Dans un arrêt du 1^er août 2022 (affaire C‑184/20, ECLI:EU:C:2022:601), la CJUE (grande chambre) statue, sur demande de décision préjudicielle (art.  267 TFUE), introduite par le Vilniaus apygardos administracinis teismas (tribunal administratif régional de Vilnius, Lituanie), concernant une réglementation nationale imposant la publication sur Internet de données contenues dans les déclarations d’intérêts privés de personnes physiques travaillant dans le service public ou de dirigeants d’associations ou d’établissements percevant des fonds publics. Extraits :

Par sa première question, la juridiction de renvoi demande, en substance, si l’article 6, paragraphe 1, premier alinéa, sous c) et e), et paragraphe 3, du RGPD, lus à la lumière des articles 7 et 8 de la Charte, doivent être interprétés en ce sens qu’ils s’opposent à une disposition nationale prévoyant la mise en ligne de données à caractère personnel contenues dans les déclarations d’intérêts privés que tout directeur d’un établissement percevant des fonds publics est tenu de déposer auprès de l’autorité nationale chargée de collecter ces déclarations et d’en contrôler la teneur.

Il y a lieu de souligner que les questions posées à la Cour visent uniquement la publication, sur le site Internet de la Haute commission (Lituanie), des informations figurant dans la déclaration d’intérêts privés qu’est tenu de déposer le directeur d’un établissement percevant des fonds publics, et non l’obligation de déclaration en tant que telle ou la publication d’une déclaration d’intérêts dans d’autres circonstances.

À cet égard, dès lors qu’elles se rapportent à des personnes physiques identifiées par leurs prénom et nom, les informations destinées à être publiées sur le site Internet de la Haute commission constituent des données à caractère personnel, au sens de l’article 4, point 1, du RGPD, la circonstance que lesdites informations s’inscrivent dans le contexte de l’activité professionnelle du déclarant n’étant pas de nature à leur ôter cette qualification. En outre, l’opération consistant à faire figurer, sur une page Internet, des données à caractère personnel constitue un traitement, au sens de l’article 4, point 2, du RGPD, dont la Haute commission est le responsable, au sens de l’article 4, point 7, du RGPD.

L’article 6, paragraphe 1, premier alinéa, du RGPD prévoient une liste exhaustive et limitative des cas dans lesquels un traitement de données à caractère personnel peut être considéré comme licite. Ainsi, pour qu’il puisse être considéré comme tel, un traitement doit relever de l’un des cas prévus à ces dispositions.

En vertu de l’article 6, paragraphe 1, premier alinéa, sous e), du RGPD, est licite le traitement qui est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement. En outre, selon l’article 6, paragraphe 1, premier alinéa, sous c), de ce règlement, est également licite le traitement qui est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis.

L’article 6, paragraphe 3, du RGPD précise, à l’égard de ces deux hypothèses de licéité, que le traitement doit être fondé sur le droit de l’Union ou sur le droit de l’État membre auquel le responsable du traitement est soumis, et que cette base juridique doit répondre à un objectif d’intérêt public et être proportionnée à l’objectif légitime poursuivi.

Les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel, garantis aux articles 7 et 8 de la Charte, ne sont en effet pas des prérogatives absolues, mais doivent être pris en considération par rapport à leur fonction dans la société et être mis en balance avec d’autres droits fondamentaux. Des limitations peuvent ainsi être apportées, pourvu que, conformément à l’article 52, paragraphe 1, de la Charte, elles soient prévues par la loi et qu’elles respectent le contenu essentiel des droits fondamentaux ainsi que le principe de proportionnalité. En vertu de ce dernier principe, des limitations ne peuvent être apportées que si elles sont nécessaires et répondent effectivement à des objectifs d’intérêt général reconnus par l’Union ou au besoin de protection des droits et des libertés d’autrui. Elles doivent s’opérer dans les limites du strict nécessaire et la réglementation comportant l’ingérence doit prévoir des règles claires et précises régissant la portée et l’application de la mesure en cause.

En l’occurrence, étant donné que la publication, sur son site Internet, d’une partie des données à caractère personnel figurant dans la déclaration d’intérêts privés qu’est tenu de déposer tout directeur d’un établissement percevant des fonds publics résulte d’une disposition législative du droit de l’État membre auquel la Haute commission est soumise, ce traitement est nécessaire au respect d’une obligation légale à laquelle cette autorité est tenue en tant que responsable du traitement et, partant, il relève de l’hypothèse visée à l’article 6, paragraphe 1, premier alinéa, sous c) du RGPD. Dans ces conditions, il n’est pas nécessaire de déterminer si ce traitement relève également de l’hypothèse visée à l’article 6, paragraphe 1, premier alinéa, sous e), de ce règlement.

