HOTĂRÂREA CURȚII (Camera a doua)
20 decembrie 2017(*)
„Trimitere preliminară – Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Directiva 95/46/CE – Articolul 2 litera (a) – Noțiunea «date cu caracter personal» – Răspunsuri scrise furnizate de candidat în cadrul unui examen profesional – Observațiile examinatorului referitoare la aceste răspunsuri – Articolul 12 literele (a) și (b) – Domeniul de aplicare al drepturilor de acces și de rectificare ale persoanei vizate”
În cauza C‑434/16,
având ca obiect o cerere de decizie preliminară formulată în temeiul articolului 267 TFUE de Supreme Court (Curtea Supremă, Irlanda), prin decizia din 29 iulie 2016, primită de Curte la 4 august 2016, în procedura
Peter Nowak
împotriva
Data Protection Commissioner,
CURTEA (Camera a doua),
compusă din domnul M. Ilešič (raportor), președinte de cameră, domnul A. Rosas, doamnele C. Toader și A. Prechal și domnul E. Jarašiūnas, judecători,
avocat general: doamna J. Kokott,
grefier: domnul M. Aleksejev, administrator,
având în vedere procedura scrisă și în urma ședinței din 22 iunie 2017,
luând în considerare observațiile prezentate:
–        pentru domnul Nowak, de G. Rudden, solicitor, și de N. Travers, SC;
–        pentru Data Protection Commissioner, de D. Young, solicitor, și de P. A. McDermott, SC;
–        pentru Irlanda, de E. Creedon, de L. Williams și de A. Joyce, în calitate de agenți, asistați de A. Caroll, barrister;
–        pentru guvernul ceh, de M. Smolek și de JvVláčil, în calitate de agenți;
–        pentru guvernul elen, de G. Papadaki și de S. Charitaki, în calitate de agenți;
–        pentru guvernul maghiar, de M. Z. Fehér și de A. Pálfy, în calitate de agenți;
–        pentru guvernul austriac, de G. Eberhard, în calitate de agent;
–        pentru guvernul polonez, de B. Majczyna, în calitate de agent;
–        pentru guvernul portughez, de L. Inez Fernandes, de M. Figueiredo și de I. Oliveira, în calitate de agenți;
–        pentru Comisia Europeană, de D. Nardi și de H. Kranenborg, în calitate de agenți,
după ascultarea concluziilor avocatului general în ședința din 20 iulie 2017,
pronunță prezenta
Hotărâre
1        Cererea de decizie preliminară privește interpretarea Directivei 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (JO 1995, L 281, p. 31, Ediție specială, 13/vol. 17, p. 10).
2        Această cerere a fost formulată în cadrul unui litigiu între domnul Peter Nowak, pe de o parte, și Data Protection Commissioner (comisarul pentru protecția datelor, Irlanda), pe de altă parte, în legătură cu refuzul acestuia din urmă de a‑i acorda domnului Nowak accesul la o foaie de examinare corectată de la un examen la care acesta era candidat, întrucât informațiile care erau conținute în aceasta nu constituiau date cu caracter personal.
Cadrul juridic
Dreptul Uniunii
Directiva 95/46
3        Directiva 95/46, care, potrivit articolului 1, are ca obiect protejarea drepturilor și a libertăților fundamentale ale persoanelor fizice și în special a dreptului la viață privată în ceea ce privește prelucrarea datelor cu caracter personal, precum și eliminarea obstacolelor din calea liberei circulații a acestor date, enunță în considerentele (25), (26) și (41) următoarele:
„(25)      întrucât principiile protecției trebuie să se reflecte, pe de o parte, în obligațiile impuse persoanelor […] care prelucrează date, în special în materie de calitate a datelor, siguranță tehnică, notificare a autorității de supraveghere, circumstanțe în care poate fi efectuată prelucrarea și, pe de altă parte, în dreptul conferit persoanelor ale căror date fac obiectul prelucrării de a fi informate cu privire la aceasta, de a putea avea acces la date, de a putea solicita corectarea lor și chiar de a se opune prelucrării în anumite circumstanțe;
(26)      întrucât principiile protecției trebuie să se aplice oricărei informații privind o persoană identificată sau identificabilă; întrucât, pentru a determina dacă o persoană este identificabilă, este oportun să se ia în considerare toate mijloacele care pot fi utilizate în mod rezonabil fie de operator, fie de orice altă persoană pentru a identifica persoana vizată; întrucât principiile protecției nu se aplică datelor anonime astfel încât persoana vizată să nu mai fie identificabilă; […]
[…]
(41)      întrucât orice persoană trebuie să poată beneficia de dreptul de acces la datele cu caracter personal care fac obiectul prelucrării, pentru a se asigura în special de exactitatea datelor și de legalitatea prelucrării acestora; […]”
4        Noțiunea „date cu caracter personal” este definită la articolul 2 litera (a) din această directivă ca „orice informație referitoare la o persoană fizică identificată sau identificabilă (persoana vizată); o persoană identificabilă este o persoană care poate fi identificată, direct sau indirect, în special prin referire la un număr de identificare sau la unul sau mai multe elemente specifice, proprii identității sale fizice, fiziologice, psihice, economice, culturale sau sociale”.
