CONCLUSIONS DE L’AVOCAT GÉNÉRAL
M. ANTHONY COLLINS
présentées le 28 avril 2022 ( 1 )
Affaire C‑129/21
Proximus NV
contre
Gegevensbeschermingsautoriteit
[demande de décision préjudicielle formée par le hof van beroep te Brussel (cour d’appel de Bruxelles, Belgique)]
« Renvoi préjudiciel – Traitement des données à caractère personnel et protection de la vie privée dans le secteur des communications électroniques – Directive 2002/58/CE – Article 12 – Annuaires et services de renseignements téléphoniques – Consentement de la personne concernée – Règlement (UE) 2016/679 – Définition de la notion de “consentement” – Article 17 – Droit à l’effacement (“droit à l’oubli”) – Article 5, paragraphe 2, article 17, paragraphe 2, article 19 et article 24 – Obligations
d’information et responsabilité du responsable du traitement »
I. Introduction
1. Le présent renvoi préjudiciel, émanant du hof van beroep te Brussel (cour d’appel de Bruxelles, Belgique), trouve son origine dans la demande d’un abonné à un service de télécommunications, tendant à ce que ses coordonnées ne figurent plus dans des annuaires téléphoniques publics électroniques ou ne soient plus disponibles sur des services de renseignements téléphoniques. Il soulève des questions importantes s’agissant de l’interprétation du règlement (UE) 2016/679 du Parlement européen et du
Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ( 2 ), et de la directive 2002/58/CE du Parlement européen et du Conseil, du 12 juillet 2002, concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques
(directive vie privée et communications électroniques) ( 3 ), ainsi que de l’articulation entre ces deux actes.
2. Le RGPD impose à chaque responsable du traitement une obligation générale d’obtenir le consentement de la personne concernée pour le traitement de ses données. La directive 2002/58 modifie cette obligation en ce qui concerne le traitement des données par les fournisseurs d’annuaires téléphoniques électroniques et de services de renseignements téléphoniques, en ce qu’il suffit qu’un abonné ait exprimé une seule et unique fois son consentement à l’utilisation de ses données pour permettre le
traitement desdites données à cette même fin. Ainsi, l’abonné exprime une seule et unique fois son consentement à la publication de ses coordonnées dans des annuaires, à la suite de quoi les autres fournisseurs d’annuaires sont autorisés à se prévaloir de ce même consentement pour inclure ses coordonnées dans leurs annuaires. Que se passe-t-il lorsqu’un abonné souhaite que ses coordonnées soient retirées de l’ensemble de ces annuaires ? Au moins deux questions se posent. Premièrement, l’abonné
doit-il adresser une demande à l’opérateur de télécommunications avec lequel il a conclu un contrat, ou au(x) fournisseur(s) d’annuaires, ou à chacun d’entre eux ? Deuxièmement, le fournisseur d’annuaires est-il tenu de transmettre une demande de suppression des coordonnées à des tiers, tels que l’opérateur de télécommunications de l’abonné, d’autres fournisseurs d’annuaires, et les fournisseurs de moteurs de recherche ?
II. Les antécédents du litige
3. Proximus NV fournit des services de télécommunications. Elle publie les coordonnées de ses propres abonnés, ainsi que celles qu’elle reçoit d’autres opérateurs de télécommunications, dans deux annuaires électroniques belges, www.1207.be et www.1307.be, ainsi que dans deux services de renseignements téléphoniques, 1207 et 1307, qu’elle fournit également. Elle transmet ces coordonnées à un autre fournisseur d’annuaires.
4. Proximus explique que, dans ses bases de données et celles de tiers, une distinction est opérée entre les abonnés dont les coordonnées doivent figurer dans des annuaires et ceux dont les coordonnées doivent en être exclues. Dans le cas où les coordonnées doivent être publiées, le code inscrit dans le dossier de l’abonné est « NNNNN ». Lorsque la publication des coordonnées est exclue, le code utilisé est « XXXXX ».
5. Le plaignant est abonné à un service téléphonique fourni par Telenet, opérateur de télécommunications sur le marché belge. Telenet ne fournit pas d’annuaires. Elle transmet les coordonnées de ses abonnés, notamment, à Proximus.
6. Le 13 janvier 2019, le plaignant, au moyen du formulaire de contact disponible sur le site Internet www.1207.be, a adressé la demande suivante à Proximus : « [...] Prière de ne pas faire figurer ce numéro de téléphone dans les Pages blanches, sur 1207.be [...] »
7. Le 28 janvier 2019, en réponse à cette demande, Proximus a modifié le code inscrit dans le dossier du plaignant, en remplaçant « NNNNN » par « XXXXX ». Le même jour, un employé de Proximus a adressé la réponse suivante au plaignant : « Le numéro [...] ne figure pas actuellement dans l’édition de l’annuaire. L’information n’est pas non plus disponible sur les services de renseignements téléphoniques (1207) ni sur le site Internet (www.1207.be). Vous trouverez la dernière mise à jour de tous les
enregistrements publiés sur notre site Internet www.1207.be. »
8. Le 31 janvier 2019, Proximus a reçu de Telenet une mise à jour périodique des données de ses abonnés. Cette mise à jour contenait de nouvelles coordonnées pour le plaignant. Elle indiquait également que les coordonnées du plaignant devaient figurer dans des annuaires (code « NNNNN »). Cette mise à jour a fait l’objet d’un traitement automatisé par Proximus, rendant les coordonnées du plaignant désormais accessibles au public.
9. Le 14 août 2019, après avoir constaté que son numéro de téléphone figurait dans les annuaires électroniques www.1207.be et www.1307.be ainsi que dans plusieurs autres annuaires téléphoniques électroniques, le plaignant a demandé à Proximus, au moyen du formulaire de contact disponible sur le site Internet www.1207.be, « de ne pas faire figurer » son numéro de téléphone « sur votre/vos site(s) Internet http://www.1207.be ».
10. Le même jour, un employé de Proximus a répondu au plaignant : « S’agissant de votre demande, nous avons supprimé votre entrée, de sorte que vos coordonnées (numéro de téléphone, nom, adresse) ne seront plus utilisées dans des annuaires téléphoniques ou des services de renseignements téléphoniques. Dans un délai de quelques jours, vos coordonnées ne seront plus disponibles sur le site www.1207.be –www.1307.be ni dans les services de renseignements (1207‑1307). Nous contacterons également Google
pour que les liens pertinents vers notre site Internet soient supprimés. Conformément aux dispositions juridiques applicables, vos coordonnées ont également été transmises à d’autres fournisseurs d’annuaires téléphoniques et de services de renseignements téléphoniques qui nous avaient demandé la communication des données de nos abonnés, à savoir www.wittegids.be, www.infobel.com, www.de1212.be et www.opendi.be. Grâce aux mises à jour mensuelles, ils seront eux aussi informés de votre demande
d’arrêt de l’utilisation de vos coordonnées. »
11. Dans le même temps, le plaignant a déposé une plainte auprès de la Gegevensbeschermingsautoriteit (autorité de protection des données, Belgique, ci‑après l’« APD »). Sa plainte contenait le texte suivant : « En dépit de ma demande écrite et expresse [...] tendant à ce que mon (nouveau) numéro de téléphone [...] et mes coordonnées ne soient pas publiés dans les Pages blanches et sur le site 1207.be, [...] aujourd’hui, à la suite d’un appel téléphonique d’une société qui ne dispose pas de mon
numéro de téléphone, [je me suis aperçu] que mon numéro de téléphone apparaissait néanmoins sur les sites www.1207.be, www.1307.be, www.wittegids.be, www.infobel.be, www.de1212.be, de même que, très probablement, dans les services de renseignements téléphoniques pertinents, 1207 et 1307, ainsi que dans les versions papier des Pages blanches et sur www.opendi.be. ».
