CONCLUSIONS DE L’AVOCAT GÉNÉRAL

MME ELEANOR SHARPSTON

présentées le 17 juin 2010 ( )

Affaires jointes C‑92/09 et C‑93/09

Volker und Markus Schecke GbR (affaire C-92/09)

contre

Land Hessen

[demande de décision préjudicielle formée par le Verwaltungsgericht Wiesbaden (Allemagne)]

«Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Publication des informations relatives aux bénéficiaires du Fonds européen agricole de garantie et du Fonds européen agricole pour le développement rural – Validité des dispositions du droit communautaire prévoyant cette publication et fixant les modalités de celle-ci»

Hartmut Eifert (affaire C-93/09)

contre

Land Hessen

[demande de décision préjudicielle formée par le Verwaltungsgericht Wiesbaden (Allemagne)]

«Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Publication des informations relatives aux bénéficiaires du Fonds européen agricole de garantie et du Fonds européen agricole pour le développement rural – Validité des dispositions du droit communautaire prévoyant cette publication et fixant les modalités de celle-ci»

1. Considérée à l’aune du budget de l’Union européenne, la politique agricole commune (ci-après la «PAC») est la politique communautaire la plus importante de l’Union depuis plus de 40 ans. En 1984, la PAC représentait plus de 71 % des dépenses et l’on estime qu’elle se situe aujourd’hui à approximativement 40 %, ce qui en fait toujours le poste le plus important du budget.

2. Cette demande de décision préjudicielle déférée par le Verwaltungsgericht Wiesbaden (tribunal administratif, Allemagne) conteste la validité de la législation de l’Union européenne (ci-après l’«UE»), qui impose la divulgation des montants provenant des fonds de la PAC octroyés aux exploitants agricoles, ainsi que de leurs noms, de leur municipalité de résidence et, le cas échéant, de leur code postal. Cette affaire soulève des difficultés constitutionnelles importantes en droit de l’Union: en substance, il s’agit de savoir si l’objectif de transparence dans la gestion des deniers de la PAC peut, en principe, prévaloir sur le droit fondamental des personnes physiques au respect de leur vie privée et de leurs données à caractère personnel et, dans l’affirmative, où se situe le juste milieu entre les deux.

Cadre juridique

Les droits fondamentaux

La convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales ( )

3. L’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales (ci-après la «CEDH») dispose:

«1. Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance.

2. Il ne peut y avoir ingérence d’une autorité publique dans l’exercice de ce droit que pour autant que cette ingérence est prévue par la loi et qu’elle constitue une mesure qui, dans une société démocratique, est nécessaire à la sécurité nationale, à la sûreté publique, au bien-être économique du pays, à la défense de l’ordre et à la prévention des infractions pénales, à la protection de la santé ou de la morale, ou à la protection des droits et libertés d’autrui.»

4. En complément de cette disposition, le Conseil de l’Europe a approuvé, le 28 janvier 1981, la convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel (ci-après la «convention nº 108»). L’article 1er de la convention nº 108 décrit l’objet et la finalité de la convention dans ces termes: «[l]e but de la présente Convention est de garantir […] à toute personne physique […] le respect de ses droits et de ses libertés fondamentales, et notamment de son droit à la vie privée, à l’égard du traitement automatisé des données à caractère personnel la concernant» ( ).

La charte des droits fondamentaux de l’Union européenne ( )

5. L’article 7 de la charte affirme: «[t]oute personne a droit au respect de sa vie privée et familiale, de son domicile et de ses communications.»

6. L’article 8 énonce:

«1. Toute personne a droit à la protection des données à caractère personnel la concernant.

2. Ces données doivent être traitées loyalement, à des fins déterminées et sur la base du consentement de la personne concernée ou en vertu d’un autre fondement légitime prévu par la loi. Toute personne a le droit d’accéder aux données collectées la concernant et d’en obtenir la rectification.

3. Le respect de ces règles est soumis au contrôle d’une autorité indépendante.»

7. L’article 52 de la charte fixe les conditions régissant toute atteinte ou dérogation aux droits garantis par la charte. Il dispose notamment:

«1. Toute limitation de l’exercice des droits et libertés reconnus par la présente Charte doit être prévue par la loi et respecter le contenu essentiel desdits droits et libertés. Dans le respect du principe de proportionnalité, des limitations ne peuvent être apportées que si elles sont nécessaires et répondent effectivement à des objectifs d’intérêt général reconnus par l’Union ou au besoin de protection des droits et libertés d’autrui.

[…]

3. Dans la mesure où la présente Charte contient des droits correspondant à des droits garantis par la [CEDH], leur sens et leur portée sont les mêmes que ceux que leur confère ladite convention. Cette disposition ne fait pas obstacle à ce que le droit de l’Union accorde une protection plus étendue.»

8. L’article 6, paragraphe 1, TUE énonce que les droits, les libertés et les principes énoncés dans la charte «[ont] la même valeur juridique que les traités».

La protection des données

La directive 95/46/CE ( )

9. Le premier considérant rappelle que:

«[…] les objectifs de la Communauté, énoncés dans le traité, tel que modifié par le traité sur l’Union européenne, consistent à […] promouvoir la démocratie en se fondant sur les droits fondamentaux reconnus dans les Constitutions et les lois des États membres, ainsi que dans la [CEDH]».

10. Les dixième, onzième et douzième considérants déclarent que l’objet de la directive est d’assurer un haut niveau de protection des droits fondamentaux:

«(10) […] l’objet des législations nationales relatives au traitement des données à caractère personnel est d’assurer le respect des droits et libertés fondamentaux, notamment du droit à la vie privée reconnu également dans l’article 8 de la [CEDH] et dans les principes généraux du droit communautaire; […] pour cette raison, le rapprochement de ces législations ne doit pas conduire à affaiblir la protection qu’elles assurent, mais doit, au contraire, avoir pour objectif de garantir un niveau élevé de protection dans la Communauté;

(11) […] les principes de la protection des droits et des libertés des personnes, notamment du droit à la vie privée, contenus dans la présente directive précisent et amplifient ceux qui sont contenus dans la [convention nº 108];

(12) […] les principes de la protection doivent s’appliquer à tout traitement de données à caractère personnel dès lors que les activités du responsable du traitement relèvent du champ d’application du droit communautaire […]»

11. Le vingt-huitième considérant affirme que le traitement de données à caractère personnel doit être proportionné: «[…] tout traitement de données à caractère personnel doit être effectué licitement et loyalement à l’égard des personnes concernées; […] il doit, en particulier, porter sur des données adéquates, pertinentes et non excessives au regard des finalités poursuivies; […] ces finalités doivent être explicites et légitimes et doivent être déterminées lors de la collecte des données; […] les finalités des traitements ultérieurs à la collecte ne peuvent pas être incompatibles avec les finalités telles que spécifiées à l’origine […]».

12. Les trentième et trente-troisième considérants déclarent:

«(30)[…] pour être licite, un traitement de données à caractère personnel doit en outre être fondé sur le consentement de la personne concernée ou être nécessaire à la conclusion ou à l’exécution d’un contrat liant la personne concernée, ou au respect d’une obligation légale, ou à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique, ou encore à la réalisation d’un intérêt légitime d’une personne à condition que ne prévalent pas l’intérêt ou les droits et libertés de la personne concernée;

[…]

(33) […] les données qui sont susceptibles par leur nature de porter atteinte aux libertés fondamentales ou à la vie privée ne devraient pas faire l’objet d’un traitement, sauf consentement explicite de la personne concernée; […] cependant, des dérogations à cette interdiction doivent être expressément prévues pour répondre à des besoins spécifiques, en particulier lorsque le traitement de ces données est mis en œuvre à certaines fins relatives à la santé par des personnes soumises à une obligation de secret professionnel ou pour la réalisation d’activités légitimes par certaines associations ou fondations dont l’objet est de permettre l’exercice de libertés fondamentales;

[…]»

13. L’article 1er, paragraphe 1, de la directive 95/46 dispose: «[l]es États membres assurent […] la protection des libertés et droits fondamentaux des personnes physiques, notamment de leur vie privée, à l’égard du traitement des données à caractère personnel».

14. L’article 2 définit respectivement les «données à caractère personnel», le «traitement des données à caractère personnel» et le «consentement de la personne concernée» comme suit:

«[…] on entend par:

a) ‘données à caractère personnel’: toute information concernant une personne physique identifiée ou identifiable (personne concernée); est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d’identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale;

b) ‘traitement de données à caractère personnel’ (traitement): toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction;

h) ‘consentement de la personne concernée’: toute manifestation de volonté, libre, spécifique et informée par laquelle la personne concernée accepte que des données à caractère personnel la concernant fassent l’objet d’un traitement.»

15. L’article 7 dispose que le traitement de données à caractère personnel ne peut être effectué que si certaines conditions sont remplies, à savoir que la personne concernée a indubitablement donné son consentement [article 7, sous a)] ou que ce traitement est «nécessaire» à la réalisation d’un ou de plusieurs objectifs listés de manière exhaustive. Parmi ceux-ci, seuls deux sont potentiellement pertinents en l’espèce:

«c) [le traitement] est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis;

[…]

e) [le traitement] est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique, dont est investi le responsable du traitement [( )] ou le tiers auquel les données sont communiquées; […]»

16. L’article 18 dispose:

«1. Les États membres prévoient que le responsable du traitement, ou le cas échéant son représentant, doit adresser une notification à l’autorité de contrôle visée à l’article 28 [( )] préalablement à la mise en œuvre d’un traitement entièrement ou partiellement automatisé ou d’un ensemble de tels traitements ayant une même finalité ou des finalités liées.

2. Les États membres ne peuvent prévoir de simplification de la notification ou de dérogation à cette obligation que dans les cas et aux conditions suivants:

– lorsque, pour les catégories de traitement qui, compte tenu des données à traiter, ne sont pas susceptibles de porter atteinte aux droits et libertés des personnes concernées, ils précisent les finalités des traitements, les données ou catégories de données traitées, la ou les catégories de personnes concernées, les destinataires ou catégories de destinataires auxquels les données sont communiquées et la durée de conservation des données

et/ou

– lorsque le responsable du traitement désigne, conformément au droit national auquel il est soumis, un détaché à la protection des données à caractère personnel chargé notamment:

– d’assurer, d’une manière indépendante, l’application interne des dispositions nationales prises en application de la présente directive,

– de tenir un registre des traitements effectués par le responsable du traitement, contenant les informations visées à l’article 21, paragraphe 2,

et garantissant de la sorte que les traitements ne sont pas susceptibles de porter atteinte aux droits et libertés des personnes concernées.

[…]»

17. L’article 20 dispose:

«1. Les États membres précisent les traitements susceptibles de présenter des risques particuliers au regard des droits et libertés des personnes concernées et veillent à ce que ces traitements soient examinés avant leur mise en œuvre.

2. De tels examens préalables sont effectués par l’autorité de contrôle après réception de la notification du responsable du traitement ou par le détaché à la protection des données, qui, en cas de doute, doit consulter l’autorité de contrôle.

3. Les États membres peuvent aussi procéder à un tel examen dans le cadre de l’élaboration soit d’une mesure du Parlement national, soit d’une mesure fondée sur une telle mesure législative, qui définisse la nature du traitement et fixe des garanties appropriées.»