5        Articolul 6 din directiva menționată, aflat în secțiunea I, intitulată „Principii referitoare la calitatea datelor”, din capitolul II din această directivă, are următorul cuprins:
„(1)      Statele membre stabilesc că datele cu caracter personal trebuie să fie:
(a)      prelucrate în mod corect și legal;
(b)      colectate în scopuri determinate, explicite și legitime și să nu mai fie prelucrate ulterior într‑un mod incompatibil cu aceste scopuri. Prelucrarea ulterioară a datelor în scopuri istorice, statistice sau științifice nu este considerată incompatibilă atât timp cât statele membre prevăd garanții corespunzătoare;
(c)      adecvate, pertinente și neexcesive în ceea ce privește scopurile pentru care sunt colectate și prelucrate ulterior;
(d)      exacte și, dacă este necesar, actualizate; trebuie luate toate măsurile necesare pentru ca datele inexacte sau incomplete din punct de vedere al scopului pentru care sunt colectate sau pentru care vor fi prelucrate ulterior să fie șterse sau rectificate;
(e)      păstrate într‑o formă care permite identificarea persoanelor vizate o perioadă nu mai lungă decât este necesar în vederea atingerii scopurilor pentru care au fost colectate sau pentru care vor fi prelucrate ulterior. Statele membre stabilesc garanțiile corespunzătoare pentru datele cu caracter personal care sunt stocate pe o perioadă mai mare decât cea menționată, în scopuri istorice, statistice sau științifice.
(2)      Operatorul are obligația să asigure respectarea alineatului (1).”
6        Articolul 7 din Directiva 95/46, aflat în secțiunea I, intitulată „Criterii privind legitimitatea prelucrării datelor”, din capitolul II din această directivă, prevede:
„Statele membre prevăd ca datele cu caracter personal să fie prelucrate numai dacă:
(a)      persoana vizată și‑a dat consimțământul neechivoc
sau
[…]
(c)      prelucrarea este necesară în vederea îndeplinirii unei obligații legale care îi revine operatorului
sau
[…]
(e)      prelucrarea este necesară pentru aducerea la îndeplinire a unei sarcini de interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul sau terțul căruia îi sunt comunicate datele
sau
(f)      prelucrarea este necesară pentru realizarea interesului legitim urmărit de operator sau de către unul sau mai mulți terți, cu condiția ca acest interes să nu prejudicieze [a se citi «cu condiția să nu prevaleze»] interesul sau drepturile și libertățile fundamentale ale persoanei vizate, care necesită protecție în temeiul articolului 1 alineatul (1).”
7        Articolul 12 din această directivă, intitulat „Dreptul de acces”, prevede:
„Statele membre garantează oricărei persoane vizate dreptul de a obține de la operator:
(a)      fără constrângere, la intervale rezonabile și fără întârzieri sau cheltuieli excesive:
–        confirmarea că datele care o privesc sunt sau nu sunt prelucrate, precum și informații referitoare la scopul prelucrării, categoriile de date avute în vedere și destinatarii sau categoriile de destinatari cărora le sunt comunicate datele;
–        comunicarea într‑o formă inteligibilă a datelor care fac obiectul prelucrării și a altor informații disponibile cu privire la originea datelor;
[…]
(b)      după caz, rectificarea, ștergerea sau blocarea datelor a căror prelucrare nu respectă dispozițiile prezentei directive, în special datorită caracterului incomplet sau inexact al datelor;
(c)      notificare terților cărora le‑au fost comunicate datele cu privire la orice rectificare, ștergere sau blocare efectuată în conformitate cu litera (b), dacă această notificare nu se dovedește imposibilă sau nu presupune un efort disproporționat.”
8        Articolul 13 din directiva menționată, intitulat „Excepții și restricții”, prevede:
„(1)      Statele membre pot adopta măsuri legislative pentru a restrânge domeniul obligațiilor și drepturilor prevăzute la articolul 6 alineatul (1), articolul 10, articolul 11 alineatul (1), articolul 12 și articolul 21, dacă o astfel de restricție constituie o măsură necesară pentru a proteja:
[…]
(g)      protecția persoanei vizate sau a drepturilor și libertăților altora.
