ARRÊT DE LA COUR (troisième chambre)
7 mai 2009 (*)
«Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Directive 95/46/CE – Protection de la vie privée – Effacement des données – Droit d’accès aux données et à l’information sur les destinataires des données – Délai d’exercice du droit d’accès»
Dans l’affaire C‑553/07,
ayant pour objet une demande de décision préjudicielle au titre de l’article 234 CE, introduite par le Raad van State (Pays-Bas), par décision du 5 décembre 2007, parvenue à la Cour le 12 décembre 2007, dans la procédure
College van burgemeester en wethouders van Rotterdam
contre
M. E. E. Rijkeboer,
LA COUR (troisième chambre),
composée de M. A. Rosas, président de chambre, MM. A. Ó Caoimh, J. Klučka, U. Lõhmus et Mme P. Lindh (rapporteur), juges,
avocat général: M. D. Ruiz-Jarabo Colomer,
greffier: Mme M. Ferreira, administrateur principal,
vu la procédure écrite et à la suite de l’audience du 20 novembre 2008,
considérant les observations présentées:
–        pour le College van burgemeester en wethouders van Rotterdam, par Me R. de Bree, advocaat,
–        pour M. E. E. Rijkeboer, par M. W. van Bentem, juridisch adviseur,
–        pour le gouvernement néerlandais, par Mmes C. M. Wissels et C. ten Dam, en qualité d’agents,
–        pour le gouvernement tchèque, par M. M. Smolek, en qualité d’agent,
–        pour le gouvernement grec, par Mmes E.-M. Mamouna et V. Karra, en qualité d’agents,
–        pour le gouvernement espagnol, par M. M. Muñoz Pérez, en qualité d’agent,
–        pour le gouvernement du Royaume-Uni, par Mmes Z. Bryanston-Cross et H. Walker, en qualité d’agents, assistées de M. J. Stratford, barrister,
–        pour la Commission des Communautés européennes, par MM. R. Troosters et C. Docksey, en qualité d’agents,
ayant entendu l’avocat général en ses conclusions à l’audience du 22 décembre 2008,
rend le présent
Arrêt
1        La demande de décision préjudicielle porte sur l’interprétation de l’article 12, sous a), de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO L 281, p. 31, ci-après la «directive»).
2        Cette demande a été présentée dans le cadre d’un litige opposant M. Rijkeboer au College van burgemeester en wethouders van Rotterdam (collège des bourgmestre et échevins de Rotterdam, ci-après le «College») au sujet du refus partiel de ce dernier de lui donner accès à l’information sur la communication faite à des personnes tierces de ses données personnelles au cours des deux années précédant sa demande d’information.
Le cadre juridique
La réglementation communautaire
3        Les deuxième et dixième considérants de la directive relatifs aux droits et libertés fondamentaux énoncent:
«(2)      considérant que les systèmes de traitement de données sont au service de l’homme; qu’ils doivent, quelle que soit la nationalité ou la résidence des personnes physiques, respecter les libertés et droits fondamentaux de ces personnes, notamment la vie privée, et contribuer au progrès économique et social, au développement des échanges ainsi qu’au bien-être des individus;
[…]
(10)      considérant que l’objet des législations nationales relatives au traitement des données à caractère personnel est d’assurer le respect des droits et libertés fondamentaux, notamment du droit à la vie privée reconnu également dans l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales et dans les principes généraux du droit communautaire [...]»
4        Aux termes du vingt-cinquième considérant de la directive, les principes de la protection des personnes doivent trouver leur expression, d’une part, dans les obligations mises à la charge des personnes qui traitent des données, ces obligations concernant en particulier la qualité des données et, d’autre part, dans les droits donnés aux personnes dont les données font l’objet d’un traitement d’être informées sur celui-ci, de pouvoir accéder aux données, de pouvoir demander leur rectification, voire de s’opposer au traitement dans certaines circonstances.