18. L’article 21, paragraphe 2, dispose que les États membres doivent s’assurer que l’autorité de contrôle tient un registre des traitements notifiés en vertu de l’article 18.

La directive 2006/24/CE ( )

19. L’article 1er, paragraphe 1, de la directive 2006/24 énonce que «[la] […] directive a pour objectif d’harmoniser les dispositions des États membres relatives aux obligations des fournisseurs de services de communications électroniques accessibles au public ou de réseaux publics de communications en matière de conservation de certaines données qui sont générées ou traitées par ces fournisseurs, en vue de garantir la disponibilité de ces données à des fins de recherche, de détection et de poursuite d’infractions graves telles qu’elles sont définies par chaque État membre dans son droit interne».

20. L’article 1er, paragraphe 2, prévoit que la directive s’applique aux données relatives au trafic et aux données de localisation concernant tant les entités juridiques que les personnes physiques, ainsi qu’aux données connexes nécessaires pour identifier l’abonné ou l’utilisateur enregistré ( ).

21. L’article 3 impose aux États membres de prendre des mesures pour garantir que certaines catégories de données (visées à l’article 5) soient conservées conformément aux dispositions de la directive. Celles-ci incluent les données nécessaires pour retrouver et identifier la source d’une communication, en ce qui concerne, notamment, l’accès à Internet [article 5, paragraphe 1, sous a), point 2]. Les données conservées ne sont transmises qu’aux autorités nationales compétentes, dans des cas précis et conformément au droit interne, sous réserve des garanties appropriées (incluant le respect de la CEDH) (article 4).

22. L’article 6 dispose: «Les États membres veillent à ce que les catégories de données visées à l’article 5 soient conservées pour une durée minimale de six mois et maximale de deux ans à compter de la date de la communication».

L’initiative européenne en matière de transparence

23. En lançant l’initiative européenne en matière de transparence (ci-après l’«IET») en 2005, la Commission européenne a souligné l’importance d’un «niveau élevé de transparence» afin de veiller à ce que l’Union «se prête à un contrôle public et rende compte du travail qu’elle accomplit» ( ). La Commission a défini l’un des principaux domaines d’action comme étant celui permettant un «meilleur contrôle de l’utilisation des fonds de l’Union […]» ( ).

Le règlement financier ( )

24. Le règlement financier met expressément l’accent sur l’importance de la transparence dans la gestion du budget général.

25. Le troisième considérant reconnaît que la transparence constitue un principe fondamental. Le douzième considérant déclare ensuite que, «s’agissant […] du principe de transparence, il convient d’assurer une meilleure information sur l’exécution du budget et la comptabilité».

26. Dans le cadre de l’initiative visant à améliorer la transparence, l’article 30, paragraphe 3, dispose:

«La Commission communique de manière appropriée les informations qu’elle détient sur les bénéficiaires de fonds en provenance du budget lorsque le budget est exécuté de manière centralisée et directe dans ses services et les informations sur les bénéficiaires de fonds fournies par les entités auxquelles les tâches d’exécution du budget sont déléguées dans le cadre d’autres modes de gestion.

Ces informations sont communiquées dans le respect des exigences de confidentialité, en particulier de protection des données à caractère personnel énoncées dans la [directive 95/46 ( )] et dans le [règlement (CE) n° 45/2001 ( )], et des exigences de sécurité, en tenant compte des particularités de chaque mode de gestion décrit à l’article 53 et, le cas échéant, conformément à la réglementation sectorielle pertinente.»

27. L’article 53 ter, paragraphe 2, sous d), prévoit que les États membres doivent «assurer, par le biais des réglementations sectorielles pertinentes et conformément à l’article 30, paragraphe 3, une publication annuelle a posteriori des noms des bénéficiaires des fonds en provenance du budget».

Le financement de la PAC

Le règlement (CE) nº 1290/2005 du Conseil ( )

28. Le règlement nº 1290/2005 fixe les règles essentielles de la gestion financière de la PAC et institue deux fonds, le Fonds européen agricole de garantie (FEAGA) et le Fonds européen agricole pour le développement rural (Feader) ( ).

29. Le trente-sixième considérant reconnaît que, «[é]tant donné que des données personnelles ou des secrets commerciaux peuvent être communiqués dans le cadre de l’application des systèmes de contrôles nationaux et de l’apurement de conformité, il convient que les États membres et la Commission assurent la confidentialité de l’information reçue dans ce contexte».

30. L’article 1er du règlement nº 1290/2005 expose que ce dernier a pour objet de fixer «[…] les conditions et règles spécifiques applicables au financement des dépenses relevant de la politique agricole commune, y compris celles du développement rural».

31. L’article 2 institue le FEAGA et le Feader et prévoit que ces fonds relèveront tous deux du budget général de l’Union européenne.

32. Les articles 6, 7 et 11 prévoient que les paiements sont versés aux bénéficiaires par les organismes payeurs, qui sont des services ou des organismes des États membres. Les organismes payeurs doivent s’assurer que les demandes d’aides satisfont aux conditions arrêtées par les dispositions en vertu desquelles elles sont accordées.

33. L’article 9 impose à la Commission et aux États membres des obligations visant à assurer une protection efficace des intérêts financiers de la Communauté ( ).

34. L’article 44 prévoit: «Les États membres et la Commission prennent toutes les mesures nécessaires pour assurer la confidentialité des informations communiquées ou obtenues dans le cadre des actions de contrôle et d’apurement des comptes effectuées en application du présent règlement.

Les principes visés à l’article 8 du règlement (Euratom, CE) nº 2185/96 du Conseil […] [( )] s’appliquent à ces informations».

35. Le règlement nº 1290/2005 a été modifié par le règlement (CE) nº 1437/2007 ( ). L’objet de cette modification est expliqué aux douzième à quatorzième considérants du préambule du règlement, comme suit:

«(12) Il importe de clarifier la base juridique pour l’adoption des modalités d’application du règlement (CE) n° 1290/2005. Il convient, en particulier, que la Commission puisse adopter des modalités d’application en ce qui concerne la publication d’informations relatives aux bénéficiaires de la politique agricole commune, les interventions pour lesquelles il n’a pas été défini de montant unitaire forfaitaire dans le cadre d’une organisation commune de marchés et les crédits reportés en vue de financer les paiements directs aux agriculteurs prévus dans le cadre de la politique agricole commune.

(13) Dans le cadre de la révision du règlement […] n° 1605/2002 […], les dispositions relatives à la publication annuelle a posteriori des noms des bénéficiaires de fonds en provenance du budget ont été ajoutées aux fins de la mise en œuvre de l’initiative européenne en matière de transparence. Les modalités de cette publication feront l’objet de réglementations sectorielles. Le FEAGA et le Feader relèvent tous deux du budget général des Communautés européennes et financent des dépenses en gestion partagée entre les États membres et la Communauté. Il y a donc lieu d’établir les règles régissant la publication des informations relatives aux bénéficiaires de ces fonds. Il convient à cette fin que les États membres assurent la publication annuelle a posteriori des noms des bénéficiaires ainsi que des montants reçus par chaque bénéficiaire au titre de chacun de ces fonds.

(14) Le fait de mettre ces informations à la disposition du public accroît la transparence de l’utilisation des fonds communautaires dans le cadre de la politique agricole commune et améliore la bonne gestion financière de ces fonds, notamment en renforçant le contrôle public de l’utilisation des sommes concernées. Compte tenu de l’importance primordiale des objectifs poursuivis, il est justifié, conformément au principe de proportionnalité et aux exigences relatives à la protection des données à caractère personnel, de prévoir la publication générale des informations pertinentes, étant donné que cette disposition ne va pas au-delà de ce qui est nécessaire dans une société démocratique et aux fins de la prévention des irrégularités. Compte tenu de l’avis du Contrôleur européen de la protection des données [( )], il convient de prévoir que les bénéficiaires de fonds soient informés du fait que les données en question peuvent être rendues publiques et qu’elles peuvent être traitées par les organes compétents en matière d’audit et d’enquête.»

36. Les deux modifications pertinentes en l’espèce figurent aux articles 42, point 8 ter, et 44 bis.

37. L’article 42 autorise la Commission à adopter des mesures pour mettre en œuvre le règlement nº 1290/2005. Le point 8 ter énonce plus précisément que la Commission adopte:

«les modalités concernant la publication des informations relatives aux bénéficiaires visée à l’article 44 bis et les aspects pratiques relatifs à la protection des individus eu égard au traitement de leurs données personnelles, conformément à la législation communautaire relative à la protection des données. Ces modalités garantissent notamment que les bénéficiaires de fonds sont informés du fait que les données en question peuvent être rendues publiques et qu’elles peuvent être traitées par les organes compétents en matière d’audit et d’enquête aux fins de la protection des intérêts financiers des Communautés, et précisent le moment opportun pour cette information».

38. L’article 44 bis prévoit:

«Conformément à l’article 53 ter, paragraphe 2, point d), du règlement (CE, Euratom) nº 1605/2002, les États membres assurent la publication annuelle a posteriori des noms des bénéficiaires du FEAGA et du Feader ainsi que des montants reçus par chaque bénéficiaire au titre de chacun de ces Fonds.

Ces informations comprennent au minimum:

a) dans le cas du FEAGA, l’indication du montant concerné, ventilé en paiements directs au sens de l’article 2, point d), du règlement (CE) n° 1782/2003 et autres dépenses;

b) dans le cas du Feader, le montant total du financement public par bénéficiaire.»

Le règlement (CE) n° 259/2008 de la Commission ( )

39. Le préambule confirme que le règlement a été adopté après consultation du Contrôleur européen de la protection des données ( ).

40. Le deuxième considérant expose que la publication vise à accroître la transparence de l’utilisation des fonds européens et à contribuer à leur bonne gestion financière.

41. Le troisième considérant déclare que, afin d’atteindre cet objectif, «[…] il y a lieu de définir les prescriptions minimales applicables au contenu de la publication. Il convient que ces prescriptions n’aillent pas au-delà de ce qui est nécessaire, dans une société démocratique, pour atteindre les objectifs poursuivis».

42. Le cinquième considérant admet que, «[…] [l]’objectif de transparence ne nécessitant pas que les informations restent disponibles indéfiniment, il y a lieu de fixer une période raisonnable pendant laquelle les informations publiées seront disponibles».

43. Le sixième considérant expose que «[l]e fait de mettre ces informations à la disposition du public accroît la transparence de l’utilisation des fonds communautaires dans le cadre de la politique agricole commune et améliore la bonne gestion financière de ces fonds, notamment en renforçant le contrôle public de l’utilisation des sommes concernées. Compte tenu de l’importance primordiale des objectifs poursuivis, il est justifié, conformément au principe de proportionnalité et aux exigences relatives à la protection des données à caractère personnel, de prévoir la publication générale des informations pertinentes, étant donné que cette disposition ne va pas au-delà de ce qui est nécessaire dans une société démocratique et aux fins de la prévention des irrégularités».