12. Le 27 août 2019, le service de première ligne de l’APD a déclaré la plainte recevable et l’a renvoyée devant la Geschillenkamer van de Gegevensbeschermingsautoriteit (chambre contentieuse de l’APD, Belgique, ci‑après la « chambre contentieuse »).
III. Le cadre juridique
A. Le droit de l’Union
1. La charte des droits fondamentaux de l’Union européenne
13. Aux termes de l’article 8, paragraphes 1 et 2, de la charte des droits fondamentaux de l’Union européenne (ci-après la « Charte »), intitulé « Protection des données à caractère personnel » :
« 1. Toute personne a droit à la protection des données à caractère personnel la concernant.
2. Ces données doivent être traitées loyalement, à des fins déterminées et sur la base du consentement de la personne concernée ou en vertu d’un autre fondement légitime prévu par la loi. Toute personne a le droit d’accéder aux données collectées la concernant et d’en obtenir la rectification. »
2. Le règlement général sur la protection des données
14. La notion de consentement est au cœur du fonctionnement du RGPD. L’article 4, point 11, du RGPD définit le « consentement » comme toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement.
15. L’article 5, paragraphe 1, du RGPD, intitulé « Principes relatifs au traitement des données à caractère personnel », dispose, pour ce qui nous intéresse dans le cas présent :
« Les données à caractère personnel doivent être :
a) traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence) ;
[...] »
16. L’article 5, paragraphe 2, du RGPD précise :
« Le responsable du traitement est responsable du respect du paragraphe 1 et est en mesure de démontrer que celui-ci est respecté (responsabilité). »
17. L’article 6 du RGPD, intitulé « Licéité du traitement », dispose :
« 1. Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :
a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ;
[...] »
18. Les paragraphes pertinents de l’article 7 du RGPD, intitulé « Conditions applicables au consentement », énoncent ce qui suit :
« 1. Dans les cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant.
[...]
3. La personne concernée a le droit de retirer son consentement à tout moment. Le retrait du consentement ne compromet pas la licéité du traitement fondé sur le consentement effectué avant ce retrait. La personne concernée en est informée avant de donner son consentement. Il est aussi simple de retirer que de donner son consentement.
[...] »
19. Pour ce qui importe ici, l’article 17 du RGPD, intitulé « Droit à l’effacement (“droit à l’oubli”) », dispose :
« 1. La personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l’obligation d’effacer ces données à caractère personnel dans les meilleurs délais, lorsque l’un des motifs suivants s’applique :
[...]
b) la personne concernée retire le consentement sur lequel est fondé le traitement, conformément à l’article 6, paragraphe 1, point a), ou à l’article 9, paragraphe 2, point a), et il n’existe pas d’autre fondement juridique au traitement ;
[...]
2. Lorsqu’il a rendu publiques les données à caractère personnel et qu’il est tenu de les effacer en vertu du paragraphe 1, le responsable du traitement, compte tenu des technologies disponibles et des coûts de mise en œuvre, prend des mesures raisonnables, y compris d’ordre technique, pour informer les responsables du traitement qui traitent ces données à caractère personnel que la personne concernée a demandé l’effacement par ces responsables du traitement de tout lien vers ces données à
caractère personnel, ou de toute copie ou reproduction de celles-ci.
[...] »
20. L’article 19 du RGPD, intitulé « Obligation de notification en ce qui concerne la rectification ou l’effacement de données à caractère personnel ou la limitation du traitement », énonce ce qui suit :
« Le responsable du traitement notifie à chaque destinataire auquel les données à caractère personnel ont été communiquées toute rectification ou tout effacement de données à caractère personnel ou toute limitation du traitement effectué conformément à l’article 16, à l’article 17, paragraphe 1, et à l’article 18, à moins qu’une telle communication se révèle impossible ou exige des efforts disproportionnés. Le responsable du traitement fournit à la personne concernée des informations sur ces
destinataires si celle-ci en fait la demande. »
21. Aux termes de l’article 24, paragraphe 1, du RGPD, intitulé « Responsabilité du responsable du traitement » :
« Compte tenu de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement met en œuvre des mesures techniques et organisationnelles appropriées pour s’assurer et être en mesure de démontrer que le traitement est effectué conformément au présent règlement. Ces mesures sont réexaminées et actualisées si nécessaire. »
22. L’article 95 du RGPD, intitulé « Relation avec la directive 2002/58/CE », précise :
« Le présent règlement n’impose pas d’obligations supplémentaires aux personnes physiques ou morales quant au traitement dans le cadre de la fourniture de services de communications électroniques accessibles au public sur les réseaux publics de communications dans l’Union en ce qui concerne les aspects pour lesquels elles sont soumises à des obligations spécifiques ayant le même objectif énoncées dans la [directive 2002/58]. »
3. La directive 2002/58
23. Le considérant 17 de la directive 2002/58 dispose :
« Aux fins de la présente directive, le consentement d’un utilisateur ou d’un abonné, que ce dernier soit une personne physique ou morale, devrait avoir le même sens que le consentement de la personne concernée tel que défini et précisé davantage par la [directive 95/46]. Le consentement peut être donné selon toute modalité appropriée permettant à l’utilisateur d’indiquer ses souhaits librement, de manière spécifique et informée, y compris en cochant une case lorsqu’il visite un site Internet. »
24. Sauf disposition contraire, les définitions figurant dans la directive 95/46 ( 4 ) et dans la directive 2002/21/CE du Parlement européen et du Conseil, du 7 mars 2002, relative à un cadre réglementaire commun pour les réseaux et services de communications électroniques (directive « cadre ») ( 5 ) s’appliquent aux fins de la directive 2002/58. L’article 2, sous f), de la directive 2002/58 définit le « consentement » d’un utilisateur ou d’un abonné comme correspondant au « consentement de la
personne concernée » figurant dans la directive 95/46. Il s’ensuit que, aux fins de la directive 2002/58, la définition du consentement est identique à celle énoncée à l’article 4, point 11, du RGPD, dont le libellé est cité au point 14 des présentes conclusions.
