CELEX: 62001CJ0101
Language: fr
Date: 2003-11-06
Title: Arrêt de la Cour du 6 novembre 2003.#Procédure pénale contre Bodil Lindqvist.#Demande de décision préjudicielle: Göta hovrätt - Suède.#Directive 95/46/CE - Champ d'application - Publication des données à caractère personnel sur Internet - Lieu de la publication - Notion de transfert de données à caractère personnel vers des pays tiers - Liberté d'expression - Compatibilité avec la directive 95/46 d'une protection plus forte des données à caractère personnel par la législation d'un État membre.#Affaire C-101/01.

Affaire C-101/01Procédure pénalecontreBodil Lindqvist(demande de décision préjudicielle, formée par le Göta hovrätt (Suède))
         
            «Directive 95/46/CE  –  Champ d'application  –  Publication des données à caractère personnel sur Internet  –  Lieu de la publication  –  Notion de transfert de données à caractère personnel vers des pays tiers  –  Liberté d'expression  –  Compatibilité avec la directive 95/46 d'une protection plus forte des données à caractère personnel par la législation d'un
               État membre»
            
            
               
                  Conclusions de l'avocat général M. A. Tizzano, présentées le 19 septembre 2002
                     
               
               
            
                   
               
               
            
               
                  Arrêt de la Cour du 6 novembre 2003
                     
               
               
            
                   
               
               
            
            Sommaire de l'arrêt
         
         
                  1.
                  Rapprochement des législations  –  Directive 95/46  –  Champ d'application  –  Notion de traitement de données à caractère personnel automatisé en tout ou en partie  –  Opération consistant à faire référence, sur une page Internet, à diverses personnes et à les identifier soit par leur nom,
                     soit par d'autres moyens  –  Inclusion  –  Exceptions  –  Activités propres aux États ou aux autorités étatiques et étrangères aux domaines d'activité des particuliers  –  Activités s'insérant dans le cadre de la vie privée ou familiale des particuliers  –  Traitement de données à caractère personnel consistant dans leur publication sur Internet mis en oeuvre pour l'exercice d'activités
                     bénévoles ou religieuses  –  Exclusion
                  (Directive du Parlement européen et du Conseil 95/46, art. 3, § 1 et 2, premier et second tirets) 
                  
         
                  2.
                  Rapprochement des législations  –  Directive 95/46  –  Champ d'application  –  Notion de donnée à caractère personnel relative à la santé  –  Mention d'une blessure au pied ayant entraîné un congé de maladie partiel  –  Inclusion(Directive du Parlement européen et du Conseil 95/46, art. 8, § 1) 
                  
         
                  3.
                  Rapprochement des législations  –  Directive 95/46  –  Transfert de données à caractère personnel vers des pays tiers  –  Notion  –  Inscription de données sur une page Internet rendues accessibles aux personnes possédant les moyens techniques d'y accéder,
                     y compris de pays tiers  –  Exclusion
                  (Directive du Parlement européen et du Conseil 95/46, art. 25) 
                  
         
                  4.
                  Rapprochement des législations  –  Directive 95/46  –  Respect des droits fondamentaux  –  Liberté d'expression  –  Obligation pour les autorités nationales chargées d'appliquer la réglementation nationale transposant la directive d'assurer
                     un juste équilibre des droits et intérêts en cause
                  (Convention européenne des droits de l’homme, art. 10; directive du Parlement européen et du Conseil 95/46) 
                  
         
                  5.
                  Rapprochement des législations  –  Directive 95/46  –  Législation nationale assurant la protection des données à caractère personnel  –  Nécessaire conformité tant aux dispositions de la directive qu'à son objectif  –  Possibilité pour l'État membre d'en étendre la portée à des domaines non inclus dans le champ d'application de la directive
                      –  Limites
                  (Directive du Parlement européen et du Conseil 95/46) 
                  
         
         
          
         1.
         L’opération consistant à faire référence, sur une page Internet, à diverses personnes et à les identifier soit par leur nom,
            soit par d’autres moyens, par exemple leur numéro de téléphone ou des informations relatives à leurs conditions de travail
            et à leurs passe temps, constitue un «traitement de données à caractère personnel, automatisé en tout ou en partie,» au sens
            de l’article 3, paragraphe 1, de la directive 95/46, relative à la protection des personnes physiques à l’égard du traitement
            des données à caractère personnel et à la libre circulation de ces données. Un tel traitement de données à caractère personnel
            mis en oeuvre pour l’exercice d’activités bénévoles ou religieuses ne relève d’aucune des exceptions figurant au paragraphe
            2 dudit article.
         
         
         En effet, d’une part, la première exception, prévue au premier tiret dudit paragraphe 2, concerne les traitements de données
            à caractère personnel mis en oeuvre pour l’exercice d’activités qui ne relèvent pas du champ d’application du droit communautaire,
            telles que celles prévues aux titres V et VI du traité sur l’Union européenne, et, en tout état de cause, les traitements
            ayant pour objet la sécurité publique, la défense, la sûreté de l’État (y compris le bien-être économique de l’État lorsque
            ces traitements sont liés à des questions de sûreté de l’État) et les activités de l’État relatives à des domaines du droit
            pénal. Les activités mentionnées à titre d’exemple dans cette disposition sont, dans tous les cas, des activités propres aux
            États ou aux autorités étatiques et étrangères aux domaines d’activité des particuliers, et destinées à définir la portée
            de l’exception y prévue, de sorte que cette exception ne s’applique qu’aux activités qui y sont ainsi expressément mentionnées
            ou qui peuvent être rangées dans la même catégorie. Or, des activités bénévoles ou religieuses ne sont pas assimilables aux
            activités mentionnées dans ladite disposition et ne sont donc pas couvertes par cette exception. D’autre part, la seconde
            exception, prévue au second tiret du même paragraphe 2, vise uniquement les activités qui s’insèrent dans le cadre de la vie
            privée ou familiale des particuliers, ce qui n’est manifestement pas le cas du traitement de données à caractère personnel
            consistant dans leur publication sur Internet de sorte que ces données sont rendues accessibles à un nombre indéfini de personnes.
         
         
               (cf. points 27, 38, 43-48, disp. 1-2)
         
         
          
         2.
         Le fait qu’une personne s’est blessée au pied et est en congé de maladie partiel constitue une donnée à caractère personnel
            relative à la santé au sens de l’article 8, paragraphe 1, de la directive 95/46, relative à la protection des personnes physiques
            à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données. En effet, eu égard à l’objet
            de cette directive, l’expression «données relatives à la santé» employée dans ladite disposition appelle une interprétation
            large de sorte qu’elle comprenne des informations concernant tous les aspects, tant physiques que psychiques, de la santé
            d’une personne.
         
         
               (cf. points 50-51, disp. 3)
         
         
          
         3.
         Il n’existe pas de «transfert vers un pays tiers de données» au sens de l’article 25 de la directive 95/46, relative à la
            protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de
            ces données, lorsqu’une personne qui se trouve dans un État membre inscrit sur une page Internet, stockée auprès d’une personne
            physique ou morale qui héberge le site Internet sur lequel la page peut être consultée et qui est établie dans ce même État
            ou un autre État membre, des données à caractère personnel, les rendant ainsi accessibles à toute personne qui se connecte
            à Internet, y compris des personnes se trouvant dans des pays tiers.
         
         
         En effet, eu égard, d’une part, à l’état du développement d’Internet à l’époque de l’élaboration de la directive 95/46 et,
            d’autre part, à l’absence de critères applicables à l’utilisation d’Internet dans son chapitre IV, lequel comprend ledit article
            25, visant à assurer un contrôle par les États membres des transferts de données à caractère personnel vers les pays tiers
            et à interdire ces transferts lorsque ceux-ci n’offrent pas un niveau de protection adéquat, on ne saurait présumer que le
            législateur communautaire avait l’intention d’inclure prospectivement dans la notion de «transfert vers un pays tiers de données»
            une telle inscription de données sur une page Internet, même si celles-ci sont ainsi rendues accessibles aux personnes de
            pays tiers possédant les moyens techniques d’y accéder.
         
         
               (cf. points 63-64, 68, 71, disp. 4)
         
         
          
         4.
         Les dispositions de la directive 95/46, relative à la protection des personnes physiques à l’égard du traitement des données
            à caractère personnel et à la libre circulation de ces données, ne comportent pas, en elles-mêmes, une restriction contraire
            au principe général de la liberté d’expression ou à d’autres droits et libertés applicables dans l’Union européenne et correspondant
            notamment à l’article 10 de la convention européenne des droits de l’homme. Il appartient aux autorités et aux juridictions
            nationales chargées d’appliquer la réglementation nationale transposant ladite directive d’assurer un juste équilibre des
            droits et intérêts en cause, y compris les droits fondamentaux protégés par l’ordre juridique communautaire.
         