5        Le quarantième considérant de la directive, qui a trait à l’obligation d’informer la personne concernée lorsque les données n’ont pas été collectées auprès d’elle, énonce que cette obligation n’est pas prévue si cette information se révèle impossible ou implique des efforts disproportionnés et que, à cet égard, peuvent être pris en considération le nombre de personnes concernées, l’ancienneté des données ainsi que les mesures compensatrices qui peuvent être prises.
6        Aux termes du quarante et unième considérant de la directive toute personne doit pouvoir bénéficier du droit d’accès aux données la concernant qui font l’objet d’un traitement, afin de s’assurer notamment de leur exactitude et de la licéité de leur traitement.
7        L’article 1er, intitulé «Objet de la directive», est rédigé dans les termes suivants:
«1.      Les États membres assurent, conformément à la présente directive, la protection des libertés et droits fondamentaux des personnes physiques, notamment de leur vie privée, à l’égard du traitement des données à caractère personnel.
2.      Les États membres ne peuvent ni restreindre ni interdire la libre circulation des données à caractère personnel entre États membres pour des raisons relatives à la protection assurée en vertu du paragraphe 1.»
8        La notion de «données à caractère personnel» est définie à l’article 2, sous a), de la directive comme toute information concernant une personne physique identifiée ou identifiable (personne concernée).
9        Par «traitement de données à caractère personnel», l’article 2, sous b), de la directive entend:
«toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction».
10      Selon l’article 2, sous d), de la directive, le «responsable du traitement» est la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement de données à caractère personnel.
11      L’article 2, sous g), de la directive définit le «destinataire» comme étant la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui reçoit communication de données, qu’il s’agisse ou non d’un «tiers», tel que celui-ci est défini à l’article 2, sous f), de la directive.
12      L’article 6 de la directive énonce les principes relatifs à la qualité des données. S’agissant de la conservation des données, son paragraphe 1, sous e), dispose que les États membres prévoient que les données à caractère personnel doivent être «conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement. Les États membres prévoient des garanties appropriées pour les données à caractère personnel qui sont conservées au-delà de cette période, à des fins historiques, statistiques ou scientifiques».
13      Les articles 10 et 11 de la directive établissent les informations que le responsable du traitement des données ou son représentant doit fournir à la personne concernée en cas respectivement de collecte de données auprès d’elle ou lorsque les données n’ont pas été collectées auprès d’elle.
14      L’article 12 de la directive, intitulé «Droit d’accès», est libellé comme suit:
«Les États membres garantissent à toute personne concernée le droit d’obtenir du responsable du traitement:
a)      sans contrainte, à des intervalles raisonnables et sans délais ou frais excessifs:
–        la confirmation que des données la concernant sont ou ne sont pas traitées, ainsi que des informations portant au moins sur les finalités du traitement, les catégories de données sur lesquelles il porte et les destinataires ou les catégories de destinataires auxquels les données sont communiquées,
–        la communication, sous une forme intelligible, des données faisant l’objet des traitements, ainsi que de toute information disponible sur l’origine des données,
–        la connaissance de la logique qui sous-tend tout traitement automatisé des données la concernant, au moins dans le cas des décisions automatisées visées à l’article 15, paragraphe 1;
b)      selon le cas, la rectification, l’effacement ou le verrouillage des données dont le traitement n’est pas conforme à la présente directive, notamment en raison du caractère incomplet ou inexact des données;
c)      la notification aux tiers auxquels les données ont été communiquées de toute rectification, tout effacement ou tout verrouillage effectué conformément au point b), si cela ne s’avère pas impossible ou ne suppose pas un effort disproportionné.»
15      L’article 13, paragraphe 1, de la directive, intitulé «Exceptions et limitations», autorise les États membres à déroger notamment à ses articles 6 et 12, si cela est nécessaire pour sauvegarder certains intérêts publics parmi lesquels la sûreté de l’État, la défense, la poursuite d’infractions pénales ainsi que d’autres intérêts, à savoir la protection de la personne concernée ou des droits et libertés d’autrui.
