—

pour Worten – Equipamentos para o Lar SA, par Mes D. Abrunhosa e Sousa et J. Cruz Ribeiro, advogados,

—

pour le gouvernement portugais, par M. L. Inez Fernandes et Mme C. Vieira Guerra, en qualité d’agents,

—

pour le gouvernement tchèque, par M. M. Smolek, en qualité d’agent,

—

pour le gouvernement italien, par Mme G. Palmieri, en qualité d’agent, assistée de Mme M. Russo, avvocato dello Stato,

—

pour le gouvernement hongrois, par M. M. Fehér ainsi que par Mmes K. Szíjjártó et Á. Szilágyi, en qualité d’agents,

—

pour la Commission européenne, par Mme P. Costa de Oliveira et M. B. Martenczuk, en qualité d’agents,

1

La demande de décision préjudicielle porte sur l’interprétation des articles 2 et 17, paragraphe 1, de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO L 281, p. 31).

2

Cette demande a été présentée dans le cadre d’un litige opposant Worten – Equipamentos para o Lar SA (ci-après «Worten»), société ayant son siège à Viseu (Portugal), à l’Autoridade para as Condições de Trabalho (ACT) (autorité de surveillance des conditions de travail, ci-après l’«ACT»), au sujet de la demande d’accès de cette dernière au registre du temps de travail de cette société.

3

Aux termes de l’article 2 de la directive 95/46, intitulé «Définitions»:

«Aux fins de la présente directive, on entend par:

[...]»

4

L’article 3 de cette directive, intitulé «Champ d’application», est libellé comme suit:

«1.   La présente directive s’applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu’au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier.

2.   La présente directive ne s’applique pas au traitement de données à caractère personnel:

5

L’article 6 de ladite directive, qui concerne les principes relatifs à la qualité des données, dispose:

«1.   Les États membres prévoient que les données à caractère personnel doivent être:

[...]

[...]

2.   Il incombe au responsable du traitement d’assurer le respect du paragraphe 1.»

6

L’article 7 de la même directive, qui porte sur les principes relatifs à la légitimation des traitements de données, énonce:

«Les États membres prévoient que le traitement de données à caractère personnel ne peut être effectué que si:

[...]

[...]

[...]»

7

L’article 17 de la directive 95/46, intitulé «Sécurité des traitements», est libellé comme suit:

«1.   Les États membres prévoient que le responsable du traitement doit mettre en œuvre les mesures techniques et d’organisation appropriées pour protéger les données à caractère personnel contre la destruction accidentelle ou illicite, la perte accidentelle, l’altération, la diffusion ou l’accès non autorisés, notamment lorsque le traitement comporte des transmissions de données dans un réseau, ainsi que contre toute autre forme de traitement illicite.

Ces mesures doivent assurer, compte tenu de l’état de l’art et des coûts liés à leur mise en œuvre, un niveau de sécurité approprié au regard des risques présentés par le traitement et de la nature des données à protéger.

[...]»

8

Intitulé «Objet et champ d’application», l’article 1er de la directive 2003/88/CE du Parlement européen et du Conseil, du 4 novembre 2003, concernant certains aspects de l’aménagement du temps de travail (JO L 299, p. 9), dispose:

«1.   La présente directive fixe des prescriptions minimales de sécurité et de santé en matière d’aménagement du temps de travail.

2.   La présente directive s’applique:

[...]»

9

Intitulé «Durée maximale hebdomadaire de travail», l’article 6 de cette directive prévoit:

«Les États membres prennent les mesures nécessaires pour que, en fonction des impératifs de protection de la sécurité et de la santé des travailleurs:

[...]

10

Aux termes de l’article 22, paragraphe 1, premier alinéa, de ladite directive:

«Un État membre a la faculté de ne pas appliquer l’article 6 tout en respectant les principes généraux de la protection de la sécurité et de la santé des travailleurs et à condition qu’il assure, par les mesures nécessaires prises à cet effet, que:

[...]

