–

pour le gouvernement finlandais, par Mmes A. Laine et M. Pere, en qualité d’agents,

–

pour le gouvernement portugais, par Mmes P. Barros da Costa, M. J. Ramos et C. Vieira Guerra, en qualité d’agents,

–

pour la Commission européenne, par MM. A. Bouchagiar, H. Kranenborg et Mme I. Söderlund, en qualité d’agents,

1

La demande de décision préjudicielle porte sur l’interprétation de l’article 2, paragraphe 1, de l’article 4, point 2, et de l’article 86 du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, ci-après le « RGPD »).

2

Cette demande a été présentée dans le cadre d’une procédure concernant le refus d’une juridiction nationale de communiquer à Endemol Shine Finland Oy des données relatives à des condamnations pénales concernant un tiers.

3

Les considérants 4, 10, 11, 15, 19 et 154 du RGPD sont libellés comme suit :

[...]

[...]

[...]

[...]

4

L’article 2 du RGPD, intitulé « Champ d’application matériel », dispose :

« 1.   Le présent règlement s’applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu’au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier.

2.   Le présent règlement ne s’applique pas au traitement de données à caractère personnel effectué :

3.   Le règlement (CE) no 45/2001 [du Parlement européen et du Conseil, du 18 décembre 2000, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (JO 2001, L 8, p. 1),] s’applique au traitement des données à caractère personnel par les institutions, organes et organismes de l’Union. Le règlement (CE) no 45/2001 et les autres actes juridiques de l’Union applicables audit traitement des données à caractère personnel sont adaptés aux principes et aux règles du présent règlement conformément à l’article 98.

4.   Le présent règlement s’applique sans préjudice de la directive 2000/31/CE [du Parlement européen et du Conseil, du 8 juin 2000, relatives à certains aspects juridiques des services de la société de l’information, et notamment du commerce électronique, dans le marché intérieur (“directive sur le commerce électronique”) (JO 2000, L 178, p. 1)], et notamment de ses articles 12 à 15 relatifs à la responsabilité des prestataires de services intermédiaires. »

5

L’article 4 du RGPD, intitulé « Définitions », prévoit, à ses points 1, 2, 6 et 7 :

« Aux fins du présent règlement, on entend par :

[...]

6

L’article 5 de ce règlement, intitulé « Principes relatifs au traitement des données à caractère personnel », est libellé comme suit :

« 1.   Les données à caractère personnel doivent être :

[...] »

7

L’article 6 dudit règlement, intitulé « Licéité du traitement », prévoit, à ses paragraphes 1 à 3 :

« 1.   Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :

Le point f) du premier alinéa ne s’applique pas au traitement effectué par les autorités publiques dans l’exécution de leurs missions.

2.   Les États membres peuvent maintenir ou introduire des dispositions plus spécifiques pour adapter l’application des règles du présent règlement pour ce qui est du traitement dans le but de respecter le paragraphe 1, points c) et e), en déterminant plus précisément les exigences spécifiques applicables au traitement ainsi que d’autres mesures visant à garantir un traitement licite et loyal, y compris dans d’autres situations particulières de traitement comme le prévoit le chapitre IX.

3.   Le fondement du traitement visé au paragraphe 1, points c) et e), est défini par :

a) le droit de l’Union ; ou

b) le droit de l’État membre auquel le responsable du traitement est soumis.