16      La directive prévoit à son article 14 que les États membres reconnaissent à la personne concernée le droit, dans certaines conditions, de s’opposer à ce que des données la concernant fassent l’objet d’un traitement.
17      Selon l’article 17, paragraphe 1, deuxième alinéa, de la directive, les États membres prévoient que le responsable du traitement doit mettre en œuvre des mesures techniques et d’organisation qui doivent assurer, compte tenu de l’état de l’art et des coûts liés à leur mise en œuvre, un niveau de sécurité approprié au regard des risques présentés par le traitement et de la nature des données à protéger.
18      Aux termes des articles 22 et 23, paragraphe 1, de la directive, les États membres prévoient que toute personne dispose d’un recours juridictionnel en cas de violation des droits qui lui sont garantis par les dispositions nationales applicables au traitement en question et que toute personne ayant subi un dommage du fait d’un traitement illicite ou de toute action incompatible avec les dispositions nationales prises en application de la directive a le droit d’obtenir du responsable du traitement réparation du préjudice subi.
La réglementation nationale
19      La directive a été transposée en droit néerlandais par un texte général, la loi relative à la protection des données à caractère personnel (Wet bescherming persoonsgegevens). Par ailleurs, des lois spécifiques ont été adaptées afin de tenir compte de la directive. Tel est le cas de la loi en cause au principal, à savoir la loi relative aux données personnelles détenues par les administrations communales (Wet gemeentelijke basisadministratie persoonsgegevens, Stb. 1994, n° 494, ci‑après la «Wet GBA»).
20      L’article 103, paragraphe 1, de la Wet GBA prévoit que le collège des bourgmestre et échevins communique par écrit à l’intéressé dans un délai de quatre semaines, à sa demande, les données le concernant provenant de l’administration communale qui ont été communiquées à un demandeur ou à un tiers au cours de l’année précédant la demande.
21      Conformément à l’article 110 de la Wet GBA, le collège des bourgmestre et échevins conserve la mention de cette communication au cours de l’année qui suit la communication de données, sauf si cette communication ressort d’une autre manière de la base de données.
22      Il ressort des observations écrites du College que les données conservées par la commune portent notamment sur le nom, la date de naissance, le numéro administratif, le numéro social-fiscal, la commune d’inscription, l’adresse et la date d’inscription dans la commune, l’état civil, la curatelle, l’autorité exercée sur les mineurs, la nationalité et le droit de séjour des étrangers.
Le litige au principal et la question préjudicielle
23      Par une lettre du 26 octobre 2005, M. Rijkeboer a demandé au College de l’informer de tous les cas où des informations le concernant provenant de l’administration communale avaient été communiquées à des personnes tierces, au cours des deux années précédant sa demande. Il désirait connaître l’identité de ces personnes et le contenu de l’information qui leur avait été transmise. M. Rijkeboer qui avait déménagé dans une autre commune souhaitait savoir en particulier à qui son ancienne adresse avait été communiquée.
24      Par décisions des 27 octobre et 29 novembre 2005, le College n’a accédé que partiellement à cette demande en ne lui communiquant que l’information relative à la période d’un an précédant sa demande, en application de l’article 103, paragraphe 1, de la Wet GBA.
25      Les communications des données sont enregistrées selon le «Logisch Ontwerp GBA». Il s’agit d’un système automatisé, créé par le Ministerie van Binnenlandse Zaken en Koninkrijkrelaties (ministère de l’Intérieur et des Relations au sein du Royaume des Pays-Bas). Il ressort de la demande de décision préjudicielle que les données demandées par M. Rijkeboer, antérieures à l’année précédant sa demande, ont été automatiquement effacées, ce qui serait conforme aux dispositions de l’article 110 de la Wet GBA.
26      M. Rijkeboer a déposé une réclamation auprès du College contre le refus de lui communiquer l’information portant sur les destinataires auxquels les données le concernant avaient été communiquées au cours de la période antérieure à l’année précédant sa demande. Cette réclamation ayant été rejetée par décision du 13 février 2006, M. Rijkeboer a introduit un recours devant le Rechtbank Rotterdam.
