Affaire C‑34/21

Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium

contre

Minister des Hessischen Kultusministeriums

(demande de décision préjudicielle, introduite par le Verwaltungsgericht Wiesbaden)

Arrêt de la Cour (première chambre) du 30 mars 2023

« Renvoi préjudiciel – Protection des données à caractère personnel – Règlement (UE) 2016/679 – Article 88, paragraphes 1 et 2 – Traitement de données dans le cadre des relations de travail – Système scolaire régional – Enseignement par vidéoconférence en raison de la pandémie de COVID-19 – Mise en œuvre sans le consentement exprès des enseignants »

1. Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement 2016/679 – Champ d’application – Dérogations – Traitement de données dans le cadre d’une activité ne relevant pas du droit de l’Union – Activité visant à préserver la sécurité nationale ou relevant de cette catégorie – Notion – Activité relative à l’organisation de l’enseignement public – Exclusion

   [Règlement du Parlement européen et du Conseil 2016/679, considérant 16 et art. 2, § 1 et 2, a) et b)]

   (voir points 32-37)

2. Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement 2016/679 – Traitement de données des employés dans le cadre des relations de travail – Notion – Diffusion en direct par vidéoconférence des cours d’enseignement délivrés par des enseignants relevant d’un service public – Inclusion

   (Règlement du Parlement européen et du Conseil 2016/679, considérant 10 et art. 1er, § 2, et 88)

   (voir points 39-56)

3. Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement 2016/679 – Traitement de données des employés dans le cadre des relations de travail – Notion de règles plus spécifiques – Faculté accordée aux États membres – Objectif de protection des droits et libertés des employés dans le cadre du traitement de leurs données – Conditions et limites prévues par le règlement – Réglementation nationale ne remplissant pas ces conditions et limites – Exclusion

   (Règlement du Parlement européen et du Conseil 2016/679, considérant 10 et art. 88, § 1 et 2)

   (voir points 58-75, disp.1)

4. Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement 2016/679 – Traitement de données des employés dans le cadre des relations de travail – Conditions et limites prévues par le règlement – Dispositions nationales prévoyant la diffusion en direct par vidéoconférence des cours d’enseignement public délivrés par des enseignants sans leur consentement exprès – Inadmissibilité – Conséquences – Inapplicabilité de ces dispositions – Limites

   (Art. 288, 2e al., TFUE ; règlement du Parlement européen et du Conseil 2016/679, considérant 45 et art. 5, 6, § 1, 1er al., et 3, et 88, § 1 et 2)

   (voir points 77-89, disp. 2)

Résumé

La diffusion en direct par vidéoconférence des cours d’enseignement scolaire public tombe sous le coup du RGPD

Par deux actes adoptés au cours de l’année 2020, le ministre de l’Éducation et de la Culture du Land de Hesse (Allemagne) a fixé le cadre juridique et organisationnel de l’enseignement scolaire pendant la période de pandémie de COVID-19, aménageant notamment la possibilité pour les élèves qui ne pouvaient être présents en classe d’assister en direct aux cours par vidéoconférence. Afin de préserver les droits des élèves en matière de protection des données à caractère personnel, il a été établi que la connexion au service de vidéoconférence ne serait autorisée qu’avec le consentement des élèves eux-mêmes ou, en cas de minorité de ceux-ci, avec celui de leurs parents. En revanche, le consentement des enseignants concernés à leur participation à ce service n’a pas été prévu.

Se plaignant du fait que la diffusion en direct des cours par vidéoconférence, telle qu’aménagée par la réglementation nationale, n’était pas subordonnée à la condition du consentement des enseignants concernés, le comité principal du personnel des enseignants auprès du ministère de l’Éducation et de la Culture du Land de Hesse a introduit un recours contre le ministre en charge de ces questions. Ce dernier a fait valoir que le traitement des données à caractère personnel que constitue la diffusion en direct des cours par vidéoconférence était couvert par la réglementation nationale, de telle sorte qu’il pouvait être effectué sans que soit demandé le consentement des enseignants concernés.