25. L’article 12, paragraphes 2 et 3, de la directive 2002/58 dispose :
« 2. Les États membres veillent à ce que les abonnés aient la possibilité de décider si les données à caractère personnel les concernant, et lesquelles de ces données, doivent figurer dans un annuaire public, dans la mesure où ces données sont pertinentes par rapport à la fonction de l’annuaire en question telle qu’elle a été établie par le fournisseur de l’annuaire. Ils font également en sorte que les abonnés puissent vérifier, corriger ou supprimer ces données. La non‑inscription dans un
annuaire public d’abonnés, la vérification, la correction ou la suppression de données à caractère personnel dans un tel annuaire est gratuite.
3. Les États membres peuvent demander que le consentement des abonnés soit également requis pour toute finalité d’annuaire public autre que la simple recherche des coordonnées d’une personne sur la base de son nom et, au besoin, d’un nombre limité d’autres paramètres. »
B. Le droit belge
26. La wet betreffende de elektronische communicatie (loi relative aux communications électroniques) ( 6 ), du 13 juin 2005, transpose notamment la directive 2002/58 en droit belge. L’article 133, paragraphe 1, de cette loi transpose l’article 12, paragraphe 2, de la directive 2002/58. Les autres dispositions de la loi relative aux communications électroniques qui sont pertinentes aux fins des réponses proposées aux questions déférées par la juridiction de renvoi sont mentionnées ci-après.
IV. La procédure juridictionnelle nationale et la procédure devant la Cour
27. Il semble pertinent, aux fins du renvoi préjudiciel devant la Cour, de relever que, le 30 juillet 2020, la chambre contentieuse a ordonné à Proximus : i) de prendre des mesures immédiates et appropriées pour donner suite au retrait du consentement du plaignant et de se conformer, ce faisant, aux exigences relatives au traitement des données à caractère personnel imposées par le RGPD ; ii) de faire droit à la demande du plaignant d’exercer son « droit à l’oubli », et, iii) de cesser le traitement
illicite de données par lequel elle transmet des données à caractère personnel à des fournisseurs tiers d’annuaires. Elle a par ailleurs reproché à Proximus d’avoir enfreint l’article 24 du RGPD. La chambre contentieuse a infligé à Proximus une amende de 20000 euros pour violation des articles 6, 7 et 12 du RGPD (la « décision attaquée »).
28. Proximus a formé un recours contre la décision attaquée devant le hof van beroep te Brussel (cour d’appel de Bruxelles), qui a posé à la Cour les questions préjudicielles suivantes :
« 1) Convient-il d’interpréter l’article 12, paragraphe 2, de la [directive 2002/58], lu en combinaison avec l’article 2, sous f), de cette directive et avec l’article 95 du [RGPD], en ce sens qu’il permet à une autorité de contrôle nationale d’exiger le “consentement” d’un abonné, au sens du [RGPD], pour la publication de ses données à caractère personnel dans les annuaires et services de renseignements téléphoniques accessibles au public, tant ceux de l’opérateur lui-même que ceux des
fournisseurs tiers, en l’absence de législation nationale contraire ?
2) Convient-il d’interpréter le droit à l’effacement prévu à l’article 17 du [RGPD] en ce sens qu’il s’oppose à ce que la demande de retrait des annuaires et services de renseignements téléphoniques accessibles au public formulée par un abonné soit qualifiée par une autorité de contrôle nationale de demande d’effacement au sens de l’article 17 du [RGPD] ?
3) Convient-il d’interpréter l’article 24 et l’article 5, paragraphe 2, du [RGPD] en ce sens qu’ils s’opposent à ce qu’une autorité de contrôle nationale déduise de l’obligation de responsabilité qui y est inscrite que le responsable du traitement doit prendre les mesures techniques et organisationnelles appropriées pour informer les responsables du traitement tiers – à savoir, le fournisseur de services téléphoniques et les autres fournisseurs d’annuaires et de services de renseignements
téléphoniques auxquels il a fourni des données de ce responsable du traitement – du retrait du consentement de la personne concernée, conformément à l’article 6, lu en combinaison avec l’article 7, du [RGPD] ?
4) Convient-il d’interpréter l’article 17, paragraphe 2, du [RGPD] en ce sens qu’il s’oppose à ce qu’une autorité de contrôle nationale ordonne à un fournisseur d’annuaires et de services de renseignements téléphoniques accessibles au public, auquel il est demandé de ne plus publier les données d’une personne, de prendre des mesures raisonnables afin d’informer les fournisseurs de moteurs de recherche de cette demande d’effacement des données ? »
29. Proximus, l’APD, les gouvernements italien, letton, portugais et roumain, ainsi que la Commission européenne, ont déposé des observations écrites.
30. Lors de l’audience du 9 février 2022, Proximus, l’APD et la Commission ont été entendues en leurs plaidoiries et en leurs réponses aux questions de la Cour.
V. Analyse
A. Sur la recevabilité des questions préjudicielles
31. À titre liminaire, Proximus fait valoir que la partie de la première question qui se rapporte aux obligations des opérateurs de télécommunications, par opposition à celles imposées aux fournisseurs d’annuaires, ainsi que les deuxième et quatrième questions sont hypothétiques et/ou dénuées de pertinence aux fins de l’appréciation des questions devant être tranchées par la juridiction de renvoi, de sorte qu’elles sont irrecevables.
32. En vertu d’une jurisprudence constante de la Cour, dans le cadre de la procédure instituée par l’article 267 TFUE, il appartient au seul juge national, qui est saisi du litige et qui doit assumer la responsabilité de la décision juridictionnelle à intervenir, d’apprécier, au regard des particularités de l’affaire, tant la nécessité d’une décision préjudicielle pour être en mesure de rendre son jugement que la pertinence des questions qu’il pose à la Cour. En conséquence, dès lors que les
questions posées portent sur l’interprétation du droit de l’Union, la Cour est, en principe, tenue de statuer ( 7 ).
33. Néanmoins, le refus de statuer sur une question préjudicielle posée par une juridiction nationale est possible lorsqu’il apparaît de manière manifeste que l’interprétation du droit de l’Union sollicitée n’a aucun rapport avec la réalité ou l’objet du litige au principal, lorsque le problème est de nature hypothétique ou encore lorsque la Cour ne dispose pas des éléments de fait et de droit nécessaires pour répondre de façon utile aux questions qui lui sont posées ( 8 ).
34. Pour pouvoir répondre aux observations de Proximus sur l’irrecevabilité, je me propose d’exposer les principaux arguments développés par les parties devant la Cour afin de déterminer si les quatre questions préjudicielles sont à ce point éloignées de l’objet du litige dont la juridiction de renvoi est saisie qu’elles n’ont aucun rapport avec les faits ou l’objet de la procédure au principal, de sorte qu’elles sont en tout ou partie irrecevables.