27      Cette juridiction a accueilli le recours estimant que la limitation du droit d’être informé des données communiquées à des destinataires à l’année précédant la demande, telle que prévue à l’article 103, paragraphe 1, de la Wet GBA, n’est pas compatible avec l’article 12 de la directive. Elle a également jugé que les exceptions visées à l’article 13 de cette directive ne sont pas applicables.
28      Le College a interjeté appel de ce jugement devant le Raad van State. Cette juridiction constate que l’article 12 de la directive relatif au droit d’accès aux données ne fixe aucun délai dans lequel ce droit doit pouvoir être exercé. Selon elle, cet article n’interdit toutefois pas nécessairement au législateur national de limiter dans le temps le droit de la personne concernée d’être informée des destinataires auxquels ses données à caractère personnel ont été communiquées, mais elle nourrit des doutes à ce sujet.
29      Dans ces conditions, le Raad van State a décidé de surseoir à statuer et de poser à la Cour la question préjudicielle suivante:
«La limitation, prévue par la loi, de la communication des données à l’année précédant la demande concernée est‑elle compatible avec l’article 12, [...] sous a), de la [directive], lue ou non en liaison avec l’article 6, paragraphe 1, sous e), de cette directive et avec le principe de proportionnalité?»
Sur la question préjudicielle
30      Il convient de rappeler, à titre liminaire, que, dans le cadre du système de coopération judiciaire établi par l’article 234 CE, il incombe à la Cour d’interpréter les dispositions du droit communautaire. En ce qui concerne les dispositions nationales, leur interprétation appartient aux juridictions nationales (voir arrêt du 14 février 2008, Gysen, C‑449/06, Rec. p. I‑553, point 17).
31      Il y a lieu, dès lors, de comprendre la question posée par la juridiction de renvoi comme visant, en substance, à déterminer si, selon la directive, en particulier son article 12, sous a), le droit d’accès d’une personne à l’information sur les destinataires ou les catégories de destinataires de données à caractère personnel la concernant ainsi que sur le contenu des données communiquées peut être limité à la période d’un an précédant sa demande d’accès.
32      Cette juridiction met en exergue deux dispositions de la directive, à savoir l’article 6, paragraphe 1, sous e), sur la conservation des données à caractère personnel et l’article 12, sous a), sur le droit d’accès à ces données. En revanche, ni cette juridiction ni aucune des parties ayant présenté des observations à la Cour n’invoque les exceptions énoncées à l’article 13 de la directive.
33      L’article 6 de la directive traite de la qualité des données. Son paragraphe 1, sous e), impose aux États membres de prévoir que les données à caractère personnel ne soient pas conservées au-delà de la durée nécessaire à la réalisation des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement. Les données doivent donc être supprimées lorsque ces finalités sont réalisées.
34      L’article 12, sous a), de la directive prévoit que les États membres confèrent à la personne concernée un droit d’accès à ses données à caractère personnel ainsi qu’à l’information sur les destinataires et les catégories de destinataires de ces données, sans indiquer de délai dans le temps.
35      Ces deux articles visent donc à protéger la personne concernée. La juridiction de renvoi cherche à savoir s’il existe un lien entre ces deux articles en ce sens que le droit d’accès à l’information sur les destinataires ou les catégories de destinataires des données à caractère personnel ainsi que sur le contenu des données transmises pourrait dépendre de la durée de conservation de ces données.
36      Les observations présentées à la Cour révèlent des points de vue différents sur l’interaction entre ces deux dispositions.
37      Le College ainsi que les gouvernements néerlandais, tchèque, espagnol et du Royaume-Uni soutiennent que le droit d’accès à l’information sur les destinataires ou les catégories de destinataires visé à l’article 12, sous a), de la directive n’existe que pour le présent et non pour le passé. Dès lors que les données ont été effacées, conformément à la réglementation nationale, la personne concernée ne peut plus y avoir accès. Cette conséquence ne serait pas contraire à la directive.