[…]”
9        Articolul 14 din Directiva 95/46, intitulat „Dreptul de opoziție al persoanei vizate”, prevede:
„Statele membre acordă persoanei vizate dreptul:
(a)      cel puțin în cazurile prevăzute în articolul 7 literele (e) și (f), să se opună în orice moment, din considerente întemeiate și legitime legate de situația sa particulară, prelucrării datelor în cauză, exceptând cazul când dreptul intern prevede altfel. Dacă opoziția este justificată, prelucrarea efectuată de operator nu se mai aplică acestor date;
[…]”
10      Articolul 28 din directiva menționată, intitulat „Autoritatea de supraveghere”, prevede:
„(1)      Fiecare stat membru prevede ca una sau mai multe autorități publice să fie responsabile de supravegherea aplicării pe teritoriul său a dispozițiilor adoptate de statele membre în temeiul prezentei directive.
[…]
(3)      Fiecare autoritate este, în special, învestită cu:
–        competențe de investigare, cum ar fi cea de acces la datele care fac obiectul unei prelucrări și cea de a colecta toate informațiile necesare pentru îndeplinirea îndatoririlor de supraveghere;
–        competențe efective de intervenție, cum ar fi, de exemplu, competența […] de a ordona blocarea, ștergerea sau distrugerea datelor, de a impune interdicția temporară sau definitivă de prelucrare […]
[…]
Deciziile autorităților de supraveghere care dau naștere unor plângeri pot face obiectul unei acțiuni în justiție.
(4)      Fiecare autoritate de supraveghere poate fi sesizată de orice persoană sau de orice asociație care o reprezintă printr‑o cerere de protecție a drepturilor și libertăților sale în ceea ce privește prelucrarea datelor cu caracter personal. Persoana vizată este informată despre soluția dată plângerii sale.
[…]”
Regulamentul (UE) 2016/679
11      Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46 (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1) se aplică, în temeiul articolului 99 alineatul (2) din acesta, de la 25 mai 2018. Articolul 94 alineatul (1) din acest regulament prevede că Directiva 95/46 se abrogă cu efect de la aceeași dată.
12      Regulamentul menționat prevede, la articolul 15, intitulat „Dreptul de acces al persoanei vizate”, următoarele:
„(1)      Persoana vizată are dreptul de a obține din partea operatorului o confirmare că se prelucrează sau nu date cu caracter personal care o privesc și, în caz afirmativ, acces la datele respective […]
[…]
(3)      Operatorul furnizează o copie a datelor cu caracter personal care fac obiectul prelucrării. […]
(4)      Dreptul de a obține o copie menționată la alineatul (3) nu aduce atingere drepturilor și libertăților altora.”
13      Articolul 23 din Regulamentul 2016/679, intitulat „Restricții”, prevede:
„(1)      Dreptul Uniunii sau dreptul intern care se aplică operatorului de date sau persoanei împuternicite de operator poate restricționa printr‑o măsură legislativă domeniul de aplicare al obligațiilor și al drepturilor prevăzute la articolele 12-22 […], atunci când o astfel de restricție respectă esența drepturilor și libertăților fundamentale și constituie o măsură necesară și proporțională într‑o societate democratică, pentru a asigura:
[…]
(e)      alte obiective importante de interes public general ale Uniunii sau ale unui stat membru, în special un interes economic sau financiar important al Uniunii sau al unui stat membru, inclusiv în domeniile monetar, bugetar și fiscal și în domeniul sănătății publice și al securității sociale;
[…]
(i)      protecția persoanei vizate sau a drepturilor și libertăților altora;
[…]”
Dreptul irlandez
14      Data Protection Act 1988 (Legea din 1988 privind protecția datelor), astfel cum a fost modificată prin Data Protection (Amendment) Act 2003 (Legea de modificare din 2003 privind protecția datelor) (denumită în continuare „Legea privind protecția datelor”), urmărește transpunerea Directivei 95/46 în ordinea juridică irlandeză. Articolul 1 alineatul (1) din această lege definește noțiunea „date cu caracter personal” după cum urmează:
„datele referitoare la o persoană aflată în viață care este sau poate fi identificată fie în baza acestor date, fie în baza acestor date coroborate cu alte informații care se află sau pot intra în posesia operatorului de date.”