[...]»

11

L’article 202 du code du travail (codigo do trabalho), approuvé par la loi no 7/2009, du 12 février 2009, dispose, sous l’intitulé «Registre du temps de travail»:

[...]

12

La loi no 107/2009, du 14 septembre 2009, comporte, notamment, la disposition suivante:

«Article 10 –

Procédures d’inspection

1.   Dans l’exercice de ses fonctions, l’inspecteur du travail effectue, sans préjudice des dispositions d’une réglementation spécifique, les procédures suivantes:

[...]

2.   Dans l’exercice de ses fonctions, l’inspecteur de la sécurité sociale effectue, sans préjudice des dispositions d’une réglementation spécifique, les procédures suivantes:

[...]»

13

Le 9 mars 2010, l’ACT a effectué une inspection de l’établissement de Worten situé à Viseu, au terme de laquelle elle a dressé un procès-verbal constatant que:

14

Le 15 mars 2010, sur injonction tendant à ce que ces informations soient présentées, le registre du temps de travail contenant les éléments légalement exigibles à été transmis à l’ACT.

15

Par une décision du 14 mars 2012, l’ACT a estimé que Worten s’était rendue coupable d’une infraction administrative grave au droit du travail, en enfreignant les règles relatives au registre du temps de travail prévues à l’article 202, paragraphe 1, du code du travail, dans la mesure où cette société n’avait pas permis que l’ACT puisse procéder à la consultation immédiate, dans l’établissement concerné, du registre du temps de travail des travailleurs affectés à cet établissement. La gravité de l’infraction tiendrait au fait que le registre du temps de travail permet de déterminer, directement et rapidement, la conformité de l’organisation de l’activité d’une entreprise à la réglementation relative au temps de travail. En conséquence, l’ACT a infligé à Worten une amende d’un montant de 2000 euros.

16

Worten a introduit un recours en annulation contre cette décision, devant le tribunal do trabalho de Viseu.

17

Dans ces conditions, le tribunal do trabalho de Viseu a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes:

18

Par sa première question, la juridiction de renvoi demande si l’article 2, sous a), de la directive 95/46 doit être interprété en ce sens qu’un registre du temps de travail, tel que celui en cause au principal, qui comporte l’indication, pour chaque travailleur, des heures de début et de fin du travail, ainsi que des interruptions ou des pauses correspondantes, relève de la notion de «données à caractère personnel», au sens de cette disposition.

19

À cet égard, il suffit de constater que, ainsi qu’il a été soutenu par l’ensemble des intéressés ayant déposé des observations écrites, les données figurant dans un registre du temps de travail tel que celui en cause dans l’affaire au principal, qui concernent, pour chaque travailleur, les périodes de travail journalières ainsi que les périodes de repos, constituent des données à caractère personnel, au sens de l’article 2, sous a), de la directive 95/46, puisqu’il s’agit d’«informations concernant une personne physique identifiée ou identifiable» (voir en ce sens, notamment, arrêts du 20 mai 2003, Österreichischer Rundfunk e.a., C-465/00, C-138/01 et C-139/01, Rec. p. I-4989, point 64; du 16 décembre 2008, Huber, C-524/06, Rec. p. I-9705, point 43, ainsi que du 7 mai 2009, Rijkeboer, C-553/07, Rec. p. I-3889, point 42).

20

La collecte, l’enregistrement, l’organisation, la conservation, la consultation, l’utilisation de telles données par un employeur ainsi que leur transmission par ce dernier aux autorités nationales compétentes en matière de surveillance des conditions de travail présentent donc le caractère d’un «traitement de données à caractère personnel», au sens de l’article 2, sous b), de la directive 95/46 (voir en ce sens, notamment, arrêts précités Österreichischer Rundfunk e.a., point 64, ainsi que Huber, point 43).