38      Le College et le gouvernement néerlandais font ainsi valoir que l’article 103, paragraphe 1, de la Wet GBA, selon lequel la commune informe la personne, à sa demande, des données communiquées à des destinataires au cours de l’année précédant sa demande, va au-delà des exigences imposées par la directive.
39      La Commission et le gouvernement grec soutiennent, pour leur part, que la directive prévoit un droit d’accès non seulement pour le présent, mais aussi pour la période antérieure à la demande d’accès. Leur point de vue diverge toutefois sur la durée précise de ce droit d’accès.
40      Pour apprécier la portée du droit d’accès que la directive doit rendre possible, il convient, d’abord, de déterminer les données auxquelles se rapporte le droit d’accès et de se référer, ensuite, à la finalité de l’article 12, sous a), de la directive examinée à la lumière des objectifs de cette dernière.
41      Dans un cas tel que celui de M. Rijkeboer deux catégories de données entrent en jeu.
42      La première concerne les données de caractère privé détenues par la commune sur une personne, comme son nom et son adresse, qui forment, en l’occurrence, des données de base. Il ressort des observations orales présentées par le College et le gouvernement néerlandais que ces données peuvent être conservées pendant une longue durée. Elles constituent des «données à caractère personnel» au sens de l’article 2, sous a), de la directive, puisqu’il s’agit d’informations concernant une personne physique identifiée ou identifiable (voir, en ce sens, arrêts du 20 mai 2003, Österreichischer Rundfunk e.a., C‑465/00, C‑138/01 et C‑139/01, Rec. p. I‑4989, point 64; du 6 novembre 2003, Lindqvist, C‑101/01, Rec. p. I‑12971, point 24, ainsi que du 16 décembre 2008, Huber, C-524/06, non encore publié au Recueil, point 43).
43      La seconde catégorie a trait à l’information sur les destinataires ou les catégories de destinataires auxquels ces données de base sont communiquées ainsi que sur le contenu de ces dernières et porte donc sur le traitement des données de base. Conformément à la législation nationale en cause au principal, cette information n’est conservée que pendant un an.
44      La limitation dans le temps du droit d’accès à l’information sur le ou les destinataires des données à caractère personnel ainsi que sur le contenu des données transmises, qui est visée dans l’affaire au principal, concerne ainsi cette seconde catégorie de données.
45      Afin de déterminer si l’article 12, sous a), de la directive autorise ou non une telle limitation dans le temps, il convient d’interpréter cet article au regard de sa finalité examinée à la lumière des objectifs de la directive.
46      Selon l’article 1er de la directive, l’objet de celle-ci est de protéger les libertés et les droits fondamentaux des personnes physiques, notamment leur vie privée, à l’égard du traitement de données à caractère personnel et de permettre ainsi la libre circulation de ces données entre les États membres.
47      L’importance de la protection de la vie privée est mise en exergue aux deuxième et dixième considérants de la directive et soulignée dans la jurisprudence de la Cour (voir, en ce sens, arrêts précités Österreichischer Rundfunk e.a., point 70, et Lindqvist, points 97 et 99, ainsi que arrêts du 29 janvier 2008, Promusicae, C‑275/06, Rec. p. I‑271, point 63, et du 16 décembre 2008, Satakunnan Markkinapörssi et Satamedia, C‑73/07, non encore publié au Recueil, point 52).
48      Par ailleurs, ainsi qu’il découle du vingt-cinquième considérant de la directive, les principes de cette protection doivent trouver leur expression, d’une part, dans les obligations mises à la charge de ceux qui traitent des données, ces obligations concernant, notamment, la qualité des données – objet de l’article 6 de la directive – et, d’autre part, dans les droits conférés aux personnes dont les données font l’objet d’un traitement d’être informées sur celui-ci, de pouvoir accéder à ces données, de pouvoir demander leur rectification, voire de s’opposer à leur traitement dans certaines circonstances.