15      Dreptul de acces este reglementat de articolul 4 din Legea privind protecția datelor, al cărui alineat (6), care privește în mod specific cererile de acces la rezultatele examenelor, are următorul cuprins:
„(a)      Cererea formulată de o persoană în temeiul alineatului (1) al prezentului articol referitoare la rezultatele unui examen la care a fost candidată se prezumă, în sensul prezentului articol, că a fost efectuată:
(i)      la data primei publicări a rezultatelor examenului sau
(ii)      la data depunerii cererii,
în funcție de care dată este cea mai recentă; […]
(b)      în temeiul prezentului alineat, prin «examen» se înțelege orice procedură de stabilire a cunoștințelor, a inteligenței, a capacităților sau a aptitudinilor unei persoane prin raportare la performanța sa în cadrul oricărui test, al oricărei lucrări sau al oricărei alte activități.”
16      Articolul 6 din Legea privind protecția datelor stabilește dreptul de rectificare și de ștergere a datelor cu caracter personal a căror prelucrare nu este conformă acestei legi.
17      Articolul 10 alineatul (1) litera (b) punctul (i) din Legea privind protecția datelor impune comisarului pentru protecția datelor să investigheze o plângere „cu excepția cazului în care acesta este de părere că plângerea este fantezistă sau vexatorie”.
Litigiul principal și întrebările preliminare
18      Domnul Nowak, în calitate de expert contabil stagiar, a promovat examenele de contabilitate de gradul întâi, precum și trei dintre examenele de gradul al doilea organizate de Institute of Chartered Accountants of Ireland (ordinul irlandez al experților contabili, denumit în continuare „ordinul experților contabili”). El nu a promovat însă examenul de „finanțe strategice și contabilitate de gestiune”, care lăsa candidaților posibilitatea de a utiliza documente (examen cu cărțile deschise).
19      În urma celui de al patrulea eșec al său la acest examen, în toamna anului 2009, domnul Nowak a depus, într‑o primă etapă, o plângere prin care urmărea contestarea rezultatului acestuia. După respingerea acestei plângeri în luna martie 2010, el a formulat în luna mai 2010, în temeiul articolului 4 din Legea privind protecția datelor, o cerere de acces care viza ansamblul datelor cu caracter personal care îl privesc, deținute de ordinul experților contabili.
20      Prin scrisoarea din 1 iunie 2010, ordinul experților contabili i‑a comunicat domnului Nowak 17 documente, însă a refuzat să îi transmită foaia sa de examinare, pentru motivul că aceasta nu conținea date cu caracter personal, în sensul Legii privind protecția datelor.
21      În aceste condiții, domnul Nowak s‑a adresat comisarului pentru protecția datelor în vederea contestării temeiniciei motivului de refuz al comunicării foii sale de examinare. În luna iunie 2010, acesta i‑a răspuns printr‑un e‑mail arătând, printre altele, că, „în general, foile de examinare nu sunt luate în considerare [în scopul protecției datelor] […] întrucât, în general, aceste documente nu constituie date cu caracter personal”.
22      Acest răspuns al comisarului pentru protecția datelor a fost urmat de un schimb de corespondență între domnul Nowak și acest comisar care s‑a încheiat la 1 iulie 2010 prin formularea de către domnul Nowak a unei plângeri oficiale.
23      Prin e‑mailul din 21 iulie 2010, comisarul pentru protecția datelor l‑a informat pe domnul Nowak că, în urma examinării dosarului, nu a constatat vreo încălcare materială a Legii privind protecția datelor și că, în conformitate cu articolul 10 alineatul (1) litera (b) punctul (i) din această lege, care prevede cazul plângerilor fanteziste sau vexatorii, a decis să nu investigheze plângerea sa. Acest e‑mail arăta, pe de altă parte, că documentele cu privire la care domnul Nowak dorea să exercite „un drept de corectare” „nu constituiau date cu caracter personal cărora li se aplica articolul 6 din Legea privind protecția datelor”.
24      Domnul Nowak a formulat o acțiune împotriva acestei decizii în fața Circuit Court (Tribunalul de Circuit, Irlanda). Acesta a constatat inadmisibilitatea acțiunii pentru motivul că, în lipsa unei investigări a plângerii de către comisarul pentru protecția datelor, nu exista o decizie supusă căilor de atac. Cu titlu subsidiar, acest tribunal a statuat că acțiunea era nefondată, din moment ce foaia de examinare nu constituia o dată cu caracter personal.
25      Domnul Nowak a formulat o cale de atac împotriva hotărârii tribunalului menționat în fața High Court (Înalta Curte, Irlanda), care însă a confirmat această hotărâre. Hotărârea High Court (Înalta Curte) a fost confirmată, la rândul său, de către Court of Appeal (Curtea de Apel, Irlanda). Supreme Court (Curtea Supremă, Irlanda), care a autorizat recursul împotriva hotărârii Court of Appeal (Curtea de Apel), a constatat inadmisibilitatea acțiunii formulate de domnul Nowak împotriva deciziei comisarului pentru protecția datelor.