44. L’article 1er, paragraphe 1, du règlement n° 259/2008 prévoit que les informations publiées concernant les bénéficiaires des fonds doivent inclure les éléments suivants:

«a) le prénom et le nom, lorsque les bénéficiaires sont des personnes physiques;

b) le nom légal complet tel qu’il a été enregistré, lorsque les bénéficiaires sont des personnes morales;

c) le nom complet de l’association tel qu’il a été enregistré ou officiellement reconnu, lorsque les bénéficiaires sont des associations de personnes physiques ou morales sans personnalité juridique propre;

d) la municipalité dans laquelle le bénéficiaire réside ou est enregistré et, le cas échéant, le code postal ou la partie de ce code qui indique la municipalité;

e) pour le […] FEAGA, le montant des paiements directs au sens de l’article 2, point d), du règlement (CE) n° 782/2003 reçus par chaque bénéficiaire au cours de l’exercice concerné;

f) pour le FEAGA, le montant des paiements autres que ceux visés au point e) reçus par chaque bénéficiaire au cours de l’exercice concerné;

g) pour le […] Feader, le montant total des financements publics reçus par chaque bénéficiaire au cours de l’exercice concerné, comprenant à la fois la contribution communautaire et la contribution nationale;

h) la somme des montants visés aux points e), f) et g) reçus par chaque bénéficiaire au cours de l’exercice concerné;

i) la devise de ces montants.»

45. L’article 1er, paragraphe 2, autorise les États membres à publier des informations plus détaillées que celles prévues à l’article 1er, paragraphe 1.

46. L’article 2 énonce que «[l]es informations visées à l’article 1er sont publiées sur un site internet unique par État membre et peuvent être consultées au moyen d’un outil de recherche permettant de rechercher les bénéficiaires par nom, municipalité, montants reçus visés aux points e), f), g) et h) de l’article 1er, ou en utilisant une combinaison de ces critères, et d’extraire toutes les informations correspondantes sous forme d’un ensemble de données unique».

47. L’article 3 dispose que les informations concernant les bénéficiaires doivent être publiées au plus tard le 30 avril pour l’exercice précédent et rester accessibles sur le site web pendant deux ans à compter de la date de leur publication initiale.

48. L’article 4 prévoit que:

«1. Les États membres signalent aux bénéficiaires que les données les concernant seront rendues publiques conformément au règlement (CE) n° 1290/2005 et au présent règlement, et que ces données peuvent être traitées par les organes des Communautés et des États membres compétents en matière d’audit et d’enquête afin de protéger les intérêts financiers des Communautés.

2. Dans le cas des données à caractère personnel, les informations visées au paragraphe 1 sont communiquées dans le respect des prescriptions de la directive 95/46/CE, et les bénéficiaires sont informés des droits que leur confère cette directive en tant que personnes concernées ainsi que des procédures applicables pour exercer ces droits.

3. Les informations visées aux paragraphes 1 et 2 sont communiquées aux bénéficiaires sur les formulaires de demande de fonds en provenance du FEAGA et du Feader, ou de quelque autre manière au moment de la collecte des données. […]»

49. L’article 5 impose à la Commission d’assurer, à partir de son adresse Internet centrale, la mise en place et la maintenance d’un site web communautaire comprenant les liens vers les sites web de tous les États membres.

Faits, procédure et questions déférées

50. Dans ces deux affaires, les requérantes sont respectivement une société de droit civil (Volker und Markus Schecke GbR, dans l’affaire C‑92/09) et une personne physique (M. Hartmut Eifert, dans l’affaire C‑93/09), qui gèrent chacune une exploitation agricole. Les deux requérantes s’opposent à la publication d’informations les concernant, en application du règlement n° 259/2008, en tant que bénéficiaire de subventions agricoles. Le 31 décembre 2008, un paiement de 64 623,65 euros a été accordé à Volker und Markus Schecke GbR. Le 5 décembre 2008, un paiement de 6 110,11 euros a été accordé à M. Eifert au titre de l’aide aux exploitations agricoles dans les zones défavorisées.

51. Les formulaires de demande d’aides contenaient la mention suivante: «Je reconnais avoir pris connaissance du fait que l’article 44 bis du règlement (CE) n° 1290/2005 impose la publication d’informations relatives aux bénéficiaires du FEAGA et du Feader ainsi qu’aux montants reçus pour chaque bénéficiaire. La publication concerne toutes les mesures qui font l’objet d’une demande dans le cadre de la demande commune en tant que demande unique au sens de l’article 11 du règlement (CE) n° 796/2004 [( )] et est effectuée tous les ans jusqu’au plus tard le 31 mars de l’année suivante».

52. Les noms des bénéficiaires, leur municipalité de résidence et leur code postal, ainsi que les montants perçus, sont disponibles sur le site Internet ( ) de la Bundesanstalt für Landwirtschaft und Ernährung (ci-après la «BfLE», Agence fédérale pour l’agriculture et la nutrition), qui a qualité d’intervenant dans les procédures nationales. Le site est équipé d’un outil de recherche qui permet aux utilisateurs, simplement en renseignant un seul champ de recherche (par exemple le code postal), d’obtenir la liste correspondante des noms des bénéficiaires d’aides provenant du FEAGA ou du Feader. Dans les mentions du site figure l’avertissement suivant à propos de la protection des données: «lors de chaque accès au serveur, des données sont enregistrées à des fins statistiques et de sauvegarde. L’adresse IP du fournisseur de services Internet, la date et l’heure ainsi que le site Internet visité sont conservés pendant une durée limitée. Les données sont utilisées exclusivement aux fins de l’amélioration du service Internet et ne sont pas transmises à des tiers, ni exploitées d’une manière permettant d’identifier les utilisateurs».

53. Volker und Markus Schecke GbR ainsi que M. Eifert ont assigné le Land Hessen, respectivement le 26 septembre et le 18 décembre 2008. Ils ont tous deux sollicité une ordonnance interdisant la publication de leurs données personnelles en tant que bénéficiaires d’aides provenant des fonds.

54. Les requérantes estiment que l’article 44 bis du règlement nº 1290/2005 méconnaît le droit communautaire de la protection des données. Les informations publiées sur le site Internet sont des données à caractère personnel et il n’existe aucun intérêt public prépondérant justifiant que l’on porte atteinte à leurs droits.

55. Le Land Hessen fait valoir que l’obligation des États membres de publier ces données sur Internet résulte de l’article 44 bis du règlement n° 1290/2005, lu en combinaison avec le règlement n° 259/2008. Selon lui, la validité de ces dispositions ne fait aucun doute. La publication répond à un intérêt public prépondérant, en ce qu’elle favorise la transparence en matière de dépenses agricoles et la prévention des irrégularités, sans toutefois aller au-delà de ce qui est nécessaire dans une société démocratique. De plus, les requérantes ont été informées, dans le formulaire de demande d’aide, du fait que les autorités étaient tenues de publier leurs données à caractère personnel et, par conséquent, que le dépôt du formulaire de demande d’aide valait consentement à cette divulgation au sens de l’article 7, sous a), de la directive 95/46. Le Land Hessen argue que, en tout état de cause, les requérantes auraient pu se soustraire à la publication en renonçant aux aides.

56. La juridiction de renvoi considère que les griefs des requérantes concernent la validité des articles 42, point 8 ter, et 44 bis du règlement n° 1290/2005 et du règlement n° 259/2008. S’il s’avère que ces mesures sont invalides, le traitement des données par la BfLE sera illicite et il devra en conséquence être fait droit à l’interdiction sollicitée par les requérantes.

57. La juridiction de renvoi a également identifié une série de questions plus techniques quant à savoir si l’obligation de publier des données à caractère personnel des bénéficiaires recevant des aides du FEAGA et du Feader était compatible avec certains aspects de la réglementation communautaire sur la protection des données et, plus particulièrement, avec les directives 95/46 et 2006/24.

58. Par conséquent, le juge national a sursis à statuer et a déféré les questions préjudicielles suivantes à la Cour:

«1) Les articles 42, point 8 ter, et 44 bis du [règlement nº 1290/2005], introduits par le [règlement nº 1437/2007] sont-ils invalides?

2) Le [règlement n° 259/2008]:

a) est-il invalide,

b) ou bien n’est-il valide que parce que la [directive 2006/24] est invalide?

Dans l’hypothèse où les dispositions citées dans les première et deuxième questions sont valides:

3) L’article 18, paragraphe 2, deuxième tiret, de la [directive 95/46] doit-il être interprété en ce sens que la publication en vertu du [règlement n° 259/2008] ne peut avoir lieu que si elle a été précédée de la procédure prévue par cet article en lieu et place de la notification à l’autorité de contrôle?

4) L’article 20 de la [directive 95/46] doit-il être interprété en ce sens que la publication en vertu du [règlement n° 259/2008] ne peut avoir lieu que lorsque le contrôle préalable que le droit national prescrit pour ce cas de figure a été réalisé?

5) Dans l’hypothèse d’une réponse affirmative à la quatrième question: l’article 20 de la [directive 95/46] doit-il être interprété en ce sens qu’un contrôle préalable n’est pas valable lorsqu’il a été effectué sur la base d’un registre, au sens de l’article 18, paragraphe 2, deuxième tiret, de cette même directive, qui ne contient pas toutes les informations prescrites?

6) L’article 7 – en particulier sous e), en l’espèce – de la [directive 95/46] doit‑il être interprété en ce sens qu’il s’oppose à une pratique consistant à enregistrer les adresses IP des utilisateurs d’un site Internet, sans leur consentement exprès?»

59. Des observations écrites ont été présentées au nom de Volker und Markus Schecke GbR, du Land Hessen, des gouvernements hellénique, néerlandais et suédois, du Conseil de l’Union européenne et de la Commission; tous (à l’exception du gouvernement néerlandais) ont présenté des observations orales à l’audience du 2 février 2010.

Appréciation

60. Les six questions déférées par le juge national peuvent être subdivisées comme suit.

61. Les première et deuxième questions, sous a), constituent le cœur du renvoi préjudiciel. Par ces questions, la juridiction de renvoi s’interroge sur la validité de la législation de l’UE qui prévoit la publication obligatoire sur Internet de certaines données concernant les bénéficiaires du FEAGA et du Feader. J’examinerai ces questions en premier, après avoir formulé plusieurs observations préliminaires.

62. Ensuite, la juridiction de renvoi soumet trois questions précises concernant certaines dispositions de la directive 95/46, qui régit la notification des traitements de données (troisième, quatrième et cinquième questions). Si la Cour se rallie aux réponses que je propose aux première et deuxième questions, sous a), il sera (à proprement parler) inutile d’examiner ces questions. Pour le cas où la Cour serait en désaccord avec moi, je les examinerai brièvement.

63. Enfin, la juridiction de renvoi pose deux questions relatives aux «utilisateurs» des données disponibles sur Internet et à l’interprétation de la directive 2006/24 [deuxième question, sous b), et sixième question]. Pour des raisons que j’exposerai ultérieurement, j’estime que ces questions sont irrecevables.

Première question et deuxième question, sous a)

Observations préliminaires

– Introduction

64. Je ne m’attarderai pas sur une longue exégèse de l’importance de droits fondamentaux dans l’ordre juridique de l’Union européenne. Les droits fondamentaux constituent un élément essentiel de cet ordre juridique depuis de nombreuses années ( ). La CEDH jouit d’une position spéciale en tant que source de ces droits et la Cour prête une attention particulière à la jurisprudence de la Cour européenne des droits de l’homme (à laquelle je me référerai, dans un souci de concision, par l’expression la «Cour de Strasbourg») ( ). Il est pour moi inconcevable qu’un acte de droit dérivé de l’UE portant atteinte, de manière générale, à des droits fondamentaux, ou plus particulièrement à la CEDH ou à la charte, puisse être considéré comme valide par la Cour ( ).