La juridiction administrative saisie a indiqué que, conformément à la volonté du législateur du Land de Hesse, la réglementation nationale, sur le fondement de laquelle le traitement des données à caractère personnel des enseignants est effectué, relève de la catégorie des « règles plus spécifiques » que les États membres peuvent prévoir, conformément à l’article 88, paragraphe 1, du règlement général sur la protection des données ( 1 ), pour assurer la protection des droits et des libertés des employés en ce qui concerne le traitement de leurs données à caractère personnel dans le cadre de relations de travail ( 2 ). Cependant, cette juridiction a nourri des doutes sur la compatibilité de cette réglementation avec les conditions posées par l’article 88, paragraphe 2, du RGPD ( 3 ). Elle a donc saisi la Cour à titre préjudiciel.

Par son arrêt, la Cour juge qu’une réglementation nationale ne peut constituer une « règle plus spécifique », au sens du paragraphe 1 de l’article 88 du RGPD, dans le cas où elle ne remplit pas les conditions posées au paragraphe 2 de cet article. En outre, la Cour précise que l’application de dispositions nationales prises pour assurer la protection des droits et des libertés des employés en ce qui concerne le traitement de leurs données à caractère personnel dans le cadre des relations de travail doit être écartée lorsque ces dispositions ne respectent pas les conditions et les limites prescrites par cet article 88, paragraphes 1 et 2, du RGPD, à moins que les dispositions en cause constituent une base juridique pour le traitement, visée à un autre article du RGPD ( 4 ) qui respecte les exigences prévues par celui-ci.

Appréciation de la Cour

Au préalable, la Cour considère que le traitement des données à caractère personnel d’enseignants, à l’occasion de la diffusion en direct par vidéoconférence des cours d’enseignement public qu’ils délivrent, relève du champ d’application matériel du RGPD. Elle précise, ensuite, que ce traitement des données à caractère personnel d’enseignants qui, en tant qu’employés ou fonctionnaires, relèvent du service public du Land de Hesse, entre dans le champ d’application personnel de l’article 88 du RGPD qui vise le traitement des données à caractère personnel des employés dans le cadre des relations de travail.

Dans un premier temps, la Cour se penche sur la question de savoir si une « règle plus spécifique » au sens du paragraphe 1 de l’article 88 du RGPD doit remplir les conditions posées par le paragraphe 2 de cet article. Selon la Cour, il ressort de l’emploi des termes « plus spécifiques » dans le libellé de l’article 88, paragraphe 1, du RGPD, que les règles visées par cette disposition doivent avoir un contenu normatif propre au domaine réglementé et distinct des règles générales de ce règlement. Il ressort également du libellé de l’article 88 du RGPD que le paragraphe 2 de cet article encadre la marge d’appréciation des États membres qui souhaitent adopter des « règles plus spécifiques » en vertu du paragraphe 1 de cet article. Ainsi, la Cour considère, d’une part, que ces règles ne sauraient se limiter à réitérer les dispositions de ce règlement prévoyant les conditions de licéité du traitement des données à caractère personnel ainsi que les principes de ce traitement ( 5 ) ou à renvoyer à ces conditions et principes. Ces règles doivent viser la protection des droits et des libertés des employés en ce qui concerne le traitement de leurs données et comporter des mesures appropriées et spécifiques pour protéger la dignité humaine, les intérêts légitimes et les droits fondamentaux des personnes concernées. D’autre part, une attention particulière doit être accordée à la transparence du traitement, au transfert de données à caractère personnel au sein d’un groupe d’entreprises ou d’un groupe d’entreprises engagées dans une activité économique conjointe, ainsi qu’aux systèmes de contrôle sur le lieu de travail. Par conséquent, afin de pouvoir être qualifiée de « règle plus spécifique », au sens du paragraphe 1 de l’article 88 du RGPD, une règle de droit doit remplir les conditions posées par le paragraphe 2 de cet article.