49      Ce droit au respect de la vie privée implique que la personne concernée puisse s’assurer que ses données à caractère personnel sont traitées de manière exacte et licite, c’est-à-dire, en particulier, que les données de base la concernant sont exactes et qu’elles sont adressées à des destinataires autorisés. Ainsi qu’il est énoncé au quarante et unième considérant de la directive, afin de pouvoir effectuer les vérifications nécessaires, la personne concernée doit disposer d’un droit d’accès aux données la concernant qui font l’objet d’un traitement.
50      À cet égard, l’article 12, sous a), de la directive prévoit un droit d’accès aux données de base ainsi qu’à l’information sur les destinataires ou les catégories de destinataires auxquels ces données sont communiquées.
51      Ce droit d’accès est nécessaire pour permettre à la personne concernée d’exercer les droits visés à l’article 12, sous b) et c), de la directive, à savoir, dans le cas où le traitement de ses données ne serait pas conforme à cette directive, celui d’obtenir que le responsable du traitement rectifie, efface ou verrouille ses données [sous b)] ou qu’il notifie aux tiers auxquels les données ont été communiquées ces rectification, effacement ou verrouillage, si cela ne s’avère pas impossible ou ne présuppose pas un effort disproportionné [sous c)].
52      Ce droit d’accès est également nécessaire pour permettre à la personne concernée d’exercer le droit d’opposition au traitement de ses données à caractère personnel visé à l’article 14 de la directive ou le droit de recours en cas de dommage subi prévu aux articles 22 et 23 de celle-ci.
53      S’agissant du droit d’accès à l’information sur les destinataires ou les catégories de destinataires des données de base ainsi que sur le contenu des données communiquées, la directive ne précise pas si ce droit concerne le passé ni, le cas échéant, la période visée dans le passé.
54      À cet égard, il convient de constater que, pour assurer l’effet utile des dispositions visées aux points 51 et 52 du présent arrêt, ce droit doit nécessairement concerner le passé. En effet, si tel n’était pas le cas, la personne intéressée ne serait pas en mesure d’exercer de manière efficace son droit de faire rectifier, effacer ou verrouiller les données présumées illicites ou incorrectes ainsi que d’introduire un recours juridictionnel et d’obtenir la réparation du préjudice subi.
55      La question se pose de savoir quelle est l’étendue de ce droit dans le passé.
56      La Cour a déjà jugé que les dispositions de la directive sont relativement générales étant donné que celle-ci doit s’appliquer à un grand nombre de situations très diverses et que la directive contient des règles caractérisées par une certaine souplesse laissant dans de nombreux cas aux États membres le soin d’arrêter les détails ou de choisir parmi des options (voir arrêt Lindqvist, précité, point 83). La Cour a ainsi reconnu que les États membres disposaient à maints égards d’une marge de manœuvre en vue de la transposition de la directive (voir arrêt Lindqvist, précité, point 84). Cette marge de manœuvre, laquelle se vérifie s’agissant de la transposition de l’article 12, sous a), de la directive, n’est toutefois pas illimitée.
57      L’établissement d’un délai relatif au droit d’accès à l’information sur les destinataires ou les catégories de destinataires et le contenu des données communiquées doit permettre à la personne concernée d’exercer les différents droits prévus par la directive et rappelés aux points 51 et 52 du présent arrêt.
58      La durée de conservation des données de base peut constituer un paramètre utile sans toutefois être déterminant.
59      En effet, le champ d’application de la directive est très large, ainsi que la Cour l’a déjà reconnu (voir arrêts précités Österreichischer Rundfunk e.a., point 43, ainsi que Lindqvist, point 88), et les données à caractère personnel visées par la directive sont variées. La durée de conservation de ces dernières, définie aux termes de l’article 6, paragraphe 1, sous e), de la directive en fonction des finalités pour lesquelles elles sont collectées ou ultérieurement traitées, peut donc être différente. Lorsque la durée de conservation des données de base est très longue, l’intérêt de la personne concernée d’exercer les voies d’intervention et de recours mentionnées au point 57 du présent arrêt, peut, dans certains cas, diminuer. Si, par exemple, les destinataires de telles données sont nombreux ou la fréquence de communications à un nombre plus restreint de destinataires est élevée, l’obligation de conserver aussi longtemps l’information sur les destinataires ou les catégories de destinataires ainsi que sur le contenu des données communiquées pourrait représenter une charge excessive pour le responsable du traitement.