         
               (cf. point 90, disp. 5)
         
         
          
         5.
         Les mesures prises par les États membres pour assurer la protection des données à caractère personnel doivent être conformes
            tant aux dispositions de la directive 95/46, relative à la protection des personnes physiques à l’égard du traitement des
            données à caractère personnel et à la libre circulation de ces données, qu’à son objectif consistant à maintenir un équilibre
            entre la libre circulation des données à caractère personnel et la protection de la vie privée. En revanche, rien ne s’oppose
            à ce qu’un État membre étende la portée de la législation nationale transposant les dispositions de ladite directive à des
            domaines non inclus dans le champ d’application de cette dernière, pour autant qu’aucune autre disposition du droit communautaire
            n’y fasse obstacle.
         
         
               (cf. point 99, disp. 6)
      

      
      
      
      
      
      
      
      
      
      
      
      
      
      
      
            
            ARRÊT DE LA COUR6 novembre 2003(1)
         
         
            
         
               «Directive 95/46/CE  –  Champ d'application  –  Publication des données à caractère personnel sur Internet  –  Lieu de la publication  –  Notion de transfert de données à caractère personnel vers des pays tiers  –  Liberté d'expression  –  Compatibilité avec la directive 95/46 d'une protection plus forte des données à caractère personnel par la législation d'un
                  État membre»
               
               
            Dans l'affaire C-101/01,
             ayant pour objet une demande adressée à la Cour, en application de l'article 234 CE, par le Göta hovrätt (Suède) et tendant
            à obtenir, dans la procédure pénale poursuivie devant cette juridiction contre
            
            
            
             Bodil Lindqvist ,
            
            
            
            
            
            
             une décision à titre préjudiciel sur, notamment, l'interprétation de la directive 95/46/CE du Parlement européen et du Conseil,
            du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel
            et à la libre circulation de ces données (JO L 281, p. 31),
            
            LA COUR,
            
             composée de M. P. Jann, président de la première chambre, faisant fonction de président, MM. C. W. A. Timmermans, C. Gulmann,
            J. N. Cunha Rodrigues et A. Rosas, présidents de chambre, MM. D. A. O. Edward (rapporteur) et J.-P. Puissochet, M me  F. Macken et M. S. von Bahr, juges, 
            
             avocat général: M. A. Tizzano,greffier: M. H. von Holstein, greffier adjoint,
            
            
            considérant les observations écrites présentées:
               
               –
                pour M me  Lindqvist, par M e  S. Larsson, advokat,
               
               –
                pour le gouvernement suédois, par M. A. Kruse, en qualité d'agent,
               
               –
                pour le gouvernement néerlandais, par M me  H. G. Sevenster, en qualité d'agent,
               
               –
                pour le gouvernement du Royaume-Uni, par M me  G. Amodeo, en qualité d'agent, assistée de M me  J. Stratford, barrister,
               
               –
                pour la Commission des Communautés européennes, par M me  L. Ström et M. X. Lewis, en qualité d'agents,
               
               
            
            
            vu le rapport d'audience,
            
            ayant entendu les observations orales de M me  Lindqvist, représentée par M e  S. Larsson, du gouvernement suédois, représenté par M. A. Kruse et M me  B. Hernqvist, en qualité d'agent, du gouvernement néerlandais, représenté par M me  J. van Bakel, en qualité d'agent, du gouvernement du Royaume-Uni, représenté par M me  J. Stratford, de la Commission, représentée par M me  L. Ström et M. C. Docksey, en qualité d'agent, et de l'Autorité de surveillance AELE, représentée par M me  D. Sif Tynes, en qualité d'agent, à l'audience du 30 avril 2002,
            
            
            ayant entendu l'avocat général en ses conclusions à l'audience du 19 septembre 2002,
         rend le présent
         
         
         Arrêt
         1
            
          Par ordonnance du 23 février 2001, parvenue à la Cour le 1 er  mars suivant, le Göta hovrätt a posé, en application de l’article 234 CE, sept questions préjudicielles relatives, notamment,
         à l’interprétation de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection
         des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données
         (JO L 281, p. 31).
         
         
         
         2
            
          Ces questions ont été soulevées dans le cadre d’une procédure pénale poursuivie devant ladite juridiction contre M me  Lindqvist, accusée d’avoir enfreint la législation suédoise relative à la protection des données à caractère personnel en
         publiant sur son site Internet des données à caractère personnel concernant un certain nombre de personnes qui travaillent,
         comme elle, à titre bénévole dans une paroisse de l’Église protestante de Suède.
         
         
            
                Le cadre juridique 
               
             La législation communautaire 
         
         3
            
          La directive 95/46 vise, ainsi qu’il ressort de son article 1 er , paragraphe 1, la protection des libertés et des droits fondamentaux des personnes physiques, notamment de leur vie privée,
         à l’égard du traitement des données à caractère personnel.
         
         
         
         4
            
          L’article 3 de la directive 95/46, relatif au champ d’application de celle‑ci, dispose:
         «1.     La présente directive s’applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu’au
         traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier.
          2.       La présente directive ne s’applique pas au traitement de données à caractère personnel:
         
         –
            mis en œuvre pour l’exercice d’activités qui ne relèvent pas du champ d’application du droit communautaire, telles que celles
               prévues aux titres V et VI du traité sur l’Union européenne, et, en tout état de cause, aux traitements ayant pour objet la
               sécurité publique, la défense, la sûreté de l’État (y compris le bien‑être économique de l’État lorsque ces traitements sont
               liés à des questions de sûreté de l’État) et les activités de l’État relatives à des domaines du droit pénal,
            
         
         
         –
            effectué par une personne physique pour l’exercice d’activités exclusivement personnelles ou domestiques.»
         
         
         
         
         5
            
          L’article 8 de la directive 95/46, intitulé «Traitements portant sur des catégories particulières de données», prévoit:
         «1.     Les États membres interdisent le traitement des données à caractère personnel qui révèlent l’origine raciale ou ethnique,
         les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, ainsi que le traitement
         des données relatives à la santé et à la vie sexuelle.
          2.       Le paragraphe 1 ne s’applique pas lorsque:
         
         a)
            la personne concernée a donné son consentement explicite à un tel traitement, sauf dans le cas où la législation de l’État
               membre prévoit que l’interdiction visée au paragraphe 1 ne peut être levée par le consentement de la personne concernée
            
         
         
               ou
                  
               
         
         
         
         b)
            le traitement est nécessaire aux fins de respecter les obligations et les droits spécifiques du responsable du traitement
               en matière de droit du travail, dans la mesure où il est autorisé par une législation nationale prévoyant des garanties adéquates
            
         
         
               ou
                  
               
         
         
         
         c)
            le traitement est nécessaire à la défense des intérêts vitaux de la personne concernée ou d’une autre personne dans le cas
               où la personne concernée se trouve dans l’incapacité physique ou juridique de donner son consentement
            
         
         
               ou
                  
               
         
         
         
         d)
            le traitement est effectué dans le cadre de leurs activités légitimes et avec des garanties appropriées par une fondation,
               une association ou tout autre organisme à but non lucratif et à finalité politique, philosophique, religieuse ou syndicale,
               à condition que le traitement se rapporte aux seuls membres de cet organisme ou aux personnes entretenant avec lui des contacts
               réguliers liés à sa finalité et que les données ne soient pas communiquées à des tiers sans le consentement des personnes
               concernées
            
         
         
               ou
                  
               
         
         
         
         e)
            le traitement porte sur des données manifestement rendues publiques par la personne concernée ou est nécessaire à la constatation,
               à l’exercice ou à la défense d’un droit en justice.
            
         
          3.       Le paragraphe 1 ne s’applique pas lorsque le traitement des données est nécessaire aux fins de la médecine préventive, des
         diagnostics médicaux, de l’administration de soins ou de traitements ou de la gestion de services de santé et que le traitement
         de ces données est effectué par un praticien de la santé soumis par le droit national ou par des réglementations arrêtées
         par les autorités nationales compétentes au secret professionnel, ou par une autre personne également soumise à une obligation
         de secret équivalente.
          4.       Sous réserve de garanties appropriées, les États membres peuvent prévoir, pour un motif d’intérêt public important, des dérogations
         autres que celles prévues au paragraphe 2, soit par leur législation nationale, soit sur décision de l’autorité de contrôle.
          5.       Le traitement de données relatives aux infractions, aux condamnations pénales ou aux mesures de sûreté ne peut être effectué
         que sous le contrôle de l’autorité publique ou si des garanties appropriées et spécifiques sont prévues par le droit national,
         sous réserve des dérogations qui peuvent être accordées par l’État membre sur la base de dispositions nationales prévoyant
         des garanties appropriées et spécifiques. Toutefois, un recueil exhaustif des condamnations pénales ne peut être tenu que
         sous le contrôle de l’autorité publique.
          Les États membres peuvent prévoir que les données relatives aux sanctions administratives ou aux jugements civils sont également
         traitées sous le contrôle de l’autorité publique.
          6.       Les dérogations au paragraphe 1 prévues aux paragraphes 4 et 5 sont notifiées à la Commission.
          7.       Les États membres déterminent les conditions dans lesquelles un numéro national d’identification ou tout autre identifiant
         de portée générale peut faire l’objet d’un traitement.»
         