65. Je commencerai par une brève description des objectifs concurrents qu’il convient de concilier dans cette affaire, soit le droit d’accès à l’information, dans un souci de transparence, d’une part, et les droits au respect de la vie privée et à la protection des données à caractère personnel, d’autre part. J’examinerai ensuite une objection spécifique qui a été opposée aux requérantes se prévalant de droits dont elles auraient autrement pu bénéficier (droit au respect de la vie privée et/ou à la protection des données personnelles) – à savoir que, en signant les demandes de financement provenant de la PAC, elles ont consenti à la publication litigieuse.

– Transparence et communication de l’information

66. L’importance de la transparence est fermement ancrée dans le droit de l’Union. L’article 1er TUE fait référence aux décisions «prises dans le plus grand respect possible du principe d’ouverture» ( ). La Cour a décrit la finalité du principe de transparence comme consistant à offrir aux citoyens le plus large accès possible à l’information, en vue de renforcer le caractère démocratique des institutions et de l’administration ( ). Communiquer au public des données relatives aux bénéficiaires des fonds de l’Union européenne faisant l’objet d’une gestion partagée est l’une des mesures spécifiques définies par l’IET ( ). Au niveau politique, la transparence a ainsi été reconnue comme étant un composant essentiel d’une administration publique démocratique.

67. La question de savoir si la transparence est un principe général du droit de l’UE ( ) ou encore si, effectivement, elle constitue elle-même un droit fondamental est moins claire. Le concept de transparence et son statut en droit de l’Union ont été abordés dans des affaires portant sur l’accès aux documents ( ). Dans ses conclusions dans l’affaire Conseil/Hautala ( ), l’avocat général Léger a décrit la transparence du processus de prise de décision comme un droit fondamental, dans un contexte où il était question d’offrir au public le plus large accès possible aux documents détenus par les institutions. Cependant, la Cour n’a pas expressément envisagé cette question. Dans l’arrêt Interporc/Commission ( ), la Cour n’a pas admis l’argument de la requérante selon lequel la transparence était un principe général du droit communautaire devant prévaloir sur la décision 94/90/CECA, CE, Euratom ( ), l’instrument juridique sur lequel la Commission a fondé sa décision refusant d’accorder l’accès aux documents ( ). Je laisserai délibérément cette question ouverte, puisqu’il n’est pas nécessaire qu’elle soit tranchée dans la présente affaire. En effet, la classification d’un objectif donné comme droit fondamental n’est pas une condition préliminaire pour que cet objectif tombe dans le champ des exceptions de l’article 8, paragraphe 2, de la CEDH.

68. La juridiction nationale semble avoir des doutes sur la question de savoir si la transparence peut, en elle-même, constituer un objectif et la regarde simplement comme une façon de décrire les mesures litigieuses. Ces doutes me semblent infondés. Bien qu’il soit parfaitement vrai que la transparence n’est pas un «droit», au sens où ce n’est pas quelque chose qui est cité explicitement dans le texte classique de la CEDH, elle a (très clairement) été approuvée comme un objectif souhaitable et nécessaire dans une société démocratique. Il y est expressément fait référence dans la charte – une énumération démocratique de droits fondamentaux bien plus récente ( ). Par conséquent, je partirai de l’idée qu’une action entreprise dans un souci de transparence est une action entreprise en vue de réaliser un objectif qui est démocratiquement souhaitable.

69. La transparence, par sa nature même, doit être une notion plastique. Elle a pour vocation de promouvoir une société démocratique plus ouverte. La transparence peut aider à protéger les citoyens contre les abus de pouvoir. Plus généralement, accorder un large accès à l’information afin que le public soit averti et que le débat soit démocratique permet aux citoyens d’exercer un contrôle effectif sur l’usage que les autorités publiques font du pouvoir qui leur a été attribué par ces mêmes citoyens. Ainsi, la transparence signifie le contrôle du public sur les institutions publiques. D’ordinaire, il y a lieu de se féliciter en présence d’une plus grande transparence (par opposition à une moindre transparence), puisque celle-ci équivaut à davantage d’ouverture et d’obligations démocratiques de rendre des comptes.

70. Toutefois, la transparence doit parfois (comme en l’espèce) être contrebalancée par un autre objectif concurrent. Dans cette mesure, la transparence absolue n’est pas nécessairement un bien absolu. Parfois, «le mieux est l’ennemi du bien». Partant, la «transparence maximale dans l’intérêt du public» ne peut devenir un leitmotiv justifiant que les droits individuels soient écartés. Dans la présente affaire, afin de déterminer où se situe le juste équilibre entre la transparence, d’une part, et le respect de la vie privée et la protection des données à caractère personnel, d’autre part, il sera nécessaire d’examiner ce à quoi tend exactement la transparence dans le cadre spécifique de la PAC.

– Les droits au respect de la vie privée et à la protection des données personnelles

71. Deux droits distincts sont invoqués en l’espèce: un droit classique (la protection de la vie privée en vertu de l’article 8 de la CEDH) et un droit plus moderne (les dispositions de la convention nº 108 relatives à la protection des données). Les dispositions de la charte désignent des droits similaires, respectivement aux articles 7 et 8. La Cour a reconnu qu’il existait un lien étroit entre les droits fondamentaux au respect de la vie privée et le droit à la protection des données ( ).

72. La Cour de Strasbourg a déjà jugé qu’une personne morale (ainsi qu’une personne physique) pouvait invoquer l’article 8 de la CEDH ( ) et que la protection conférée par cet article s’étendait aux activités professionnelles et commerciales ( ). Les droits au respect de la vie privée et à la protection des données peuvent donc, à première vue, être invoqués par chacune des requérantes dans les procédures nationales (eu égard aux contenus respectifs de ces droits, il serait absurde de soutenir qu’une personne morale peut invoquer l’article 8 de la CEDH, mais non la convention nº 108). De même, la Cour de Strasbourg a retenu que la vie privée comprend des éléments se rapportant à l’identité d’une personne, tels que son nom ( ), et que la protection des données à caractère personnel joue un rôle fondamental pour l’exercice du droit au respect de la vie privée d’une personne ( ).

73. Comme nombre des droits classiques protégés par la CEDH, le droit au respect de la vie privée n’est pas un droit absolu. L’article 8, paragraphe 2, de la CEDH admet expressément la possibilité de déroger à ce droit, tout comme l’article 9 de la convention nº 108 s’agissant du droit à la protection des données à caractère personnel. De même, l’article 52 de la charte prévoit (en termes généraux) des conditions similaires, qui, si elles sont remplies, autorisent les exceptions (ou les dérogations) aux droits prévus par la charte.

– Le «consentement» à la publication empêche-t-il de se prévaloir ensuite des droits allégués?

74. L’ordonnance de renvoi et les observations écrites du Land Hessen débattent de la question de savoir si la circonstance que les requérantes ont été informées, sur le formulaire de demande sollicitant l’aide de la PAC, du fait que leurs données feraient l’objet d’un traitement et qu’elles ont néanmoins signé le formulaire de demande signifie qu’elles ne peuvent ensuite s’opposer à la publication. Cette question soulève deux difficultés distinctes: a) les requérantes ont-elles «indubitablement» donné leur consentement au sens de l’article 7, sous a), de la directive 95/46 [de sorte que celui-ci était «libre, spécifique et informé», conformément à la définition de l’article 2, sous h), de cette directive], rendant ainsi le traitement de leurs données licite en vertu de ce consentement; b) un quelconque principe de droit administratif de l’Union fait-il obstacle à ce qu’elles invoquent les droits dont elles auraient autrement bénéficié?

75. S’agissant de la première difficulté, l’agent de la Commission, répondant à une question directe posée par la Cour pendant l’audience, a expressément confirmé que cette institution n’a pas cherché à se fonder sur le consentement visé à l’article 7, sous a), de la directive 95/46, mais qu’elle s’est exclusivement fondée sur les dispositions de l’article 7, sous c) (aux termes desquelles ce traitement était «nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis»). Le Conseil n’a pas tenté de faire valoir un point de vue différent.

76. En se fondant sur l’article 7, sous c), de la directive 95/46, la Commission postule que les deux obligations légales en vertu desquelles les données des bénéficiaires percevant des fonds du FEAGA ou du Feader font l’objet d’un traitement [article 44, sous a), du règlement nº 1290/2005 et, plus particulièrement, règlement n° 259/2008] sont valables. Toutefois, si l’une ou chacune de ces dispositions devait être considérée comme invalide, ce moyen justifiant le traitement des données tomberait. Le responsable du traitement ne serait plus soumis à une obligation légale de traiter les données. Dans des procédures où c’est (précisément) la validité des dispositions imposant cette obligation légale qui est en cause, cet argument conduit donc à tourner en rond. Je ne m’y attarderai pas davantage et reviendrai plutôt sur la question du consentement.

77. Les requérantes ont-elles indubitablement donné leur consentement en signant le formulaire de demande? Leur conseil a affirmé que le libellé précis figurant sur le formulaire de la PAC ( ) signifie qu’une signature implique simplement que l’on a connaissance de la publication à venir, plutôt que l’on y consent. À le considérer de plus près, cet argument plutôt technique semble réellement pertinent.

78. Le formulaire de demande parle en effet de la «publication des informations relatives aux bénéficiaires du FEAGA et du Feader ainsi qu’aux montants reçus par chaque bénéficiaire» et cite l’article 44 bis du règlement nº 1290/2005 et, de surcroît, l’article 11 du règlement n° 796/2004). Pris isolément – c’est-à-dire examiné sans avoir à portée de main les textes complets non seulement du règlement nº 1290/2005, mais également du règlement n° 259/2008 –, le formulaire de demande ne précise pas de manière claire que celui qui présente une demande consent à la publication de son nom, de sa municipalité de résidence (ainsi que, le cas échéant, de son code postal) et des montants qui lui sont accordés par le FEAGA et/ou le Feader. Cette personne n’aura conscience qu’il s’agit là de la véritable signification de son consentement à la publication que si elle a connaissance de ce que prévoit l’article 1er, paragraphe 1, du règlement n° 259/2008. Seule cette disposition expose en détail ce qu’emporte cette publication. Mais le règlement n° 259/2008 n’est pas mentionné dans la notice relative au formulaire et l’on ne peut déduire son existence à la lecture du texte de l’un des deux règlements mentionnés par le formulaire de demande.

79. L’article 7 de la directive 95/46 énumère de manière exhaustive les conditions strictes en vertu desquelles le traitement des données peut être effectué de manière licite. L’article 7, sous a), exige que la personne concernée ait «indubitablement» donné son consentement. L’information préalable selon laquelle on prend acte qu’une publication quelconque interviendra n’est pas la même chose que le fait de consentir «indubitablement» à un certain type de publication détaillée. On ne peut davantage la décrire comme une «manifestation libre [et] spécifique [de la] volonté» des requérantes, conformément à la définition du consentement de la personne concernée qui figure à l’article 2, sous h). Par suite, j’estime que les requérantes n’ont pas consenti au traitement (c’est-à-dire, en l’espèce, à la publication) de leurs données au sens de l’article 7, sous a), de la directive 95/46.