60      Or, la directive n’exige pas des États membres qu’ils imposent de telles charges au responsable du traitement.
61      Ainsi, l’article 12, sous c), de la directive prévoit expressément une réserve à l’obligation de ce dernier de notifier aux tiers auxquels les données ont été communiquées les rectification, effacement ou verrouillage, à savoir lorsque cela s’avère impossible ou suppose un effort disproportionné.
62      Selon d’autres passages de la directive, il peut être tenu compte du caractère disproportionné que certaines mesures pourraient revêtir. S’agissant de l’obligation d’informer la personne concernée, le quarantième considérant de la directive énonce que le nombre des personnes concernées ainsi que l’ancienneté des données peuvent être prises en compte. Par ailleurs, selon l’article 17 de la directive relatif à la sécurité des traitements, les États membres prévoient que le responsable du traitement doit mettre en œuvre des mesures techniques et d’organisation destinées à assurer un niveau de sécurité approprié au regard des risques présentés par le traitement et de la nature des données à protéger, compte tenu de l’état de l’art et des coûts liés à leur mise en œuvre.
63      Des considérations analogues sont pertinentes s’agissant de l’établissement d’un délai relatif au droit d’accès à l’information sur les destinataires ou les catégories de destinataires ainsi que sur le contenu des données communiquées. En sus des considérations rappelées au point 57 du présent arrêt, plusieurs paramètres peuvent ainsi être pris en considération par les États membres, notamment les dispositions de droit national applicables en matière de délai pour introduire un recours, la nature plus ou moins sensible des données de base, la durée de conservation de ces données et le nombre des destinataires concernés.
64      Il appartient ainsi aux États membres de fixer un délai de conservation de l’information sur les destinataires ou les catégories de destinataires et le contenu des données communiquées et de prévoir un accès à cette information qui constituent un juste équilibre entre, d’une part, l’intérêt de la personne concernée à protéger sa vie privée, notamment au moyen des droits de rectification, d’effacement et de verrouillage des données, en cas de non-conformité du traitement de celles-ci avec la directive, ainsi que des droits d’opposition et d’introduction d’un recours juridictionnel et, d’autre part, la charge que l’obligation de conserver cette information représente pour le responsable du traitement.
65      Par ailleurs, lors de la fixation de ce délai, il convient de tenir compte également des obligations, découlant de l’article 6, sous e), de la directive, de prévoir que les données à caractère personnel doivent être conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement.
66      En l’occurrence, une réglementation limitant la conservation de l’information sur les destinataires ou les catégories de destinataires des données et le contenu des données transmises à une durée d’un an et limitant corrélativement l’accès à cette information, alors que les données de base sont conservées beaucoup plus longtemps, ne constitue pas un juste équilibre des intérêt et obligation en cause, à moins qu’il ne soit démontré qu’une conservation plus longue de cette information constituerait une charge excessive pour le responsable du traitement. Il appartient toutefois au juge national d’effectuer les vérifications nécessaires à la lumière des considérations mentionnées aux points précédents.
67      Eu égard aux considérations qui précèdent, l’argument de certains États membres, selon lequel l’application des articles 10 et 11 de la directive rendrait superflu l’octroi pour le passé d’un droit d’accès à l’information sur les destinataires ou les catégories de destinataires visé à l’article 12, sous a), de la directive, ne saurait être retenu.