         
         
         6
            
          L’article 9 de la directive 95/46, intitulé «Traitements de données à caractère personnel et liberté d’expression», dispose:
         «Les États membres prévoient, pour les traitements de données à caractère personnel effectués aux seules fins de journalisme
         ou d’expression artistique ou littéraire, des exemptions et dérogations au présent chapitre, au chapitre IV et au chapitre
         VI dans la seule mesure où elles s’avèrent nécessaires pour concilier le droit à la vie privée avec les règles régissant la
         liberté d’expression.»
         
         
         
         7
            
          L’article 13 de la directive 95/46, intitulé «Exceptions et limitations», prévoit que les États membres peuvent apporter des
         restrictions à certaines obligations mises par la directive à la charge du responsable du traitement de données, notamment
         quant à l’information des personnes concernées, dans la mesure où lesdites restrictions sont nécessaires à la sauvegarde,
         par exemple, de la sûreté de l’État, de la défense, de la sécurité publique, d’un intérêt économique ou financier important
         d’un État membre ou de l’Union européenne, ainsi qu’à la recherche et à la poursuite d’infractions pénales ou de manquements
         à la déontologie de professions réglementées.
         
         
         
         8
            
          L’article 25 de la directive 95/46, qui figure au chapitre IV intitulé «Transfert de données à caractère personnel vers des
         pays tiers», est libellé comme suit:
         «1.     Les États membres prévoient que le transfert vers un pays tiers de données à caractère personnel faisant l’objet d’un traitement,
         ou destinées à faire l’objet d’un traitement après leur transfert, ne peut avoir lieu que si, sous réserve du respect des
         dispositions nationales prises en application des autres dispositions de la présente directive, le pays tiers en question
         assure un niveau de protection adéquat.
          2.       Le caractère adéquat du niveau de protection offert par un pays tiers s’apprécie au regard de toutes les circonstances relatives
         à un transfert ou à une catégorie de transferts de données; en particulier, sont pris en considération la nature des données,
         la finalité et la durée du ou des traitements envisagés, les pays d’origine et de destination finale, les règles de droit,
         générales ou sectorielles, en vigueur dans le pays tiers en cause, ainsi que les règles professionnelles et les mesures de
         sécurité qui y sont respectées.
          3.       Les États membres et la Commission s’informent mutuellement des cas dans lesquels ils estiment qu’un pays tiers n’assure pas
         un niveau de protection adéquat au sens du paragraphe 2.
          4.       Lorsque la Commission constate, conformément à la procédure prévue à l’article 31 paragraphe 2, qu’un pays tiers n’assure
         pas un niveau de protection adéquat au sens du paragraphe 2 du présent article, les États membres prennent les mesures nécessaires
         en vue d’empêcher tout transfert de même nature vers le pays tiers en cause.
          5.       La Commission engage, au moment opportun, des négociations en vue de remédier à la situation résultant de la constatation
         faite en application du paragraphe 4.
          6.       La Commission peut constater, conformément à la procédure prévue à l’article 31 paragraphe 2, qu’un pays tiers assure un niveau
         de protection adéquat au sens du paragraphe 2 du présent article, en raison de sa législation interne ou de ses engagements
         internationaux, souscrits notamment à l’issue des négociations visées au paragraphe 5, en vue de la protection de la vie privée
         et des libertés et droits fondamentaux des personnes.
          Les États membres prennent les mesures nécessaires pour se conformer à la décision de la Commission.»
         
         
         
         9
            
          Lors de l’adoption de la directive 95/46, le royaume de Suède a fait au sujet de l’article 9 de celle-ci une déclaration inscrite
         au procès‑verbal du Conseil (document n° 4649/95 du Conseil, du 2 février 1995), qui énonce:
         «Le royaume de Suède considère que la notion d’expression artistique et littéraire renvoie aux moyens d’expression plutôt
         qu’au contenu de la communication ou à sa qualité.»
         
         
         
         10
            
          La convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, signée à Rome le 4 novembre 1950
         (ci‑après la «CEDH»), prévoit, à son article 8, le droit au respect de la vie privée et familiale et contient, à son article
         10, des dispositions relatives à la liberté d’expression.
         
          La législation nationale 
         
         11
            
          La directive 95/46 a été transposée en droit suédois par la Personuppgiftslag, SFS 1998, n° 204 (loi suédoise sur les données
         à caractère personnel, ci‑après la «PUL»).
         
          L’affaire au principal et les questions préjudicielles 
         
         12
            
          Outre qu’elle occupait un emploi salarié d’agent d’entretien, M me  Lindqvist exerçait la fonction de formatrice de communiants dans la paroisse d’Alseda (Suède). Elle a suivi un cours d’informatique
         dans le cadre duquel elle devait notamment créer une page d’accueil sur Internet. À la fin de l’année 1998, M me  Lindqvist a créé, à son domicile et avec son ordinateur personnel, des pages Internet dans le but de permettre aux paroissiens
         préparant leur confirmation d’obtenir facilement les informations dont ils pouvaient avoir besoin. À sa demande, l’administrateur
         du site Internet de l’Église de Suède a établi un lien entre ces pages et ledit site.
         
         
         
         13
            
          Les pages visées contenaient des informations sur M me  Lindqvist et 18 de ses collègues de la paroisse, y compris leur nom complet ou parfois seulement leur prénom. M me  Lindqvist a en outre décrit les fonctions occupées par ses collègues et leurs loisirs en termes légèrement humoristiques.
         Dans plusieurs cas, leur situation familiale, leur numéro de téléphone et d’autres informations ont été mentionnés. Par ailleurs,
         elle a indiqué qu’une de ses collègues s’était blessée au pied et qu’elle était en congé de maladie partiel.
         
         
         
         14
            
          M me  Lindqvist n’avait ni informé ses collègues de l’existence de ces pages, ni recueilli leur consentement, ni déclaré sa démarche
         à la Datainspektion (organisme public pour la protection des données transmises par voie informatique). Elle a supprimé les
         pages visées dès qu’elle a appris que celles-ci n’étaient pas appréciées par certains de ses collègues.
         
         
         
         15
            
          Le ministère public a engagé des poursuites à l’encontre de M me  Lindqvist pour infraction à la PUL et a conclu à sa condamnation, au motif qu’elle avait:
         
         
         
          
         –
            traité des données à caractère personnel, dans le cadre d’un traitement automatisé, sans faire de déclaration écrite préalable
               auprès de la Datainspektion (article 36 de la PUL);
            
         
         
         
         
          
         –
            traité sans autorisation des données à caractère personnel sensibles, à savoir celles relatives à une blessure au pied et
               à un congé de maladie partiel (article 13 de la PUL);
            
         
         
         
         
          
         –
            transféré vers des pays tiers des données à caractère personnel traitées sans autorisation (article 33 de la PUL).
         
         
         
         
         
         16
            
          M me  Lindqvist a reconnu les faits, mais a nié avoir commis une infraction. Condamnée par l’Eksjö tingsrätt (Suède) au paiement
         d’une amende, M me  Lindqvist a interjeté appel de cette décision devant la juridiction de renvoi.
         
         
         
         17
            
          L’amende s’élevait à 4 000 SEK, compte tenu de l’application à la somme de 100 SEK, calculée en fonction de la situation financière
         de M me  Lindqvist, d’un multiplicateur de 40 représentant la sévérité de l’infraction. M me  Lindqvist a en outre été condamnée à verser 300 SEK à un fonds suédois destiné à aider les victimes d’infractions.
         
         
         
         18
            
         Éprouvant des doutes sur l’interprétation du droit communautaire applicable en la matière, notamment de la directive 95/46,
         le Göta hovrätt a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes:
         
         «1)
            La mention d’une personne – par son nom ou par son nom et son numéro de téléphone – sur une page d’accueil sur Internet est‑elle
               une opération qui relève du champ d’application de la directive [95/46]? Le fait de faire figurer, sur une page d’accueil
               sur Internet que l’on a soi‑même construite, un certain nombre de personnes, ainsi que des affirmations et des déclarations
               sur les conditions de travail et les passe‑temps de ces personnes, constitue‑t‑il un ‘traitement de données à caractère personnel,
               automatisé en tout ou en partie’?
            
         
         
         2)
            Au cas où la question précédente appellerait une réponse négative, le fait de créer, sur une page d’accueil sur Internet,
               des pages spécifiques pour une bonne quinzaine de personnes, avec des liens entre les pages qui permettent une recherche par
               prénom, peut‑il être considéré comme constituant un ‘traitement non automatisé de données à caractère personnel contenues
               ou appelées à figurer dans un fichier’ au sens de l’article 3, paragraphe 1?
            
         
          Si l’une des questions précédentes appelle une réponse affirmative, le hovrätt pose en outre les questions suivantes:
         
         3)
            Le fait d’insérer des données de ce type sur des collègues de travail sur une page d’accueil privée, qui est cependant accessible
               à tous ceux qui connaissent l’adresse de la page, peut‑il être considéré comme échappant au champ d’application de la directive
               [95/46] en vertu de l’une des exceptions figurant à l’article 3, paragraphe 2?
            
         
         
         4)
            L’indication, sur une page d’accueil, qu’un collègue de travail mentionné par son nom s’est blessé au pied et est en congé
               de maladie partiel est‑elle une donnée à caractère personnel relative à la santé qui, aux termes de l’article 8, paragraphe 1,
               ne peut faire l’objet d’un traitement?
            
         
         
         5)
            Le transfert de données à caractère personnel vers des pays tiers est interdit dans certains cas en vertu de la directive
               [95/46]. Si une personne insère, en Suède, à l’aide d’un ordinateur, des données à caractère personnel sur une page d’accueil
               qui est stockée sur un serveur en Suède – de sorte que les données à caractère personnel deviennent accessibles à des ressortissants
               de pays tiers –, cela constitue‑t‑il un transfert de données vers des pays tiers au sens de la directive [95/46]? La réponse
               reste‑t‑elle la même si, selon les informations dont nous disposons, aucun ressortissant d’un pays tiers n’a en fait pris
               connaissance des données ou si le serveur en question se trouve, d’un point de vue purement physique, dans un pays tiers?
            
         
         
         6)
            Les dispositions de la directive [95/46] peuvent‑elles, dans un cas tel que celui de l’espèce, être considérées comme impliquant
               une restriction contraire aux principes généraux de liberté d’expression ou à d’autres droits et libertés applicables dans
               l’Union européenne et qui correspondent notamment à l’article 10 de la convention européenne de sauvegarde des droits de l’homme
               et des libertés fondamentales?
            
         
          Enfin, le hovrätt pose la question suivante:
         
         7)
            Un État membre peut‑il, dans les domaines visés par les questions qui précèdent, disposer d’une protection plus forte des
               données à caractère personnel ou d’un champ d’application plus large que celui qui résulte de la directive [95/46], même lorsque
               l’on ne se trouve pas en présence de l’un des intérêts mentionnés à l’article 13?»
            
         
         
          Sur la première question 
         
         19
            
          Par sa première question, la juridiction de renvoi demande si l’opération consistant à faire référence, sur une page Internet,
         à diverses personnes et à les identifier soit par leur nom, soit par d’autres moyens, par exemple leur numéro de téléphone
         ou des informations relatives à leurs conditions de travail et à leurs passe‑temps, constitue un «traitement de données à
         caractère personnel, automatisé en tout ou en partie,» au sens de l’article 3, paragraphe 1, de la directive 95/46.
         
          Observations soumises à la Cour 
         
         20
            
          Selon M me  Lindqvist, il n’est pas raisonnable de considérer que la simple mention du nom d’une personne ou de données à caractère personnel
         dans un texte contenu sur une page Internet constitue un traitement automatisé de données. En revanche, la mention de telles
         données dans un mot clé des «balises méta» («meta tags») d’une page Internet, qui permet de procéder à une indexation et de
         trouver cette page par un moteur de recherche, pourrait constituer un tel traitement.
         
         
         
         21
            
          Le gouvernement suédois soutient que la notion de «traitement de données à caractère personnel, automatisé en tout ou en partie»,
         telle que visée à l’article 3, paragraphe 1, de la directive 95/46, inclut tout traitement sous un format informatique, c’est‑à‑dire
         en format binaire. Par conséquent, dès lors qu’une donnée à caractère personnel est traitée au moyen d’un ordinateur, que
         ce soit par exemple au moyen d’un programme de traitement de texte ou afin de l’insérer sur une page Internet, elle ferait
         l’objet d’un traitement couvert par la directive 95/46.
         
         
         
         22
            
          Le gouvernement néerlandais fait valoir que l’insertion de données à caractère personnel sur une page Internet se fait à l’aide
         d’un ordinateur et d’un serveur, ce qui constituerait une caractéristique importante de l’automatisation, de sorte qu’il faudrait
         considérer que ces données font l’objet d’un traitement automatisé.
         
         
         
         23
            
          La Commission soutient que la directive 95/46 s’applique à tout traitement de données à caractère personnel visé à l’article
         3 de celle‑ci, indépendamment des moyens techniques utilisés. La mise à disposition de données à caractère personnel sur Internet
         constituerait par conséquent un traitement automatisé, en tout ou en partie, à condition qu’il n’existe pas de limitations
         techniques qui restreignent le traitement à une opération exclusivement manuelle. Une page Internet relèverait donc, par sa
         nature même, du champ d’application de la directive 95/46.
         
          Réponse de la Cour 
         
         24
            
          La notion de «données à caractère personnel» employée à l’article 3, paragraphe 1, de la directive 95/46 englobe, conformément
         à la définition figurant à l’article 2, sous a), de celle-ci, «toute information concernant une personne physique identifiée
         ou identifiable». Cette notion comprend assurément le nom d’une personne joint à ses coordonnées téléphoniques ou à des informations
         relatives à ses conditions de travail ou à ses passe‑temps.
         
         
         
         25
            
          Quant à la notion de «traitement» de telles données employée à l’article 3, paragraphe 1, de la directive 95/46, elle comprend,
         conformément à la définition figurant à l’article 2, sous b), de celle-ci, «toute opération ou ensemble d’opérations effectuées
         ou non à l’aide de procédés automatisés et appliquées à des données à caractère personnel». Cette dernière disposition mentionne
         plusieurs exemples de telles opérations, parmi lesquels figurent la communication par transmission, la diffusion ou toute
         autre forme de mise à disposition de données. Il s’ensuit que l’opération consistant à faire figurer, sur une page Internet,
         des données à caractère personnel est à considérer comme un tel traitement.
         
         
         
         26
            
          Reste à déterminer si ce traitement est «automatisé en tout ou en partie». À cet égard, il convient de relever que faire apparaître
         des informations sur une page Internet implique, selon les procédures techniques et informatiques appliquées actuellement,
         de réaliser une opération de chargement de cette page sur un serveur ainsi que les opérations nécessaires pour rendre cette
         page accessible aux personnes qui se sont connectées à Internet. Ces opérations sont effectuées, au moins en partie, de manière
         automatisée.
         
         
         
         27
            
          Il convient donc de répondre à la première question que l’opération consistant à faire référence, sur une page Internet, à
         diverses personnes et à les identifier soit par leur nom, soit par d’autres moyens, par exemple leur numéro de téléphone ou
         des informations relatives à leurs conditions de travail et à leurs passe‑temps, constitue un «traitement de données à caractère
         personnel, automatisé en tout ou en partie,» au sens de l’article 3, paragraphe 1, de la directive 95/46.
         
          Sur la deuxième question 
         
         28
            
          La première question ayant reçu une réponse affirmative, il n’y a pas lieu de répondre à la deuxième question, qui n’a été
         posée que pour le cas où la première question appellerait une réponse négative.
         
          Sur la troisième question 
         
         29
            
          Par sa troisième question, la juridiction nationale cherche en substance à savoir si un traitement de données à caractère
         personnel tel que celui visé par la première question relève de l’une des exceptions figurant à l’article 3, paragraphe 2,
         de la directive 95/46.
         
          Observations soumises à la Cour 
         
         30
            
          M me  Lindqvist soutient qu’une personne privée qui, usant de sa liberté d’expression, crée des pages Internet dans le cadre d’une
         activité à but non lucratif ou de ses loisirs n’exerce pas une activité économique et échappe donc à l’application du droit
         communautaire. Si la Cour devait juger le contraire, se poserait alors la question de la validité de la directive 95/46, car,
         en l’adoptant, le législateur communautaire aurait outrepassé les compétences qui lui ont été conférées par l’article 100 A
         du traité CE (devenu, après modification, article 95 CE). En effet, le rapprochement des législations, qui aurait pour objet
         l’établissement et le fonctionnement du marché intérieur, ne saurait servir de base légale pour des mesures communautaires
         qui réglementent le droit des personnes privées à la liberté d’expression sur Internet.
         
         
         
         31
            
          Le gouvernement suédois fait valoir que, lors de la transposition de la directive 95/46 en droit interne, le législateur suédois
         a considéré que le traitement de données à caractère personnel par une personne physique consistant à transmettre ces données
         à un nombre indéterminé de destinataires, par exemple au moyen d’Internet, ne pouvait être qualifié d’«activité exclusivement
         personnelle ou domestique» au sens de l’article 3, paragraphe 2, second tiret, de la directive 95/46. En revanche, ce gouvernement
         n’exclut pas que l’exception prévue au premier tiret de ce paragraphe vise les cas où une personne physique publie des données
         à caractère personnel sur une page Internet dans le seul cadre de l’exercice de sa liberté d’expression et sans aucun lien
         avec une activité professionnelle ou commerciale.
         
         
         
         32
            
          Selon le gouvernement néerlandais, un traitement automatisé de données tel que celui en cause au principal ne relève d’aucune
         des exceptions visées à l’article 3, paragraphe 2, de la directive 95/46. S’agissant plus particulièrement de l’exception
         prévue au second tiret de ce paragraphe, il relève que le créateur d’une page Internet porte les données qui y ont été introduites
         à la connaissance d’un groupe de personnes qui est, en principe, indéterminé.
         