Les finalités du traitement sont définies dans cette base juridique ou, en ce qui concerne le traitement visé au paragraphe 1, point e), sont nécessaires à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement. Cette base juridique peut contenir des dispositions spécifiques pour adapter l’application des règles du présent règlement, entre autres : les conditions générales régissant la licéité du traitement par le responsable du traitement ; les types de données qui font l’objet du traitement ; les personnes concernées ; les entités auxquelles les données à caractère personnel peuvent être communiquées et les finalités pour lesquelles elles peuvent l’être ; la limitation des finalités ; les durées de conservation ; et les opérations et procédures de traitement, y compris les mesures visant à garantir un traitement licite et loyal, telles que celles prévues dans d’autres situations particulières de traitement comme le prévoit le chapitre IX. Le droit de l’Union ou le droit des États membres répond à un objectif d’intérêt public et est proportionné à l’objectif légitime poursuivi. »

8

L’article 10 du RGPD, intitulé « Traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions », dispose :

« Le traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions ou aux mesures de sûreté connexes fondé sur l’article 6, paragraphe 1, ne peut être effectué que sous le contrôle de l’autorité publique, ou si le traitement est autorisé par le droit de l’Union ou par le droit d’un État membre qui prévoit des garanties appropriées pour les droits et libertés des personnes concernées. Tout registre complet des condamnations pénales ne peut être tenu que sous le contrôle de l’autorité publique. »

9

L’article 23 de ce règlement, intitulé « Limitations », est libellé comme suit :

« 1.   Le droit de l’Union ou le droit de l’État membre auquel le responsable du traitement ou le sous-traitant est soumis peuvent, par la voie de mesures législatives, limiter la portée des obligations et des droits prévus aux articles 12 à 22 et à l’article 34, ainsi qu’à l’article 5 dans la mesure où les dispositions du droit en question correspondent aux droits et obligations prévus aux articles 12 à 22, lorsqu’une telle limitation respecte l’essence des libertés et droits fondamentaux et qu’elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir :

[...]

f) la protection de l’indépendance de la justice et des procédures judiciaires ;

[...] »

10

L’article 85 dudit règlement, intitulé « Traitement et liberté d’expression et d’information », prévoit, à son paragraphe 1 :

« Les États membres concilient, par la loi, le droit à la protection des données à caractère personnel au titre du présent règlement et le droit à la liberté d’expression et d’information, y compris le traitement à des fins journalistiques et à des fins d’expression universitaire, artistique ou littéraire. »

11

L’article 86 du RGPD, intitulé « Traitement et accès du public aux documents officiels », dispose :

« Les données à caractère personnel figurant dans des documents officiels détenus par une autorité publique ou par un organisme public ou un organisme privé pour l’exécution d’une mission d’intérêt public peuvent être communiquées par ladite autorité ou ledit organisme conformément au droit de l’Union ou au droit de l’État membre auquel est soumis l’autorité publique ou l’organisme public, afin de concilier le droit d’accès du public aux documents officiels et le droit à la protection des données à caractère personnel au titre du présent règlement. »

12

Le tietosuojalaki (1050/2018) [loi relative à la protection des données à caractère personnel (1050/2018)] dispose, à son article 1er :

« La présente loi précise et complète le [RGPD] et la mise en œuvre de celui-ci au niveau national. »

13

L’article 28 de cette loi est libellé comme suit :

« Les dispositions relatives à la publicité de l’action des autorités publiques s’appliquent au droit d’accès et aux autres formes de communication de données à caractère personnel provenant de fichiers relatifs à des personnes, tenus par des autorités publiques. »

14

Le laki viranomaisten toiminnan julkisuudesta (621/1999) [loi relative à la publicité de l’action des autorités publiques (621/1999)] prévoit, à son article 13 :

« Une demande de communication d’informations relatives au contenu d’un document officiel doit être suffisamment précise pour permettre à l’autorité publique de déterminer le document sur lequel porte la demande. Le demandeur d’informations doit être aidé, au moyen d’un registre et de répertoires, à identifier le document auquel il souhaite avoir accès. Il n’est pas tenu de décliner son identité ni d’indiquer les motifs de sa demande, à moins que cela ne soit nécessaire aux fins de l’exercice d’un pouvoir d’appréciation conféré à l’autorité administrative ou pour que celle-ci détermine si le demandeur a le droit d’avoir accès au contenu du document en cause.