Dans un second temps, la Cour précise les conséquences qu’il convient de tirer d’un constat d’incompatibilité des dispositions nationales en cause avec les conditions et les limites prévues à l’article 88, paragraphes 1 et 2, du RGPD.

Ainsi, la Cour rappelle qu’il appartient à la juridiction de renvoi, seule compétente pour interpréter le droit national, d’apprécier si les dispositions nationales en cause respectent les conditions et les limites prescrites par l’article 88 du RGPD. Toutefois, la Cour relève que ces dispositions nationales, qui subordonnent le traitement des données à caractère personnel des employés à la condition que ce traitement soit nécessaire à certaines fins liées à l’exécution d’une relation de travail, semblent réitérer la condition de licéité générale déjà énoncée par le RGPD ( 6 ), sans ajouter une règle plus spécifique au sens de l’article 88, paragraphe 1, de ce règlement. Dans le cas où la juridiction de renvoi parviendrait au constat que ces dispositions nationales ne respectent pas les conditions et les limites prescrites par l’article 88 du RGPD, il lui appartiendrait, en principe, de les laisser inappliquées. En effet, en vertu du principe de primauté du droit de l’Union, en l’absence de règles plus spécifiques qui respectent les conditions et les limites prescrites par l’article 88 du RGPD, le traitement de données à caractère personnel dans le cadre des relations de travail, tant dans le secteur privé que public, est directement régi par les dispositions de ce règlement.

À cet égard, la Cour relève que sont susceptibles de s’appliquer à un traitement de données à caractère personnel, tel que celui en l’espèce, d’autres dispositions du RGPD ( 7 ), en vertu desquelles le traitement de données à caractère personnel est licite lorsque celui-ci est nécessaire, respectivement, à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement, ou au respect d’une obligation légale à laquelle le responsable du traitement est soumis. À l’égard de ces deux hypothèses de licéité, le RGPD ( 8 ), d’une part, prévoit que le traitement doit être fondé sur le droit de l’Union ou sur le droit de l’État membre auquel le responsable du traitement est soumis et, d’autre part, ajoute que les finalités du traitement sont définies dans cette base juridique ou sont nécessaires à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement.

Par conséquent, lorsque la juridiction de renvoi parvient au constat que les dispositions nationales relatives au traitement des données à caractère personnel dans le cadre des relations de travail ne respectent pas les conditions et les limites prescrites par l’article 88, paragraphes 1 et 2, du RGPD, elle doit encore vérifier si ces dispositions constituent une base juridique pour le traitement, visée par un autre article du RGPD ( 9 ), qui respecte les exigences prévues par ce règlement. Si tel est le cas, l’application de ces dispositions nationales ne doit pas être écartée.

( 1 ) Règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, ci-après le « RGPD »).

( 2 ) En vertu de l’article 88, paragraphe 1, du RGPD, qui constitue une clause d’ouverture, les États membres peuvent prévoir, par la loi ou au moyen de conventions collectives, des règles plus spécifiques pour assurer la protection des droits et libertés en ce qui concerne le traitement des données à caractère personnel des employés dans le cadre des relations de travail, aux fins, notamment, de l’exécution du contrat de travail, de la gestion, de la planification et de l’organisation du travail.

( 3 ) L’article 88, paragraphe 2, du RGPD prévoit que ces règles comprennent des mesures appropriées et spécifiques pour protéger la dignité humaine, les intérêts légitimes et les droits fondamentaux des personnes concernées, en accordant une attention particulière à la transparence du traitement, au transfert de données à caractère personnel et aux systèmes de contrôle sur le lieu de travail.

( 4 ) Article 6, paragraphe 3, du RGPD.

( 5 ) Énoncés, respectivement, à l’article 6 et à l’article 5 du RGPD.

( 6 ) Article 6, paragraphe 1, premier alinéa, point b), du RGPD.

( 7 ) Article 6, paragraphe 1, premier alinéa, points c) et e) du RGPD.

( 8 ) Article 6, paragraphe 3, du RGPD.

( 9 ) Prévue à l’article 6, paragraphe 3, du RGPD, lu en combinaison avec son considérant 45.