         
         
         33
            
          La Commission fait valoir qu’une page Internet telle que celle en cause au principal ne peut pas être considérée comme échappant
         au champ d’application de la directive 95/46 en vertu de l’article 3, paragraphe 2, de celle-ci, mais constitue, compte tenu
         des finalités de la page Internet en cause au principal, une création artistique et littéraire au sens de l’article 9 de ladite
         directive.
         
         
         
         34
            
          Elle considère que l’article 3, paragraphe 2, premier tiret, de la directive 95/46 se prête à deux interprétations différentes.
         L’une consisterait à limiter la portée de cette disposition aux domaines cités comme exemples, à savoir des activités qui
         relèvent essentiellement de ce qu’il est convenu d’appeler les deuxième et troisième piliers. L’autre interprétation consisterait
         à exclure du champ d’application de la directive 95/46 l’exercice de toute activité qui ne relève pas du droit communautaire.
         
         
         
         35
            
          La Commission soutient que le droit communautaire ne se limite pas aux seules activités économiques liées aux quatre libertés
         fondamentales. Se référant à la base juridique de la directive 95/46, à son objectif, à l’article 6 UE, à la charte des droits
         fondamentaux de l’Union européenne, proclamée à Nice le 18 décembre 2000 (JO C 364, p. 1), et à la convention du Conseil de
         l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel,
         elle conclut que cette directive vise à réglementer la libre circulation de données à caractère personnel comme l’exercice
         non seulement d’une activité économique, mais également d’une activité sociale dans le cadre de l’intégration et du fonctionnement
         du marché intérieur.
         
         
         
         36
            
          Elle ajoute qu’exclure d’une manière générale du champ d’application de la directive 95/46 les pages Internet qui ne contiennent
         aucun élément commercial ou de prestation de services pourrait entraîner de graves problèmes de délimitation. Un grand nombre
         de pages Internet contenant des données à caractère personnel, destinées à stigmatiser certaines personnes dans des buts particuliers,
         pourraient alors se trouver exclues du champ d’application de cette directive.
         
          Réponse de la Cour 
         
         37
            
          L’article 3, paragraphe 2, de la directive 95/46 prévoit deux exceptions au champ d’application de celle-ci.
         
         
         
         38
            
          La première exception concerne les traitements de données à caractère personnel mis en œuvre pour l’exercice d’activités qui
         ne relèvent pas du champ d’application du droit communautaire, telles que celles prévues aux titres V et VI du traité sur
         l’Union européenne, et, en tout état de cause, les traitements ayant pour objet la sécurité publique, la défense, la sûreté
         de l’État (y compris le bien-être économique de l’État lorsque ces traitements sont liés à des questions de sûreté de l’État)
         et les activités de l’État relatives à des domaines du droit pénal.
         
         
         
         39
            
          Les activités de M me  Lindqvist en cause au principal étant essentiellement non pas économiques mais bénévoles ainsi que religieuses, il convient
         d’examiner si elles constituent des traitements de données à caractère personnel «mis en œuvre pour l’exercice d’activités
         qui ne relèvent pas du champ d’application du droit communautaire» au sens de l’article 3, paragraphe 2, premier tiret, de
         la directive 95/46.
         
         
         
         40
            
          La Cour a déjà jugé à propos de la directive 95/46, fondée sur l’article 100 A du traité, que le recours à cette base juridique
         ne présuppose pas l’existence d’un lien effectif avec la libre circulation entre États membres dans chacune des situations
         visées par l’acte fondé sur une telle base (voir arrêt du 20 mai 2003, Österreichischer Rundfunk e.a., C‑465/00, C‑138/01
         et C‑139/01, non encore publié au Recueil, point 41 et jurisprudence citée).
         
         
         
         41
            
          Une interprétation contraire risquerait de rendre les limites du domaine d’application de ladite directive particulièrement
         incertaines et aléatoires, ce qui serait contraire à l’objectif essentiel de celle-ci, qui est de rapprocher les dispositions
         législatives, réglementaires et administratives des États membres afin d’éliminer les obstacles au fonctionnement du marché
         intérieur découlant précisément des disparités entre les législations nationales (arrêt Österreichischer Rundfunk e.a., précité,
         point 42).
         
         
         
         42
            
          Dans ces conditions, il ne serait pas approprié d’interpréter l’expression «activités qui ne relèvent pas du champ d’application
         du droit communautaire» comme ayant une portée telle qu’il serait nécessaire de vérifier, au cas par cas, si l’activité spécifique
         en cause affecte directement la libre circulation entre États membres.
         
         
         
         43
            
          Les activités mentionnées à titre d’exemples à l’article 3, paragraphe 2, premier tiret, de la directive 95/46 (à savoir les
         activités prévues aux titres V et VI du traité sur l’Union européenne ainsi que les traitements ayant pour objet la sécurité
         publique, la défense, la sûreté de l’État et les activités relatives à des domaines du droit pénal) sont, dans tous les cas,
         des activités propres aux États ou aux autorités étatiques et étrangères aux domaines d’activité des particuliers.
         
         
         
         44
            
          Il y a donc lieu de considérer que les activités mentionnées en tant qu’exemples à l’article 3, paragraphe 2, premier tiret,
         de la directive 95/46 sont destinées à définir la portée de l’exception y prévue, de sorte que cette exception ne s’applique
         qu’aux activités qui y sont ainsi expressément mentionnées ou qui peuvent être rangées dans la même catégorie (ejusdem generis).
         
         
         
         45
            
          Or, des activités bénévoles ou religieuses, telles que celles exercées par M me  Lindqvist, ne sont pas assimilables aux activités mentionnées à l’article 3, paragraphe 2, premier tiret, de la directive
         95/46 et ne sont donc pas couvertes par cette exception.
         
         
         
         46
            
          S’agissant de l’exception prévue à l’article 3, paragraphe 2, second tiret, de la directive 95/46, le douzième considérant
         de celle-ci, relatif à cette exception, mentionne en tant qu’exemples de traitement de données effectué par une personne physique
         dans l’exercice d’activités exclusivement personnelles ou domestiques la correspondance et la tenue de répertoires d’adresses.
         
         
         
         47
            
          Cette exception doit donc être interprétée comme visant uniquement les activités qui s’insèrent dans le cadre de la vie privée
         ou familiale des particuliers, ce qui n’est manifestement pas le cas du traitement de données à caractère personnel consistant
         dans leur publication sur Internet de sorte que ces données sont rendues accessibles à un nombre indéfini de personnes.
         
         
         
         48
            
          Il convient donc de répondre à la troisième question qu’un traitement de données à caractère personnel tel que celui mentionné
         dans la réponse à la première question ne relève d’aucune des exceptions figurant à l’article 3, paragraphe 2, de la directive
         95/46.
         
          Sur la quatrième question 
         
         49
            
          Par sa quatrième question, la juridiction de renvoi demande si l’indication du fait qu’une personne s’est blessée au pied
         et est en congé de maladie partiel constitue une donnée à caractère personnel relative à la santé au sens de l’article 8,
         paragraphe 1, de la directive 95/46.
         
         
         
         50
            
          Eu égard à l’objet de cette directive, il convient de donner à l’expression «données relatives à la santé» employée à son
         article 8, paragraphe 1, une interprétation large de sorte qu’elle comprenne des informations concernant tous les aspects,
         tant physiques que psychiques, de la santé d’une personne.
         
         
         
         51
            
          Il convient donc de répondre à la quatrième question que l’indication du fait qu’une personne s’est blessée au pied et est
         en congé de maladie partiel constitue une donnée à caractère personnel relative à la santé au sens de l’article 8, paragraphe 1,
         de la directive 95/46.
         
          Sur la cinquième question 
         
         52
            
          Par sa cinquième question, la juridiction de renvoi cherche en substance à savoir s’il existe un «transfert vers un pays tiers
         de données» au sens de l’article 25 de la directive 95/46 lorsqu’une personne qui se trouve dans un État membre inscrit sur
         une page Internet, stockée auprès d’une personne physique ou morale qui héberge le site Internet sur lequel la page peut être
         consultée (ci‑après le «fournisseur de services d’hébergement») et qui est établie dans ce même État ou un autre État membre,
         des données à caractère personnel, les rendant ainsi accessibles à toute personne qui se connecte à Internet, y compris des
         personnes se trouvant dans des pays tiers. La juridiction de renvoi demande en outre si la réponse à cette question est identique
         lorsqu’il apparaît que, en fait, aucun ressortissant d’un pays tiers n’a pris connaissance de ces données ou que le serveur
         où la page est stockée se trouve, d’un point de vue purement physique, dans un pays tiers.
         
          Observations soumises à la Cour 
         
         53
            
          La Commission et le gouvernement suédois considèrent que l’insertion, à l’aide d’un ordinateur, de données à caractère personnel
         sur une page Internet, de sorte que celles‑ci deviennent accessibles à des ressortissants de pays tiers, constitue un transfert
         de données vers des pays tiers au sens de la directive 95/46. La réponse serait identique si aucun ressortissant d’un pays
         tiers ne prenait effectivement connaissance desdites données ou si le serveur où celles-ci sont stockées se trouvait, d’un
         point de vue purement physique, dans un pays tiers.
         
         
         
         54
            
          Le gouvernement néerlandais rappelle que la notion de «transfert» n’est pas définie par la directive 95/46. Il considère,
         d’une part, que cette notion doit être entendue comme visant un acte tendant délibérément à transférer des données à caractère
         personnel du territoire d’un État membre vers un pays tiers et, d’autre part, qu’une distinction ne peut être établie entre
         les différentes formes sous lesquelles des données sont rendues accessibles à des tiers. Il en conclut que l’introduction
         de données à caractère personnel sur une page Internet au moyen d’un ordinateur ne peut pas être considérée comme un transfert
         vers un pays tiers de données à caractère personnel au sens de l’article 25 de la directive 95/46.
         
         
         
         55
            
          Le gouvernement du Royaume‑Uni fait valoir que l’article 25 de la directive 95/46 vise les transferts de données vers des
         pays tiers et non leur accessibilité à partir de pays tiers. La notion de «transfert» impliquerait la transmission d’une donnée
         par une personne située dans un lieu précis à une tierce personne située dans un autre lieu. Ce ne serait que dans l’hypothèse
         d’un tel transfert que l’article 25 de la directive 95/46 impose aux États membres de veiller au caractère adéquat du niveau
         de protection des données à caractère personnel dans un pays tiers.
         
          Réponse   de la Cour 
         
         56
            
          La directive 95/46 ne définit ni à son article 25 ni dans aucune autre disposition, notamment pas à son article 2, la notion
         de «transfert vers un pays tiers».
         
         
         
         57
            
          Afin de déterminer si l’inscription sur une page Internet de données à caractère personnel, du seul fait qu’elle les rend
         accessibles aux personnes se trouvant dans un pays tiers, constitue un «transfert» de ces données vers un pays tiers au sens
         de l’article 25 de la directive 95/46, il est nécessaire de tenir compte, d’une part, de la nature technique des opérations
         ainsi effectuées et, d’autre part, de l’objectif ainsi que de l’économie du chapitre IV de ladite directive, où figure son
         article 25.
         
         
         
         58
            
          Les informations qui se trouvent sur Internet peuvent être consultées par un nombre indéfini de personnes résidant dans des
         lieux multiples et presque à tout moment. Le caractère ubiquitaire de ces informations résulte notamment du fait que les moyens
         techniques utilisés dans le cadre d’Internet sont relativement simples et de moins en moins coûteux.
         
         
         
         59
            
          Selon les modalités d’utilisation d’Internet, telles qu’elles sont devenues disponibles à des particuliers comme M me  Lindqvist au cours des années 1990, l’auteur d’une page destinée à être publiée sur Internet transmet les données qui constituent
         cette page à son fournisseur de services d’hébergement. Celui-ci gère l’infrastructure informatique nécessaire pour assurer
         le stockage de ces données et la connexion du serveur qui héberge le site Internet. Cela permet la transmission ultérieure
         de ces données à toute personne qui s’est connectée à Internet et demande à les obtenir. Les ordinateurs qui constituent cette
         infrastructure informatique peuvent être situés, et même sont souvent situés, dans un ou plusieurs pays autres que celui du
         lieu d’établissement du fournisseur de services d’hébergement, sans que la clientèle de celui-ci en ait ou puisse raisonnablement
         en prendre connaissance.
         
         
         
         60
            
          Il ressort du dossier que, pour obtenir les informations figurant sur les pages Internet dans lesquelles M me  Lindqvist avait inséré des données relatives à ses collègues, un utilisateur d’Internet devait non seulement se connecter
         à celui-ci mais aussi effectuer, par une démarche personnelle, les actions nécessaires pour consulter lesdites pages. En d’autres
         termes, les pages Internet de M me  Lindqvist ne comportaient pas les mécanismes techniques qui auraient permis l’envoi automatique de ces informations à des
         personnes qui n’avaient pas délibérément cherché à accéder à ces pages. 
         
         
         
         61
            
          Il s’ensuit que, dans des circonstances telles que celles de l’espèce au principal, les données à caractère personnel qui
         arrivent sur l’ordinateur d’une personne située dans un pays tiers, en provenance d’une personne qui les a chargées sur un
         site Internet, n’ont pas été transférées directement entre ces deux personnes mais au travers de l’infrastructure informatique
         du fournisseur de services d’hébergement où la page est stockée.
         
         
         
         62
            
          C’est dans ce contexte qu’il est nécessaire d’examiner si le législateur communautaire avait l’intention, aux fins de l’application
         du chapitre IV de la directive 95/46, d’inclure dans la notion de «transfert vers un pays tiers de données» au sens de l’article
         25 de cette directive des opérations telles que celles effectuées par M me  Lindqvist. Il faut souligner que la cinquième question posée par la juridiction de renvoi ne concerne que ces opérations,
         à l’exclusion de celles effectuées par les fournisseurs de services d’hébergement.
         
         
         
         63
            
          Le chapitre IV de la directive 95/46, dans lequel figure l’article 25, met en place un régime spécial, comportant des règles
         spécifiques, qui vise à assurer un contrôle par les États membres des transferts de données à caractère personnel vers les
         pays tiers. Ce chapitre institue un régime complémentaire au régime général mis en place par le chapitre II de ladite directive
         concernant la licéité de traitements de données à caractère personnel.
         
         
         
         64
            
          L’objectif du chapitre IV est défini aux cinquante-sixième à soixantième considérants de la directive 95/46, lesquels énoncent
         notamment que, si la protection des personnes garantie dans la Communauté par cette directive ne s’oppose pas aux transferts
         de données à caractère personnel vers des pays tiers assurant un niveau de protection adéquat, ce caractère adéquat doit s’apprécier
         au regard de toutes les circonstances relatives à un transfert ou à une catégorie de transferts. Lorsqu’un pays tiers n’offre
         pas un niveau de protection adéquat, le transfert de données à caractère personnel vers ce pays doit être interdit.
         
         
         
         65
            
          L’article 25 de la directive 95/46 impose pour sa part une série d’obligations aux États membres et à la Commission visant
         à contrôler les transferts de données à caractère personnel vers les pays tiers compte tenu du niveau de protection accordé
         à de telles données dans chacun de ces pays.
         
         
         
         66
            
          En particulier, l’article 25, paragraphe 4, de la directive 95/46 prévoit que, lorsque la Commission constate qu’un pays tiers
         n’assure pas un niveau de protection adéquat, les États membres prennent les mesures nécessaires en vue d’empêcher tout transfert
         de données à caractère personnel vers le pays tiers en cause.
         
         
         
         67
            
          Le chapitre IV de la directive 95/46 ne contient aucune disposition concernant l’utilisation d’Internet. Il ne précise notamment
         pas les critères permettant de déterminer si, en ce qui concerne les opérations effectuées par l’intermédiaire de fournisseurs
         de services d’hébergement, il convient de se fonder sur le lieu de l’établissement du fournisseur ou son domicile professionnel
         ou bien sur le ou les lieux où sont situés les ordinateurs qui constituent l’infrastructure informatique du fournisseur.
         
         
         
         68
            
          Eu égard, d’une part, à l’état du développement d’Internet à l’époque de l’élaboration de la directive 95/46 et, d’autre part,
         à l’absence, dans son chapitre IV, de critères applicables à l’utilisation d’Internet, on ne saurait présumer que le législateur
         communautaire avait l’intention d’inclure prospectivement dans la notion de «transfert vers un pays tiers de données» l’inscription,
         par une personne se trouvant dans la situation de M me  Lindqvist, de données sur une page Internet, même si celles-ci sont ainsi rendues accessibles aux personnes de pays tiers
         possédant les moyens techniques d’y accéder.
         
         
         
         69
            
          Si l’article 25 de la directive 95/46 était interprété en ce sens qu’il existe un «transfert vers un pays tiers de données»
         chaque fois que des données à caractère personnel sont chargées sur une page Internet, ce transfert serait nécessairement
         un transfert vers tous les pays tiers où existent les moyens techniques nécessaires pour accéder à Internet. Le régime spécial
         prévu par le chapitre IV de ladite directive deviendrait donc nécessairement, en ce qui concerne les opérations sur Internet,
         un régime d’application générale. En effet, dès que la Commission constaterait, en application de l’article 25, paragraphe
         4, de la directive 95/46, qu’un seul pays tiers n’assure pas un niveau de protection adéquat, les États membres seraient obligés
         d’empêcher toute mise sur Internet de données à caractère personnel.
         
         
         
         70
            
          Dans ces conditions, il y a lieu de conclure que l’article 25 de la directive 95/46 doit être interprété en ce sens que des
         opérations telles que celles effectuées par M me  Lindqvist ne constituent pas en elles‑mêmes un «transfert vers un pays tiers de données». Il n’est donc pas nécessaire de
         rechercher si une personne d’un pays tiers a eu accès à la page Internet concernée ou si le serveur de ce fournisseur est
         physiquement situé dans un pays tiers.
         
         
         
         71
            
          Il convient donc de répondre à la cinquième question qu’il n’existe pas de «transfert vers un pays tiers de données» au sens
         de l’article 25 de la directive 95/46 lorsqu’une personne qui se trouve dans un État membre inscrit sur une page Internet,
         stockée auprès de son fournisseur de services d’hébergement qui est établi dans ce même État ou un autre État membre, des
         données à caractère personnel, les rendant ainsi accessibles à toute personne qui se connecte à Internet, y compris des personnes
         se trouvant dans des pays tiers.
         
          Sur la sixième question 
         
         72
            
          Par sa sixième question, la juridiction de renvoi demande s’il faut considérer que les dispositions de la directive 95/46
         comportent, dans un cas comme celui de l’espèce au principal, une restriction contraire au principe général de la liberté
         d’expression ou à d’autres droits et libertés applicables dans l’Union européenne et correspondant notamment au droit prévu
         à l’article 10 de la CEDH.
         
          Observations soumises à la Cour 
         
         73
            
          Se référant, notamment, à l’arrêt du 6 mars 2001, Connolly/Commission (C‑274/99 P, Rec. p. I‑1611), M me  Lindqvist fait valoir que la directive 95/46 et la PUL, en ce qu’elles prévoient des conditions de consentement préalable
         et de notification préalable à une autorité de contrôle ainsi qu’un principe d’interdiction du traitement des données à caractère
         personnel de nature sensible, sont contraires au principe général de la liberté d’expression reconnu en droit communautaire.
         Plus particulièrement, elle soutient que la définition du «traitement de données à caractère personnel, automatisé en tout
         ou en partie,» ne satisfait pas aux critères de prévisibilité et de précision.
         
         
         
         74
            
          En outre, selon elle, le simple fait de citer nominativement une personne physique, de révéler ses coordonnées téléphoniques
         et ses conditions de travail ainsi que de donner des informations sur son état de santé et ses loisirs, informations qui seraient
         publiques, notoirement connues ou triviales, n’est pas constitutif d’une violation substantielle du droit au respect de la
         vie privée. M me  Lindqvist considère que, en tout état de cause, les contraintes imposées par la directive 95/46 sont disproportionnées au
         regard de l’objectif recherché de protection de la réputation et de la vie privée d’autrui.
         
         
         
         75
            
          Le gouvernement suédois considère que la directive 95/46 permet de mettre en balance les intérêts en cause et, ainsi, de sauvegarder
         la liberté d’expression et la protection de la vie privée. Il ajoute que seul le juge national peut, compte tenu des circonstances
         de chaque cas particulier, apprécier la proportionnalité de la restriction à l’exercice du droit à la liberté d’expression
         qu’entraîne l’application de règles visant à la protection des droits d’autrui.
         
         
         
         76
            
          Le gouvernement néerlandais rappelle que tant la liberté d’expression que le droit au respect de la vie privée font partie
         des principes généraux du droit dont la Cour assure le respect et que la CEDH n’établit aucune hiérarchie entre les différents
         droits fondamentaux. Il considère dès lors que la juridiction nationale doit s’efforcer de concilier les différents droits
         fondamentaux en cause en prenant en considération les circonstances du cas d’espèce.
         
         
         
         77
            
          Le gouvernement du Royaume‑Uni note que sa proposition de réponse à la cinquième question, exposée au point 55 du présent
         arrêt, s’accorde parfaitement avec les droits fondamentaux et permet d’éviter de porter atteinte de manière disproportionnée
         à la liberté d’expression. Il ajoute qu’une interprétation qui aurait pour effet qu’une publication de données à caractère
         personnel sous une forme particulière, à savoir sur une page Internet, soit sujette à des restrictions beaucoup plus sévères
         que celles applicables aux publications réalisées sous d’autres formes de publication, telles que le papier, serait difficile
         à justifier.
         
         
         
         78
            
          La Commission soutient également que la directive 95/46 n’implique pas une restriction contraire au principe général de la
         liberté d’expression ou à d’autres droits et libertés applicables dans l’Union européenne et correspondant notamment au droit
         prévu à l’article 10 de la CEDH.
         
          Réponse de la Cour 
         
         79
            
          Il ressort du septième considérant de la directive 95/46 que l’établissement et le fonctionnement du marché intérieur sont
         susceptibles d’être sérieusement affectés par les différences entre les régimes nationaux applicables au traitement des données
         à caractère personnel. Selon le troisième considérant de la même directive, l’harmonisation de ces régimes nationaux doit
         avoir pour objectifs non seulement la libre circulation de ces données entre États membres, mais également la sauvegarde des
         droits fondamentaux des personnes. Ces objectifs peuvent évidemment entrer en conflit.
         
         
         
         80
            
          D’une part, l’intégration économique et sociale résultant de l’établissement et du fonctionnement du marché intérieur entraînera
         nécessairement une augmentation sensible des flux de données à caractère personnel entre tous les acteurs de la vie économique
         et sociale des États membres, qu’il s’agisse d’entreprises ou d’administrations des États membres. Lesdits acteurs ont, dans
         une certaine mesure, besoin de disposer de données à caractère personnel pour effectuer leurs transactions ou pour accomplir
         leur mission dans le cadre de l’espace sans frontières que constitue le marché intérieur.
         
         
         
         81
            
          D’autre part, les personnes concernées par le traitement de données à caractère personnel demandent à juste titre que ces
         données soient protégées de manière efficace.
         
         
         
         82
            
          Les mécanismes permettant de mettre en balance ces différents droits et intérêts sont inscrits, d’une part, dans la directive
         95/46 elle-même, en ce qu’elle prévoit des règles qui déterminent dans quelles situations et dans quelle mesure le traitement
         des données à caractère personnel est licite et quelles sauvegardes doivent être prévues. D’autre part, ils résultent de l’adoption,
         par les États membres, de dispositions nationales assurant la transposition de cette directive et de l’éventuelle application
         de celles-ci par les autorités nationales.
         
         
         
         83
            
          Quant à la directive 95/46 elle-même, ses dispositions sont nécessairement relativement générales vu qu’elle doit s’appliquer
         à un grand nombre de situations très diverses. Contrairement à ce que prétend M me  Lindqvist, c’est donc à juste titre que cette directive comporte des règles caractérisées par une certaine souplesse et qu’elle
         laisse dans de nombreux cas aux États membres le soin d’arrêter les détails ou de choisir parmi des options.
         
         
         
         84
            
          Il est vrai que les États membres disposent à maints égards d’une marge de manœuvre en vue de la transposition de la directive
         95/46. Toutefois, rien ne permet de considérer que le régime que celle-ci prévoit manque de prévisibilité ou que ses dispositions
         sont, en tant que telles, contraires aux principes généraux du droit communautaire et, notamment, aux droits fondamentaux
         protégés par l’ordre juridique communautaire.
         
         
         
         85
            
          C’est donc plutôt au stade de la mise en œuvre sur le plan national de la réglementation transposant la directive 95/46 dans
         des cas d’espèce particuliers que doit être trouvé un juste équilibre des droits et intérêts visés.
         
         
         
         86
            
          Dans ce contexte, les droits fondamentaux revêtent une importance particulière, ainsi que le démontre l’affaire au principal
         où il est en substance nécessaire de mettre en balance, d’une part, la liberté d’expression de M me  Lindqvist dans le cadre de son travail comme formatrice de communiants ainsi que la liberté d’exercer des activités contribuant
         à la vie religieuse et, d’autre part, la protection de la vie privée des personnes à propos desquelles M me  Lindqvist a fait figurer des données sur son site Internet.
         
         
         
         87
            
          Par conséquent, il incombe aux autorités et aux juridictions des États membres non seulement d’interpréter leur droit national
         d’une manière conforme à la directive 95/46, mais également de veiller à ne pas se fonder sur une interprétation de cette
         dernière qui entrerait en conflit avec les droits fondamentaux protégés par l’ordre juridique communautaire ou avec les autres
         principes généraux du droit communautaire, tels que le principe de proportionnalité.
         
         
         
         88
            
          S’il est vrai que la protection de la vie privée requiert l’application de sanctions efficaces à l’encontre des personnes
         traitant des données à caractère personnel d’une manière non conforme à la directive 95/46, de telles sanctions doivent toujours
         respecter le principe de proportionnalité. Il en va d’autant plus ainsi que le champ d’application de la directive 95/46 apparaît
         très large et que les obligations des personnes qui procèdent à des traitements de données à caractère personnel sont nombreuses
         et importantes.
         
         
         
         89
            
          En application du principe de proportionnalité, il incombe à la juridiction de renvoi de prendre en considération toutes les
         circonstances de l’affaire dont elle est saisie, notamment la durée de la violation des règles mettant en œuvre la directive
         95/46 ainsi que l’importance, pour les intéressés, de la protection des données divulguées.
         
         
         
         90
            
          Il convient donc de répondre à la sixième question que les dispositions de la directive 95/46 ne comportent pas, en elles-mêmes,
         une restriction contraire au principe général de la liberté d’expression ou à d’autres droits et libertés applicables dans
         l’Union européenne et correspondant notamment à l’article 10 de la CEDH. Il appartient aux autorités et aux juridictions nationales
         chargées d’appliquer la réglementation nationale transposant la directive 95/46 d’assurer un juste équilibre des droits et
         intérêts en cause, y compris les droits fondamentaux protégés par l’ordre juridique communautaire.
         
          Sur la septième question 
         
         91
            
          Par sa septième question, la juridiction de renvoi demande en substance s’il est loisible aux États membres de prévoir une
         protection des données à caractère personnel plus forte ou un champ d’application plus large que ceux résultant de la directive
         95/46.
         
          Observations soumises à la Cour 
         
         92
            
          Le gouvernement suédois affirme que la directive 95/46 ne se contente pas de fixer des conditions minimales de protection
         des données à caractère personnel. Les États membres seraient, dans le cadre de la transposition de cette directive, obligés
         de réaliser le niveau de protection fixé par celle‑ci et ils ne seraient pas habilités à prévoir une protection plus forte
         ou plus faible. Toutefois, il conviendrait de tenir compte de la marge d’appréciation dont disposent les États membres lors
         de ladite transposition pour préciser dans leur droit interne les conditions générales de licéité du traitement des données
         à caractère personnel.
         
         
         
         93
            
          Le gouvernement néerlandais soutient que la directive 95/46 ne s’oppose pas à ce que les États membres prévoient une protection
         plus forte dans certains domaines. Il ressortirait par exemple des articles 10, 11, paragraphe 1, 14, premier alinéa, sous
         a), 17, paragraphe 3, 18, paragraphe 5, et 19, paragraphe 1, de ladite directive que les États membres peuvent prévoir une
         protection plus large. En outre, les États membres seraient libres d’appliquer les principes de la directive 95/46 également
         à des activités qui ne relèvent pas du champ d’application de celle‑ci.
         
         
         
         94
            
          La Commission fait valoir que la directive 95/46 est fondée sur l’article 100 A du traité et que, si un État membre souhaite
         maintenir ou instaurer une législation qui déroge à une telle directive d’harmonisation, il est tenu de la notifier à la Commission
         conformément au paragraphe 4 ou au paragraphe 5 de l’article 95 CE. La Commission soutient en conséquence qu’un État membre
         ne saurait prévoir une protection des données à caractère personnel plus étendue ou un champ d’application plus large que
         ceux qui résultent de ladite directive.
         
          Réponse de la Cour 
         
         95
            
          La directive 95/46 vise, ainsi qu’il ressort notamment de son huitième considérant, à rendre équivalent dans tous les États
         membres le niveau de protection des droits et libertés des personnes à l’égard du traitement de données à caractère personnel.
         Son dixième considérant ajoute que le rapprochement des législations nationales applicables en la matière ne doit pas conduire
         à affaiblir la protection qu’elles assurent, mais doit, au contraire, avoir pour objectif de garantir un niveau élevé de protection
         dans la Communauté.
         
         
         
         96
            
          L’harmonisation desdites législations nationales ne se limite donc pas à une harmonisation minimale, mais aboutit à une harmonisation
         qui est, en principe, complète. C’est dans cette optique que la directive 95/46 entend assurer la libre circulation des données
         à caractère personnel, tout en garantissant un haut niveau de protection des droits et des intérêts des personnes visées par
         ces données.
         
         
         
         97
            
          Il est vrai que la directive 95/46 reconnaît aux États membres une marge de manœuvre dans certains domaines et qu’elle les
         autorise à maintenir ou à introduire des régimes particuliers pour des situations spécifiques ainsi qu’en témoignent un grand
         nombre de ses dispositions. Toutefois, de telles possibilités doivent être utilisées de la manière prévue par la directive
         95/46 et conformément à son objectif consistant à maintenir un équilibre entre la libre circulation des données à caractère
         personnel et la protection de la vie privée.
         
         
         
         98
            
          En revanche, rien ne s’oppose à ce qu’un État membre étende la portée de la législation nationale transposant les dispositions
         de la directive 95/46 à des domaines non inclus dans le champ d’application de cette dernière, pour autant qu’aucune autre
         disposition du droit communautaire n’y fasse obstacle.
         
         
         
         99
            
          Au vu de ces considérations, il convient de répondre à la septième question que les mesures prises par les États membres pour
         assurer la protection des données à caractère personnel doivent être conformes tant aux dispositions de la directive 95/46
         qu’à son objectif consistant à maintenir un équilibre entre la libre circulation des données à caractère personnel et la protection
         de la vie privée. En revanche, rien ne s’oppose à ce qu’un État membre étende la portée de la législation nationale transposant
         les dispositions de la directive 95/46 à des domaines non inclus dans le champ d’application de cette dernière, pour autant
         qu’aucune autre disposition du droit communautaire n’y fasse obstacle.
         
         
         Sur les dépens
         100
            
          Les frais exposés par les gouvernements suédois, néerlandais et du Royaume‑Uni, ainsi que par la Commission et l’Autorité
         de surveillance AELE, qui ont soumis des observations à la Cour, ne peuvent faire l’objet d’un remboursement. La procédure
         revêtant, à l’égard des parties au principal, le caractère d’un incident soulevé devant la juridiction de renvoi, il appartient
         à celle‑ci de statuer sur les dépens.
         
         
         Par ces motifs,
         
         
         
            
            LA COUR,
         
         
          statuant sur les questions à elle soumises par le Göta hovrätt, par ordonnance du 23 février 2001, dit pour droit:
         
            
            
            
               1)
                   L’opération consistant à faire référence, sur une page Internet, à diverses personnes et à les identifier soit par leur nom,
                     soit par d’autres moyens, par exemple leur numéro de téléphone ou des informations relatives à leurs conditions de travail
                     et à leurs passe‑temps, constitue un «traitement de données à caractère personnel, automatisé en tout ou en partie,» au sens
                     de l’article 3, paragraphe 1, de la directive 95/46  /CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du
                     traitement des données à caractère personnel et à la libre circulation de ces données  . 
                  
               
            
            
            
            
               2)
                   Un tel traitement de données à caractère personnel ne relève d’aucune des exceptions figurant à l’article 3, paragraphe 2,
                     de la directive 95/46. 
                  
               
            
            
            
            
               3)
                   L’indication du fait qu’une personne s’est blessée au pied et est en congé de maladie partiel constitue une donnée à caractère
                     personnel relative à la santé au sens de l’article 8, paragraphe 1, de la directive 95/46. 
                  
               
            
            
            
            
               4)
                   Il n’existe pas de «transfert vers un pays tiers de données» au sens de l’article 25 de la directive 95/46 lorsqu’une personne
                     qui se trouve dans un État membre inscrit sur une page Internet, stockée auprès d’une personne physique ou morale qui héberge
                     le site Internet sur lequel la page peut être consultée et qui est établie dans ce même État ou un autre État membre, des
                     données à caractère personnel, les rendant ainsi accessibles à toute personne qui se connecte à Internet, y compris des personnes
                     se trouvant dans des pays tiers. 
                  
               
            
            
            
            
               5)
                   Les dispositions de la directive 95/46 ne comportent pas, en elles-mêmes, une restriction contraire au principe général de
                     la liberté d’expression ou à d’autres droits et libertés applicables dans l’Union européenne et correspondant notamment à
                     l’article 10 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, signée à Rome
                     le 4 novembre 1950. Il appartient aux autorités et aux juridictions nationales chargées d’appliquer la réglementation nationale
                     transposant la directive 95/46 d’assurer un juste équilibre des droits et intérêts en cause, y compris les droits fondamentaux
                     protégés par l’ordre juridique communautaire. 
                  
               
            
            
            
            
               6)
                   Les mesures prises par les États membres pour assurer la protection des données à caractère personnel doivent être conformes
                     tant aux dispositions de la directive 95/46 qu’à son objectif consistant à maintenir un équilibre entre la libre circulation
                     des données à caractère personnel et la protection de la vie privée. En revanche, rien ne s’oppose à ce qu’un État membre
                     étende la portée de la législation nationale transposant les dispositions de la directive 95/46 à des domaines non inclus
                     dans le champ d’application de cette dernière, pour autant qu’aucune autre disposition du droit communautaire n’y fasse obstacle. 
                  
               
            
            
                  Jann
               
               
                  Timmermans
               
               
                  Gulmann
               
            
                  Cunha Rodrigues
               
               
                  Rosas
               
               
                  Edward
               
            
                  Puissochet
               
               
                  Macken
               
               
                  von Bahr
               
            
                  
               
               
                  
               
               
                  
               
            
                  
               
               
                  
               
               
                  
               
            
            
            
            
            
            
            
            
         
         
          Ainsi prononcé en audience publique à Luxembourg, le 6 novembre 2003.
         
         
         
         
                  Le greffier
               
               
                  Le président
               
            
         
         
         
                  R. Grass
               
               
                  V. Skouris
               
            
      
      
          1 –
            
            Langue de procédure: le suédois.