Le demandeur d’informations, lorsqu’il demande à accéder à un document confidentiel, à un fichier relatif à des personnes tenu par une autorité publique ou à tout autre document dont l’accès ne peut être donné qu’à certaines conditions, doit, sauf disposition spécifique contraire, indiquer la finalité de l’utilisation des informations et tout autre élément nécessaire pour déterminer les conditions de la communication de ces informations et, le cas échéant, indiquer comment il convient d’organiser la protection desdites informations. »

15

L’article 16 de cette loi dispose :

« L’accès au contenu d’un document détenu par une autorité publique est donné oralement ou en mettant celui-ci à disposition, auprès de l’autorité publique, pour consultation, copie ou écoute, ou encore en fournissant une copie ou une impression du document. Il est donné accès au contenu public d’un document conformément à la demande, sauf si cela entrave de manière disproportionnée l’activité administrative, en raison du grand nombre de documents, de la difficulté de copier un document ou pour une autre raison comparable.

[...]

Sauf disposition contraire prévue spécifiquement par la loi, des données à caractère personnel provenant d’un fichier relatif à des personnes tenu par une autorité publique peuvent être communiquées sous forme de copie, d’impression ou sous forme électronique, lorsque le destinataire a le droit, en vertu des règles applicables à la protection des données à caractère personnel, de conserver et d’utiliser ces données. Toutefois, des données à caractère personnel ne peuvent être communiquées à des fins de marketing direct et d’étude d’opinion ou de marché que si cela est spécifiquement prévu ou si la personne concernée a donné son consentement.

[...] »

16

Aux termes de l’article 1er du laki oikeudenkäynnin julkisuudesta yleisissä tuomioistuimissa (370/2007) [loi relative à la publicité de la procédure devant les juridictions ordinaires (370/2007)] :

« La procédure et les actes de procédures sont publics, sauf disposition contraire prévue par la présente loi ou par une autre loi ».

17

L’article 1er du laki henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä (1054/2018) [loi relative au traitement des données à caractère personnel en matière pénale et dans le cadre du maintien de la sécurité nationale (1054/2018)] prévoit, à son premier alinéa, que cette loi s’applique au traitement des données à caractère personnel effectué par les autorités compétentes lorsqu’est en cause, notamment, le traitement d’une affaire pénale devant une juridiction. En vertu de son quatrième alinéa, ladite loi ne s’applique qu’à un traitement de données à caractère personnel au sens du premier alinéa qui est automatisé en tout ou en partie ou dans le cadre duquel les données traitées constituent ou sont destinées à constituer un fichier ou une partie de celui-ci.

18

Aux termes de l’article 2, second alinéa, de cette loi :

« Les dispositions relatives à la publicité de l’action des autorités publiques s’appliquent au droit d’accès et aux autres formes de communication de données personnelles provenant de fichiers relatifs à des personnes, tenus par des autorités publiques. »

19

Endemol Shine Finland, la requérante au principal, a demandé oralement à l’Etelä-Savon käräjäoikeus (tribunal de première instance du Savo méridional, Finlande) des informations portant sur d’éventuelles condamnations pénales en cours ou déjà purgées concernant une personne physique participant à un concours organisé par cette société, afin d’établir les antécédents judiciaires de cette personne.

20

L’Etelä-Savon käräjäoikeus (tribunal de première instance du Savo méridional) a rejeté la demande de la requérante au principal tout en considérant que cette demande portait sur des décisions ou des informations publiques au sens de la loi relative à la publicité de la procédure devant les juridictions ordinaires. Selon cette juridiction, le motif invoqué par la requérante au principal ne constituait pas un motif se rapportant au traitement des condamnations pénales ou des infractions, visé à l’article 7 de la loi relative à la protection des données à caractère personnel. Le fait d’effectuer des recherches dans les systèmes d’information de ladite juridiction aurait également constitué un traitement de données à caractère personnel, raison pour laquelle les informations demandées ne pouvaient pas non plus être communiquées oralement.

