À cet égard, le droit à la protection des données à caractère personnel consacré par l’article 8 de la charte des droits fondamentaux de l’Union européenne étant développé par le règlement no 45/2001, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données, en ce qui concerne les actes des institutions et des organes de l’Union et par les dispositions d’application dudit règlement adoptées par chaque institution, ces différentes dispositions ont pour objet de conférer des droits aux particuliers. Dès lors, elles peuvent être invoquées par un requérant dans le cadre de son recours en indemnité.

En matière de responsabilité non contractuelle de l’Union, la condition du comportement illégal des institutions de l’Union requiert la violation suffisamment caractérisée d’une règle de droit ayant pour objet de conférer des droits aux particuliers. Le critère décisif pour considérer qu’une violation du droit de l’Union est suffisamment caractérisée est celui de la méconnaissance manifeste et grave, par une institution de l’Union, des limites qui s’imposent à son pouvoir d’appréciation.

Il convient de donner à l’expression « données relatives à la santé », figurant à l’article 10, paragraphe 1, du règlement no 45/2001, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données, une interprétation large, de sorte qu’elle comprenne des informations concernant tous les aspects, tant physiques que psychiques, de la santé d’une personne. Cependant, cette notion ne peut pas être élargie jusqu’à englober des expressions n’entraînant la divulgation d’aucune donnée relative à la santé ou à la condition médicale d’une personne.

Étant donné que l’article 2, sous h), du règlement no 45/2001, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données, n’impose aucune condition quant à la forme du consentement d’une personne à un traitement de données à caractère personnel, le dépôt d’une pétition au Parlement européen peut être regardé comme une manifestation de volonté par la personne concernée.

En effet, une lecture attentive des informations fournies par le Parlement sur son site Internet concernant la publicité de la pétition aurait dû permettre à un pétitionnaire raisonnablement attentif d’apprécier la portée de son action et les conséquences de celle-ci. À cet égard, s’agissant d’une pétition visant le fait qu’une institution de l’Union n’a pas dûment pris en compte, aux fins de sa carrière, l’état de santé du pétitionnaire fonctionnaire de l’Union et celui de son fils, cette manifestation de volonté est spécifique dès lors que le Parlement a informé le pétitionnaire, au moment du dépôt, du fait que sa plainte serait accessible sur Internet, et que ce dernier a donné son consentement explicite en cochant les cases d’un formulaire relatives au traitement public et à l’inscription sur un registre accessible sur Internet, sans que son consentement doive être déduit implicitement d’une action quelconque. Dans ces conditions, il y a lieu de considérer que le pétitionnaire a donné son consentement explicite à la divulgation d’informations sensibles relatives à sa santé, au sens de l’article 10, paragraphe 2, sous a), du règlement no 45/2001. Ces considérations s’appliquent mutatis mutandis au traitement des données personnelles autres que les données personnelles sensibles du pétitionnaire.

Par ailleurs, en ce qui concerne les données personnelles ne figurant pas parmi celles mentionnées à l’article 10, paragraphe 1, du règlement no 45/2001, telles que celles relatives à la carrière du pétitionnaire, leur traitement est soumis au régime prévu à l’article 5 dudit règlement. Aux termes de l’article 5, sous d), de ce règlement, le traitement peut être effectué, notamment, lorsque la personne concernée a indubitablement donné son consentement. En d’autres termes, le traitement peut être effectué lorsque la personne concernée a donné son consentement avec certitude et sans ambiguïté. À cet égard, alors que l’article 10, paragraphe 2, sous a), du règlement no 45/2001 requiert que le consentement soit explicite, l’article 5, sous d), dudit règlement exige un consentement indubitablement donné. Il est logique de considérer, compte tenu de la nature des données personnelles sensibles, que les conditions requises pour le consentement au sens de l’article 5, sous d), du règlement no 45/2001 ne peuvent pas être plus strictes que celles prévues à l’article 10, paragraphe 2, sous a), dudit règlement.

(cf. points 59, 70, 74, 76-79)