans des sources accessibles au public, les traitements de données
figurant dans des sources qui ne sont pas accessibles au public impliquent nécessairement que des informations sur la vie
privée de la personne concernée seront désormais connues par le responsable du traitement et, le cas échéant, par le ou les
tiers auxquels les données sont communiquées. Cette atteinte plus grave aux droits de la personne concernée, consacrés aux
articles 7 et 8 de la charte, doit être prise en compte à sa juste valeur en la mettant en balance avec l’intérêt légitime
poursuivi par le responsable du traitement ou par le ou les tiers auxquels les données sont communiquées.
À cet égard, il convient de souligner que rien ne s’oppose à ce que, dans l’exercice de leur marge d’appréciation consacrée
à l’article 5 de la directive 95/46, les États membres établissent des principes directeurs pour ladite pondération.
Toutefois, il ne s’agit plus d’une précision au sens dudit article 5 si une réglementation nationale exclut pour certaines
catégories de données à caractère personnel la possibilité d’être traitées en prescrivant, pour ces catégories, de manière
définitive le résultat de la pondération des droits et intérêts opposés, sans permettre un résultat différent en raison de
circonstances particulières d’un cas concret.
Dès lors, sans préjudice de l’article 8 de la directive 95/46 concernant des traitements portant sur des catégories particulières
de données, disposition qui n’est pas en cause dans le litige au principal, l’article 7, sous f), de cette directive s’oppose
à ce qu’un État membre exclue de façon catégorique et généralisée la possibilité pour certaines catégories de données à caractère
personnel d’être traitées, sans permettre une pondération des droits et intérêts opposés en cause dans un cas particulier.
Au vu de ces considérations, il convient de répondre à la première question que l’article 7, sous f), de la directive 95/46
doit être interprété en ce sens qu’il s’oppose à une réglementation nationale qui, en l’absence du consentement de la personne
concernée et pour autoriser le traitement de ses données à caractère personnel nécessaire à la réalisation de l’intérêt légitime
poursuivi par le responsable de ce traitement ou par le ou les tiers auxquels ces données sont communiquées, exige, outre
le respect des droits et libertés fondamentaux de cette dernière, que lesdites données figurent dans des sources accessibles
au public, excluant ainsi de façon catégorique et généralisée tout traitement de données ne figurant pas dans de telles sources.

Sur la seconde question
Par sa seconde question, la juridiction de renvoi demande, en substance, si l’article 7, sous f), de la directive 95/46 a
un effet direct.
À cet égard, il y a lieu de rappeler que, selon une jurisprudence constante de la Cour, dans tous les cas où les dispositions
d’une directive apparaissent, du point de vue de leur contenu, inconditionnelles et suffisamment précises, les particuliers
sont fondés à les invoquer devant les juridictions nationales à l’encontre de l’État, soit lorsque celui-ci s’est abstenu
de transposer dans les délais la directive en droit national, soit lorsqu’il en a fait une transposition incorrecte (voir
arrêt du 3 mars 2011, Auto Nikolovi, C-203/10, non encore publié au Recueil, point 61 et jurisprudence citée).
Force est de constater que l’article 7, sous f), de la directive 95/46 est une disposition suffisamment précise pour être
invoquée par un particulier et appliquée par les juridictions nationales. En outre, si la directive 95/46 comporte indéniablement,
pour les États membres, une marge d’appréciation plus ou moins importante pour la mise en œuvre de certaines de ses dispositions,
ledit article 7, sous f), quant à lui, énonce une obligation inconditionnelle (voir, par analogie, arrêt Österreichischer
Rundfunk e.a., précité, point 100).
L’emploi de l’expression «à condition que» dans le texte même de l’article 7, sous f), de la directive 95/46 n’est pas de
nature, à lui seul, à remettre en cause le caractère inconditionnel de cette disposition, au sens de ladite jurisprudence.
En effet, cette expression vise à établir l’un des deux éléments cumulatifs prévus à l’article 7, sous f), de la directive
95/46 au respect desquels est subordonnée la possibilité de traiter des données à caractère personnel sans le consentement
de la personne concernée. Cet élément étant défini, il n’enlève pas audit article 7, sous f), son caractère précis et inconditionnel.
Il convient donc de répondre à la seconde question que l’article 7, sous f), de la directive 95/46 a un effet direct.

Sur les dépens
La procédure revêtant, à l’égard des parties au principal, le caractère d’un incident soulevé devant la juridiction de renvoi,
il appartient à celle-ci de statuer sur les dépens. Les frais exposés pour soumettre des observations à la Cour, autres que
ceux desdites parties, ne peuvent faire l’objet d’un remboursement.
Par ces motifs, la Cour (troisième chambre) dit pour droit:
1)
L’article 7, sous f), de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection
des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données,
doit être interprété en ce sens qu’il s’oppose à une réglementation nationale qui, en l’absence du consentement de la personne
concernée et pour autoriser le traitement de ses données à caractère personnel nécessaire à la réalisation de l’intérêt légitime
poursuivi par le responsable de ce traitement ou par le ou les tiers auxquels ces données sont communiquées, exige, outre
le respect des droits et libertés fondamentaux de cette dernière, que lesdites données figurent dans des sources accessibles
au public, excluant ainsi de façon catégorique et généralisée tout traitement de données ne figurant pas dans de telles sources.
2)
L’article 7, sous f), de la directive 95/46 a un effet direct.
Signatures
*
Langue de procédure: l’espagnol.