En outre, dès lors que, l’article 10 de la loi [lituanienne] sur la conciliation des intérêts définit la portée de la limitation de l’exercice du droit à la protection des données à caractère personnel, l’ingérence qui en résulte doit être regardée comme étant prévue par la loi.

Cependant, encore faut-il que l’article 10 de la loi sur la conciliation des intérêts, en tant que base légale pour le traitement en cause au principal, satisfasse aux autres exigences découlant de l’article 52, paragraphe 1, de la Charte et de l’article 6, paragraphe 3, du RGPD, et notamment qu’il réponde à un objectif d’intérêt public et qu’il soit proportionné à l’objectif légitime poursuivi.

En l’occurrence, il ressort de l’article 1er de la loi sur la conciliation des intérêts que, en adoptant le principe de transparence des déclarations d’intérêts, cette loi vise à assurer la prévalence de l’intérêt public lors de la prise de décisions par les personnes travaillant dans le service public, à garantir l’impartialité de ces décisions et à prévenir les situations de conflits d’intérêts ainsi que l’apparition et l’essor de la corruption dans le service public. De tels objectifs, en ce qu’ils consistent à renforcer les garanties de probité et d’impartialité des décideurs du secteur public, à prévenir les conflits d’intérêts et à lutter contre la corruption dans le secteur public, sont incontestablement d’intérêt public et, par suite, légitimes.

Il convient ensuite de vérifier si la mise en ligne, sur le site Internet de la Haute commission, d’une partie des données à caractère personnel contenues dans la déclaration d’intérêts privés que tout directeur d’établissement percevant des fonds publics est tenu de déposer auprès de cette autorité est apte à atteindre les objectifs d’intérêt général définis à l’article 1er de la loi sur la conciliation des intérêts, et ne va pas au-delà de ce qui est nécessaire pour atteindre ces objectifs.

En ce qui concerne, tout d’abord, la question de savoir si la publication sur le site Internet de la Haute commission de données à caractère personnel contenues dans les déclarations d’intérêts privés est apte à atteindre l’objectif d’intérêt général défini à l’article 1er de la loi sur la conciliation des intérêts, il convient de relever que le fait de mettre en ligne certaines des données à caractère personnel contenues dans les déclarations d’intérêts privés des décideurs du secteur public, en ce qu’il permet de révéler l’existence d’éventuels conflits d’intérêts susceptibles d’influer sur l’exercice de leurs fonctions, est de nature à inciter ceux-ci à agir de manière impartiale. Ainsi, une telle mise en œuvre du principe de transparence est propre à prévenir les conflits d’intérêts et la corruption, à accroître la responsabilité des acteurs du secteur public et, partant, à renforcer la confiance des citoyens dans l’action publique. Dès lors, la mesure en cause au principal paraît apte à contribuer à la réalisation des objectifs d’intérêt général qu’elle poursuit.

S’agissant, ensuite, de l’exigence de nécessité, il ressort du considérant 39 du RGPD que celle-ci est remplie lorsque l’objectif d’intérêt général visé ne peut raisonnablement être atteint de manière aussi efficace par d’autres moyens moins attentatoires aux droits fondamentaux des personnes concernées, en particulier aux droits au respect de la vie privée et à la protection des données à caractère personnel garantis aux articles 7 et 8 de la Charte, les dérogations et les restrictions au principe de la protection de telles données devant s’opérer dans les limites du strict nécessaire.

À cet égard, si, dans un objectif de prévention des conflits d’intérêts et de la corruption dans le secteur public, il peut être pertinent d’exiger que figurent, dans les déclarations d’intérêts privés, des informations permettant d’identifier la personne du déclarant ainsi que des informations relatives aux activités du conjoint, concubin ou partenaire du déclarant, la divulgation publique, en ligne, de données nominatives relatives au conjoint, concubin ou partenaire d’un directeur d’un établissement percevant des fonds publics ainsi qu’aux proches ou autres personnes connues de celui-ci susceptibles de donner lieu à un conflit d’intérêts paraît aller au-delà de ce qui est strictement nécessaire. En effet, ainsi que M. l’avocat général l’a relevé au point 66 de ses conclusions, il n’apparaît pas que les objectifs d’intérêt public poursuivis ne pourraient être atteints s’il était fait uniquement référence, aux fins de la publication, à l’expression générique de conjoint, concubin ou partenaire selon le cas, reliée à l’indication pertinente des intérêts détenus par ces derniers en relation avec leurs activités.

