La personne concernée était candidate à l’élection du parlement des étudiants de l’université de Hambourg. Lors de son inscription, la personne concernée a été invitée à indiquer sa date de naissance dans le formulaire d’inscription, mais elle a déclaré que cela n’était pas nécessaire et a déposé sa candidature sans l’indiquer. L’université a rejeté sa candidature pour cette raison, affirmant que toutes les candidatures devaient également comporter la date de naissance du candidat. La personne concernée a décidé d’intenter une action auprès du tribunal administratif de Hambourg (Verwaltungsgericht Hamburg, VG Hamburg).

Le responsable du traitement est l’université de Hambourg, une personne morale de droit public. La loi électorale de l’université de Hambourg (Wahlordnung, WahlO) stipule que pour pouvoir se présenter aux élections, tout candidat doit fournir son nom complet, son numéro d’étudiant, sa date de naissance, l’adresse de son domicile actuel et une adresse électronique. Dans ses observations, le responsable du traitement a fait valoir que le traitement de la date de naissance des candidats était nécessaire pour les identifier de manière incontestable et pour s’assurer aussi qu’ils étaient majeurs.

Le 11 février 2023, le VG Hamburg a jugé que le formulaire d’inscription de la personne concernée était incomplet parce qu’il manquait la date de naissance requise et que cette exigence ne soulevait pas de problèmes de protection des données. Le tribunal a donc estimé que la personne concernée n’avait pas soumis un formulaire complet en temps utile et qu’elle ne pouvait donc pas se présenter aux élections.

La personne concernée a donc décidé de faire appel de la décision devant le tribunal administratif supérieur de Hambourg (Oberverwaltungsgericht Hamburg, OVG Hamburg).

Dans un arrêt 3 Bs 146/23 du 29.11.2023 (https://www.landesrecht-hamburg.de/bsha/document/JURE240000844/part/L), présenté et commenté sur gdprhub (https://gdprhub.eu/index.php?title=OVG_Hamburg_-_3_Bs_146/23&mtc=today), l’OVG Hamburg considère ce qui suit :

Le RGPD s’appliquait dans le cas d’espèce car la date de naissance d’une personne concernée constitue une donnée personnelle et que son utilisation dans le contexte de l’élection doit être considérée comme un traitement de données.

La seule base juridique envisageable pour ce traitement de données serait l’article 6, paragraphe 1, point e), du RGPD, car le traitement est effectué dans le cadre de l’exécution d’une mission d’intérêt public et qu’il ne pouvait pas être fondé sur l’article 6, paragraphe 1, point c), du RGPD car le WahlO constitue simplement un règlement interne de l’université de Hambourg. À cet égard, le tribunal a évalué si le traitement de la date de naissance de la personne concernée pouvait être considéré comme nécessaire sur la base de l’article 5 du RGPD et de l’article 6 du RGPD dans le but d’identifier sans ambiguïté les candidats ou les futurs membres du parlement des étudiants.

En particulier, l’OVG a estimé que, dans ce cas, le principe de minimisation des données énoncé à l’article 5, paragraphe 1, point c), du RGPD doit être pris en compte. Selon ce principe, les données à caractère personnel doivent être pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement. Dans son arrêt C-175/20, la CJUE a aussi précisé que ce traitement doit être limité à « ce qui est strictement nécessaire », ce qui implique une norme stricte pour déterminer si le traitement est nécessaire ou non.

Compte tenu de tous ces éléments, l’OVG a estimé que la finalité consistant à identifier sans ambiguïté les personnes s’inscrivant comme candidats pouvait être atteinte sans traiter leur date de naissance, les autres données étant suffisantes pour remplir cette finalité. L’OVG a également souligné qu’il n’était pas nécessaire d’utiliser la date de naissance pour s’assurer que les candidats avaient plus de 18 ans, puisque les étudiants mineurs inscrits sont également éligibles au Parlement des étudiants.

À la lumière de ce qui précède, l’OVG a estimé que l’obligation faite aux candidats de fournir leur date de naissance en vertu de l’article 6, paragraphe 5, du WahlO n’était pas conforme à la base juridique de l’article 6, paragraphe 1, point e), du RGPD, car ce traitement ne peut être considéré comme nécessaire aux fins poursuivies et va à l’encontre du principe de minimisation des données énoncé à l’article 5, paragraphe 1, point c), du RGPD.

L’OVG Hamburg a donc annulé la décision du VG Hamburg de rejeter la candidature de la personne concernée et a jugé que le responsable du traitement devait accepter la candidature de la personne concernée et l’inscrire sur la liste électorale.

Me Philippe Ehrenström, avocat, LLM, CAS, Genève et Onnens (VD)