35. Proximus considère qu’elle n’a pas l’obligation d’obtenir le consentement du plaignant pour inclure ses coordonnées dans ses annuaires ni de lui donner la possibilité de décider si ses données à caractère personnel doivent figurer dans ceux-ci. Selon Proximus, il s’agit de questions qui relèvent de la responsabilité de l’opérateur de télécommunications (en l’occurrence Telenet). C’est la raison pour laquelle le plaignant aurait dû adresser à Telenet sa demande de retrait de ses coordonnées des
annuaires de Proximus. À titre subsidiaire, Proximus considère que les dispositions du RGPD relatives au « droit à l’oubli » ne sont pas pertinentes, car la suppression des coordonnées consiste à modifier le code inscrit dans le dossier de la personne concernée en remplaçant « NNNNN » par « XXXXX ». Il s’agirait non pas d’un effacement, mais d’une rectification des données. Il serait également déraisonnable d’exiger de Proximus qu’elle informe les fournisseurs de moteurs de recherche de la
demande du plaignant, dans la mesure où il est difficile d’établir avec certitude si ces derniers ont obtenu les coordonnées du plaignant auprès de Proximus ou auprès d’un autre fournisseur d’annuaires.
36. L’APD est d’avis que la publication des coordonnées du plaignant dans des annuaires nécessitait le consentement préalable de ce dernier. Le plaignant ayant informé Proximus qu’il ne souhaitait plus que ses coordonnées soient publiées, leur maintien dans tous ces annuaires est devenu illégal. La demande du plaignant portait sur le retrait de son consentement et sur l’exercice de son « droit à l’oubli », au sens de l’article 17 du RGPD. L’article 17, paragraphe 2, du RGPD obligeait Proximus à
informer les fournisseurs de moteurs de recherche de cette demande. L’article 5, paragraphe 2, et l’article 24 du RGPD habilitent également l’APD à exiger de Proximus qu’elle informe l’opérateur de télécommunications et les autres fournisseurs d’annuaires de cette demande.
37. Les observations du gouvernement italien et de la Commission suivent dans les grandes lignes le raisonnement défendu par l’APD. Si les observations des gouvernements letton, portugais et roumain adoptent une approche similaire, elles comportent également les réserves suivantes. Le gouvernement letton relève l’absence de base juridique permettant d’exiger de chaque fournisseur d’annuaires qu’il obtienne un consentement distinct : différents fournisseurs, qui utilisent des données pour la même
finalité, doivent pouvoir se prévaloir d’un seul et unique consentement exprimé par la personne concernée. Le gouvernement roumain estime que l’article 5, paragraphe 2, et l’article 24 du RGPD ne sauraient être invoqués de la manière préconisée par l’APD, en ce que ces dispositions n’imposent pas aux responsables du traitement l’obligation d’engager un dialogue avec d’autres responsables du traitement. Pour le gouvernement portugais, l’obligation imposée au responsable du traitement d’informer
les tiers, y compris les fournisseurs de moteurs de recherche, des demandes d’effacement de données découle de l’article 19 du RGPD, et non de l’article 17, paragraphe 2, de ce règlement.
38. Au vu de ce bref résumé des principaux arguments invoqués par les parties devant la Cour, je suis convaincu que les quatre questions posées par la juridiction de renvoi sont toutes pertinentes au regard de l’objet du litige dont cette dernière est saisie et sont si étroitement liées qu’aucune partie d’entre elles ne peut être considérée comme étant irrecevable. Par conséquent, je propose à la Cour de rejeter les objections de Proximus quant à la recevabilité des questions préjudicielles.
B. Sur le fond
1. Sur la première question
39. Par sa première question, la juridiction de renvoi demande, en substance, si, en vertu de l’article 12, paragraphe 2, de la directive 2002/58, lu en combinaison avec l’article 2, sous f), de celle-ci et l’article 95 du RGPD, le consentement d’un abonné, tel que défini par le RGPD, est nécessaire pour que ses coordonnées puissent figurer dans des annuaires publiés par un opérateur de télécommunications et/ou d’autres fournisseurs d’annuaires.
40. L’article 12, paragraphe 2, de la directive 2002/58 exige que les abonnés aient la possibilité de décider si les données à caractère personnel les concernant doivent figurer dans un annuaire public. Il découle implicitement de cette exigence une obligation corrélative d’accorder aux abonnés l’opportunité de choisir expressément s’ils acceptent que les données à caractère personnel les concernant figurent dans de tels annuaires. L’article 12, paragraphe 3, de la directive 2002/58 prévoit en outre
qu’un « consentement supplémentaire » peut être demandé aux abonnés pour toute finalité d’annuaire public autre que la simple recherche des coordonnées d’une personne sur la base de son nom ( 9 ). La référence à un consentement supplémentaire, à l’article 12, paragraphe 3, implique également que l’article 12, paragraphe 2, exige que l’abonné ait, en premier lieu, exprimé son consentement à une telle publication.
41. Ainsi que je l’ai relevé aux points 23 et 24 des présentes conclusions, en vertu de l’article 2, sous f), de la directive 2002/58, l’on entend par « consentement » toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement.
42. La référence à un « acte positif » dans la définition du consentement aux fins de la directive 2002/58 constitue une indication supplémentaire que les abonnés doivent avoir la possibilité de donner leur accord exprès à la publication de leurs données à caractère personnel dans un annuaire public. Contrairement à ce que soutient Proximus, les fournisseurs d’annuaires ne sauraient présumer l’existence par défaut d’un consentement de l’abonné à la publication de ses coordonnées dans un annuaire
public, ou de ce qui pourrait être qualifié de système de consentement tacite.
43. Par ailleurs, la Cour a jugé qu’il ressort d’une interprétation contextuelle et systématique de l’article 12 de la directive 2002/58 que le consentement au titre du paragraphe 2 de cet article porte sur la finalité de la publication des données à caractère personnel dans un annuaire public et non sur l’identité d’un fournisseur d’annuaires en particulier. Le consentement prévu à ce paragraphe 2 s’applique ainsi à tout traitement ultérieur desdites données par des entreprises tierces actives sur
le marché des services de renseignements téléphoniques accessibles au public et de fourniture d’annuaires, pour autant que de tels traitements poursuivent cette même finalité ( 10 ).
44. Il s’ensuit que le consentement de l’abonné, tel que défini à l’article 4, point 11, du RGPD, est nécessaire pour que les données à caractère personnel le concernant puissent figurer dans des annuaires publiés par l’opérateur de télécommunications et/ou des fournisseurs tiers d’annuaires. Lorsque cette publication poursuit la même finalité, l’opérateur de télécommunications et/ou le(s) fournisseur(s) tiers peuvent se fonder sur le même consentement.
45. J’ajouterai que, en vertu de l’article 7, paragraphe 1, du RGPD, dans les cas où le traitement repose sur le consentement, le responsable du traitement doit être en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant. Un fournisseur d’annuaires tel que Proximus ne saurait présumer qu’un abonné a donné son consentement, même s’il peut se prévaloir du consentement que l’abonné a fourni à un autre responsable du
traitement.