26      Cu toate acestea, întrucât avea îndoieli cu privire la posibilitatea ca o foaie de examinare să constituie o dată cu caracter personal, în sensul Directivei 95/46, Supreme Court (Curtea Supremă) a hotărât să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare:
„1)      Informațiile înregistrate în răspunsul/ca răspuns dat de un candidat în timpul unui examen profesional pot constitui date cu caracter personal, în sensul Directivei 95/46?
2)      În cazul în care răspunsul la prima întrebare este că toate sau unele dintre aceste informații pot fi date cu caracter personal, în sensul Directivei 95/46, ce factori sunt relevanți pentru a stabili în fiecare caz în parte dacă o astfel de foaie de examinare constituie date cu caracter personal și ce importanță ar trebui să fie acordată acestor factori?”
Cu privire la întrebările preliminare
27      Prin intermediul întrebărilor formulate, care trebuie examinate împreună, instanța de trimitere solicită în esență să se stabilească dacă articolul 2 litera (a) din Directiva 95/46 trebuie interpretat în sensul că, în condiții precum cele în discuție în litigiul principal, răspunsurile scrise furnizate de un candidat în cadrul unui examen profesional și eventualele observații ale examinatorului care se referă la acestea constituie date cu caracter personal, în sensul acestei dispoziții.
28      În această privință, trebuie amintit că articolul 2 litera (a) din Directiva 95/46 definește datele cu caracter personal drept „orice informație referitoare la o persoană fizică identificată sau identificabilă”. Potrivit aceleiași dispoziții, „o persoană identificabilă este o persoană care poate fi identificată, direct sau indirect, în special prin referire la un număr de identificare sau la unul sau mai multe elemente specifice, proprii identității sale fizice, fiziologice, psihice, economice, culturale sau sociale”.
29      Este cert că un candidat la un examen profesional este o persoană fizică ce poate fi identificată fie direct, în baza numelui său, fie indirect, în baza unui număr de identificare, care sunt consemnate pe foaia de examinare sau pe pagina de gardă a acestei foi.
30      Contrar a ceea ce pare să susțină comisarul pentru protecția datelor, este lipsit de relevanță, în acest context, aspectul dacă examinatorul poate sau nu poate să identifice candidatul la momentul corectării și al notării foii de examinare.
31      Astfel, pentru ca o dată să poată fi calificată drept „dată cu caracter personal”, în sensul articolului 2 litera (a) din Directiva 95/46, nu este necesar ca toate informațiile care permit identificarea persoanei vizate să se afle în posesia unei singure persoane (Hotărârea din 19 octombrie 2016, Breyer, C‑582/14, EU:C:2016:779, punctul 43). Pe de altă parte, este cert că, în ipoteza în care examinatorul nu cunoaște identitatea candidatului cu ocazia notării răspunsurilor furnizate de acesta în cadrul unui examen, entitatea care organizează examenul, în speță ordinul experților contabili, dispune, în schimb, de informațiile necesare care îi permit să identifice acest candidat fără dificultăți sau îndoieli pe baza numărului său de identificare, consemnat pe foaia de examinare sau pe pagina de gardă a acestei foi, și astfel să îi atribuie răspunsurile furnizate.
32      Trebuie să se verifice însă dacă răspunsurile scrise furnizate de candidat în cadrul unui examen profesional și eventualele observații ale examinatorului legate de acestea constituie informații referitoare la acest candidat, în sensul articolului 2 litera (a) din Directiva 95/46.
33      După cum Curtea a constatat deja, domeniul de aplicare al Directivei 95/46 este foarte larg, iar datele cu caracter personal vizate de aceasta sunt variate (Hotărârea din 7 mai 2009, Rijkeboer, C‑553/07, EU:C:2009:293, punctul 59 și jurisprudența citată).
34      Astfel, utilizarea expresiei „orice informație” în cadrul definiției noțiunii „date cu caracter personal”, care figurează la articolul 2 litera (a) din Directiva 95/46, reflectă obiectivul legiuitorului Uniunii de a atribui un sens larg acestei noțiuni, care nu este restrânsă la informațiile sensibile sau de ordin privat, ci înglobează potențial orice tip de informații, atât obiective, cât și subiective, sub formă de opinii sau de aprecieri, cu condiția ca acestea să fie „referitoare” la persoana în cauză.
35      În ceea ce privește această din urmă condiție, ea este îndeplinită atunci când, ca urmare a conținutului, a scopului sau a efectului său, informația este legată de o persoană determinată.
