Affaire C-518/07

Commission européenne

contre

République fédérale d’Allemagne

«Manquement d’État — Directive 95/46/CE — Protection des personnes physiques à l’égard du traitement des données à caractère personnel et libre circulation de ces données — Article 28, paragraphe 1 — Autorités nationales de contrôle — Indépendance — Tutelle administrative exercée sur ces autorités»

Conclusions de l’avocat général M. J. Mazák, présentées le 12 novembre 2009   I ‐ 1888

Arrêt de la Cour (grande chambre) du 9 mars 2010   I ‐ 1897

Sommaire de l’arrêt

1. Rapprochement des législations – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Directive 95/46 – Autorités nationales de contrôle

   (Directive du Parlement européen et du Conseil 95/46, art. 28, § 1)

2. Rapprochement des législations – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Directive 95/46 – Autorités nationales de contrôle

   (Directive du Parlement européen et du Conseil 95/46, art. 28, § 1)

1.  La garantie d’indépendance des autorités nationales de contrôle, prévue à l’article 28, paragraphe 1, second alinéa, de la directive 95/46, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, vise à assurer l’efficacité et la fiabilité du contrôle du respect des dispositions en matière de protection des personnes physiques à l’égard du traitement des données à caractère personnel et doit être interprétée à la lumière de cet objectif. Elle a été établie non afin de conférer un statut particulier à ces autorités elles-mêmes ainsi qu’à leurs agents, mais en vue de renforcer la protection des personnes et des organismes qui sont concernés par leurs décisions. Il s’ensuit que, lors de l’exercice de leurs missions, les autorités de contrôle doivent agir de manière objective et impartiale. À cet effet, elles doivent être à l’abri de toute influence extérieure, y compris celle, directe ou indirecte, de l’État ou des Länder, et pas seulement de l’influence des organismes contrôlés.

   Par conséquent, les autorités de contrôle compétentes pour la surveillance du traitement des données à caractère personnel dans le secteur non public doivent jouir d’une indépendance qui leur permette d’exercer leurs missions sans influence extérieure. Cette indépendance exclut non seulement toute influence exercée par les organismes contrôlés, mais aussi toute injonction et toute autre influence extérieure, que cette dernière soit directe ou indirecte, qui pourraient remettre en cause l’accomplissement, par lesdites autorités, de leur tâche consistant à établir un juste équilibre entre la protection du droit à la vie privée et la libre circulation des données à caractère personnel.

   (cf. points 25, 30)

2.  Le seul risque que les autorités de tutelle puissent exercer une influence politique sur les décisions des autorités de contrôle compétentes pour la surveillance du traitement des données à caractère personnel prévues à l’article 28, paragraphe 1, de la directive 95/46, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, suffit pour entraver l’exercice indépendant des missions de celles-ci. D’une part, il pourrait y avoir une «obéissance anticipée» de ces autorités eu égard à la pratique décisionnelle de l’autorité de tutelle. D’autre part, le rôle de gardiennes du droit à la vie privée qu’assument lesdites autorités de contrôle exige que leurs décisions, et donc elles-mêmes, soient au-dessus de tout soupçon de partialité. La tutelle de l’État exercée sur les autorités nationales de contrôle compétentes pour la surveillance du traitement des données à caractère personnel dans le secteur non public n’est donc pas compatible avec l’exigence d’indépendance.

   Manque par conséquent aux obligations qui lui incombent en vertu de l’article 28, paragraphe 1, second alinéa, de la directive 95/46 un État membre qui soumet à la tutelle de l’État les autorités de contrôle compétentes pour la surveillance du traitement des données à caractère personnel par les organismes non publics et les entreprises de droit public prenant part à la concurrence sur le marché dans les différents Länder, transposant ainsi de façon erronée l’exigence selon laquelle ces autorités exercent leurs missions en toute indépendance.

   (cf. points 36, 37, 56 et disp.)