46. Proximus invoque les considérants 38 et 39 de la directive 2002/58 pour démontrer que toute obligation i) d’informer les abonnés des fins auxquelles sont établis les annuaires dans lesquels les données personnelles les concernant doivent être publiées, et ii) de donner la possibilité aux abonnés de décider si leurs données personnelles peuvent figurer dans un annuaire, incombe uniquement à l’opérateur de télécommunications auprès duquel l’abonné a souscrit un contrat. Le libellé desdits
considérants n’étaye pas cet argument. Le considérant 38 fait référence à l’obligation des « fournisseurs d’annuaires publics » d’« informe[r] les abonnés qui figureront dans ces annuaires des fins auxquelles ceux-ci sont établis ». Le considérant 39 précise que « [c]’est à la partie qui collecte des données à caractère personnel auprès d’abonnés que devrait incomber l’obligation d’informer ceux-ci des fins auxquelles sont établis des annuaires publics comportant des données personnelles les
concernant ».
47. Étant donné que Telenet ne publie pas d’annuaires, aucun de ces considérants ne lui est applicable. Si un opérateur de télécommunications peut obtenir le consentement de ses abonnés aux fins de la publication de leurs données dans des annuaires fournis par des tiers, ces tiers pouvant ensuite faire valoir, et être en mesure de démontrer, qu’un tel consentement a été fourni à l’opérateur de télécommunications, lesdits considérants n’impliquent pas que seuls les opérateurs de télécommunications
sont tenus d’obtenir ce consentement, et n’exonèrent donc pas les fournisseurs tiers d’annuaires de leurs obligations et de leur responsabilité à cet égard.
48. Enfin, dès lors que la directive 2002/58 reprend expressément la définition du consentement adoptée dans le RGPD, l’argumentation développée par Proximus au sujet de l’interprétation de l’article 95 du RGPD et de l’articulation entre le RGPD et la directive 2002/58, qu’elle a qualifiée de relation « lex generalis/lex specialis », est dénuée de pertinence.
49. Je propose dès lors à la Cour de répondre à la première question que, en vertu de l’article 12, paragraphe 2, de la directive 2002/58, lu en combinaison avec l’article 2, sous f), de celle-ci et l’article 95 du RGPD, le « consentement » d’un abonné, au sens de l’article 4, point 11, du RGPD, est exigé pour que ses coordonnées puissent être incluses dans des annuaires publiés par un opérateur de télécommunications ou par d’autres fournisseurs d’annuaires.
2. Sur la deuxième question
50. Par sa deuxième question, la juridiction de renvoi cherche à savoir si la demande d’un abonné tendant au retrait de ses données des annuaires constitue un exercice du « droit à l’effacement » instauré à l’article 17 du RGPD.
51. Proximus fait valoir qu’un fournisseur tiers d’annuaires n’a pas l’obligation de donner suite à la demande d’un abonné tendant à ce que ses données soient retirées des annuaires, car l’article 17 du RGPD ne s’applique pas à ce tiers. L’abonné aurait dû adresser sa demande à l’opérateur de télécommunications avec lequel il a conclu un contrat. Proximus affirme à nouveau que l’articulation entre le RGPD et la directive 2002/58 peut être qualifiée de relation « lex generalis/lex specialis ».
52. À titre subsidiaire, Proximus soutient que la demande du plaignant de « ne pas faire figurer [son] numéro de téléphone [...] sur 1207.be » constitue une demande de rectification au sens de l’article 16 du RGPD, et non une demande d’effacement au titre de l’article 17 du RGPD, puisque le code pertinent inscrit dans le dossier de l’abonné est simplement modifié, « NNNNN » étant remplacé par « XXXXX ».
53. L’article 12, paragraphe 2, de la directive 2002/58 exige que les abonnés aient la possibilité de « corriger ou supprimer » les données à caractère personnel dont ils ont consenti à ce qu’elles figurent dans des annuaires. La directive 2002/58 ne définit pas les termes « corriger ou supprimer ». Il convient donc de tenir compte du sens habituel de ces termes dans le contexte dans lequel ils s’inscrivent, à savoir la publication des coordonnées des abonnés dans des annuaires. Le verbe
« corriger » vise clairement les situations dans lesquelles l’abonné souhaite modifier la manière dont ses coordonnées figurent dans un annuaire, en rectifiant, par exemple, l’orthographe d’un nom ou une erreur dans une adresse. Cette situation diffère de celle qui prévaut en l’espèce, où le plaignant demande que ses coordonnées ne figurent plus dans des annuaires publics. Le verbe « supprimer » peut signifier « enlever », « retirer » ou « faire disparaître ». Il y a lieu de considérer qu’en ne
consentant plus à ce que ses données soient traitées par le biais de leur publication dans des annuaires, le plaignant a demandé la suppression de ses données à caractère personnel, au sens de l’article 12, paragraphe 2, de la directive 2002/58.
54. Ainsi que le relève le gouvernement letton, la directive 2002/58 ne contient pas d’autres indications quant aux modalités, à la mise en œuvre et aux conséquences des demandes de « retrait » des données à caractère personnel. Les dispositions du RGPD s’appliquent donc directement, de sorte que l’argument de Proximus tiré de la relation « lex generalis/lex specialis » qui lie les deux actes perd toute logique. En vertu de l’article 7, paragraphe 3, du RGPD, un abonné a le droit de retirer son
consentement à tout moment. Une fois ce consentement retiré, l’article 6, paragraphe 1, sous a), du RGPD prévoit que le traitement des données de l’abonné pour la finalité spécifique d’annuaires publics cesse d’être licite. Cette illicéité déclenche, à son tour, l’application de l’article 17 du RGPD.
55. Proximus soutient que cette interprétation ne saurait être correcte dès lors qu’elle lui imposerait, de même qu’à Telenet, l’obligation de supprimer le dossier du plaignant de l’ensemble de leurs bases de données. L’APD et les autres parties ayant déposé des observations devant la Cour sont d’avis que la demande du plaignant se limite au retrait de ses données des annuaires et ne s’étend pas à leur effacement de la base de données des abonnés de Telenet.
56. Le plaignant cherche à empêcher que ses données soient traitées pour des finalités liées aux annuaires téléphoniques. L’article 17, paragraphe 1, sous b), du RGPD, qui autorise le retrait du consentement sur lequel le traitement est fondé, facilite la mise en œuvre de sa volonté. Le consentement à obtenir de l’abonné en vertu de l’article 12, paragraphe 2, de la directive 2002/58 porte sur le traitement des données selon une modalité spécifique, à savoir la publication dans des annuaires. Une
fois ce consentement retiré, cette modalité particulière de traitement des données de l’abonné devient illicite. Dans le cas contraire, un abonné ne pourrait pas retirer son consentement à la publication de ses données dans des annuaires sans résilier simultanément son contrat de fourniture de services de télécommunications.