36      Or, după cum a arătat în esență domnul Nowak, guvernele ceh, elen, maghiar, austriac și portughez, precum și Comisia Europeană, răspunsurile scrise furnizate de un candidat la un examen profesional constituie asemenea informații legate de persoana sa.
37      Astfel, mai întâi, conținutul acestor răspunsuri reflectă nivelul cunoștințelor și al competențelor candidatului într‑un anumit domeniu, precum și, după caz, procesul de gândire, raționamentul și spiritul său critic. În cazul examenului scris de mână, răspunsurile conțin în plus informații privind grafia acestuia.
38      Apoi, colectarea răspunsurilor menționate are ca scop evaluarea capacităților profesionale ale candidatului și a aptitudinii sale de a exercita meseria în cauză.
39      În sfârșit, utilizarea acestor informații, care se traduce în special prin succesul sau prin eșecul candidatului la examenul vizat, este susceptibilă să aibă un efect asupra drepturilor și a intereselor acestuia, în măsura în care poate să determine sau să influențeze, de exemplu, șansele sale de a avea acces la profesia sau la locul de muncă dorit.
40      Constatarea că răspunsurile scrise furnizate de un candidat la un examen profesional constituie informații referitoare la acest candidat ca urmare a conținutului, a finalității și a efectului lor este valabilă, pe de altă parte, și atunci când este vorba, precum în speță, despre un examen cu cărțile deschise.
41      Astfel, după cum a arătat avocatul general la punctul 24 din concluzii, orice examen urmărește să determine și să stabilească performanțele individuale ale unei persoane specifice, și anume candidatul, iar nu, spre deosebire printre altele de un sondaj reprezentativ, să obțină informații independente de această persoană.
42      În ceea ce privește observațiile examinatorului referitoare la răspunsurile candidatului, trebuie să se constate că acestea constituie, asemenea răspunsurilor furnizate de candidat în cadrul examenului, informații referitoare la acest candidat.
43      Astfel, conținutul acestor observații reflectă opinia sau aprecierea examinatorului cu privire la performanțele individuale ale candidatului în cadrul examenului, în special cu privire la cunoștințele și la competențele sale în domeniul vizat. Pe de altă parte, observațiile menționate au tocmai ca finalitate să documenteze evaluarea de către examinator a performanțelor candidatului și sunt susceptibile să aibă efecte asupra acestuia din urmă, după cum se arată la punctul 39 din prezenta hotărâre.
44      Constatarea că observațiile examinatorului referitoare la răspunsurile furnizate de candidat în cadrul examenului constituie informații care, ca urmare a conținutului, a finalității și a efectului lor, sunt legate de acest candidat nu este infirmată de faptul că aceste observații constituie de asemenea informații referitoare la examinator.
45      Astfel, aceeași informație poate să privească mai multe persoane fizice și să constituie, așadar, pentru acestea, cu condiția ca respectivele persoane să fie identificate sau identificabile, o dată cu caracter personal, în sensul articolului 2 litera (a) din Directiva 95/46.
46      Pe de altă parte, calificarea drept date cu caracter personal a răspunsurilor scrise furnizate de candidat în cadrul unui examen profesional și a eventualelor observații ale examinatorului referitoare la aceste răspunsuri nu poate fi influențată, contrar celor susținute de comisarul pentru protecția datelor și de guvernul irlandez, de împrejurarea că această calificare conferă în principiu acestui candidat drepturi de acces și de rectificare, în temeiul articolului 12 literele (a) și (b) din Directiva 95/46.
47      În această privință, trebuie amintit, mai întâi, după cum a arătat Comisia în ședință, că numeroase principii și garanții prevăzute de Directiva 95/46 sunt legate de calificarea respectivă și depind de aceasta.
48      Astfel, din considerentul (25) al Directivei 95/46 rezultă că principiile protecției prevăzute de aceasta se reflectă, pe de o parte, în obligațiile impuse persoanelor care prelucrează date, în special în materie de calitate a datelor, siguranță tehnică, notificare a autorității de supraveghere, circumstanțe în care poate fi efectuată prelucrarea, și, pe de altă parte, în dreptul conferit persoanelor ale căror date fac obiectul prelucrării de a fi informate cu privire la aceasta, de a putea avea acces la date, de a putea solicita corectarea lor și chiar de a se opune prelucrării în anumite circumstanțe.