21

La requérante au principal a interjeté appel de ce jugement devant l’Itä-Suomen hovioikeus (cour d’appel de Finlande orientale, Finlande), qui est la juridiction de renvoi, en soutenant que la communication orale des informations qu’elle sollicite ne constitue pas un traitement de données à caractère personnel, au sens de l’article 4, point 2, du RGPD.

22

La juridiction de renvoi s’interroge sur le point de savoir si l’article 2, paragraphe 1, et l’article 4, point 2, du RGPD doivent être interprétés en ce sens que la communication orale d’informations relatives à d’éventuelles condamnations pénales en cours ou déjà purgées dont une personne physique a fait l’objet constitue un traitement de données à caractère personnel au sens de ce règlement. À cet égard, cette juridiction relève que le traitement des données à caractère personnel effectué par les autorités publiques finlandaises est régi par la loi relative à la protection des données à caractère personnel. Toutefois, les restrictions normalement attachées au traitement de telles données ne seraient pas applicables, en raison du caractère public des données détenues par ces autorités, mais également de l’article 28 de cette loi et de l’article 2, deuxième alinéa, de la loi relative au traitement des données à caractère personnel en matière pénale et dans le cadre du maintien de la sécurité nationale (1054/2018).

23

Afin de concilier la protection des données à caractère personnel avec le droit d’accès du public aux informations, l’article 16 de la loi relative à la publicité de l’action des autorités publiques (621/1999) restreint la communication de données à caractère personnel qui proviennent d’un fichier relatif à des personnes, tenu par une autorité publique, effectuée sous forme de copie, d’impression ou sous forme électronique. Toutefois, étant donné que cet article ne s’appliquerait pas à la communication orale de données à caractère personnel figurant dans des fichiers relatifs à des personnes, détenus par les autorités publiques, il conviendrait de s’interroger sur le point de savoir de quelle manière assurer une telle conciliation et prendre en compte des considérations importantes relatives à la protection des données à caractère personnel lorsque de telles données figurant dans des fichiers des autorités publiques relatifs à des personnes sont communiquées oralement.

24

Dans ces conditions l’Itä-Suomen hovioikeus (cour d’appel de Finlande orientale) a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :

25

Par sa première question, la juridiction de renvoi demande, en substance, si l’article 2, paragraphe 1, et l’article 4, point 2, du RGPD doivent être interprétés en ce sens que la communication orale d’informations relatives à d’éventuelles condamnations pénales en cours ou déjà purgées dont une personne physique a fait l’objet constitue un traitement de données à caractère personnel, au sens de l’article 4, point 2, de ce règlement, et, dans l’affirmative, si ce traitement relève du champ d’application matériel dudit règlement, tel que défini à son article 2, paragraphe 1.

26

À titre liminaire, d’une part, il convient de rappeler que, afin d’interpréter ces dispositions du droit de l’Union, il y a lieu de tenir compte non seulement des termes de celles-ci, mais également du contexte dans lequel elles s’insèrent et des objectifs poursuivis par la réglementation dont elles font partie [arrêt du 12 janvier 2023, Österreichische Post (Informations relatives aux destinataires de données personnelles), C‑154/21, EU:C:2023:3, point 29].

27

D’autre part, il importe de souligner qu’il n’est pas contesté, dans le litige au principal, que les informations dont la requérante au principal sollicite la communication constituent des données à caractère personnel, au sens de l’article 4, point 1, du RGPD.

28

L’article 4, point 2, de ce règlement définit la notion de « traitement » comme visant « toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou [à] des ensembles de données à caractère personnel ».