57. Je propose en conséquence à la Cour de répondre à la deuxième question que la demande d’un abonné tendant au retrait de ses données des annuaires constitue un exercice du « droit à l’effacement » prévu à l’article 17 du RGPD.
3. Sur la troisième question
58. Par sa troisième question, la juridiction de renvoi cherche, en substance, à savoir si, en vertu de l’article 5, paragraphe 2, et de l’article 24 du RGPD, une autorité de contrôle nationale peut conclure que le responsable du traitement doit prendre les mesures techniques et organisationnelles appropriées pour informer les responsables du traitement tiers, à savoir l’opérateur de télécommunications et d’autres fournisseurs d’annuaires auxquels il a fourni des données, du retrait du consentement
de la personne concernée, conformément à l’article 6, lu en combinaison avec l’article 7, du RGPD.
59. Dans le cadre de cette question, le « responsable du traitement » est Proximus et les « responsables du traitement tiers » sont : i) l’opérateur de télécommunications, Telenet, auprès de qui le plaignant a souscrit un abonnement téléphonique, et ii) le(s) fournisseur(s) d’annuaires au(x)quel(s) Proximus fournit les coordonnées de ses abonnés, y compris celles que Telenet lui a communiquées.
60. Étant donné que l’opérateur de télécommunications ne fournit pas d’annuaires et que le consentement des abonnés est nécessaire pour que leurs coordonnées puissent être publiées dans des annuaires, se pose la question de savoir pourquoi il serait pertinent d’informer l’opérateur de télécommunications du retrait par l’abonné de son consentement à l’utilisation de ses données à cette fin.
61. La loi relative aux communications électroniques impose aux opérateurs de télécommunications de transmettre les coordonnées de leurs abonnés aux fournisseurs d’annuaires ( 11 ). Ils doivent toutefois « isoler » les données relatives aux abonnés qui ont demandé à ne pas figurer dans un annuaire, de manière à ce que ces abonnés puissent tout de même recevoir une copie de cet annuaire ( 12 ). Comme je l’ai expliqué au point 4 des présentes conclusions, le retrait du consentement est exécuté au
moyen d’une modification des codes figurant dans le dossier de l’abonné. Proximus actualise sa base de données dès qu’un retrait de consentement lui est adressé. Cette mise à jour est toutefois écrasée lorsque l’opérateur de télécommunications fournit à Proximus un autre ensemble de données relatives aux abonnés, aux fins de leur publication dans des annuaires, et qu’il n’a pas été informé que l’abonné a demandé que ses données ne figurent pas dans un annuaire public. Par conséquent, Proximus
doit non seulement mettre à jour sa propre base de données pour tenir compte du retrait de son consentement par l’abonné, mais également informer l’opérateur de télécommunications de ce retrait.
62. Pour cette raison, Proximus soutient qu’elle n’est qu’un simple « destinataire auquel les données à caractère personnel ont été communiquées », au sens de l’article 19 du RGPD, de sorte que l’obligation incombant aux responsables du traitement de prendre des mesures raisonnables pour communiquer les demandes d’effacement aux autres responsables du traitement, prévue à l’article 17, paragraphe 2, du RGPD, ne lui est pas applicable. Il s’ensuit, selon Proximus, qu’il est erroné d’interpréter
l’article 5, paragraphe 2, et l’article 24 du RGPD en ce sens que ces dispositions lui imposent d’informer l’opérateur de télécommunications et les autres fournisseurs d’annuaires des demandes d’effacement qui lui sont adressées.
63. Il me semble difficile d’admettre que Proximus soit un simple destinataire de données à caractère personnel. Certes, il est possible qu’elle ait reçu de Telenet les coordonnées du plaignant, mais la publication de ces données dans ses annuaires n’en constitue pas moins un traitement de données, selon la définition de l’article 4, point 2, du RGPD. Dans ce contexte, Proximus agit en tant que responsable du traitement, au sens de l’article 4, point 7, du RGPD ( 13 ). En vertu de l’article 5,
paragraphe 2, et de l’article 24 du RGPD, les responsables du traitement sont soumis à une obligation de responsabilité et sont tenus de prendre des mesures appropriées pour s’assurer que le traitement des données est effectué conformément au RGPD.
64. L’article 5, paragraphe 1, sous a), du RGPD prévoit que les données à caractère personnel doivent être traitées de manière licite. Aux termes de l’article 6, paragraphe 1, sous a), de ce règlement, le traitement n’est licite que si, et dans la mesure où, la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques. Il ressort de la décision de renvoi que le plaignant a retiré son consentement, au sens de l’article 7 du RGPD, au
traitement de ses données à caractère personnel aux fins de leur publication dans des annuaires. Un tel traitement, y compris celui qui est effectué par d’autres fournisseurs d’annuaires pour la même finalité, est contraire au RGPD. Il est donc illicite.
65. Au regard de cette conclusion et des exigences en matière d’information visées à l’article 17, paragraphe 2, et à l’article 19 du RGPD, il est logique de considérer qu’une autorité de contrôle nationale peut déduire de l’obligation de responsabilité prévue à l’article 5, paragraphe 2, du RGPD et de l’obligation de s’assurer et d’être en mesure de démontrer que le traitement est effectué conformément à ce règlement, imposée par l’article 24 du RGPD, que le responsable du traitement doit mettre en
œuvre des mesures techniques et organisationnelles appropriées pour informer les responsables du traitement tiers, à savoir l’opérateur de services de télécommunications et d’autres fournisseurs d’annuaires auxquels il a fourni des données, du retrait du consentement de la personne concernée conformément à l’article 6, lu en combinaison avec l’article 7, du RGPD.
66. Le gouvernement roumain relève que l’article 17, paragraphe 2, du RGPD contient les exigences en matière d’information qui s’imposent aux fournisseurs de moteurs de recherche lorsqu’un abonné demande l’effacement de ses données. Il serait donc inapproprié pour une autorité de contrôle nationale de se fonder sur l’article 5, paragraphe 2, et l’article 24 du RGPD, dans la mesure, notamment, où ces dispositions ne contiennent pas d’obligations spécifiques relatives à la communication d’informations
à des tiers.
67. Je suis d’avis que l’article 5, paragraphe 2, et l’article 24 du RGPD imposent des obligations générales de responsabilité et de conformité aux responsables du traitement. Leur formulation et leur champ d’application étendus permettent de soutenir une autorité de contrôle nationale qui cherche à imposer aux responsables du traitement des exigences en matière d’information à l’égard des tiers. Il est vrai que l’article 17, paragraphe 2, et l’article 19 du RGPD fixent des obligations spécifiques
en matière d’information à l’égard, respectivement, des « responsables du traitement » (en ce qui concerne les données ayant été rendues publiques et dont l’effacement a été demandé) et des « destinataires ». En revanche, ces dispositions ne couvrent pas le présent cas de figure, dans lequel, en raison de l’interaction des bases de données des différentes parties concernées, il s’avère nécessaire d’informer l’opérateur de télécommunications du retrait du consentement, sans lequel Proximus ainsi
que les fournisseurs utilisant les données relatives aux abonnés qui leur ont été fournies par cette dernière finissent par traiter les données en cause de manière illicite.
68. Cette interprétation du RGPD conduit à ce qu’un abonné puisse communiquer le retrait de son consentement (en l’occurrence une demande visant à ce que ses coordonnées ne figurent pas dans des annuaires) à toute entité qui publie lesdites coordonnées dans des annuaires ou à toute entité (y compris l’opérateur de télécommunications) qui les communique à d’autres entités pour la même finalité. L’entité à qui l’abonné choisit de s’adresser devient responsable de la transmission de sa demande
d’effacement à d’autres responsables du traitement, dans la mesure de ce qui est nécessaire pour éviter un traitement illicite de ces données. Une telle interprétation est conforme à l’obligation que l’article 12, paragraphe 2, du RGPD impose aux responsables du traitement de faciliter l’exercice des droits conférés à la personne concernée au titre des articles 15 à 22 du RGPD. Elle prend également en compte l’exigence énoncée à l’article 7, paragraphe 3, dernière phrase, du RGPD, selon laquelle
il doit être aussi simple de retirer que de donner son consentement au traitement des données à caractère personnel. Puisqu’un fournisseur d’annuaires peut se prévaloir du consentement au traitement de données qu’un abonné a accordé pour cette finalité à un autre fournisseur, il s’ensuit que, pour retirer son consentement, l’abonné doit pouvoir s’adresser à l’un quelconque des fournisseurs d’annuaires ou à l’opérateur de télécommunications afin d’obtenir le retrait de ses coordonnées des
annuaires publiés par l’ensemble de ceux qui se sont fondés sur l’expression unique de son consentement.
69. Je propose dès lors de répondre à la troisième question que, en vertu de l’article 5, paragraphe 2, et de l’article 24 du RGPD, une autorité de contrôle nationale peut conclure que le responsable du traitement doit prendre les mesures techniques et organisationnelles appropriées pour informer les responsables du traitement tiers, à savoir l’opérateur de télécommunications et d’autres fournisseurs d’annuaires auxquels il a fourni des données, du retrait du consentement de la personne concernée,
conformément à l’article 6, lu en combinaison avec l’article 7, du RGPD.
4. Sur la quatrième question
70. Par sa quatrième question, la juridiction de renvoi demande, en substance, si l’article 17, paragraphe 2, du RGPD s’oppose à ce qu’une autorité de contrôle nationale ordonne à un fournisseur d’annuaires d’informer les fournisseurs de moteurs de recherche des demandes d’effacement qu’il a reçues.
71. Il ressort implicitement de cette question que la juridiction de renvoi considère que le plaignant ne souhaitait plus que ses coordonnées soient accessibles au public sur Internet par l’intermédiaire des moteurs de recherche.
72. Ainsi que je l’ai relevé au point 62 des présentes conclusions, Proximus estime que l’article 17, paragraphe 2, du RGPD ne lui est pas applicable, dans la mesure où elle n’est qu’un simple destinataire de données à caractère personnel. À titre subsidiaire, Proximus fait valoir que, en vertu de l’article 17, paragraphe 2, du RGPD, elle est tenue de prendre uniquement des mesures raisonnables pour informer les responsables du traitement que la personne concernée a demandé l’effacement de ses
données ( 14 ). En l’absence de transmission directe de données par Proximus aux fournisseurs de moteurs de recherche, il est difficile d’établir « avec une certitude à 100 % » si ces moteurs de recherche ont obtenu les coordonnées du plaignant auprès de Proximus, dès lors que celles-ci peuvent leur avoir été fournies par un autre fournisseur d’annuaires. Dans ces conditions, il serait déraisonnable d’attendre de Proximus qu’elle contacte directement les fournisseurs de moteurs de recherche dès
réception de la demande du plaignant.
73. Il découle de la réponse que je propose d’apporter à la deuxième question préjudicielle que la demande d’un abonné tendant au retrait de ses données des annuaires déclenche l’application de l’obligation prévue à l’article 17, paragraphe 2, du RGPD, laquelle impose au responsable du traitement de prendre uniquement des mesures raisonnables pour informer les responsables qui traitent des données à caractère personnel que la personne concernée a demandé l’effacement de tout lien vers ces données à
caractère personnel, ou de toute copie ou reproduction de celles-ci.
74. La question se pose alors de savoir si les fournisseurs de moteurs de recherche sont des responsables du traitement. L’indexation et la mise à disposition des utilisateurs d’Internet de données à caractère personnel dans une liste de résultats de recherche constituent un traitement de données à caractère personnel, tel que défini à l’article 4, point 2, du RGPD. Étant donné que les fournisseurs de moteurs de recherche décident des modalités d’indexation de ces données et sont responsables du
développement de l’algorithme qui fixe l’ordre dans lequel apparaissent les résultats de la recherche, ils déterminent les finalités et les moyens du traitement des données à caractère personnel et agissent, de ce fait, en qualité de responsables du traitement, au sens de l’article 4, point 7, du RGPD ( 15 ).
75. Il reste dès lors à évoquer l’obligation qu’a Proximus de prendre uniquement des mesures raisonnables, y compris techniques, pour informer les fournisseurs de moteurs de recherche d’une demande d’effacement de données.
76. Afin d’apprécier le caractère raisonnable des mesures prises, l’article 17, paragraphe 2, du RGPD prévoit que la technologie disponible et les coûts de mise en œuvre doivent être pris en compte, cette appréciation incombant principalement à l’autorité compétente en la matière et pouvant faire l’objet d’un contrôle juridictionnel. Au point 10 des présentes conclusions, j’ai relevé que Proximus a indiqué au plaignant qu’elle informerait Google de sa demande d’effacement. Dans ses observations
devant la Cour, l’APD a indiqué que, au deuxième trimestre de l’année 2020, le nombre de fournisseurs de moteurs de recherche qui opèrent en Belgique était limité, avec une domination de Google, qui détenait une part de marché comprise entre 90 % (pour les recherches sur ordinateurs de bureau) et 99 % (pour les recherches sur smartphones et tablettes) ( 16 ). Pour cette seule raison, il apparaît injustifié de conclure qu’il serait déraisonnable d’exiger de Proximus qu’elle informe les
fournisseurs de moteurs de recherche des demandes d’effacement de cette nature qui lui sont adressées.