80. Cela étant dit, l’argument technique a peu de chances de prospérer à long terme. Quand bien même il serait retenu en l’espèce, il pourrait facilement être renversé à l’avenir en modifiant simplement la rédaction du formulaire et en mentionnant le règlement n° 259/2008, afin de faire en sorte que le consentement donné par la personne concernée soit tout à fait univoque. Par conséquent, il est nécessaire d’examiner la seconde difficulté.

81. L’article 7 de la directive 95/46 pose le cadre qui légitime le traitement de données à caractère personnel au sein des États membres ( ). Il se situe dans la droite ligne de l’article 8, paragraphe 2, de la charte, qui prévoit que les données doivent être traitées loyalement et «sur la base du consentement de la personne concernée» (ou en vertu d’un autre fondement légitime prévu par la loi). L’article 7, sous a), de la directive 95/46 ajoute une précision supplémentaire, selon laquelle le consentement doit «indubitablement» avoir été donné. Dans ce cadre, il me semble, tout d’abord, qu’il convient nécessairement d’examiner la nature du consentement allégué et le fait qu’une personne introduisant une demande doit pouvoir faire valoir – même si son consentement a été donné volontairement – qu’elle n’aurait pas dû être forcée à renoncer au droit en question ou que son consentement n’a pas été donné librement.

82. La première branche de l’alternative n’appelle pas de longs développements. S’agissant de la seconde, je suis prête à accepter qu’une situation de contrainte économique significative suffise pour que ce consentement ne soit pas considéré comme volontaire [et donc qu’il ne soit pas «libre» au sens de l’article 2, sous h), de la directive 95/46].

83. Déterminer si cette contrainte a réellement existé en l’espèce est une question de fait qu’il appartient au juge national de trancher. Il est utile de rappeler que, au cours de l’audience, l’avocat des requérantes a indiqué – sans avoir été contredit par aucune institution – que les financements versés par la PAC peuvent représenter entre 30 et 70 % des revenus d’un exploitant agricole.

84. La situation dans laquelle une personne approcherait une banque en vue d’obtenir un prêt a été citée à titre de possible contre-exemple (par la Cour): peut-elle ou non choisir d’accepter le prêt aux conditions dans lesquelles il est proposé? Quel que soit le véritable degré de choix commercial qui est offert à une personne présentant une demande sur le marché, il n’y a ici qu’un seul «banquier» qui puisse mettre à disposition les fonds de soutien que l’Union européenne considère qu’il est opportun et juste de verser aux exploitants agricoles. Il a été suggéré qu’en réalité il n’y a aucune alternative pratique à la PAC pour nombre d’exploitants agricoles qui présentent une demande de financement provenant de la PAC. Ils s’appuient sur ces financements pour être en mesure de gérer des exploitations agricoles viables de petite taille ou de taille moyenne, qui génèrent un niveau de revenu convenable pour eux et leurs familles. À nouveau, c’est une question de fait qui relève de la compétence exclusive du juge national.

85. Cependant, il me semble que, en principe, une personne sollicitant un financement auprès d’un organisme public, tel que l’Union européenne (que l’Union agisse seule ou conjointement avec les États membres), ne peut être tenue, au titre des seules conditions pour obtenir ce financement, de renoncer à un droit fondamental dont elle aurait autrement pu tirer une protection.

86. Dans ces circonstances, j’estime que le fait que les requérantes aient signé les formulaires de demande de financement provenant de la PAC ne s’oppose pas à ce qu’elles invoquent leur droit à la protection des données (que ce soit en vertu de la directive 95/46 ou de la convention n° 108). En conséquence, il convient que la Cour examine les difficultés qui sont au cœur de cette affaire.

Analyse

87. Il est clair que la Cour doit aborder la première et la deuxième question, sous a), en procédant à une analyse par étapes (bien que certaines puissent être examinées assez brièvement) ( ). Puisque l’action intentée devant le juge national est fondée sur une prétendue violation des droits des requérantes au respect de la vie privée et à la protection des données à caractère personnel, ces droits (plutôt que le droit à la transparence) doivent servir de point de départ. Y a-t-il une ingérence dans l’exercice des droits au respect de la vie privée et à la protection des données à caractère personnel? Dans l’affirmative, cette ingérence est-elle «prévue par la loi»? Est-ce (en principe) une mesure qui, «dans une société démocratique, est nécessaire», au motif qu’elle correspond à un besoin social impérieux? Est-elle proportionnée? Répondre à cette dernière question implique de définir clairement et précisément l’objectif exact des mesures contestées, en examinant si les mesures particulières qui ont été choisies (avec le degré particulier d’ingérence dans l’exercice de ces droits qu’elles entraînent) sont aptes à atteindre l’objectif poursuivi par celles-ci et en vérifiant qu’elles ne vont pas au-delà de ce qui est nécessaire pour y parvenir.

– Y a-t-il une ingérence dans l’exercice d’un droit protégé?

88. Le Conseil et la Commission admettent tous deux que la législation en cause conduit à une ingérence dans l’exercice du droit au respect de la vie privée des requérantes, mais considèrent que celle-ci est moins grave que l’ingérence examinée par la Cour dans l’arrêt ÖRF ( ). Cependant, la Commission soutient que la législation est compatible avec le droit fondamental à la protection des données à caractère personnel. Le Conseil ne se prononce pas sur ce point.

89. Selon moi, les mesures litigieuses constituent clairement une ingérence dans l’exercice à la fois du droit au respect de la vie privée et à la protection des données à caractère personnel des requérantes.

90. Dans l’arrêt ÖRF, les entités publiques soumises au contrôle du Rechnungshof (Cour des comptes autrichienne) étaient tenues de lui communiquer les traitements et pensions dépassant un certain niveau, versés à leurs salariés et à leurs pensionnés, ainsi que le nom des bénéficiaires. Ces informations étaient utilisées en vue de l’établissement d’un rapport annuel à transmettre au Nationalrat, au Bundesrat ainsi qu’aux Landtage (les chambres basse et haute du Parlement fédéral et les parlements des Länder) et mis à disposition du grand public. La Cour a jugé que la directive 95/46 était applicable; elle a admis que la communication à un tiers de données relatives aux rémunérations versées par un employeur constituait une ingérence dans l’exercice du droit à la vie privée prévu à l’article 8 de la CEDH, puis a poursuivi son analyse en examinant si cette ingérence était justifiée.

91. Dans l’affaire Satakunnan Markkinapörssi et Satamedia ( ), les données auxquelles les questions font référence comprenaient les nom et prénom de certaines personnes physiques dont le revenu excédait certains seuils ainsi que, à 100 euros près, le montant de leurs revenus du capital et du travail et des indications concernant l’imposition de leur patrimoine. Ces données, que le journal était en mesure d’obtenir auprès des autorités fiscales finlandaises en vertu de la législation nationale relative à l’accès du public à l’information, étaient publiées sous forme d’une liste par ordre alphabétique et classées par commune et par catégorie de revenus. Toute personne pouvait cependant demander à ce que les données la concernant soient retirées de la liste. Ces données consistaient clairement en des «données à caractère personnel» ayant fait l’objet d’un «traitement» au sens de la directive 95/46. Si la Cour n’avait pas estimé que les activités de traitement des données litigieuses étaient réalisées «aux seules fins de journalisme» au sens de l’article 9 de la directive, ces activités auraient constitué une ingérence illicite dans l’exercice des droits de ces individus au respect de la vie privée et à la protection de leurs données à caractère personnel.

92. Dans la présente affaire, les bénéficiaires de la PAC sont désignés individuellement, par leur nom. L’adresse à laquelle ils peuvent être trouvés est définie avec un degré de précision considérable, puisque la municipalité où ils résident est donnée, ainsi que, lorsque c’est possible, le code postal. Les codes postaux s’appliquent généralement à une zone géographique plutôt réduite (faute de quoi ils présenteraient un intérêt limité pour le tri du courrier). Lorsqu’on les combine avec d’autres sources d’information faciles à obtenir en ligne (telles que les annuaires téléphoniques), ils permettent fréquemment de découvrir l’adresse exacte d’une personne. Le montant exact de l’aide que les bénéficiaires obtiennent de la PAC est publié. Il est plausible que ces informations permettent, à tout le moins dans certains cas, de tirer des conclusions (correctes ou erronées) quant au niveau global des revenus des bénéficiaires ( ). Partant, la démarche adoptée par la Cour dans les arrêts ÖRF et Satakunnan Markkinapörssi et Satamedia peut aisément être appliquée ici. En effet, les deux premières questions déférées, en interrogeant sur la validité de ces mesures, cherchent en substance à déterminer si cette ingérence est ou non justifiée. Leur point de départ (à raison, selon moi) consiste à dire qu’il y a eu ingérence.

– L’ingérence est-elle «prévue par la loi»?

93. Mis à part l’exception prévue à l’article 1er, paragraphe 2, du règlement n° 259/2008, sur lequel je reviendrai plus tard ( ), j’estime que les exigences de publication sont suffisamment claires et précises pour satisfaire à la condition selon laquelle la publication doit être «prévue par la loi» ou effectuée «en vertu d’un […] fondement [...] prévu par la loi»: ces différentes formulations – qui sont pour moi synonymes – sont tirées, respectivement, de l’article 8, paragraphe 2, de la CEDH et de l’article 8, paragraphe 2, de la charte, puis de l’article 52, paragraphe 1, de la charte. Les dispositions litigieuses énoncent clairement que certaines informations relatives aux bénéficiaires seront publiées et précisent la forme que revêtira cette publication.

– La publication est-elle, en principe, «nécessaire», «dans une société démocratique», au motif qu’elle correspond à un besoin social impérieux?

94. L’objectif général affirmé des dispositions dont la validité est contestée dans les deux premières questions (article 42, point 8 ter, et 44 bis du règlement n° 1290/2005 et règlement n° 259/2008) est de mettre en œuvre l’IET et d’accroître la transparence dans l’utilisation des fonds de la PAC ( ). Favoriser la transparence est, en principe, un fondement légitime justifiant une ingérence dans l’exercice des droits au respect de la vie privée et à la protection des données à caractère personnel. En affirmant cela, je veux simplement dire qu’il s’agit, potentiellement, d’un but légitime, qui peut être considéré comme nécessaire dans une société démocratique ( ). Par suite, je suis prête à admettre que, en principe – et j’insiste sur ces mots – un certain degré d’ingérence dans l’exercice des droits au respect de la vie privée et à la protection des données à caractère personnel, aux fins de favoriser la transparence dans le processus démocratique, est «nécessaire» «dans une société démocratique», car elle correspond à un besoin social impérieux.

95. Pour le dire dans les termes de la charte, favoriser la transparence dans le processus démocratique est un «fondement légitime» justifiant le traitement des données au sens de l’article 8, paragraphe 2, et répond aux «objectifs d’intérêt général reconnus par l’Union» aux fins de l’article 52, paragraphe 1.

96. Si, et dans la mesure où une juste application du principe de transparence signifie qu’il convient de prendre des mesures pour informer le grand public (qu’il y a lieu de distinguer de groupes particuliers de personnes au sein du public, tels que les journalistes d’investigation, lesquels disposent – peut-être – de davantage de temps et de ressources pour consulter les sources traditionnelles d’information, comme les registres tenus par les maisons communales et les ouvrages de référence que seules possèdent les plus grandes bibliothèques publiques), le support de publication qui vient immédiatement à l’esprit est aujourd’hui Internet. Cependant, l’accessibilité, les possibilités de recherche et la facilité même d’utilisation d’Internet impliquent que, potentiellement, cette publication constituera une intrusion corrélativement plus importante dans les droits des requérantes au respect de la vie privée et à la protection de leurs données à caractère personnel que des publications réalisées de manière plus traditionnelle. Lorsqu’on examine si la publication de données à caractère personnel, moyennant un certain niveau de détails, constitue une ingérence justifiée et proportionnée dans l’exercice de ces droits, il convient de garder à l’esprit la nature et les conséquences d’une publication sur Internet.

97. Le Conseil et la Commission ont interprété les articles 42, point 8 ter, et 44 bis du règlement n° 1290/2005, en ce sens qu’ils visent une publication dans laquelle les bénéficiaires individuels sont identifiés par leur nom, en relation avec les montants qu’ils reçoivent. Je procéderai à une distinction entre ces deux dispositions.

98. L’article 42, point 8 ter, est une disposition d’habilitation – ni plus ni moins. Elle délègue à la Commission les compétences nécessaires à l’adoption de règles détaillées. Je ne partage pas la position de la juridiction de renvoi, selon laquelle l’article 42, point 8 ter, est contraire à l’article 202, troisième tiret, CE (compétences d’exécution conférées à la Commission par le Conseil) et à l’article 211, quatrième tiret, CE (exercice par la Commission de ces compétences déléguées) ( ).

99. Il est vrai que l’article 42, point 8 ter, est rédigé en termes généraux. Toutefois, le Conseil jouit d’un large pouvoir d’appréciation dans la fixation des paramètres dans le cadre desquels la Commission peut agir dans l’exercice de compétences déléguées. Le Conseil n’est pas tenu de préciser les éléments essentiels de cette compétence. Une compétence générale est suffisante ( ).

100. De plus, la Commission n’a pas reçu un pouvoir discrétionnaire illimité dans le cadre duquel agir. L’article 42, point 8 ter, prévoit que la Commission doit adopter des règles détaillées «conformément à la législation communautaire relative à la protection des données». Ainsi, lorsque l’article 42, point 8 ter, impose que ces règles contiennent des dispositions aux termes desquelles les données «peuvent être rendues publiques», cela ne signifie pas que les règles adoptées doivent l’être sous la forme choisie par la Commission. La Commission a plutôt reçu le pouvoir d’adopter des règles détaillées, mais uniquement des règles d’une nature qui ne porte pas atteinte de manière inacceptable au droit à la protection des données à caractère personnel.

101. Par conséquent, je ne vois aucune raison de mettre en doute la validité de l’article 42, point 8 ter, du règlement n° 1290/2005.

102. Il en va différemment en ce qui concerne l’article 44 bis. Bien que les termes «publication annuelle a posteriori des noms des bénéficiaires du FEAGA et du Feader» n’exigent pas, en eux-mêmes, que l’on puisse identifier les bénéficiaires individuels par ce biais [en effet, cette formule fait simplement écho au libellé de l’article 53 ter, paragraphe 2, sous d), du règlement financier], les conditions suivantes, qui visent à assurer la publication des «montants reçus pour chaque bénéficiaire au titre de chacun de ces Fonds» et selon lesquelles la publication comprend, «dans le cas du Feader, le montant total du financement public par bénéficiaire», lues en combinaison avec les treizième et quatorzième considérants du règlement n° 1437/2007 (qui a introduit la modification fondamentale apportée au règlement n° 1290/2005), indiquent que l’article 44 bis du règlement n° 1290/2005 doit être interprété en ce sens qu’il exige une publication individuelle.

103. Une telle publication individuelle pourrait être de nature à correspondre aux exigences du règlement n° 259/2008. Dans la présente affaire, c’est cette forme spécifique de «publication dans un souci de transparence» dont il convient d’évaluer la proportionnalité. Cependant, j’estime qu’en principe il est possible qu’une publication individualisée amène à communiquer moins d’informations sur la personne concernée – par exemple, en ne reliant pas le nom de chaque bénéficiaire à la municipalité où il réside et/ou au code postal.

– L’ingérence est-elle proportionnée?

104. Une jurisprudence constante de la Cour énonce que «[…]le principe de proportionnalité, qui fait partie des principes généraux du droit communautaire, exige que les actes des institutions communautaires ne dépassent pas les limites de ce qui est approprié et nécessaire à la réalisation des objectifs légitimes poursuivis par la réglementation en cause, étant entendu que, lorsqu’un choix s’offre entre plusieurs mesures appropriées, il convient de recourir à la moins contraignante, et que les inconvénients causés ne doivent pas être démesurés par rapport aux buts visés» ( ).

105. Il ne suffit pas, pour le Conseil et la Commission, d’invoquer simplement le principe de transparence dans des termes généraux pour démontrer que les mesures particulières qui ont été mises en place sont justifiées et, par conséquent, que la réglementation est parfaitement valide. En effet, le caractère nécessaire, approprié et proportionné d’une mesure législative ne peut être évalué qu’au regard d’un objectif précis et spécifique. La transparence, en tant que telle, a clairement été appréhendée comme souhaitable, en tant que valeur sociale et démocratique. Mais à quoi tend, précisément, la transparence dans le cadre spécifique de ces deux règlements?

106. Les considérants du règlement n° 1437/2007 (qui ont introduit les modifications pertinentes apportées au règlement n° 1290/2005), ainsi que les considérants du règlement n° 259/2008, fixent les objectifs des mesures litigieuses dans des termes qui sont à même de satisfaire l’exigence selon laquelle les actes législatifs doivent être motivés ( ).

107. Ainsi, le treizième considérant expose que l’objectif du règlement n° 1437/2007 est de mettre en œuvre l’IET en ce qui concerne les dépenses de la PAC. Le quatorzième considérant confirme que la publication annuelle a posteriori des noms des bénéficiaires du FEAGA et du Feader vise à accroître la transparence et à améliorer la bonne gestion financière de l’utilisation des fonds de la PAC, notamment en renforçant le contrôle public de l’utilisation des sommes concernées. Ces considérants indiquent, également, que le législateur avait conscience que toute ingérence dans l’exercice du droit au respect de la vie privée et du droit à la protection des données à caractère personnel se devrait d’être proportionnée.

108. Le deuxième considérant du règlement n° 259/2008 reproduit les termes liminaires du quatorzième considérant du règlement n° 1437/2007, indiquant que «[c]ette publication [...] vise à accroître la transparence de l’utilisation des Fonds et à contribuer à leur bonne gestion financière». Le troisième considérant affirme qu’il y a lieu de définir les «prescriptions minimales» applicables au contenu de la publication, tout en rappelant qu’«il convient que ces prescriptions n’aillent pas au-delà de ce qui est nécessaire, dans une société démocratique, pour atteindre les objectifs poursuivis». Le sixième considérant reprend, mot pour mot, les deux premières phrases du quatorzième considérant du règlement n° 1437/2007. Les autres considérants du règlement de la Commission ajoutent simplement que, «[a]fin de respecter les exigences en matière de protection des données», il convient, préalablement à la publication, d’informer les bénéficiaires de cette publication et des droits que leur confère la [directive 95/46]» (septième considérant) ( ) et que, «[d]ans un souci de transparence», «il convient également d’informer les bénéficiaires des fonds que [...] leurs données à caractère personnel peuvent être traitées par les organes des Communautés et des États membres compétents en matière d’audit et d’enquête» (huitième considérant).

109. Dans les observations écrites, de nombreux développements ont été consacrés à l’examen des obligations de publication en lien avec plusieurs autres fonds de l’Union européenne, notamment avec le Fonds social européen (ci-après le «FSE»). En substance, les requérantes font observer que le FSE n’exige pas que les bénéficiaires d’aides financières soient nommés. Par analogie, elles soutiennent que la situation des bénéficiaires des fonds de la PAC devrait être identique. Le Conseil et la Commission contestent tous deux cette analogie, arguant que la situation des bénéficiaires n’est pas la même dans les deux secteurs. Premièrement, les paiements provenant du FSE ne sont pas versés directement à des personnes physiques ou morales en tant que bénéficiaires, mais à des organisations intermédiaires (telles qu’une autorité régionale), pour un projet donné. Deuxièmement, une divulgation équivalente, dans le cadre du FSE, conduirait à une ingérence beaucoup plus grave dans l’exercice du droit au respect de la vie privée du bénéficiaire final, car la divulgation révélerait des éléments se rapportant à la situation ou au statut personnel du bénéficiaire, comme un handicap ou une situation de chômage, ce qui (aux dires des institutions) n’est nullement le cas s’agissant des bénéficiaires de la PAC.

110. Il me semble qu’il y a, à la fois, des similitudes et des différences entre les fonds et je ne suis pas certaine qu’il y ait beaucoup à gagner à s’engager ici dans une comparaison détaillée. En effet, la structure des dispositions financières est différente. Cela étant, la manière dont les institutions ont mis en œuvre l’IET dans d’autres secteurs peut apporter des éclairages, en proposant des voies alternatives pour réconcilier les objectifs de transparence, d’une part, et les droits au respect de la vie privée et à la protection des données à caractère personnel, d’autre part.

111. Le secteur de la pêche est un secteur dans lequel les paiements sont effectués directement auprès des bénéficiaires, mais l’objectif de transparence est atteint d’une manière différente, peut-être plus ciblée. Ainsi, l’article 51 du règlement (CE) n° 1198/2006 ( ) prévoit une publication qui permet d’établir clairement le lien entre l’aide, le projet et le bénéficiaire. Par conséquent, il est relativement aisé de comprendre en quoi cette information peut éclairer le débat public sur le financement dans le secteur de la pêche. Un tel lien entre, d’une part, le bénéficiaire et le montant de l’aide qu’il a reçue et, d’autre part, la finalité en vue de laquelle l’aide est accordée fait défaut dans les dispositions en matière de publication qui sont en cause dans la présente affaire.

112. Au bout du compte, il me semble toutefois que les dispositions en matière de publication qui ont été adoptées pour chaque fonds, afin de mettre en œuvre l’IET, doivent être évaluées – si et dans la mesure où cela est nécessaire – à l’aune des circonstances, des conditions et des objectifs particuliers définis par le législateur. Selon moi, il n’existe aucune règle automatique permettant de déterminer ce qui est acceptable et ce qui ne l’est pas.

113. Pour résumer ma position jusqu’ici: le libellé des considérants et des dispositions de fond qui sont en cause permettent d’étayer la conclusion selon laquelle l’ingérence, dans un souci de transparence, dans l’exercice des droits au respect de la vie privée et à la protection des données à caractère personnel pourrait satisfaire aux conditions du principe de proportionnalité. Cependant, afin de conclure définitivement sur la question de savoir si l’ingérence est effectivement proportionnée, il est nécessaire d’examiner les éléments supplémentaires avancés par les parties au cours de la phase orale de la procédure.

114. À l’audience, les différents objectifs possibles ont longuement été examinés. Chacune des institutions a présenté des observations générales à propos du fait que la transparence est un droit fondamental et de son importance en tant que principe démocratique. Le Conseil a soutenu que la publication ne permettait pas, en tant que telle, de tirer de conclusions sur la situation personnelle ou la rémunération des bénéficiaires (allégation qui a catégoriquement été contredite, à la fois par l’avocat des requérantes et par M. Volker Schecke, qui s’est adressé en personne à la Cour en réponse à une question posée par cette dernière) ( ). Les institutions ont toutes deux fait valoir des arguments généraux relatifs à l’importance d’une bonne gestion des fonds de la Communauté et à la nécessité, pour les citoyens, de pouvoir participer à un débat public ( ) (vaguement défini) d’une quelconque façon (non précisée). Le Conseil a insisté sur le fait que la publication n’était pas qu’une question de transparence: elle a également trait au contrôle du public. Si la publication devait être limitée aux bénéficiaires principaux du FEAGA et du Feader, elle ne permettrait pas d’informer les contribuables d’une communauté donnée, qui justifient d’un intérêt pour l’aide accordée à leurs voisins, ni de leur donner des moyens d’agir. Elle fait également partie du débat public et il est, par conséquent, nécessaire d’identifier à la fois les bénéficiaires principaux et les bénéficiaires secondaires de l’aide, sans distinction. La Commission s’est élevée contre cette affirmation: l’objectif des mesures n’était pas, selon elle, de permettre aux individus de satisfaire leur curiosité malsaine à propos de la situation financière de leurs voisins. L’objectif était, au contraire, de favoriser un débat public sur la question de savoir si les aides de la PAC devaient être modifiées ou, éventuellement, accordées de manière différente. Par exemple, y a-t-il lieu d’attribuer cette aide à de grandes entreprises ou à de petites exploitations agricoles locales? Doit-elle être concentrée dans les zones défavorisées?

115. Il a spécifiquement été demandé à la Commission si la publication des informations relatives aux bénéficiaires était destinée à renforcer la prévention des fraudes, en permettant un degré accru de vigilance de la part du grand public. Elle a catégoriquement réfuté cette suggestion, en affirmant que les mesures existantes de lutte contre la fraude étaient adaptées ( ). Le Conseil s’est montré manifestement en désaccord avec la Commission sur ce point (plutôt important), lorsqu’il affirme que la publication est bénéfique, car il est bon d’améliorer la prévention des fraudes. Néanmoins, le Conseil n’est pas allé – tel que je le comprends – jusqu’à prétendre que les règles détaillées mises en place par la Commission étaient destinées, en premier lieu, à atteindre cet objectif.

116. Ainsi, l’objectif était-il de fournir au grand public un meilleur niveau de connaissances et de conscience quant à la façon dont les fonds de la PAC sont dépensés? Les institutions répondent par l’affirmative. Mais alors pourquoi, dans ce cas, était-il nécessaire de publier les noms et les adresses de chaque bénéficiaire, accompagnés du montant reçu? Pourquoi ne pas avoir préféré une quelconque forme d’agrégation des données? Le public aurait pu être suffisamment informé, de manière sûre, en regroupant les informations dans des catégories pertinentes, préservant par là même l’anonymat des bénéficiaires individuels. Comme le répond la Commission, ce serait très lourd à gérer en termes administratifs; par ailleurs, une partie de l’objectif était d’améliorer la connaissance, par le grand public, de l’identité des bénéficiaires et du montant des concours financiers qu’ils reçoivent ( ). Je prends cela comme un argument (indirect) selon lequel le grand public devrait disposer d’informations précises concernant les bénéficiaires. Il n’était et il n’est toujours pas certain que la Commission visait «tous les bénéficiaires» ou simplement des individus tels que «le comte autrichien» (que l’agent de la Commission n’a, par courtoisie, pas désigné par son nom au cours de l’audience), lequel est apparemment l’un des principaux bénéficiaires des fonds de la PAC.

117. Ainsi, il est apparu que les institutions avaient une compréhension plutôt différente des objectifs des dispositions législatives litigieuses. La Commission a, à plusieurs reprises, fait référence au «débat public». Toutefois, elle n’a pas défini ce que cela signifiait réellement. Elle n’a pas davantage expliqué pourquoi il était nécessaire de publier sur Internet, sous une forme ventilée, les informations personnelles, littéralement, de millions de personnes, afin de stimuler (ou peut-être de faciliter) ce débat. Le Conseil a en outre mentionné le fait que la publication se justifiait aux fins d’améliorer le contrôle du public sur les dépenses de la PAC, dans le cadre de la lutte contre la fraude – position à laquelle la Commission a expressément refusé de souscrire.

118. Selon moi, cela ne saurait suffire. La Cour doit évaluer la proportionnalité des mesures choisies en fonction du résultat recherché. Dans cette affaire, dès lors que l’on tente de procéder à cette évaluation, il devient, selon moi, impossible de conclure à la validité de la législation. La nature vague (si ce n’est, dans les faits, contradictoire) des objectifs que les institutions prétendent poursuivre ne permet pas de conclure que les mesures mises en place satisfont aux conditions du principe de proportionnalité. Au contraire, les discussions qui ont eu lieu à l’audience (qui reposaient sur les éléments avancés dans les observations écrites des institutions et, dans une certaine mesure, qui ont été suscitées par ces éléments) ont clairement établi que, selon le type d’objectif que le législateur définit, de façon précise, comme objectif principal, une forme différente de publication des données pourrait à la fois être moins intrusive et plus appropriée.

119. Permettez-moi d’illustrer ce point. Si l’enjeu consiste à savoir précisément qui perçoit des niveaux très élevés de financement provenant du budget de la PAC, la publication doit effectivement communiquer les noms des bénéficiaires (qu’il s’agisse de sociétés ou de personnes physiques) et faire apparaître le(s) montant(s) reçu(s) par chacun, mais cette publication doit être limitée à ceux qui perçoivent un montant supérieur à un seuil défini pour chaque année civile. En revanche, si l’objectif sous-tendant la publication est de permettre au public de participer, de manière éclairée, au débat permettant de savoir si la majorité des aides de la PAC devrait aller à une catégorie d’exploitants agricoles plutôt qu’à une autre ou si un type particulier d’activité agricole devrait bénéficier de davantage d’aide qu’une autre, les données doivent être publiées sous une forme agrégée permettant à une personne ordinaire du grand public de comprendre où vont actuellement les fonds. Les éléments présentés par les institutions, à la fois par écrit et à l’oral pendant l’audience, n’expliquent manifestement pas en quoi la forme spécifique de publicationchoisie – des données brutes qui ne sont pas groupées, agrégées ou reliées en pratique à une caractéristique évidente de la PAC dont le public pourrait vouloir débattre – répond de manière proportionnée aux objectifs qui lui étaient impartis.

120. Aux fins d’éviter tout malentendu, permettez-moi d’être très claire sur deux points. En premier lieu, je ne suis pas en train de dicter à la Commission la forme précise sous laquelle elle devrait publier les données. Je ne suis pas statisticienne; de plus, c’est le rôle du législateur, non de la Cour. Ce que j’affirme, c’est que, lorsque le législateur a choisi une forme particulière de publication qui entraîne une ingérence dans l’exercice d’un droit, l’institution responsable doit être en mesure d’expliquer à la Cour en quoi cette forme particulière de publication est nécessaire, appropriée et proportionnée à l’objectif spécifique qu’elle poursuit. Selon moi, ces explications n’ont pas été apportées en l’espèce. Je ne considère pas que la commodité administrative (bien que celle-ci soit assurément souhaitable du point de vue d’une institution) constitue en soi une justification adéquate.

121. En second lieu, je ne suis pas davantage en train d’imposer ce que l’objectif précis de la publication devrait être. À nouveau, c’est là le rôle du législateur (qui bénéficie naturellement d’une marge d’appréciation raisonnable dans son choix). Des objectifs distincts (multiples) requièrent en effet des formes distinctes (multiples) de publication. Mais l’on doit pouvoir justifier la proportionnalité de chaque forme à la lumière de l’objectif précis, clairement identifié, qu’elle poursuit.

Conclusion sur la proportionnalité et réponses proposées à la première et à la deuxième question, sous a)

122. La motivation des considérants du règlement nº 1437/2007 (qui a introduit les modifications pertinentes au règlement nº 1290/2005) et du règlement n° 259/2008 est appropriée, mais elle est rédigée en termes généraux. Considérer que les articles 42, point 8 ter, et 44 bis du règlement nº 1290/2005 et le règlement n° 259/2008 constituent une ingérence proportionnée dans l’exercice du droit au respect de la vie privée et du droit à la protection des données à caractère personnel revient donc à s’interroger sur l’existence d’une explication plausible justifiant la forme particulière de publication choisie par les institutions, moyennant un certain niveau de détail (des données brutes totalement désagrégées), ainsi que sur la question de savoir si cette forme de publication était nécessaire, appropriée et proportionnée en vue d’atteindre l’objectif précis qu’elle poursuit.

123. De mon point de vue, les institutions n’ont pas fourni à la Cour d’explications qui, après analyse, résisteraient à l’examen. Je ne pense pas que la Cour doive entériner d’office une législation qui renvoie, de façon tout à fait correcte, à des principes généraux éminemment souhaitables, mais – lorsqu’on cherche une explication plus précise afin de permettre à la Cour d’exercer ses fonctions juridictionnelles – qui révèle le même degré de confusion et d’incohérence interinstitutionnelle que celui apparu dans cette affaire.

– Le règlement nº 1290/2005

124. S’agissant du règlement n° 1290/2005, l’examen de la première question ne révèle aucun élément susceptible d’affecter la validité de l’article 42, point 8 ter. Cependant, l’article 44 bis est invalide, dans la mesure où il impose la publication automatique des noms, de la municipalité de résidence et, le cas échéant, du code postal de tous les bénéficiaires du FEAGA et du Feader, ainsi que des montants reçus par chaque bénéficiaire en provenance de ces fonds.

– Le règlement n° 259/2008

125. La validité du règlement n° 259/2008 dépend totalement de la question de savoir si les règles détaillées qu’il édicte pour mettre en œuvre le règlement nº 1290/2005, tel qu’amendé par le règlement nº 1437/2007, sont proportionnées. À la lumière de ce que j’ai dit précédemment, il est évident que, de mon point de vue, elles ne le sont pas. Par conséquent, la réponse à la deuxième question, sous a), doit consister à dire que le règlement n° 259/2008 est invalide.

126. L’article 1er, paragraphe 2, du règlement n° 259/2008 mérite d’être brièvement discuté séparément. Cette disposition prévoit que «[l]es États membres sont autorisés à publier des informations plus détaillées que celles prévues au paragraphe 1» (qui fixe les exigences minimales de publication en vertu du règlement). Je suis déjà parvenue à la conclusion que le règlement n° 259/2008 devait être déclaré invalide dans sa totalité. Cependant, même si je n’étais pas parvenue à cette conclusion, j’aurais invité la Cour à annuler l’article 1er, paragraphe 2, de ce règlement.

127. La Commission a expliqué que, lorsqu’elle a rédigé le règlement, son objectif était de fixer les exigences de publication à un niveau qui respecterait les traditions variables qui existent au sein des États membres en matière de divulgation des données à caractère personnel. À titre préliminaire, je considère que les États membres sont, en tout état de cause, tenus de respecter les droits garantis par l’article 8 de la CEDH et par la convention nº 108. Ils n’ont pas besoin de la permission de la Commission pour publier des informations plus détaillées, dans la mesure où cela n’est pas contraire aux conditions prévues par ces dispositions. À l’inverse, cette permission ne permettrait pas de rendre licite ce qui, à défaut, serait illicite.

128. Plus fondamentalement, dans la mesure où l’article 1er, paragraphe 2, autorise ou entend autoriser une publication plus détaillée, je ne vois pas comment l’ingérence qui en résulterait, considérée à l’aune du droit de l’Union européenne, pourrait être «prévue par la loi». Pour qu’une ingérence soit «prévue par la loi» en vertu de l’article 8, paragraphe 2, de la CEDH, la règle autorisant l’ingérence doit user de termes assez clairs pour indiquer aux citoyens de manière suffisante en quelles circonstances les autorités publiques sont susceptibles de s’ingérer dans leur vie privée ( ). De mon point de vue, il est impossible de prévoir, sur la base du texte de l’article 1er, paragraphe 2, quelle forme supplémentaire pourrait revêtir la publication, quelle information supplémentaire pourrait être divulguée ou les motifs qui pourraient être avancés pour justifier cette publication supplémentaire. C’est inacceptable et cela suffit à rendre la mesure illicite.

Troisième, quatrième et cinquième questions

129. Il convient maintenant d’envisager les questions détaillées qui concernent la directive 95/46, comme annoncé au point 62 ci-dessus.

130. Les troisième, quatrième et cinquième questions portent sur la section IX de la directive 95/46, dont les articles 18 à 21 traitent de la notification. En substance, le responsable du traitement des données [la personne qui détermine les finalités et les moyens du traitement des données à caractère personnel, telle que la définit l’article 2, sous d)] doit adresser une notification aux autorités de contrôle nationales concernées préalablement à la mise en œuvre du traitement de certaines données. L’objet de la notification est d’accroître la transparence pour les personnes concernées. À l’heure actuelle, chaque État membre dispose de ses propres règles de notification et de ses propres exceptions à l’obligation de notifier ( ).

Troisième question

131. Par la troisième question, la juridiction de renvoi cherche à savoir si l’inobservation de la procédure de notification prévue à l’article 18 de la directive 95/46 rend illicite tout traitement ultérieur de données à caractère personnel.

132. L’article 18, paragraphe 1, de la directive 95/46 prévoit qu’il convient de notifier l’autorité de contrôle préalablement à la mise en œuvre du traitement. Toutefois, l’article 18, paragraphe 2, permet aux États membres de prévoir des simplifications ou des dérogations à cette obligation dans deux cas: lorsqu’ils édictent des règles détaillées pour le traitement de certaines catégories de données qui ne sont «pas susceptibles [...] de porter atteinte aux droits et libertés des personnes concernées» (article 18, paragraphe 2, premier tiret) et lorsque le responsable du traitement des données désigne, conformément au droit national, un détaché à la protection des données à caractère personnel, chargé de garantir que les traitements ne sont pas susceptibles de porter atteinte aux droits et libertés des personnes concernées (article 18, paragraphe 2, deuxième tiret). Le détaché à la protection des données est chargé «d’assurer, de manière indépendante, l’application interne des dispositions nationales prises en application de la [directive 95/46]» et de «tenir un registre des traitements effectués par le responsable du traitement [des données]» ( ), ce qui permet ainsi une vérification a posteriori de ces opérations.

133. L’article 19, paragraphe 1, sous a) à f), fixe le contenu minimal des notifications en vertu de l’article 18. Les éléments visés à l’article 19, paragraphe 1, sous a) à e) inclus, doivent ensuite être consignés dans le registre des traitements afin de se conformer à l’article 21, paragraphe 2 ( ). Les États membres sont libres de prévoir que des informations supplémentaires devront figurer dans les notifications et/ou dans le registre ( ).

134. Le Land Hessen a choisi de transposer l’article 18, paragraphe 2, deuxième tiret, de telle sorte que la notification préalable des traitements à l’autorité de contrôle en vertu de l’article 18, paragraphe 1, n’est pas obligatoire. Dans ces circonstances (et contrairement à ce que soutient la juridiction de renvoi), rien n’impose qu’une «notification complète et probante» soit adressée. Le contrôle de la licéité du traitement est un contrôle a posteriori réalisé par le biais du registre, non un contrôle a priori.

135. L’information identifiée par la juridiction nationale comme étant absente du registre est une information qui va au-delà des exigences minimales de l’article 19, paragraphe 1, sous a) à e). La juridiction nationale note, par exemple, que le registre est «incomplet», car les informations relatives aux délais dans lesquels les données doivent être effacées font défaut. Cela rend-il illicite le traitement ultérieur des données au regard du droit de l’Union?

136. Je ne le pense pas.

137. Les États membres peuvent légitimement simplifier la procédure de notification ou exonérer certaines opérations de notification, à condition qu’ils se conforment aux conditions prévues à l’article 18, paragraphe 2. Pour respecter cette partie de la directive 95/46, il suffit que toute personne détachée à la protection des données, désignée en vertu de l’article 18, paragraphe 2, deuxième tiret, s’acquitte de son obligation première, qui consiste à «garanti[r] […] que les traitements ne sont pas susceptibles de porter atteinte aux droits et libertés des personnes concernées», et que le registre des traitements comporte les informations minimales requises par l’article 21, paragraphe 2. Les conséquences (le cas échéant) résultant du fait que des informations supplémentaires allant au‑delà des éléments minimaux ne figurent pas dans ce registre relèvent du droit national, non du droit de l’Union.

Quatrième question

138. La juridiction de renvoi souhaite savoir si l’article 20 de la directive 95/46 doit être interprété en ce sens que la publication des informations relatives aux bénéficiaires de fonds en provenance du FEAGA et du Feader ne peut avoir lieu que lorsque le contrôle préalable que le droit national prescrit a été réalisé. Elle estime que le droit fédéral allemand et le droit du Land Hessen exigent tous deux que ce contrôle préalable soit effectué. En l’absence d’un tel contrôle préalable, la publication ne serait pas loyale et licite au sens de l’article 6, paragraphe 1, sous a), de la directive 95/46.

139. Le Land Hessen fait valoir qu’un contrôle préalable, au sens de l’article 20 de la directive 95/46, n’est pas une condition préalable à la publication des informations relatives aux bénéficiaires en vertu du règlement n° 259/2008. En premier lieu, il soutient que l’article 20, paragraphe 1, ne soumet pas automatiquement l’ensemble des traitements à un contrôle préalable. En deuxième lieu, il affirme que la publication réalisée en vertu du règlement n° 259/2008 n’entraîne pas de «risques particuliers au regard des droits et libertés des personnes concernées». En troisième lieu, il souligne que, en tout état de cause, une mesure d’évaluation préliminaire est entreprise avant la publication, conformément aux dispositions combinées de l’article 44 bis du règlement n° 1290/2005 et du règlement n° 259/2008.

140. La directive 95/46 ne précise pas directement quels sont les traitements ( ) qui doivent être considérés comme susceptibles de présenter un risque particulier au regard des droits et libertés des personnes concernées. Elle laisse cette responsabilité aux États membres. Ainsi, l’article 20, paragraphe 1, prévoit que «[l]es États membres précisent les traitements susceptibles de présenter des risques particuliers au regard des droits et libertés des personnes concernées et veillent à ce que ces traitements soient examinés avant leur mise en œuvre» (c’est moi qui souligne). Seuls ces traitements doivent être soumis à un contrôle préalable, conformément à la procédure visée à l’article 20, paragraphe 2.

141. Cependant, le préambule de la directive 95/46 apporte un éclairage utile sur ce que l’article 20 est supposé couvrir. Ainsi, le cinquante-troisième considérant désigne certains traitements comme étant «susceptibles de présenter des risques particuliers au regard des droits et des libertés des personnes concernées, du fait de leur nature, de leur portée ou de leurs finalités telles que celle d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat, ou du fait de l’usage particulier d’une technologie nouvelle [...]». Le cinquante-quatrième considérant affirme que, «au regard de tous les traitements mis en œuvre dans la société, le nombre de ceux présentant de tels risques particuliers devrait être très restreint [...]».

142. L’article 20, paragraphe 1, s’applique, de prime abord, à l’ensemble des traitements. Il impose ensuite aux États membres de préciser quel sous-ensemble limité de traitements est «[susceptible] de présenter des risques particuliers au regard des droits et libertés des personnes concernées». S’agissant de ce sous‑ensemble limité (mais non des autres traitements), il existe une obligation de veiller à ce que ces traitements soient examinés avant leur mise en œuvre. La nature de ce contrôle préalable est précisée à l’article 20, paragraphe 2.

143. Toutefois, il revient aux États membres de préciser, en vertu du droit national, quelles sont les catégories de traitement auxquelles s’applique la procédure prévue à l’article 20, paragraphe 2. Il s’ensuit qu’il appartient au juge national – et au juge national uniquement – de déterminer si le droit national classe ou ne classe pas la publication des informations relatives aux bénéficiaires de fonds en provenance du FEAGA et du Feader parmi ce type de traitements.

144. Par conséquent, il me semble qu’il n’est pas nécessaire pour la Cour de répondre à la quatrième question.

Cinquième question

145. La juridiction nationale souhaite savoir si l’article 20 de la directive 95/46 doit être interprété en ce sens qu’un contrôle préalable n’est pas valable lorsqu’il a été effectué sur la base d’un registre, au sens de l’article 18, paragraphe 2, deuxième tiret, qui ne contient pas toutes les informations prescrites.

146. Je dois admettre que je trouve cette question difficilement compréhensible. Les mentions figurant dans le registre qui sont visées aux articles 18, paragraphe 2, et 21 de la directive 95/46 sont les mentions des traitements notifiés en application de l’article 18. Toutefois, s’agissant des traitements dispensés de notification par un État membre en vertu de l’article 18, paragraphe 2, deuxième alinéa, la mention figurant dans le registre se réfère (conformément au libellé de cette disposition) à un «registre des traitements effectués par le responsable du traitement» – c’est-à-dire que la mention est inscrite après que le traitement a été effectué. À l’inverse, le contrôle préalable visé à l’article 20 consiste simplement en ceci: un contrôle qui est réalisé avant que le traitement ne débute. Par suite, l’autorité qui effectue le contrôle préalable ne peut en aucun cas être influencée par la mention qui figure au registre à propos de ce traitement, laquelle n’aura pas encore été inscrite. La «publicité» du traitement n’aura pas non plus été assurée (conformément à l’article 21, paragraphe 1) avant que ces informations aient été consignées dans le registre.

147. Bien entendu, la situation pourrait être différente si le législateur national, lorsqu’il a identifié une catégorie particulière de traitement qui mériterait un contrôle préalable conformément à l’article 20, avait précisé: a) que cette catégorie ne serait pas dispensée de notification en vertu de l’article 18, paragraphe 2; b) que, à réception de la notification, la mention appropriée devrait immédiatement être inscrite dans le registre; c) que certains éléments [au minimum, les informations énumérées à l’article 19, paragraphe 1, sous a) à f), mais il pourrait également s’agir d’informations plus détaillées] devraient être inscrits dans le registre et d) que l’autorité compétente devrait se fonder sur le contenu