68      En effet, il y a lieu de constater que ces articles 10 et 11 imposent des obligations au responsable du traitement ou à son représentant d’informer la personne concernée, dans certaines conditions, notamment des destinataires ou catégories de destinataires des données. Le responsable du traitement ou son représentant doivent d’eux-mêmes communiquer cette information à la personne concernée, notamment au moment de la collecte des données ou, si les données ne sont pas collectées directement auprès de cette personne, au moment de l’enregistrement des données ou, éventuellement, au moment de la communication à un tiers de ces données.
69      Ces dispositions visent ainsi à imposer des obligations distinctes de celles découlant de l’article 12, sous a), de la directive. Par conséquent, elles ne réduisent aucunement l’obligation faite aux États membres de prévoir que le responsable du traitement est tenu de donner accès à la personne concernée à l’information sur les destinataires ou les catégories de destinataires ainsi que sur les données communiquées lorsque cette personne décide d’exercer le droit d’accès qui lui est conféré en vertu de cet article 12, sous a). Les États membres doivent adopter des mesures transposant, d’une part, les dispositions des articles 10 et 11 de la directive sur l’obligation d’informer et, d’autre part, celles de l’article 12, sous a), de la directive, sans que les premières puissent atténuer les obligations découlant des secondes.
70      Il y a lieu, dès lors, de répondre à la question posée de la manière suivante:
–        L’article 12, sous a), de la directive impose aux États membres de prévoir un droit d’accès à l’information sur les destinataires ou les catégories de destinataires des données ainsi qu’au contenu de l’information communiquée non seulement pour le présent, mais aussi pour le passé. Il appartient aux États membres de fixer un délai de conservation de cette information ainsi qu’un accès corrélatif à celle-ci qui constituent un juste équilibre entre, d’une part, l’intérêt de la personne concernée à protéger sa vie privée, notamment au moyen des voies d’intervention et de recours prévus par la directive et, d’autre part, la charge que l’obligation de conserver cette information représente pour le responsable du traitement.
–        Une réglementation limitant la conservation de l’information sur les destinataires ou les catégories de destinataires des données et le contenu des données transmises à une durée d’un an et limitant corrélativement l’accès à cette information, alors que les données de base sont conservées beaucoup plus longtemps, ne saurait constituer un juste équilibre des intérêt et obligation en cause, à moins qu’il ne soit démontré qu’une conservation plus longue de cette information constituerait une charge excessive pour le responsable du traitement. Il appartient à la juridiction nationale d’effectuer les vérifications nécessaires.
Sur les dépens
71      La procédure revêtant, à l’égard des parties au principal, le caractère d’un incident soulevé devant la juridiction de renvoi, il appartient à celle-ci de statuer sur les dépens. Les frais exposés pour soumettre des observations à la Cour, autres que ceux desdites parties, ne peuvent faire l’objet d’un remboursement.
Par ces motifs, la Cour (troisième chambre) dit pour droit:
L’article 12, sous a), de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, impose aux États membres de prévoir un droit d’accès à l’information sur les destinataires ou les catégories de destinataires des données ainsi qu’au contenu de l’information communiquée non seulement pour le présent, mais aussi pour le passé. Il appartient aux États membres de fixer un délai de conservation de cette information ainsi qu’un accès corrélatif à celle-ci qui constituent un juste équilibre entre, d’une part, l’intérêt de la personne concernée à protéger sa vie privée, notamment au moyen des voies d’intervention et de recours prévus par la directive 95/46, et, d’autre part, la charge que l’obligation de conserver cette information représente pour le responsable du traitement.
Une réglementation limitant la conservation de l’information sur les destinataires ou les catégories de destinataires des données et le contenu des données transmises à une durée d’un an et limitant corrélativement l’accès à cette information, alors que les données de base sont conservées beaucoup plus longtemps, ne saurait constituer un juste équilibre des intérêt et obligation en cause, à moins qu’il ne soit démontré qu’une conservation plus longue de cette information constituerait une charge excessive pour le responsable du traitement. Il appartient à la juridiction nationale d’effectuer les vérifications nécessaires.
Signatures
* Langue de procédure: le néerlandais.