29

Il ressort notamment de l’expression « toute opération », que le législateur de l’Union a entendu donner à la notion de « traitement » une portée large, ce qui est corroboré par le caractère non exhaustif, exprimé par la locution « telles que », des opérations énumérées à ladite disposition [voir, en ce sens, arrêts du 24 février 2022, Valsts ieņēmumu dienests (Traitement des données personnelles à des fins fiscales), C‑175/20, EU:C:2022:124, point 35, et du 22 juin 2023, Pankki S, C‑579/21, EU:C:2023:501, point 46].

30

Cette énumération vise, entre autres, la communication par transmission, la diffusion et « toute autre forme de mise à disposition », ces opérations pouvant être automatisées ou non automatisées. À cet égard, l’article 4, point 2, du RGPD ne pose aucune condition quant à la forme du traitement « non automatisé ». La notion de « traitement » couvre dès lors la communication orale.

31

Cette interprétation de la notion de « traitement » est confortée par l’objectif du RGPD, lequel vise, notamment, ainsi que cela ressort de son article 1er et de ses considérants 1 et 10, à garantir un niveau élevé de protection des libertés et des droits fondamentaux des personnes physiques, en particulier, de leur droit à la vie privée à l’égard du traitement des données à caractère personnel, consacré à l’article 8, paragraphe 1, de la Charte et à l’article 16, paragraphe 1, TFUE [voir, en ce sens, arrêt du 4 mai 2023, Bundesrepublik Deutschland (Boîte électronique judiciaire), C‑60/22, EU:C:2023:373, point 64]. En effet, la possibilité de contourner l’application de ce règlement en communiquant des données à caractère personnel par voie orale au lieu de le faire par voie écrite serait manifestement incompatible avec cet objectif.

32

Dans ces conditions, la notion de « traitement » visée à l’article 4, point 2, du RGPD couvre nécessairement la communication orale de données à caractère personnel.

33

Pour autant, se pose encore la question de savoir si un tel traitement relève du champ d’application matériel du RGPD. L’article 2 de ce règlement, qui détermine ce champ d’application, dispose, à son paragraphe 1, que ledit règlement s’applique au traitement « automatisé en tout ou en partie » ainsi qu’au traitement « non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier ».

34

À cet égard, il ressort du libellé de cette dernière disposition ainsi que du considérant 15 du RGPD que ce règlement s’applique aussi bien au traitement automatisé de données à caractère personnel qu’au traitement manuel de telles données, afin de ne pas faire dépendre la protection que ce règlement confère aux personnes dont les données sont traitées des techniques utilisées et d’éviter des risques graves de contournement de cette protection. Cependant, il en ressort également que ledit règlement ne s’applique aux traitements manuels de données à caractère personnel que lorsque les données traitées « sont contenues ou appelées à figurer dans un fichier » (voir, par analogie, arrêt du 10 juillet 2018, Jehovan todistajat, C‑25/17, EU:C:2018:551, point 53).

35

La communication orale constituant en tant que telle un traitement non automatisé, les données faisant l’objet de ce traitement doivent donc être « contenues » ou « appelées à figurer » dans un « fichier » pour que ledit traitement relève du champ d’application matériel du RGPD.

36

Quant à la notion de « fichier », l’article 4, point 6, du RGPD dispose qu’elle couvre « tout ensemble structuré de données à caractère personnel accessibles selon des critères déterminés, que cet ensemble soit centralisé, décentralisé ou réparti de manière fonctionnelle ou géographique ».

37

À cet égard, la Cour a déjà jugé que, conformément à l’objectif rappelé au point 34 du présent arrêt, cette disposition définit de manière large la notion de « fichier », notamment en visant « tout » ensemble structuré de données à caractère personnel. En outre, l’exigence selon laquelle l’ensemble de données à caractère personnel doit avoir un caractère « structuré selon des critères déterminés » vise uniquement à permettre que les données relatives à une personne puissent être retrouvées aisément. Cette exigence mise à part, l’article 4, point 6, du RGPD ne prescrit ni les modalités selon lesquelles un fichier doit être structuré ni la forme que celui-ci doit présenter. En particulier, il ne ressort pas de cette disposition ni d’aucune autre disposition de ce règlement que les données à caractère personnel en cause devraient figurer dans des fiches ou des listes spécifiques ou encore dans un autre système de recherche, afin qu’il puisse être conclu à l’existence d’un fichier, au sens dudit règlement (voir, par analogie, arrêt du 10 juillet 2018, Jehovan todistajat, C‑25/17, EU:C:2018:551, points 56 à 58).

38

En l’occurrence, il ressort de la demande de décision préjudicielle que les données demandées par la requérante au principal sont contenues dans « un fichier de données à caractère personnel tenu par une juridiction ». Il semble ainsi que ces données sont contenues dans un fichier au sens de l’article 4, point 6, du RGPD, ce qu’il appartient toutefois à la juridiction de renvoi de vérifier, sans qu’il importe de savoir si lesdites données sont contenues dans des bases de données électroniques ou encore dans des dossiers ou registres physiques.

39

Dans ces conditions, il convient de répondre à la première question que l’article 2, paragraphe 1, et l’article 4, point 2, du RGPD doivent être interprétés en ce sens que la communication orale d’informations relatives à d’éventuelles condamnations pénales en cours ou déjà purgées dont une personne physique a fait l’objet constitue un traitement de données à caractère personnel, au sens de l’article 4, point 2, de ce règlement, qui relève du champ d’application matériel dudit règlement dès lors que ces informations sont contenues ou appelées à figurer dans un fichier.

40

Par les deuxième et troisième questions, qu’il convient d’examiner conjointement, la juridiction de renvoi demande, en substance, si les dispositions du RGPD, notamment son article 86, doivent être interprétées en ce sens qu’elles s’opposent à ce que des données relatives à des condamnations pénales d’une personne physique figurant dans un fichier tenu par une juridiction puissent être communiquées oralement à toute personne aux fins de garantir un accès du public à des documents officiels, sans que la personne demandant la communication ait à justifier d’un intérêt spécifique à obtenir lesdites données, et si la réponse à cette question diffère selon que cette personne est une société commerciale ou un particulier.

41

Cette question trouve son origine dans la législation nationale en cause au principal en ce qu’elle n’exige pas le respect des dispositions nationales relatives à la protection des données à caractère personnel lorsque de telles données sont communiquées oralement.

42

À cet égard, il convient de rappeler que, en vertu de l’article 288, deuxième alinéa, TFUE, le règlement est obligatoire dans tous ses éléments et qu’il est directement applicable dans tout État membre. Ainsi, en raison même de leur nature et de leur fonction dans le système des sources du droit de l’Union, les dispositions des règlements ont, en règle générale, un effet immédiat dans les ordres juridiques nationaux, sans qu’il soit nécessaire que les autorités nationales prennent des mesures d’application (arrêts du 16 juin 2022, Port de Bruxelles et Région de Bruxelles-Capitale, C‑229/21, EU:C:2022:471, point 47, ainsi que du 30 mars 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, point 77).

43

Ainsi, une juridiction nationale est tenue d’appliquer les exigences du RGPD dans son ensemble, même s’il n’existe pas de disposition spécifique dans le droit national applicable permettant de prendre en compte les intérêts de la personne dont les données à caractère personnel sont en cause (voir, en ce sens, arrêt du 2 mars 2023, Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, points 44 et 59).

44

Il résulte des considérations qui précèdent que la communication orale des données relatives à des condamnations pénales d’une personne physique ne peut avoir lieu que si les conditions posées par le RGPD sont réunies dès lors que ces données sont contenues ou appelées à figurer dans un fichier.

