[Brèves] Données personnelles : caractère contraignant des décisions prises par une autorité de contrôle dans le cadre de l’exercice indirect des droits de la personne concernée

► Dans le cadre de l’exercice indirect des droits de la personne par le traitement de ses données personnelles, l’autorité de contrôle compétente adopte une décision juridiquement contraignante ; cette décision doit pouvoir faire l’objet d’un recours afin que l’intéressé puisse contester l’appréciation portée par l’autorité de contrôle sur la légalité du traitement de données et la décision de procéder ou non à des mesures correctrices.

Faits et procédure. Un citoyen a demandé à l’autorité nationale de sécurité belge de lui délivrer, à des fins professionnelles, une habilitation de sécurité. Ce document lui a été refusé, au motif qu’il avait participé à des manifestations.

Invoquant son droit d’accès à ses données, ce citoyen s’est adressé à l’Organe de contrôle de l’information policière qui lui a indiqué qu’il ne disposait que d’un accès indirect et qu’il vérifiait lui-même la légalité du traitement de ses données. Toutefois, à l’issue de cette vérification, comme le permet la loi belge, cet organe s’est contenté de lui répondre avoir procédé aux vérifications nécessaires. Ce citoyen a alors introduit un recours en justice devant le juge de première instance qui s’est déclaré matériellement incompétent.

Saisie par l’intéressé et la Ligue des droits humains, la cour d’appel de Bruxelles a demandé à la Cour de justice de l’Union européenne si le droit de l’Union impose aux États membres de prévoir la possibilité que la personne concernée par le traitement de ses données puisse contester la décision de l’autorité de contrôle lorsque cette dernière exerce les droits de ladite personne à l’égard du traitement en cause.

Décision. La CJUE considère qu’en informant la personne concernée du résultat des vérifications, l’autorité de contrôle compétente adopte une décision juridiquement contraignante. Cette décision doit pouvoir faire l’objet d’un recours afin que l’intéressé puisse contester l’appréciation portée par l’autorité de contrôle sur la légalité du traitement de données et la décision de procéder ou non à des mesures correctrices. La Cour relève que l’article 17 de la Directive n° 2016/680, du 27 avril 2016 N° Lexbase : L9729K7H impose à l’autorité de contrôle d’informer « au moins » la personne concernée « qu’elle a procédé à toutes les vérifications nécessaires ou à un examen » et de « son droit de former un recours juridictionnel ».

Lorsque les objectifs d’intérêt public ne s’y opposent pas, les États membres doivent toutefois prévoir que l’information de la personne concernée puisse aller au-delà de ces informations minimales afin que la personne concernée soit mise en mesure de défendre ses droits et de décider ou non de saisir le juge compétent.

En outre, dans les cas où l’information ainsi fournie à la personne concernée a été limitée au strict minimum, les États membres doivent veiller à ce que le juge compétent, afin de vérifier le bien-fondé des motifs ayant justifié une telle limitation de ces informations, puisse mettre en balance les objectifs d’intérêt public poursuivis (sûreté de l’État, prévention ou détection d'infractions pénales, enquêtes ou poursuites) et la nécessité de garantir aux citoyens le respect de leurs droits procéduraux. Dans le cadre de ce contrôle juridictionnel, les règles nationales doivent permettre au juge de prendre connaissance des motifs et des éléments de preuve à l’origine de la décision de l’autorité de contrôle, mais aussi des conclusions qu’elle en a tirées.

© Reproduction interdite, sauf autorisation écrite préalable