77. En tout état de cause, je ne suis pas convaincu qu’aux fins de l’appréciation du caractère « raisonnable », au sens de l’article 17, paragraphe 2, du RGPD, des mesures que Proximus doit prendre pour informer un fournisseur de moteur de recherche déterminé, il convienne de se demander s’il était « certain à 100 % » que le fournisseur de moteur de recherche en cause a obtenu les données à effacer auprès de Proximus. Je ne suis pas non plus séduit par l’argument selon lequel il serait déraisonnable
d’exiger de Proximus qu’elle prenne des mesures aux fins de se conformer à l’article 17, paragraphe 2, du RGPD, en alléguant qu’il n’est pas « certain à 100 % » qu’elle ait transmis les coordonnées du plaignant aux fournisseurs de moteurs de recherche.
78. Permettre aux responsables du traitement d’échapper à la responsabilité du traitement de données à caractère personnel au motif qu’ils pourraient ne pas avoir fourni les données en cause priverait d’efficacité toute obligation en la matière dans les nombreux cas où des données sont accessibles par des liens ou sont copiées sur Internet. Une telle approche pourrait même, de façon perverse, inciter les responsables du traitement à diffuser largement des données pour se soustraire à cette
obligation. Par ailleurs, si l’on mène l’argument de Proximus jusqu’à sa conclusion logique, aucun fournisseur d’annuaires n’aurait la responsabilité de se conformer à l’article 17, paragraphe 2, du RGPD en informant les fournisseurs de moteurs de recherche de la demande du plaignant, dès lors que ces fournisseurs pourraient tous invoquer la moindre incertitude quant à l’origine des données. En outre, Telenet ne publiant pas d’annuaires, les fournisseurs de moteurs de recherche ne peuvent pas
avoir obtenu les données en cause auprès de l’opérateur de télécommunications. Il s’ensuit qu’il reviendrait à l’abonné de trouver où ses coordonnées sont disponibles et d’adresser des demandes d’effacement à chaque entité qui les publie. Une telle approche serait manifestement incompatible avec l’article 7, paragraphe 3, du RGPD, qui prévoit qu’il doit être aussi simple de retirer que de donner son consentement.
79. Je propose dès lors à la Cour de répondre à la quatrième question que l’article 17, paragraphe 2, du RGPD ne s’oppose pas à ce qu’une autorité de contrôle nationale ordonne à un fournisseur d’annuaires d’informer les fournisseurs de moteurs de recherche des demandes d’effacement qui lui sont adressées.
VI. Conclusion
80. Au vu des considérations qui précèdent, j’invite la Cour à répondre en ces termes aux questions posées à titre préjudiciel par le hof van beroep te Brussel (cour d’appel de Bruxelles, Belgique) :
1) En vertu de l’article 12, paragraphe 2, de la directive 2002/58/CE du Parlement européen et du Conseil, du 12 juillet 2002, concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques), telle que modifiée en dernier lieu par la directive 2009/136/CE du Parlement européen et du Conseil, du 25 novembre 2009, lu en combinaison avec l’article 2, sous f), de cette
directive et l’article 95 du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), le « consentement » d’un abonné, au sens de l’article 4, point 11, du règlement 2016/679, est exigé pour l’inclusion de ses coordonnées dans des annuaires
publiés par un opérateur de télécommunications et/ou par d’autres fournisseurs d’annuaires.
2) La demande d’un abonné tendant au retrait de ses données des annuaires constitue un exercice du « droit à l’effacement » prévu à l’article 17 du règlement 2016/679.
3) En vertu de l’article 5, paragraphe 2, et de l’article 24 du règlement 2016/679, une autorité de contrôle nationale peut conclure que le responsable du traitement doit prendre les mesures techniques et organisationnelles appropriées pour informer les responsables du traitement tiers, à savoir l’opérateur de télécommunications et d’autres fournisseurs d’annuaires auxquels il a fourni des données, du retrait du consentement de la personne concernée, conformément à l’article 6 de ce règlement,
lu en combinaison avec l’article 7 dudit règlement.
4) L’article 17, paragraphe 2, du règlement 2016/679 ne s’oppose pas à ce qu’une autorité de contrôle nationale ordonne à un fournisseur d’annuaires d’informer les fournisseurs de moteurs de recherche des demandes d’effacement qui lui sont adressées.
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
( 1 ) Langue originale : l’anglais.
( 2 ) JO 2016, L 119, p. 1, ci-après le « RGPD ». Le RGPD a abrogé et remplacé la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO 1995, L 281, p. 31).
( 3 ) JO 2002, L 201, p. 37, telle que modifiée en dernier lieu par la directive 2009/136/CE du Parlement européen et du Conseil, du 25 novembre 2009 (JO 2009, L 337, p. 11) (ci-après la « directive 2002/58 »).
( 4 ) L’article 94 du RGPD a abrogé et remplacé la directive 95/46. L’article 94, paragraphe 2, du RGPD prévoit que les références faites à la directive 95/46 doivent s’entendre comme faites au RGPD.
( 5 ) JO 2002, L 108, p. 33. Voir article 2 de la directive 2002/58.
( 6 ) Belgisch Staatsblad, 20 juin 2005, p. 28070.
( 7 ) Arrêts du 1er avril 2008, Gouvernement de la Communauté française et gouvernement wallon (C‑212/06, EU:C:2008:178, point 28), du 22 octobre 2009, Zurita García et Choque Cabrera (C‑261/08 et C‑348/08, EU:C:2009:648, point 34), et du 19 novembre 2009, Filipiak (C‑314/08, EU:C:2009:719, point 40).
( 8 ) Arrêt du 22 octobre 2009, Zurita García et Choque Cabrera (C‑261/08 et C‑348/08, EU:C:2009:648, point 35).
( 9 ) Voir, dans le même sens, considérant 39 de la directive 2002/58, qui explique la nécessité d’obtenir « une nouvelle fois le consentement de l’abonné » si les données doivent être « utilisées à des fins autres que celles pour lesquelles elles ont été collectées ».
( 10 ) Arrêt du 5 mai 2011, Deutsche Telekom (C‑543/09, EU:C:2011:279, points 61 à 67).
( 11 ) Loi relative aux communications électroniques, article 45, paragraphe 2, et article 46, paragraphe 2.
( 12 ) Loi relative aux communications électroniques, article 45, paragraphe 3.
( 13 ) Aux termes de l’article 4, point 7, du RGPD, l’on entend par « responsable du traitement », la personne physique ou morale qui détermine les finalités et les moyens du traitement. L’article 4, point 2, du RGPD dispose que le « traitement » comprend « la communication par transmission, la diffusion ou toute autre forme de mise à disposition » de données à caractère personnel.
( 14 ) Ou leur rectification, selon Proximus.
( 15 ) Voir, également, considérant 66 du RGPD, qui confirme que ces dispositions visent à renforcer le « droit à l’oubli » numérique. Cette conclusion est confortée par l’arrêt du 24 septembre 2019, GC e.a. (Déréférencement de données sensibles) (C‑136/17, EU:C:2019:773, points 34 et 35).
( 16 ) Pour de plus amples informations, voir https://www.pure-im.nl/blog/marktaandelen-zoekmachines-q2‑2020/.