21

Par ailleurs, il convient de préciser que, dès lors qu’il est constant, dans la présente affaire au principal, que ce traitement de données à caractère personnel est automatisé et qu’aucune des exceptions énoncées à l’article 3, paragraphe 2, de la directive 95/46 n’est applicable, ledit traitement relève du champ d’application de cette directive.

22

Il convient dès lors de répondre à la première question que l’article 2, sous a), de la directive 95/46 doit être interprété en ce sens qu’un registre du temps de travail, tel que celui en cause au principal, qui comporte l’indication, pour chaque travailleur, des heures de début et de fin du travail, ainsi que des interruptions ou des pauses correspondantes, relève de la notion de «données à caractère personnel», au sens de cette disposition.

23

Par ses deuxième et troisième questions, qu’il convient d’examiner ensemble, la juridiction de renvoi demande en substance si l’article 17, paragraphe 1, de la directive 95/46 doit être interprété en ce sens que chaque État membre a l’obligation de prévoir des mesures techniques et d’organisation appropriées pour protéger les données à caractère personnel contre la destruction accidentelle ou illicite, la perte accidentelle, l’altération, la diffusion ou l’accès non autorisés et, dans l’affirmative, si un État membre qui n’a pas adopté de telles mesures est en droit d’infliger une sanction à un employeur qui, en tant que responsable du traitement desdites données, a adopté un système d’accès restreint à celles-ci ne permettant pas à l’autorité nationale compétente en matière de surveillance des conditions de travail d’y accéder immédiatement.

24

Il convient de rappeler que, selon l’article 17, paragraphe 1, de la directive 95/46, relatif à la sécurité des traitements, les États membres doivent prévoir que le responsable d’un traitement de données à caractère personnel doit mettre en œuvre des mesures techniques et d’organisation destinées à assurer un niveau de sécurité approprié au regard des risques présentés par ledit traitement et de la nature des données à protéger, compte tenu de l’état de l’art et des coûts liés à leur mise en œuvre (voir, en ce sens, arrêt Rijkeboer, précité, point 62).

25

Il s’ensuit que, contrairement à la prémisse sur laquelle se fondent les deuxième et troisième questions, ledit article 17, paragraphe 1, n’impose pas aux États membres, hormis lorsqu’ils ont la qualité de responsable du traitement, d’adopter ces mesures techniques et d’organisation, l’obligation d’adopter de telles mesures incombant uniquement au responsable du traitement, soit, en l’occurrence, à l’employeur. Cette disposition impose, en revanche, aux États membres d’adopter dans leur droit interne une disposition prévoyant cette obligation.

26

Par ailleurs, il ne ressort aucunement de la décision de renvoi que les données en cause dans l’affaire au principal auraient fait l’objet d’une destruction accidentelle ou illicite, d’une perte accidentelle, d’une altération, d’une diffusion ou d’un accès non autorisés, voire d’une autre forme de traitement illicite, au sens de l’article 17, paragraphe 1, de la directive 95/46. Au contraire, il résulte des éléments figurant dans le dossier dont dispose la Cour qu’il est constant, dans cette affaire, que l’accès des autorités nationales compétentes en matière de surveillance des conditions de travail à ces données est autorisé par le droit national.

27

Dans ses observations écrites, Worten fait cependant valoir que l’obligation de mise à disposition du registre du temps de travail afin d’en permettre la consultation immédiate, prévue à l’article 202, paragraphe 1, du code du travail, est en pratique incompatible avec l’obligation d’établir un système de protection adéquat des données à caractère personnel contenues dans ce registre. En effet, une telle obligation reviendrait à admettre que tout employé de l’entreprise concernée puisse bénéficier d’un accès à de telles données, ceci en violation de l’obligation, prévue à l’article 17, paragraphe 1, de la directive 95/46, d’assurer la sécurité de ces données. Un tel accès généralisé enlèverait donc tout effet utile à cette disposition.