49      Astfel, negarea calificării drept „date cu caracter personal” a informațiilor cu privire la un candidat, conținute în răspunsurile scrise furnizate în cadrul unui examen profesional și în eventualele observații ale examinatorului referitoare la acestea, ar avea drept consecință sustragerea integrală a acestor informații de la respectarea principiilor și a garanțiilor în materie de protecție a datelor cu caracter personal, în special a principiilor referitoare la calitatea unor asemenea date și la legitimitatea prelucrării lor, stabilite la articolele 6 și 7 din Directiva 95/46, precum și a drepturilor de acces, de rectificare și de opoziție ale persoanei vizate, prevăzute la articolele 12 și 14 din această directivă, și a controlului exercitat de autoritatea de supraveghere în temeiul articolului 28 din directiva menționată.
50      Or, după cum a arătat avocatul general la punctul 26 din concluzii, este cert că un candidat la un examen are, printre altele, un interes legitim, întemeiat pe protecția vieții sale private, de a se putea opune prelucrării în afara procedurii de examinare a răspunsurilor sale furnizate în cadrul acestui examen și a observațiilor examinatorului referitoare la aceste răspunsuri și în special transmiterii acestora către terți sau chiar publicării lor fără autorizația sa. De asemenea, entitatea care organizează examenul este obligată, în calitate de operator de date, să asigure că aceste răspunsuri și observații sunt stocate astfel încât să se evite ca terții să aibă acces în mod ilegal la acestea.
51      Apoi, trebuie să se constate că drepturile de acces și de rectificare, prevăzute la articolul 12 literele (a) și (b) din Directiva 95/46, pot să se justifice și în privința răspunsurilor scrise furnizate de candidat în cadrul unui examen profesional și a eventualelor observații ale examinatorului care se referă la acestea.
52      Este, desigur, evident că dreptul de rectificare, prevăzut la articolul 12 litera (b) din Directiva 95/46, nu poate să permită unui candidat să „rectifice” a posteriori răspunsuri „greșite”.
53      Astfel, din articolul 6 alineatul (1) litera (d) din Directiva 95/46 rezultă că trebuie să se aprecieze caracterul exact și complet al datelor cu caracter personal din punctul de vedere al scopului pentru care aceste date au fost colectate. Acest scop constă, în ceea ce privește răspunsurile unui candidat la un examen, în posibilitatea de a evalua nivelul de cunoștințe și de competențe ale acestui candidat la data examenului. Or, acest nivel este reflectat tocmai de eventualele erori în aceste răspunsuri. Prin urmare, asemenea erori nu constituie în niciun caz o inexactitate, în sensul Directivei 95/46, care ar conferi un drept de rectificare în temeiul articolului 12 litera (b) din aceasta.
54      În schimb, este posibil să apară situații în care răspunsurile unui candidat la un examen și observațiile examinatorului referitoare la aceste răspunsuri să se dovedească inexacte, în sensul articolului 6 alineatul (1) litera (d) din Directiva 95/46, de exemplu, ca urmare a faptului că, din eroare, foile de examinare au fost schimbate între ele astfel încât răspunsurile unui alt candidat au fost atribuite candidatului vizat sau că o parte dintre foile care conțineau răspunsurile acestui candidat s‑au pierdut astfel încât răspunsurile menționate nu sunt complete ori că eventualele observații ale examinatorului nu documentează în mod corect evaluarea efectuată de acesta cu privire la răspunsurile candidatului vizat.
55      Pe de altă parte, după cum a arătat avocatul general la punctul 37 din concluzii, nu poate fi exclus ca un candidat să aibă dreptul, în temeiul articolului 12 litera (b) din Directiva 95/46, să solicite operatorului de date ca răspunsurile sale la examen și observațiile examinatorului care se referă la acestea să fie, după o anumită perioadă, șterse, adică distruse. Astfel, în temeiul articolului 6 alineatul (1) litera (e) din această directivă, datele cu caracter personal pot în principiu să fie păstrate într‑o formă care permite identificarea persoanelor vizate pe o perioadă nu mai lungă decât este necesar în vederea atingerii scopurilor pentru care au fost colectate sau pentru care vor fi prelucrate ulterior. Or, ținând seama de scopul răspunsurilor furnizate de un candidat în cadrul unui examen și al observațiilor examinatorului referitoare la aceste răspunsuri, păstrarea lor într‑o formă care permite identificarea candidatului nu pare a priori să mai fie necesară odată ce procedura de examinare se încheie în mod definitiv și nu mai poate face obiectul unei căi de atac, astfel încât aceste răspunsuri și observații au pierdut orice valoare probantă.
56      Întrucât răspunsurile scrise furnizate de un candidat în cadrul unui examen profesional și eventualele observații ale examinatorului care se referă la acestea sunt, așadar, susceptibile să fie supuse unei verificări, în special în ceea ce privește exactitatea și necesitatea păstrării lor, în sensul articolului 6 alineatul (1) literele (d) și (e) din Directiva 95/46, și pot face obiectul unei rectificări sau al unei ștergeri, în temeiul articolului 12 litera (b) din aceasta, este necesar să se considere că faptul de a acorda candidatului un drept de acces la aceste răspunsuri și observații, în temeiul articolului 12 litera (a) din această directivă, servește la realizarea obiectivului acesteia din urmă care constă în asigurarea protecției dreptului la viață privată al acestui candidat în ceea ce privește prelucrarea datelor care îl privesc (a se vedea, a contrario, Hotărârea din 17 iulie 2014, YS și alții, C‑141/12 și C‑372/12, EU:C:2014:2081, punctele 45 și 46), iar aceasta independent de aspectul dacă respectivul candidat dispune sau nu dispune de un asemenea drept de acces și în temeiul reglementării naționale aplicabile procedurii de examinare.
57      În acest context, trebuie amintit că protecția dreptului fundamental la respectarea vieții private presupune, printre altele, ca orice persoană fizică să poată să se asigure că datele cu caracter personal care o privesc sunt exacte și sunt prelucrate în mod legal. Astfel cum reiese din considerentul (41) al Directivei 95/46, pentru a putea efectua verificările necesare, persoana vizată are, în temeiul articolului 12 litera (a) din aceasta, un drept de acces la datele care o privesc, care fac obiectul unei prelucrări. Acest drept de acces este necesar, printre altele, pentru a‑i permite persoanei vizate să obțină din partea operatorului, după caz, rectificarea, ștergerea sau blocarea datelor respective și, în consecință, să își exercite dreptul prevăzut la articolul 12 litera (b) din directiva menționată (Hotărârea din 17 iulie 2014, YS și alții, C‑141/12 și C‑372/12, EU:C:2014:2081, punctul 44 și jurisprudența citată).
58      În sfârșit, trebuie să se constate, pe de o parte, că drepturile de acces și de rectificare, în temeiul articolului 12 literele (a) și (b) din Directiva 95/46, nu acoperă întrebările de examen, care nu constituie ca atare date cu caracter personal ale candidatului.
59      Pe de altă parte, atât Directiva 95/46, cât și Regulamentul 2016/679, care o înlocuiește, prevăd anumite restrângeri ale acestor drepturi.
60      Astfel, în temeiul articolului 13 alineatul (1) litera (g) din Directiva 95/46, statele membre pot adopta măsuri legislative pentru a restrânge domeniul obligațiilor și drepturilor prevăzute printre altele la articolul 6 alineatul (1) și la articolul 12 din această directivă, dacă o astfel de restricție constituie o măsură necesară pentru protecția drepturilor și libertăților altora.
61      Articolul 23 alineatul (1) litera (e) din Regulamentul 2016/679 extinde lista motivelor de restricții, prevăzută în prezent la articolul 13 alineatul (1) din Directiva 95/46, la „alte obiective importante de interes public general ale Uniunii sau ale unui stat membru”. În plus, articolul 15 din Regulamentul 2016/679, care privește dreptul de acces al persoanei vizate, prevede la alineatul (4) că dreptul de a obține o copie a datelor cu caracter personal nu trebuie să aducă atingere drepturilor și libertăților altora.
62      Ținând seama de ansamblul considerațiilor care precedă, este necesar să se răspundă la întrebările adresate că articolul 2 litera (a) din Directiva 95/46 trebuie interpretat în sensul că, în condiții precum cele în discuție în litigiul principal, răspunsurile scrise furnizate de un candidat în cadrul unui examen profesional și eventualele observații ale examinatorului referitoare la aceste răspunsuri constituie date cu caracter personal, în sensul acestei dispoziții.
Cu privire la cheltuielile de judecată
63      Întrucât, în privința părților din litigiul principal, procedura are caracterul unui incident survenit la instanța de trimitere, este de competența acesteia să se pronunțe cu privire la cheltuielile de judecată. Cheltuielile efectuate pentru a prezenta observații Curții, altele decât cele ale părților menționate, nu pot face obiectul unei rambursări.
Pentru aceste motive, Curtea (Camera a doua) declară:
Articolul 2 litera (a) din Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date trebuie interpretat în sensul că, în condiții precum cele în discuție în litigiul principal, răspunsurile scrise furnizate de un candidat în cadrul unui examen profesional și eventualele observații ale examinatorului referitoare la aceste răspunsuri constituie date cu caracter personal, în sensul acestei dispoziții.
Semnături
*      Limba de procedură: engleza.