45

À ce titre, il importe de rappeler que, conformément à la jurisprudence constante de la Cour, tout traitement de données à caractère personnel doit, d’une part, être conforme aux principes relatifs au traitement des données fixés à l’article 5 du RGPD et, d’autre part, eu égard en particulier au principe de la licéité du traitement, prévu au paragraphe 1, sous a), de cet article, répondre à l’une des conditions de licéité du traitement énumérées à l’article 6 de ce règlement [voir, en ce sens, arrêts du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité), C‑439/19, EU:C:2021:504, point 96, ainsi que du 7 décembre 2023, SCHUFA Holding e.a. (Scoring), C‑634/21, EU:C:2023:957, point 67].

46

En particulier, le traitement des données à caractère personnel en cause au principal, à savoir la communication orale au public des données relatives à des infractions pénales, est susceptible de relever de l’article 6, paragraphe 1, sous e), du RGPD, en vertu duquel, le traitement est licite si, et dans la mesure où, il est « nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement » [voir, en ce sens, arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité), C‑439/19, EU:C:2021:504, point 99].

47

En outre, s’agissant plus spécifiquement des données relatives aux condamnations pénales et aux infractions, l’article 10 du RGPD soumet leur traitement à des restrictions additionnelles. Conformément à cette disposition, le traitement relatif à ces données « ne peut être effectué que sous le contrôle de l’autorité publique », à moins qu’il ne soit « autorisé par le droit de l’Union ou par le droit d’un État membre qui prévoit des garanties appropriées pour les droits et les libertés des personnes concernées » [voir, en ce sens, arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité), C‑439/19, EU:C:2021:504, point 100].

48

La Cour a déjà jugé que ni l’article 6, paragraphe 1, sous e), du RGPD ni l’article 10 de ce règlement n’interdisent de manière générale et absolue qu’une autorité publique soit habilitée, voire contrainte, à communiquer des données à caractère personnel aux personnes qui en font la demande [voir, en ce sens, arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité), C‑439/19, EU:C:2021:504, point 103].

49

Ainsi, le RGPD ne s’oppose pas à ce que des données à caractère personnel soient communiquées au public lorsque cette communication est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique, au sens de l’article 6, paragraphe 1, sous e), de ce règlement. Il en va ainsi même lorsque les données en question relèvent de l’article 10 du RGPD, pourvu que la législation autorisant cette communication prévoie des garanties appropriées pour les droits et les libertés des personnes concernées [voir, en ce sens, arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité), C‑439/19, EU:C:2021:504, point 104].

50

En l’occurrence, il ressort de la décision de renvoi ainsi que des observations écrites soumises par le gouvernement finlandais que la législation nationale relative à la publicité de l’action des autorités publiques et celle relative à la publicité de la procédure devant les juridictions ordinaires visent à exécuter la mission d’intérêt public permettant d’assurer l’accès du public aux documents officiels.

51

Dans ces conditions, la juridiction de renvoi cherche à établir plus particulièrement si le traitement des données à caractère personnel en cause au principal peut être considéré comme licite au regard du principe de proportionnalité, notamment au regard de la mise en balance à effectuer entre, d’une part, le droit d’accès du public à des documents officiels, visé à l’article 86 du RGPD, et, d’autre part, les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel, consacrés aux articles 7 et 8 de la Charte.

52

À ce dernier égard, il convient de rappeler que les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel ne sont pas des prérogatives absolues ainsi que l’indique le considérant 4 du RGPD, mais doivent être pris en considération par rapport à leur fonction dans la société et être mis en balance avec d’autres droits fondamentaux. Des limitations peuvent ainsi être apportées, pourvu que, conformément à l’article 52, paragraphe 1, de la Charte, elles soient prévues par la loi et qu’elles respectent le contenu essentiel des droits fondamentaux ainsi que le principe de proportionnalité. En vertu de ce dernier principe, des limitations ne peuvent être apportées que si elles sont nécessaires et répondent effectivement à des objectifs d’intérêt général reconnus par l’Union ou au besoin de protection des droits et des libertés d’autrui. Elles doivent s’opérer dans les limites du strict nécessaire et la réglementation comportant l’ingérence doit prévoir des règles claires et précises régissant la portée et l’application de la mesure en cause [voir, en ce sens, arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité), C‑439/19, EU:C:2021:504, point 105].