28

Une telle argumentation ne saurait prospérer. En effet, contrairement à la prémisse sur laquelle elle se fonde, l’obligation pour un employeur, en tant que responsable du traitement de données à caractère personnel, de fournir un accès immédiat au registre du temps de travail à l’autorité nationale compétente en matière de surveillance des conditions de travail n’implique nullement que les données à caractère personnel figurant dans ce registre devraient nécessairement, en raison de ce seul fait, être rendues accessibles à des personnes non autorisées à cette fin. Ainsi que le gouvernement portugais l’a fait valoir à bon droit, il incombe en effet à tout responsable du traitement de données à caractère personnel, en vertu de l’article 17, paragraphe 1, de la directive 95/46, d’adopter les mesures techniques et d’organisation nécessaires pour s’assurer que seules des personnes dûment autorisées à accéder aux données à caractère personnel concernées soient en droit de répondre à une demande d’accès émanant d’un tiers.

29

Dans ces conditions, il n’apparaît pas que l’interprétation de l’article 17, paragraphe 1, de la directive 95/46 soit pertinente aux fins de trancher le litige au principal.

30

Toutefois, dans le cadre de la procédure de coopération entre les juridictions nationales et la Cour instituée à l’article 267 TFUE, il appartient à celle-ci de donner au juge national une réponse utile qui lui permette de trancher le litige dont il est saisi. Dans cette optique, il incombe, le cas échéant, à la Cour de reformuler les questions qui lui sont soumises. En effet, la Cour a pour mission d’interpréter toutes les dispositions du droit de l’Union dont les juridictions nationales ont besoin afin de statuer sur les litiges qui leur sont soumis, même si ces dispositions ne sont pas indiquées expressément dans les questions qui lui sont adressées par ces juridictions (voir, notamment, arrêts du 8 mars 2007, Campina, C-45/06, Rec. p. I-2089, points 30 et 31, ainsi que du 14 octobre 2010, Fuß, C-243/09, Rec. p. I-9849, point 39).

31

En conséquence, même si, sur le plan formel, la juridiction de renvoi a limité ses questions à l’interprétation du seul article 17, paragraphe 1, de la directive 95/46, une telle circonstance ne fait pas obstacle à ce que la Cour lui fournisse tous les éléments d’interprétation du droit de l’Union qui peuvent être utiles au jugement de l’affaire dont elle est saisie, que cette juridiction y ait fait référence ou non dans l’énoncé de ses questions. Il appartient, à cet égard, à la Cour d’extraire de l’ensemble des éléments fournis par la juridiction nationale, et notamment de la motivation de la décision de renvoi, les éléments dudit droit qui appellent une interprétation compte tenu de l’objet du litige (voir arrêt Fuß, précité, point 40).

32

En l’occurrence, il ressort du dossier dont dispose la Cour que la juridiction de renvoi vise essentiellement à déterminer si les dispositions de la directive 95/46 doivent être interprétées en ce sens qu’elles s’opposent à une réglementation nationale, telle que celle en cause au principal, qui impose à l’employeur l’obligation de mettre à la disposition de l’autorité nationale compétente en matière de surveillance des conditions de travail le registre du temps de travail de façon à en permettre la consultation immédiate. Ainsi qu’il ressort du point 15 du présent arrêt, c’est en effet en raison de la violation de cette obligation prévue à l’article 202, paragraphe 1, du code du travail qu’une sanction pécuniaire été infligée à Worten.

33

À cet égard, il convient de rappeler que, conformément aux dispositions du chapitre II de la directive 95/46, intitulé «Conditions générales de licéité des traitements de données à caractère personnel», sous réserve des dérogations admises au titre de l’article 13 de cette directive, tout traitement de données à caractère personnel doit, d’une part, être conforme aux principes relatifs à la qualité des données énoncés à l’article 6 de ladite directive et, d’autre part, répondre à l’un des principes relatifs à la légitimation des traitements de données énumérés à l’article 7 de cette même directive (arrêts Österreichischer Rundfunk e.a., précité, point 65; Huber, précité, point 48, ainsi que du 24 novembre 2011, ASNEF et FECEMD, C-468/10 et C-469/10, Rec. p. I-12181, point 26).