Il n’apparaît pas davantage que la publication systématique, en ligne, de de la liste des transactions du déclarant dont la valeur est supérieure à 3 000 euros soit strictement nécessaire au regard des objectifs poursuivis.

Enfin, il importe de rappeler qu’un objectif d’intérêt général ne saurait être poursuivi sans tenir compte du fait qu’il doit être concilié avec les droits fondamentaux concernés par la mesure, et ce en effectuant une pondération équilibrée entre, d’une part, l’objectif d’intérêt général et, d’autre part, les droits en cause. Par conséquent, il convient, aux fins d’apprécier le caractère proportionné du traitement en cause au principal, de mesurer la gravité de l’ingérence dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel que comporte ce traitement et de vérifier si l’importance de l’objectif d’intérêt général poursuivi par celui-ci est en relation avec cette gravité.

Afin d’évaluer la gravité de cette ingérence, il doit notamment être tenu compte de la nature des données à caractère personnel en cause, en particulier de la nature éventuellement sensible de ces données, ainsi que de la nature et des modalités concrètes du traitement des données en cause, en particulier du nombre de personnes qui ont accès à ces données et des modalités d’accès à ces dernières.

En l’occurrence, il importe de relever, d’une part, que la divulgation publique, en ligne, de données nominatives relatives au conjoint, partenaire ou concubin du déclarant ou aux personnes proches ou connues de celui-ci susceptibles de donner lieu à un conflit d’intérêts, ainsi que la mention de l’objet des transactions dont la valeur est supérieure à 3 000 euros sont susceptibles de révéler des informations sur certains aspects sensibles de la vie privée des personnes concernées, y compris, par exemple, leur orientation sexuelle. En outre, dans la mesure où il prévoit une telle divulgation publique de données nominatives relatives à des personnes autres que le déclarant en sa qualité de décideur public, le traitement de données à caractère personnel prévu à l’article 10 de la loi sur la conciliation des intérêts concerne également des personnes qui n’ont pas cette qualité et à l’égard desquelles les objectifs visés par cette loi ne s’imposent pas de la même manière que pour le déclarant.

La gravité d’une telle ingérence peut encore se trouver accrue par l’effet cumulatif des données à caractère personnel faisant l’objet d’une publication telle que celle en cause au principal, leur combinaison permettant de dresser un portrait particulièrement détaillé de la vie privée des personnes concernées.

D’autre part, il est constant que ce traitement aboutit à rendre ces données à caractère personnel librement accessibles sur Internet à l’ensemble du grand public et, par suite, à un nombre potentiellement illimité de personnes.

Par conséquent, ledit traitement est susceptible de permettre à des personnes qui, pour des raisons étrangères à l’objectif d’intérêt général de prévention des conflits d’intérêts et de la corruption dans le secteur public, cherchent à s’informer sur la situation personnelle, matérielle et financière du déclarant et des membres de sa famille, d’accéder librement à ces données. La publication desdites données est susceptible, par exemple, d’exposer les intéressés à des opérations répétées de publicité ciblée et de démarchages à caractère commercial, voire à des risques d’agissements criminels.

Partant, un traitement, tel que celui en cause au principal, des données à caractère personnel visées doit être regardé comme constituant une ingérence grave dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel des personnes concernées.

La gravité de cette ingérence doit être mise en balance avec l’importance des objectifs de prévention des conflits d’intérêts et de la corruption dans le secteur public.

Il est incontestable que la lutte contre la corruption revêt une importance majeure au sein de l’Union.

Dans ce contexte, la mise en balance de l’ingérence résultant de la publication de données à caractère personnel contenues dans les déclarations d’intérêts privés avec les objectifs d’intérêt général de prévention des conflits d’intérêts et de la corruption dans le secteur public implique de prendre en considération, notamment, la réalité et l’ampleur du phénomène de corruption au sein du service public de l’État membre concerné, de telle sorte que le résultat de la mise en balance à effectuer entre ces objectifs, d’une part, et les droits au respect de la vie privée et à la protection des données à caractère personnel de la personne concernée, d’autre part, n’est pas forcément le même pour tous les États membres.

En outre, aux fins de cette pondération doit notamment être pris en compte le fait que l’intérêt général à ce que des données personnelles soient publiées peut varier selon l’importance des fonctions exercées par le déclarant, notamment sa position hiérarchique, l’étendue des compétences d’administration publique dont il est éventuellement investi et les pouvoirs dont il dispose en matière d’engagement et de gestion de fonds publics.