53

Afin de déterminer si une communication au public de données à caractère personnel relatives à des condamnations pénales est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique, au sens de l’article 6, paragraphe 1, sous e), du RGPD, et si la législation autorisant une telle communication prévoit des garanties appropriées pour les droits et les libertés des personnes concernées, au sens de l’article 10 de ce règlement, il y a lieu de vérifier en particulier si, eu égard à la gravité de l’ingérence dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel causée par ladite communication, celle-ci apparaît justifiée, et notamment proportionnée, aux fins de la réalisation des objectifs poursuivis [voir, en ce sens, arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité), C‑439/19, EU:C:2021:504, point 106].

54

Quant à la gravité de l’ingérence dans ces droits, la Cour a déjà jugé que le traitement des données relatives aux condamnations pénales et aux infractions ou aux mesures de sûreté connexes est, en raison de la sensibilité particulière de ces données, susceptible de constituer une ingérence particulièrement grave dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel, garantis par les articles 7 et 8 de la Charte. En effet, dès lors que de telles données portent sur des comportements qui entraînent la désapprobation de la société, l’octroi d’un accès à ces mêmes données est susceptible de stigmatiser la personne concernée et de constituer ainsi une ingérence grave dans sa vie privée ou professionnelle [voir, en ce sens, arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité), C‑439/19, EU:C:2021:504, points 74, 75 et 112].

55

Si l’accès du public aux documents officiels, auquel se réfère la juridiction de renvoi, constitue, ainsi qu’il découle du considérant 154 du RGPD, un intérêt public susceptible de légitimer la communication de données à caractère personnel figurant dans de tels documents, cet accès doit néanmoins être concilié avec les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel, comme l’exige d’ailleurs expressément l’article 86 du RGPD. Or, eu égard notamment à la sensibilité des données relatives aux condamnations pénales et à la gravité de l’ingérence dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel des personnes concernées, que la divulgation de ces données provoque, il doit être considéré que ces droits prévalent sur l’intérêt du public à avoir accès aux documents officiels [voir, en ce sens, arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité), C‑439/19, EU:C:2021:504, point 120].

56

Pour cette même raison, le droit à la liberté d’information visé à l’article 85 du RGPD ne saurait être interprété en ce sens qu’il justifie la communication à toute personne qui en fait la demande de données à caractère personnel relatives à des condamnations pénales [voir, en ce sens, arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité), C‑439/19, EU:C:2021:504, point 121].

57

À cet égard, il importe peu de savoir si la personne demandant l’accès aux données relatives aux condamnations pénales est une société commerciale ou un particulier ou si la communication de telles données est effectuée par voie écrite ou orale.

58

Eu égard aux considérations qui précèdent, il convient de répondre aux deuxième et troisième questions préjudicielles que les dispositions du RGPD, notamment l’article 6, paragraphe 1, sous e), et l’article 10 de celui‑ci, doivent être interprétées en ce sens qu’elles s’opposent à ce que des données relatives à des condamnations pénales d’une personne physique figurant dans un fichier tenu par une juridiction puissent être communiquées oralement à toute personne aux fins de garantir un accès du public à des documents officiels, sans que la personne demandant la communication ait à justifier d’un intérêt spécifique à obtenir lesdites données, la circonstance que cette personne soit une société commerciale ou un particulier n’ayant pas d’incidence à cet égard.

59

La procédure revêtant, à l’égard des parties au principal, le caractère d’un incident soulevé devant la juridiction de renvoi, il appartient à celle-ci de statuer sur les dépens. Les frais exposés pour soumettre des observations à la Cour, autres que ceux desdites parties, ne peuvent faire l’objet d’un remboursement.

Par ces motifs, la Cour (sixième chambre) dit pour droit :