34

En particulier, les données doivent être, en vertu de l’article 6, paragraphe 1, sous b) et c), de la directive 95/46, «collectées pour des finalités déterminées, explicites et légitimes», ainsi qu’«adéquates, pertinentes et non excessives» au regard desdites finalités. En outre, selon l’article 7, sous c) et e), de ladite directive, le traitement de données à caractère personnel est licite respectivement s’«il est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est tenu» ou s’«il est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique, dont est investi le responsable du traitement ou le tiers auquel les données sont communiquées» (arrêt Österreichischer Rundfunk e.a., précité, point 66).

35

Tel semble être le cas dans une situation telle que celle de l’affaire au principal, dès lors qu’il apparaît, ce qu’il incombe à la juridiction de renvoi de vérifier, d’une part, que les données personnelles figurant dans le registre du temps de travail sont collectées afin d’assurer le respect de la réglementation relative aux conditions de travail et, d’autre part, que le traitement de ces données à caractère personnel est nécessaire au respect d’une obligation légale à laquelle est soumis l’employeur ainsi qu’à l’exécution des missions de contrôle confiées à l’autorité nationale compétente en matière de surveillance des conditions de travail.

36

S’agissant des modalités concrètes de l’organisation de l’accès de cette autorité nationale à ces données à caractère personnel aux fins d’assurer ses missions de surveillance des conditions de travail, il convient de rappeler que seul l’octroi d’un accès à des autorités ayant compétence en ce domaine peut être considéré comme nécessaire, au sens de l’article 7, sous e), de la directive 95/46 (voir, en ce sens, arrêt Huber, précité, point 61).

37

En ce qui concerne l’obligation pour l’employeur de fournir à ladite autorité nationale un accès immédiat au registre du temps de travail, il ressort de la jurisprudence de la Cour qu’une telle obligation peut s’avérer nécessaire, au sens de cette disposition, si elle contribue à une application plus efficace de la réglementation en matière de conditions de travail (voir, par analogie, arrêt Huber, précité, point 62).

38

À cet égard, il y a lieu de rappeler que la directive 2003/88 a pour objet de fixer des prescriptions minimales destinées à améliorer les conditions de vie et de travail des travailleurs par un rapprochement des réglementations nationales concernant, notamment, la durée du temps de travail, en faisant bénéficier ceux-ci de périodes minimales de repos – notamment journalier et hebdomadaire – ainsi que de périodes de pause adéquates, et en prévoyant une limite maximale à la durée hebdomadaire de travail (voir en ce sens, notamment, arrêts du 5 octobre 2004, Pfeiffer e.a., C-397/01 à C-403/01, Rec. p. I-8835, point 76, ainsi que du 25 novembre 2010, Fuß, C-429/09, Rec. p. I-12167, point 43).

39

Dans cette perspective, l’article 6, sous b), de la directive 2003/88 oblige les États membres à prendre les «mesures nécessaires» pour que, compte tenu des impératifs de protection de la sécurité et de la santé des travailleurs, la durée moyenne de travail pour chaque période de sept jours n’excède pas 48 heures, y compris les heures supplémentaires (voir, en ce sens, arrêts précités Pfeiffer e.a., point 100, ainsi que du 14 octobre 2010, Fuß, point 33).

40

Par ailleurs, l’article 22, paragraphe 1, premier alinéa, de la directive 2003/88 prévoit que les États membres peuvent ne pas appliquer les dispositions édictées à l’article 6 de cette directive, à la condition, notamment, qu’ils assurent, par les mesures nécessaires prises à cet effet, que l’employeur tienne des registres mis à jour de tous les travailleurs concernés [article 22, paragraphe 1, premier alinéa, sous c), de ladite directive] et que ces registres soient mis à la disposition des autorités compétentes qui peuvent interdire ou restreindre, pour des raisons de sécurité et/ou de santé des travailleurs, la possibilité de dépasser la durée maximale hebdomadaire de travail [article 22, paragraphe 1, premier alinéa, sous d), de la même directive].