Cela étant précisé, force est de constater que la publication en ligne de la majeure partie des données à caractère personnel contenues dans la déclaration d’intérêts privés de tout directeur d’un établissement percevant des fonds publics, ne satisfait pas aux exigences d’une pondération équilibrée.

S’agissant, toutefois, des données relatives à l’appartenance du déclarant ou, de manière non nominative, de son conjoint, concubin ou partenaire à des entreprises, des établissements, des associations ou des fonds, ainsi qu’à leurs activités indépendantes et aux personnes morales dont ils ont la qualité d’associé ou sociétaire, il y a lieu de considérer que la transparence sur l’existence ou l’absence de tels intérêts permet aux citoyens ainsi qu’aux opérateurs économiques d’avoir un fidèle aperçu de l’indépendance financière des personnes qui sont investies d’un pouvoir décisionnel dans la gestion des fonds publics. En outre, les données concernant les cadeaux reçus, autres que ceux de proches, dont la valeur excède 150 euros, sont susceptibles de révéler l’existence d’actes de corruption.

Moyennant le respect d’une pondération équilibrée au regard du degré de pouvoir décisionnel du déclarant, et pourvu que le principe de minimisation des données soit respecté, la publication de telles données contenues dans la déclaration d’intérêts peut être justifiée par les bénéfices qu’une telle transparence apporte, à titre de renforcement des garanties de probité et d’impartialité des responsables publics, dans la prévention des conflits d’intérêts et la lutte contre la corruption.

Eu égard à l’ensemble des considérations qui précèdent, l’article 6, paragraphe 1, premier alinéa, sous c), et paragraphe 3, du RGPD, lus à la lumière des articles 7, 8 et 52, paragraphe 1, de la Charte, doivent être interprétés en ce sens qu’ils s’opposent à une législation nationale prévoyant la publication en ligne de la déclaration d’intérêts privés que tout directeur d’un établissement percevant des fonds publics est tenu de déposer, en tant, notamment, que cette publication porte sur des données nominatives relatives à son conjoint, concubin ou partenaire ainsi qu’aux personnes proches ou connues du déclarant susceptibles de donner lieu à un conflit d’intérêts, ou encore sur toute transaction conclue au cours des douze derniers mois civils dont la valeur excède 3 000 euros.

Par sa seconde question, la juridiction de renvoi demande, en substance, si l’article 9, paragraphe 1, du RGPD doivent être interprétés en ce sens que la publication, sur le site Internet de l’autorité publique chargée de collecter et de contrôler la teneur des déclarations d’intérêts privés, de données à caractère personnel susceptibles de divulguer indirectement les opinions politiques, l’appartenance syndicale ou l’orientation sexuelle d’une personne physique constitue un traitement portant sur les catégories particulières de données à caractère personnel, au sens de ces dispositions.

En vertu de l’article 9, paragraphe 1, du RGPD, sont interdits, notamment, le traitement des données à caractère personnel qui révèle l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale ainsi que le traitement des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique. Il s’agit, selon l’intitulé de ces articles, de catégories particulières de données à caractère personnel, ces données étant également qualifiées de « données sensibles » au considérant 34 de cette directive ainsi qu’au considérant 10 de ce règlement.

En l’occurrence, bien que les données à caractère personnel dont la publication est obligatoire en application de l’article 10, paragraphe 1, de la loi sur la conciliation des intérêts ne constituent pas, par leur nature, des données sensibles au sens du RGPD, la juridiction de renvoi estime qu’il est possible de déduire, à partir des données nominatives relatives au conjoint, au concubin ou au partenaire du déclarant certaines informations sur la vie ou l’orientation sexuelle du déclarant et de son conjoint, concubin ou partenaire. Dans ces conditions, il y a lieu de déterminer si des données qui sont de nature à révéler, par une opération intellectuelle de rapprochement ou de déduction, l’orientation sexuelle d’une personne physique relèvent des catégories particulières de données à caractère personnel, au sens de l’article 9, paragraphe 1, du RGPD. (…)

L’article 9, paragraphe 1, du RGPD doit être interprété en ce sens que la publication, sur le site Internet de l’autorité publique chargée de collecter et de contrôler la teneur des déclarations d’intérêts privés, de données à caractère personnel susceptibles de divulguer indirectement l’orientation sexuelle d’une personne physique constitue un traitement portant sur des catégories particulières de données à caractère personnel, au sens de cette disposition.

Source :

Me Philippe Ehrenström, avocat, LLM, CAS, Genève et Onnens (VD)