41

Selon la Commission européenne, même si la directive 2003/88 n’impose pas de manière explicite aux États membres l’obligation d’adopter une réglementation telle que celle en cause au principal, il demeure que le contrôle du respect des obligations imposées par cette directive peut comporter, au titre des «mesures nécessaires» à la réalisation des objectifs poursuivis par celle-ci, l’instauration de mesures de surveillance. Or, l’obligation pour l’employeur de permettre une consultation immédiate du registre du temps de travail serait de nature à éviter toute possibilité d’altération des données pendant l’intervalle qui sépare la visite d’inspection effectuée par les autorités nationales compétentes et le contrôle effectif desdites données par ces autorités.

42

Worten soutient, en revanche, que cette obligation est excessive, compte tenu de l’ingérence que celle-ci implique dans la vie privée des travailleurs. En effet, d’une part, le registre du temps de travail viserait à doter le travailleur d’un moyen de preuve aux fins de la vérification du temps effectivement travaillé. Or, l’authenticité de ce registre n’aurait pas été contestée dans l’affaire au principal. D’autre part, ledit registre permettrait de procéder à une appréciation des moyennes des temps de travail réalisés, aux fins du contrôle, notamment, des dispenses d’horaires de travail. À cet effet, la disponibilité immédiate de ces registres ne comporterait aucune valeur ajoutée. Par ailleurs, l’information figurant dans le même registre pourrait être transmise ultérieurement.

43

Dans la présente affaire, il incombe à la juridiction de renvoi d’examiner le point de savoir si l’obligation, pour l’employeur, de fournir à l’autorité nationale compétente en matière de surveillance des conditions de travail un accès au registre du temps de travail de façon à en permettre la consultation immédiate peut être considérée comme nécessaire aux fins de l’exercice par cette autorité de sa mission de surveillance, en contribuant à une application plus efficace de la réglementation en matière de conditions de travail, notamment, en ce qui concerne le temps de travail.

44

À cet égard, il convient cependant de préciser que, en tout état de cause, pour autant qu’une telle obligation est considérée comme nécessaire pour atteindre cet objectif, les sanctions infligées en vue d’assurer l’application effective des exigences posées par la directive 2003/88 doivent également respecter le principe de proportionnalité, ce qu’il incombe aussi à la juridiction de renvoi de vérifier dans l’affaire au principal (voir, par analogie, arrêt du 6 novembre 2003, Lindqvist, C-101/01, Rec. p. I-12971, point 88).

45

Dans ces conditions, il convient de répondre aux deuxième et troisième questions que les articles 6, paragraphe 1, sous b) et c), ainsi que 7, sous c) et e), de la directive 95/46 doivent être interprétés en ce sens qu’ils ne s’opposent pas à une réglementation nationale, telle que celle en cause au principal, qui impose à l’employeur l’obligation de mettre à la disposition de l’autorité nationale compétente en matière de surveillance des conditions de travail le registre du temps de travail afin d’en permettre la consultation immédiate, pour autant que cette obligation est nécessaire aux fins de l’exercice par cette autorité de ses missions de surveillance de l’application de la réglementation en matière de conditions de travail, notamment, en ce qui concerne le temps de travail.

46

La procédure revêtant, à l’égard des parties au principal, le caractère d’un incident soulevé devant la juridiction de renvoi, il appartient à celle-ci de statuer sur les dépens. Les frais exposés pour soumettre des observations à la Cour, autres que ceux desdites parties, ne peuvent faire l’objet d’un remboursement.

Par ces motifs, la Cour (troisième chambre) dit pour droit: