ARRÊT DE LA COUR (huitième chambre)
19 décembre 2024 ( *1 )
« Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement (UE) 2016/679 – Article 88, paragraphes 1 et 2 – Traitement de données dans le cadre des relations de travail – Données à caractère personnel des employés – Règles plus spécifiques prévues par un État membre en vertu de cet article 88 – Obligation de respecter l’article 5, l’article 6, paragraphe 1, ainsi que l’article 9, paragraphes 1 et 2, de ce règlement – Traitement sur
la base d’une convention collective – Marge d’appréciation des parties à la convention collective quant à la nécessité du traitement des données à caractère personnel prévu par celle-ci – Portée du contrôle juridictionnel »
Dans l’affaire C‑65/23,
ayant pour objet une demande de décision préjudicielle au titre de l’article 267 TFUE, introduite par le Bundesarbeitsgericht (Cour fédérale du travail, Allemagne), par décision du 22 septembre 2022, parvenue à la Cour le 8 février 2023, dans la procédure
MK
contre
K GmbH,
LA COUR (huitième chambre),
composée de M. N. Jääskinen (rapporteur), président de la neuvième chambre, faisant fonction de président de la huitième chambre, M. M. Gavalec et Mme I. Ziemele, juges,
avocat général : Mme L. Medina,
greffier : M. A. Calot Escobar,
vu la procédure écrite,
considérant les observations présentées :
– pour MK, par Me J. Zäh, Rechtsanwalt,
– pour K GmbH, par Me B. Geck, Rechtsanwältin,
– pour l’Irlande, par Mme M. Browne, Chief State Solicitor, MM. A. Joyce et M. Tierney, en qualité d’agents, assistés de M. D. Fennelly, BL,
– pour le gouvernement italien, par Mme G. Palmieri, en qualité d’agent, assistée de Mme G. Natale, avvocato dello Stato,
– pour la Commission européenne, par M. A. Bouchagiar, Mme M. Heller et M. H. Kranenborg, en qualité d’agents,
vu la décision prise, l’avocate générale entendue, de juger l’affaire sans conclusions,
rend le présent
Arrêt
1 La demande de décision préjudicielle porte sur l’interprétation de l’article 82, paragraphe 1, ainsi que de l’article 88, paragraphes 1 et 2, lu en combinaison avec l’article 5, l’article 6, paragraphe 1, ainsi que l’article 9, paragraphes 1 et 2, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la
directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, ci‑après le « RGPD »).
2 Cette demande a été présentée dans le cadre d’un litige opposant MK, une personne physique, à K GmbH, son employeur, au sujet de la réparation du préjudice moral que cette personne prétend avoir subi en raison d’un traitement de ses données à caractère personnel effectué par cette société sur la base d’un accord d’entreprise.
Le cadre juridique
Le droit de l’Union
3 Les considérants 8, 10 et 155 du RGPD sont libellés comme suit :
« (8) Lorsque le présent règlement dispose que le droit d’un État membre peut apporter des précisions ou des limitations aux règles qu’il prévoit, les États membres peuvent intégrer des éléments du présent règlement dans leur droit dans la mesure nécessaire pour garantir la cohérence et pour rendre les dispositions nationales compréhensibles pour les personnes auxquelles elles s’appliquent.
[...]
(10) Afin d’assurer un niveau cohérent et élevé de protection des personnes physiques et de lever les obstacles aux flux de données à caractère personnel au sein de l’Union [européenne], le niveau de protection des droits et des libertés des personnes physiques à l’égard du traitement de ces données devrait être équivalent dans tous les États membres. Il convient dès lors d’assurer une application cohérente et homogène des règles de protection des libertés et droits fondamentaux des personnes
physiques à l’égard du traitement des données à caractère personnel dans l’ensemble de l’Union. [...] Le présent règlement laisse aussi aux États membres une marge de manœuvre pour préciser ses règles, y compris en ce qui concerne le traitement de catégories particulières de données à caractère personnel (ci‑après dénommées “données sensibles”). À cet égard, le présent règlement n’exclut pas que le droit des États membres précise les circonstances des situations particulières de traitement y
compris en fixant de manière plus précise les conditions dans lesquelles le traitement de données à caractère personnel est licite.
[...]
(155) Le droit des États membres ou des conventions collectives, y compris des “accords d’entreprise” peuvent prévoir des règles spécifiques relatives au traitement des données à caractère personnel des employés dans le cadre des relations de travail, notamment les conditions dans lesquelles les données à caractère personnel dans le cadre des relations de travail peuvent être traitées sur la base du consentement de l’employé, aux fins du recrutement, de l’exécution du contrat de travail, y compris
le respect des obligations fixées par la loi ou par des conventions collectives, de la gestion, de la planification et de l’organisation du travail, de l’égalité et de la diversité sur le lieu de travail, de la santé et de la sécurité au travail, et aux fins de l’exercice et de la jouissance des droits et des avantages liés à l’emploi, individuellement ou collectivement, ainsi qu’aux fins de la résiliation de la relation de travail. »
4 L’article 4 de ce règlement, intitulé « Définitions », dispose :
« Aux fins du présent règlement, on entend par :
1) “données à caractère personnel”, toute information se rapportant à une personne physique identifiée ou identifiable (ci‑après dénommée “personne concernée”) ; [...]
2) “traitement”, toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel [...]
[...]
7) “responsable du traitement”, la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement ; [...]
[...] »
5 Le chapitre II du RGPD, intitulé « Principes », comprend les articles 5 à 11 de celui‑ci.
6 L’article 5 de ce règlement, intitulé « Principes relatifs au traitement des données à caractère personnel », prévoit :
« 1. Les données à caractère personnel doivent être :
[...]
c) adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ;
[...]
f) traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d’origine accidentelle, à l’aide de mesures techniques ou organisationnelles appropriées (intégrité et confidentialité) ;
2. Le responsable du traitement est responsable du respect du paragraphe 1 et est en mesure de démontrer que celui‑ci est respecté (responsabilité). »
7 L’article 6 dudit règlement, intitulé « Licéité du traitement », dispose :
« 1. Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :
a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ;
b) le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de celle‑ci ;
c) le traitement est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis ;
d) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne physique ;
e) le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ;
f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant.
Le point f) du premier alinéa ne s’applique pas au traitement effectué par les autorités publiques dans l’exécution de leurs missions.
2. Les États membres peuvent maintenir ou introduire des dispositions plus spécifiques pour adapter l’application des règles du présent règlement pour ce qui est du traitement dans le but de respecter le paragraphe 1, points c) et e), en déterminant plus précisément les exigences spécifiques applicables au traitement ainsi que d’autres mesures visant à garantir un traitement licite et loyal, y compris dans d’autres situations particulières de traitement comme le prévoit le chapitre IX.
3. Le fondement du traitement visé au paragraphe 1, points c) et e), est défini par :
a) le droit de l’Union ; ou
b) le droit de l’État membre auquel le responsable du traitement est soumis.
[...] Cette base juridique peut contenir des dispositions spécifiques pour adapter l’application des règles du présent règlement, entre autres : les conditions générales régissant la licéité du traitement par le responsable du traitement ; les types de données qui font l’objet du traitement ; les personnes concernées ; les entités auxquelles les données à caractère personnel peuvent être communiquées et les finalités pour lesquelles elles peuvent l’être ; la limitation des finalités ; les durées
de conservation ; et les opérations et procédures de traitement, y compris les mesures visant à garantir un traitement licite et loyal, telles que celles prévues dans d’autres situations particulières de traitement comme le prévoit le chapitre IX. [...]
[...] »
8 L’article 9 du même règlement, intitulé « Traitement portant sur des catégories particulières de données à caractère personnel », est libellé comme suit :
« 1. Le traitement des données à caractère personnel qui révèle l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique sont interdits.
2. Le paragraphe 1 ne s’applique pas si l’une des conditions suivantes est remplie :
a) la personne concernée a donné son consentement explicite au traitement de ces données à caractère personnel pour une ou plusieurs finalités spécifiques, sauf lorsque le droit de l’Union ou le droit de l’État membre prévoit que l’interdiction visée au paragraphe 1 ne peut pas être levée par la personne concernée ;
b) le traitement est nécessaire aux fins de l’exécution des obligations et de l’exercice des droits propres au responsable du traitement ou à la personne concernée en matière de droit du travail, de la sécurité sociale et de la protection sociale, dans la mesure où ce traitement est autorisé par le droit de l’Union, par le droit d’un État membre ou par une convention collective conclue en vertu du droit d’un État membre qui prévoit des garanties appropriées pour les droits fondamentaux et les
intérêts de la personne concernée ;
[...] »
9 Figurant sous le chapitre VIII du RGPD, intitulé « Voies de recours, responsabilité et sanctions », l’article 82 de ce règlement, lui-même intitulé « Droit à réparation et responsabilité », prévoit, à son paragraphe 1 :
« Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. »
10 Figurant sous le chapitre IX du RGPD, intitulé « Dispositions relatives à des situations particulières de traitement », l’article 88 de ce règlement, lui-même intitulé « Traitement de données dans le cadre des relations de travail », prévoit, à ses paragraphes 1 et 2 :
« 1. Les États membres peuvent prévoir, par la loi ou au moyen de conventions collectives, des règles plus spécifiques pour assurer la protection des droits et libertés en ce qui concerne le traitement des données à caractère personnel des employés dans le cadre des relations de travail, aux fins, notamment, du recrutement, de l’exécution du contrat de travail, y compris le respect des obligations fixées par la loi ou par des conventions collectives, de la gestion, de la planification et de
l’organisation du travail, de l’égalité et de la diversité sur le lieu de travail, de la santé et de la sécurité au travail, de la protection des biens appartenant à l’employeur ou au client, aux fins de l’exercice et de la jouissance des droits et des avantages liés à l’emploi, individuellement ou collectivement, ainsi qu’aux fins de la résiliation de la relation de travail.
2. Ces règles comprennent des mesures appropriées et spécifiques pour protéger la dignité humaine, les intérêts légitimes et les droits fondamentaux des personnes concernées, en accordant une attention particulière à la transparence du traitement, au transfert de données à caractère personnel au sein d’un groupe d’entreprises, ou d’un groupe d’entreprises engagées dans une activité économique conjointe et aux systèmes de contrôle sur le lieu de travail. »
11 L’article 99 du RGPD, intitulé « Entrée en vigueur et application », est libellé comme suit :
« 1. Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.
2. Il est applicable à partir du 25 mai 2018. »
Le droit allemand
12 L’article 26 du Bundesdatenschutzgesetz (loi fédérale sur la protection des données), du 30 juin 2017 (BGBl. 2017 I, p. 2097, ci‑après le « BDSG »), intitulé « Traitement des données aux fins de la relation de travail », prévoit, à ses paragraphes 1 et 4 :
« (1) Les données à caractère personnel des employés peuvent faire l’objet d’un traitement pour les besoins de la relation de travail si cela est nécessaire pour décider de l’établissement d’une relation de travail ou, après l’établissement de la relation de travail, pour son exécution ou sa résiliation, ou pour l’exercice des droits ou le respect des obligations respectivement liés à la représentation des intérêts des employés découlant d’une loi ou d’un instrument de réglementation collective
de travail, d’un accord d’entreprise ou de service (convention collective). [...]
[...]
(4) Le traitement de données à caractère personnel, y compris de catégories particulières de données à caractère personnel des employés, est autorisé aux fins de la relation de travail sur la base de conventions collectives. À cet égard, les partenaires de négociation doivent respecter l’article 88, paragraphe 2, du [RGPD]. »
Le litige au principal et les questions préjudicielles
13 Le requérant au principal est employé par la défenderesse au principal, une société de droit allemand, et préside le comité d’entreprise constitué au sein de cette société.
14 Initialement, ladite société a procédé au traitement de certaines données à caractère personnel de ses employés dans le cadre de l’utilisation d’un logiciel dénommé « SAP » (ci‑après le « logiciel SAP »), notamment à des fins de comptabilité, et elle a conclu, avec son comité d’entreprise, plusieurs accords d’entreprise à cet égard.
15 Au cours de l’année 2017, le groupe de sociétés D, auquel la défenderesse au principal appartient (ci‑après le « groupe D »), a introduit, dans l’ensemble de ce groupe, le logiciel dénommé « Workday » (ci‑après le « logiciel Workday »), qui fonctionne en nuage (cloud), en tant que système unique de gestion des informations relatives au personnel. Dans ce cadre, la défenderesse au principal a transféré diverses données à caractère personnel de ses employés depuis le logiciel SAP vers un serveur de
la société mère du groupe D, situé aux États‑Unis.
16 Le 3 juillet 2017, la défenderesse au principal et son comité d’entreprise ont conclu un accord établissant une tolérance quant à l’introduction du logiciel Workday (ci‑après l’« accord d’entreprise établissant une tolérance »), qui interdisait, notamment, que ce logiciel soit utilisé à des fins de gestion des ressources humaines, telles que l’évaluation d’un travailleur, pendant la phase d’expérimentation. Selon l’annexe 2 de cet accord, les seules catégories de données qui pouvaient être
transférées en vue d’alimenter le logiciel Workday étaient le numéro de matricule alloué au travailleur au sein du groupe D, son nom de famille, son prénom, son numéro de téléphone, sa date d’entrée en fonction dans la société concernée, la date de son entrée en fonction dans le groupe D, son lieu de travail, le nom de la société concernée, ainsi que ses numéro de téléphone et adresse électronique professionnels. Les effets dudit accord ont été prorogés jusqu’à l’entrée en vigueur d’un accord
d’entreprise final, conclu le 23 janvier 2019.
17 Dans ce contexte, le requérant au principal a introduit, devant l’Arbeitsgericht (tribunal du travail, Allemagne) puis devant le Landesarbeitsgericht (tribunal supérieur du travail, Allemagne) territorialement compétents, des demandes visant à obtenir l’accès à certaines informations, l’effacement de données le concernant et l’octroi d’une réparation. Ce requérant a, notamment, allégué que la défenderesse au principal avait transféré, vers le serveur de la société mère, des données à caractère
personnel le concernant, dont certaines n’étaient pas mentionnées dans l’accord d’entreprise établissant une tolérance, en particulier, ses coordonnées privées, les détails de son contrat et de sa rémunération, ses numéros de sécurité sociale et d’identification fiscale, sa nationalité ainsi que son état civil.
18 N’ayant pas obtenu entière satisfaction, le requérant au principal a introduit un recours en Revision devant le Bundesarbeitsgericht (Cour fédérale du travail, Allemagne), qui est la juridiction de renvoi. Seule est encore pendante la demande de ce requérant tendant à la réparation, sur le fondement du RGPD, du préjudice moral qu’il aurait subi en raison d’un traitement illicite de ses données à caractère personnel au moyen du logiciel Workday, pendant la période allant du premier jour où ce
règlement est devenu applicable, à savoir le 25 mai 2018, jusqu’à la fin du premier trimestre 2019.
19 S’agissant de l’illicéité de ce traitement, le requérant au principal fait valoir, d’une part, que celui-ci n’était nécessaire ni aux fins de la relation de travail, pour laquelle la défenderesse au principal utilisait alors le logiciel SAP, ni aux fins de l’expérimentation du logiciel Workday, car l’usage de données fictives aurait suffi à cet effet et aurait garanti qu’aucune donnée réelle ne soit rendue accessible au sein du groupe D. D’autre part, à supposer même que l’accord d’entreprise
établissant une tolérance puisse constituer une base valable pour ledit traitement, l’autorisation y figurant aurait été outrepassée, dès lors que cette défenderesse aurait transmis des données autres que celles prévues à l’annexe 2 de cet accord. Enfin, la charge de prouver que les agissements de ladite défenderesse sont conformes au RGPD incomberait à cette dernière.
20 La défenderesse au principal objecte que le traitement en cause respecte les exigences du RGPD, que la charge de la preuve incombe au requérant au principal et qu’il n’a démontré ni l’existence d’un préjudice moral ni le lien de causalité entre une éventuelle violation de ce règlement et le préjudice allégué.
21 La juridiction de renvoi considère que les opérations contestées par le requérant au principal relèvent du champ d’application matériel du RGPD, car elles constituent un « traitement » de « données à caractère personnel » de cette « personne concernée », au sens de l’article 4, points 1 et 2, de ce règlement. En outre, elle indique que la défenderesse au principal a la qualité de « responsable du traitement », au sens de l’article 4, point 7, dudit règlement. S’agissant du champ d’application
temporel de ce dernier, elle souligne que le traitement a, certes, débuté avant la date à laquelle cet instrument est devenu applicable, mais qu’il a, toutefois, continué après celle‑ci, en raison de plusieurs prorogations des effets initiaux de l’accord d’entreprise établissant une tolérance.
22 Dans ce contexte, la juridiction de renvoi se pose, en premier lieu, la question de savoir si une norme nationale régissant les traitements de données à caractère personnel aux fins des relations de travail qui prévoit, en substance, qu’un tel traitement opéré sur la base de conventions collectives est licite sous réserve du respect de l’article 88, paragraphe 2, du RGPD, comme l’article 26, paragraphe 4, du BDSG, est compatible avec ce règlement ou si, à cette fin, le traitement concerné doit
également être conforme aux autres dispositions de celui‑ci. Cette juridiction est encline à estimer que lorsque le traitement de données à caractère personnel des employés est régi par une « convention collective », au sens de l’article 88 du RGPD, ce traitement ne peut se départir des exigences découlant non seulement de cet article 88, mais aussi de l’article 5, de l’article 6, paragraphe 1, ainsi que de l’article 9, paragraphes 1 et 2, de ce règlement, en particulier, pour ce qui concerne le
critère de nécessité du traitement prévu à ces trois derniers articles.
23 En deuxième lieu, en cas de réponse affirmative à sa première question, ladite juridiction se demande si les parties à une telle convention collective disposent d’une marge d’appréciation qui devrait faire l’objet seulement d’un contrôle juridictionnel restreint s’agissant de l’évaluation de la nécessité du traitement concerné, au sens de l’article 5, de l’article 6, paragraphe 1, ainsi que de l’article 9, paragraphes 1 et 2, du RGPD. À son avis, cette thèse peut trouver un appui dans
l’argumentation selon laquelle ces parties auraient une grande proximité avec la vie de l’entreprise et seraient généralement parvenues à un juste équilibre entre les intérêts en présence. Néanmoins, la jurisprudence de la Cour relative à d’autres actes du droit de l’Union, en particulier les arrêts du 7 février 1991, Nimz (C‑184/89, EU:C:1991:50), et du 20 mars 2003, Kutz-Bauer (C‑187/00, EU:C:2003:168), laisserait plutôt à penser que les dispositions d’une convention collective relevant du
champ d’application de ce droit ne sauraient être contraires à celui‑ci et que, au besoin, il faudrait laisser inappliquées de telles dispositions.
24 En troisième lieu, dans l’hypothèse où la réponse à sa deuxième question serait affirmative, la juridiction de renvoi souhaite connaître les critères d’appréciation auxquels elle devrait, le cas échéant, limiter son contrôle juridictionnel.
25 Enfin, les quatrième à sixième questions initialement soumises par cette juridiction, avant leur retrait par celle‑ci, portaient, en substance, sur le droit à la réparation d’un préjudice moral en vertu de l’article 82, paragraphe 1, du RGPD.
26 Dans ces conditions, le Bundesarbeitsgericht (Cour fédérale du travail) a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :
« 1) Une disposition nationale adoptée en vertu de l’article 88, paragraphe 1, du [RGPD], telle que l’article 26, paragraphe 4, du [BDSG], prévoyant que le traitement de données à caractère personnel – y compris le traitement portant sur des catégories particulières de données à caractère personnel – des employés aux fins de la relation de travail sur la base de conventions collectives est licite sous réserve du respect de l’article 88, paragraphe 2, du RGPD, doit‑elle être interprétée en ce sens
que, en outre, les autres dispositions du RGPD, notamment l’article 5, l’article 6, paragraphe 1, et l’article 9, paragraphes 1 et 2, du RGPD, doivent toujours être respectées ?
2) En cas de réponse positive à la première question :
Une disposition nationale adoptée en vertu de l’article 88, paragraphe 1, du RGPD, comme l’article 26, paragraphe 4, du BDSG, peut-elle être interprétée en ce sens que, pour apprécier la nécessité du traitement de données au sens de l’article 5, de l’article 6, paragraphe 1, et de l’article 9, paragraphes 1 et 2, du RGPD, les parties à une convention collective (en l’espèce les parties à un accord d’entreprise) disposent d’une marge d’appréciation ne pouvant faire l’objet que d’un contrôle
juridictionnel limité ?
3) En cas de réponse positive à la deuxième question :
Dans une telle hypothèse, à quoi le contrôle juridictionnel peut‑il être limité ?
4) L’article 82, paragraphe 1, du RGPD doit‑il être interprété en ce sens que toute personne dispose d’un droit à réparation du préjudice moral dès lors que ses données à caractère personnel ont fait l’objet d’un traitement contraire aux dispositions du RGPD, ou bien le droit à réparation du préjudice moral est-il conditionné à la preuve, par la personne concernée, d’un préjudice moral d’une certaine gravité ?
5) L’article 82, paragraphe 1, du RGPD a‑t‑il un caractère de prévention spéciale ou générale et cela doit-il être pris en compte pour l’évaluation du préjudice moral indemnisable que le responsable du traitement ou le sous‑traitant est tenu de réparer sur le fondement de cette disposition ?
6) Le degré de gravité de la faute du responsable du traitement ou du sous‑traitant influe‑t‑il sur l’évaluation du préjudice moral indemnisable sur le fondement de l’article 82, paragraphe 1, du RGPD ? Plus particulièrement, une absence de faute ou une faute légère de la part du responsable du traitement ou du sous‑traitant peut-elle être retenue à sa décharge ? »
La procédure devant la Cour
27 Par décision du président de la Cour du 24 janvier 2024, les arrêts du 4 mai 2023, Österreichische Post (Préjudice moral lié au traitement de données personnelles) (C‑300/21, EU:C:2023:370), du 14 décembre 2023, Natsionalna agentsia za prihodite (C‑340/21, EU:C:2023:986), du 14 décembre 2023, Gemeinde Ummendorf (C‑456/22, EU:C:2023:988), du 21 décembre 2023, Krankenversicherung Nordrhein (C‑667/21, EU:C:2023:1022), ainsi que du 25 janvier 2024, MediaMarktSaturn (C‑687/21, EU:C:2024:72), ont été
signifiés à la juridiction de renvoi, afin que cette dernière précise si, au vu de ces arrêts, elle souhaitait maintenir sa demande de décision préjudicielle, plus particulièrement s’agissant des quatrième à sixième questions.
28 Par décision du président de la Cour du 15 mars 2024, la procédure a été suspendue, au titre de l’article 55, paragraphe 1, sous b), du règlement de procédure de la Cour, jusqu’à la réception de la réponse à la question ainsi posée.
29 Par une communication écrite parvenue à la Cour le 8 mai 2024, la juridiction de renvoi a informé celle-ci qu’elle retirait ses quatrième à sixième questions, mais maintenait ses première à troisième questions.
Sur la recevabilité de la demande de décision préjudicielle
30 La défenderesse au principal soutient que les première à troisième questions sont irrecevables, au motif qu’elles ne sont pas pertinentes pour la solution du litige dont la juridiction de renvoi est saisie. En substance, elle allègue que le requérant au principal conteste non pas la teneur de l’accord d’entreprise applicable en l’espèce, mais un dépassement des limites de cet accord par le traitement de données mis en cause, de sorte que ce litige n’a pas pour objet une violation des exigences de
l’article 88 du RGPD afférentes à un tel accord. De surcroît, ces questions seraient hypothétiques en ce qu’elles tendraient à permettre à cette juridiction de contrôler la licéité de ce traitement globalement, et non uniquement par rapport aux éléments contestés par le requérant au principal.
31 À cet égard, selon une jurisprudence constante, il appartient au seul juge national qui est saisi du litige et qui doit assumer la responsabilité de la décision juridictionnelle à intervenir d’apprécier, au regard des particularités de l’affaire, tant la nécessité d’une décision préjudicielle pour être en mesure de rendre son jugement que la pertinence des questions qu’il pose à la Cour, lesquelles bénéficient d’une présomption de pertinence. Partant, dès lors que la question posée porte sur
l’interprétation ou la validité d’une règle du droit de l’Union, la Cour est, en principe, tenue de statuer, sauf s’il apparaît de manière manifeste que l’interprétation sollicitée n’a aucun rapport avec la réalité ou l’objet du litige au principal, si le problème est de nature hypothétique ou encore si la Cour ne dispose pas des éléments de fait et de droit nécessaires pour répondre de façon utile à ladite question (arrêt du 20 juin 2024, Scalable Capital, C‑182/22 et C‑189/22, EU:C:2024:531,
point 18 ainsi que jurisprudence citée).
32 En l’occurrence, les première à troisième questions sont relatives à l’interprétation de plusieurs dispositions de droit de l’Union, plus précisément l’article 88 du RGPD, lu en combinaison avec les articles 5, 6 et 9 de celui-ci. En outre, la juridiction de renvoi considère que les limites fixées par l’accord d’entreprise applicable en l’espèce, qu’elle qualifie de « convention collective » au sens de ce règlement, ont été dépassées et que le traitement de données à caractère personnel en cause
au principal doit être examiné dans son ensemble, car il est susceptible d’être illicite au regard des dispositions tant du paragraphe 1 que du paragraphe 4 de l’article 26 du BDSG, lequel se réfère expressément à l’article 88 du RGPD.
33 Il en résulte que la demande de décision préjudicielle est recevable.
Sur les questions préjudicielles
Sur la première question
34 Par sa première question, la juridiction de renvoi demande, en substance, si l’article 88, paragraphes 1 et 2, du RGPD doit être interprété en ce sens qu’une disposition nationale ayant pour objet le traitement de données à caractère personnel aux fins des relations de travail et ayant été adoptée en vertu de l’article 88, paragraphe 1, de ce règlement doit avoir pour effet de contraindre ses destinataires à respecter non seulement les exigences découlant de l’article 88, paragraphe 2, dudit
règlement, mais également celles découlant de l’article 5, de l’article 6, paragraphe 1, ainsi que de l’article 9, paragraphes 1 et 2, de celui-ci.
35 À cet égard, il convient de rappeler que le RGPD vise à assurer une harmonisation des législations nationales relatives à la protection des données à caractère personnel qui est, en principe, complète. Cependant, certaines dispositions de ce règlement ouvrent la possibilité pour les États membres de prévoir des règles nationales supplémentaires, plus strictes ou dérogatoires, et laissent à ceux‑ci une marge d’appréciation sur la manière dont ces dispositions peuvent être mises en œuvre (« clauses
d’ouverture ») (voir, en ce sens, arrêt du 30 mars 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, point 51 et jurisprudence citée).
36 L’article 88 du RGPD, relatif au traitement de données à caractère personnel dans le cadre des relations de travail, détermine les conditions auxquelles les États membres peuvent prévoir des « règles plus spécifiques », par la loi ou au moyen de conventions collectives, pour assurer la protection des droits et libertés des employés concernés par un tel traitement. Le considérant 155 de ce règlement indique, notamment, que la notion de « convention collective », au sens de cet article 88, inclut
les « accords d’entreprise », comme celui en cause au principal. Par ailleurs, les articles 5, 6 et 9 dudit règlement énoncent, respectivement, les principes relatifs au traitement des données à caractère personnel, les conditions de licéité de ce traitement et des règles afférentes au traitement portant sur des catégories particulières de telles données.
37 Selon une jurisprudence constante, les termes d’une disposition du droit de l’Union qui, tel l’article 88 du RGPD, ne comporte aucun renvoi exprès au droit des États membres pour déterminer son sens et sa portée doivent normalement trouver, dans toute l’Union, une interprétation autonome et uniforme, laquelle doit être recherchée en tenant compte, notamment, du libellé de la disposition concernée, des objectifs poursuivis par cette dernière et du contexte dans lequel elle s’inscrit (voir, par
analogie, arrêt du 14 décembre 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, point 23 et jurisprudence citée).
38 Premièrement, il ressort du libellé de l’article 88 du RGPD que son paragraphe 1 exige que les « règles plus spécifiques » autorisées par cette disposition aient un contenu normatif propre au domaine réglementé et distinct des règles générales de ce règlement, tandis que son paragraphe 2 encadre, conformément à l’objectif d’harmonisation visé par ledit règlement, la marge d’appréciation des États membres qui entendent adopter une réglementation nationale sur le fondement de ce paragraphe 1 (voir,
en ce sens, arrêt du 30 mars 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, points 61, 65, 72 et 75).
39 En revanche, ce libellé ne fournit pas d’indication explicite quant au point de savoir si les « règles plus spécifiques » que les États membres ont ainsi la possibilité d’adopter doivent tendre au respect uniquement des exigences énoncées à l’article 88, paragraphe 2, du RGPD ou également de celles d’autres dispositions de ce règlement, de sorte que les traitements de données à caractère personnel réalisés en application de telles règles devraient être, en outre, conformes à ces dernières
dispositions.
40 Deuxièmement, s’agissant des objectifs de l’article 88 du RGPD, la Cour a déjà dit pour droit que cet article constitue une « clause d’ouverture » et que la faculté conférée aux États membres par le paragraphe 1 de celui‑ci, compte tenu des particularités d’un tel traitement, s’explique notamment par l’existence d’un lien de subordination entre l’employé et l’employeur. Elle a précisé que les conditions imposées à l’article 88, paragraphe 2, de ce règlement reflètent les limites de la marge
d’appréciation laissée aux États membres, en ce sens que le défaut d’harmonisation inhérent à celle‑ci ne peut être admis que lorsque les différences qui subsistent sont accompagnées de garanties spécifiques et appropriées, visant à protéger les droits et les libertés des employés en ce qui concerne le traitement de leurs données à caractère personnel dans le cadre des relations de travail (voir, en ce sens, arrêt du 30 mars 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21,
EU:C:2023:270, points 52, 53 et 73).
41 En outre, la Cour a souligné que, lorsque les États membres exercent la faculté qui leur est accordée par l’article 88 du RGPD, ils doivent utiliser leur marge d’appréciation dans les conditions et les limites prescrites par les dispositions de ce règlement et doivent ainsi légiférer de manière à ne pas porter atteinte au contenu et aux objectifs dudit règlement, lequel a notamment pour but de garantir un niveau élevé de protection des droits et des libertés des personnes concernées par un tel
traitement, ainsi que cela ressort de son considérant 10. Partant, les règles adoptées par un État membre sur le fondement de cet article 88 doivent avoir pour objectif de protéger les droits et les libertés des employés à l’égard du traitement de leurs données à caractère personnel (voir, en ce sens, arrêt du 30 mars 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, points 54, 59, 62 et 74).
42 Or, sous peine de porter atteinte à l’ensemble de ces finalités, et plus particulièrement celle visant à assurer une protection à un niveau élevé des employés en cas de traitement de leurs données à caractère personnel dans le cadre des relations de travail, l’article 88 du RGPD ne saurait être interprété en ce sens que les « règles plus spécifiques » que les États membres ont la faculté d’adopter au titre de cet article pourraient avoir pour objet, ou pour effet, de contourner les obligations du
responsable du traitement, voire du sous‑traitant, résultant d’autres dispositions de ce règlement.
43 Il s’ensuit qu’il y a lieu d’interpréter l’article 88, paragraphes 1 et 2, du RGPD en ce sens que, même lorsque les États membres se fondent sur cet article pour introduire, dans leurs ordres juridiques internes respectifs, des « règles plus spécifiques », par une loi ou au moyen de conventions collectives, les exigences découlant des autres dispositions qui sont spécialement visées par la présente question, à savoir l’article 5, l’article 6, paragraphe 1, ainsi que l’article 9, paragraphes 1
et 2, de ce règlement, doivent également être satisfaites. Il en va ainsi, notamment, du respect du critère de nécessité du traitement prévu par ces dispositions, au sujet duquel la juridiction de renvoi s’interroge plus particulièrement.
44 Troisièmement, le contexte dans lequel s’inscrit l’article 88 du RGPD corrobore cette interprétation.
45 En effet, l’article 88 du RGPD figure sous le chapitre IX de celui-ci, intitulé « Dispositions relatives à des situations particulières de traitement », tandis que les articles 5, 6 et 9 de ce règlement figurent sous le chapitre II de celui-ci, intitulé « Principes », lequel a donc une portée plus générale. Par ailleurs, il ressort clairement du libellé de cet article 6, qui se réfère explicitement, à ses paragraphes 2 et 3, aux dispositions de ce chapitre IX, que les conditions de licéité
prévues audit article 6 sont contraignantes y compris dans le cadre des « situations particulières » régies par les dispositions dudit chapitre IX.
46 En outre, il est de jurisprudence constante que tout traitement de données à caractère personnel doit respecter les principes régissant les traitements de telles données ainsi que les droits de la personne concernée qui sont énoncés, respectivement, aux chapitres II et III du RGPD. En particulier, il doit être conforme aux principes relatifs au traitement de ces données prévus à l’article 5 de ce règlement et satisfaire aux conditions de licéité du traitement énumérées à l’article 6 de celui-ci
[voir, en ce sens, arrêts du 2 mars 2023, Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, point 43, et du 11 juillet 2024, Meta Platforms Ireland (Action représentative), C‑757/22, EU:C:2024:598, point 49 ainsi que jurisprudence citée].
47 En ce qui concerne plus spécifiquement l’articulation entre l’article 88 du RGPD et d’autres dispositions de ce règlement, la Cour a relevé, notamment à la lumière du considérant 8 de celui-ci, que, nonobstant l’existence éventuelle de « règles plus spécifiques » adoptées par les États membres sur le fondement de l’article 88, paragraphe 1, dudit règlement, tout traitement de données à caractère personnel doit respecter les obligations résultant des dispositions des chapitres II et III du même
règlement ainsi que, en particulier, des articles 5 et 6 de celui‑ci (voir, en ce sens, arrêt du 30 mars 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, points 67 à 71).
48 De même, les obligations résultant de l’article 9 du RGPD doivent être respectées lors de tout traitement de données à caractère personnel relevant de ce règlement, y compris en présence de « règles plus spécifiques » adoptées en vertu de l’article 88, paragraphe 1, de celui-ci. En effet, cet article 9, qui régit le traitement des catégories particulières de données qu’il énumère, figure dans le chapitre II dudit règlement, à l’instar de ses articles 5 et 6, dont les exigences sont d’ailleurs
cumulables avec celles qui découlent dudit article 9 (voir, en ce sens, arrêt du 21 décembre 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, points 73, 77 à 79). De surcroît, cette interprétation est conforme à la finalité du même article 9, consistant à assurer une protection accrue contre des traitements qui, en raison de la sensibilité particulière des données qui en sont l’objet, sont susceptibles de constituer une ingérence particulièrement grave dans les droits fondamentaux
des personnes concernées (voir, en ce sens, arrêt du 4 octobre 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, point 89 et jurisprudence citée).
49 Ainsi, dans l’hypothèse où le droit d’un État membre contient des « règles plus spécifiques », au sens de l’article 88, paragraphe 1, du RGPD, les traitements de données à caractère personnel couverts par ces règles doivent respecter non seulement les conditions posées aux paragraphes 1 et 2 de cet article, mais également celles posées aux articles 5, 6 et 9 de ce règlement, telles qu’interprétées par la jurisprudence de la Cour.
50 Eu égard aux motifs qui précèdent, il convient de répondre à la première question que l’article 88, paragraphes 1 et 2, du RGPD doit être interprété en ce sens qu’une disposition nationale ayant pour objet le traitement de données à caractère personnel aux fins des relations de travail et ayant été adoptée en vertu de l’article 88, paragraphe 1, de ce règlement doit avoir pour effet de contraindre ses destinataires à respecter non seulement les exigences découlant de l’article 88, paragraphe 2,
dudit règlement, mais également celles découlant de l’article 5, de l’article 6, paragraphe 1, ainsi que de l’article 9, paragraphes 1 et 2, de celui-ci.
Sur la deuxième question
51 Par sa deuxième question, la juridiction de renvoi demande, en substance, si l’article 88, paragraphe 1, du RGPD doit être interprété en ce sens que, lorsqu’une convention collective relève du champ d’application de cette disposition, la marge d’appréciation dont les parties à cette convention disposeraient pour déterminer le caractère « nécessaire » d’un traitement de données à caractère personnel, au sens de l’article 5, de l’article 6, paragraphe 1, ainsi que de l’article 9, paragraphes 1
et 2, de ce règlement, aurait pour effet d’empêcher le juge national d’exercer un contrôle juridictionnel complet à cet égard.
52 Tout d’abord, il importe de rappeler que, comme cela a été souligné au point 41 du présent arrêt, les États membres qui exercent la faculté qui leur est accordée par l’article 88 du RGPD doivent utiliser leur marge d’appréciation dans les conditions et les limites prescrites par les dispositions de ce règlement et veiller ainsi à ce que les « règles plus spécifiques » qu’ils insèrent dans leur ordre juridique interne ne portent pas atteinte au contenu et aux objectifs dudit règlement. Ces règles
doivent viser, notamment, à garantir un niveau élevé de protection des libertés et des droits fondamentaux des employés à l’égard du traitement de leurs données à caractère personnel dans le cadre des relations de travail.
53 S’agissant de l’étendue du contrôle juridictionnel susceptible d’être exercé à l’égard de telles règles spécifiques, la Cour a déjà jugé qu’il appartient à la juridiction nationale saisie, seule compétente pour interpréter le droit national, d’apprécier si lesdites règles respectent bien les conditions et les limites prescrites, en particulier, par l’article 88 du RGPD. Conformément au principe de primauté du droit de l’Union, dans le cas où cette juridiction parvient au constat que les
dispositions nationales concernées ne respectent pas ces conditions et limites, il lui incombe alors de laisser inappliquées lesdites dispositions. En l’absence de règles plus spécifiques qui respectent les exigences de cet article 88, le traitement de données à caractère personnel dans le cadre des relations de travail est directement régi par ce règlement (voir, en ce sens, arrêt du 30 mars 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, points 80, 82 à 84 et 89).
54 Ces considérations valent également pour les parties à une convention collective visée à l’article 88 du RGPD, telle que celle en cause au principal. En effet, ainsi que la Commission européenne l’a relevé, en substance, dans ses observations écrites, les parties à une convention collective doivent pouvoir disposer d’une marge d’appréciation équivalente, en particulier s’agissant de ses limites, à celle qui est reconnue aux États membres, dès lors que les « règles plus spécifiques » visées au
paragraphe 1 de cet article 88 peuvent notamment résulter de conventions collectives. Le considérant 155 de ce règlement indique également que de telles règles peuvent être prévues par le droit des États membres ou par des conventions collectives, y compris des « accords d’entreprise ».
55 Ainsi, nonobstant la marge d’appréciation que l’article 88 du RGPD laisse aux parties à une convention collective, le contrôle juridictionnel exercé à l’égard d’une telle convention doit, à l’instar de celui relatif à une règle de droit national adoptée au titre de cette disposition, pouvoir porter sans restriction aucune sur le respect de l’ensemble des conditions et des limites prescrites par les dispositions de ce règlement pour le traitement de données à caractère personnel.
56 Ensuite, il convient de préciser qu’un tel contrôle juridictionnel doit, plus spécifiquement, tendre à la vérification du caractère « nécessaire » du traitement de telles données, au sens des articles 5, 6 et 9 du RGPD. En d’autres termes, l’article 88 de celui-ci ne saurait être interprété en ce sens que les parties à une convention collective disposent d’un pouvoir d’appréciation qui leur permettrait d’introduire des « règles plus spécifiques » conduisant à appliquer de manière moins stricte,
voire à écarter, ladite exigence de nécessité.
57 Certes, comme la juridiction de renvoi et l’Irlande l’ont observé en substance, les parties à une convention collective sont généralement bien placées pour évaluer si un traitement de données revêt un caractère nécessaire dans un cadre professionnel concret, car ces parties possèdent habituellement des connaissances étendues quant aux besoins propres au domaine de l’emploi et au secteur d’activité concerné. Toutefois, un tel processus d’évaluation ne doit pas mener à ce que lesdites parties se
livrent à des compromis, d’ordre économique ou de commodité, qui seraient susceptibles de porter indûment atteinte à l’objectif du RGPD consistant à assurer la protection à un niveau élevé des libertés et des droits fondamentaux des employés à l’égard du traitement des données à caractère personnel les concernant.
58 Dès lors, une interprétation de l’article 88 du RGPD selon laquelle les juridictions nationales ne pourraient pas exercer un contrôle juridictionnel complet à l’égard d’une convention collective, en particulier afin de vérifier si les justifications avancées par les parties à cette convention établissent le caractère nécessaire du traitement de données à caractère personnel qui découle de celle-ci, ne serait pas compatible avec ce règlement, eu égard à l’objectif de protection rappelé au point
précédent du présent arrêt.
59 Enfin, il y a lieu de souligner que, dans l’hypothèse où la juridiction nationale saisie parviendrait, à l’issue de son contrôle, au constat que certaines dispositions de la convention collective concernée ne respectent pas les conditions et les limites prescrites par le RGPD, il lui incomberait alors de laisser inappliquées ces dispositions, conformément à la jurisprudence visée au point 53 du présent arrêt.
60 Au vu des motifs qui précèdent, il convient de répondre à la deuxième question que l’article 88, paragraphe 1, du RGPD doit être interprété en ce sens que, lorsqu’une convention collective relève du champ d’application de cette disposition, la marge d’appréciation dont les parties à cette convention disposent pour déterminer le caractère « nécessaire » d’un traitement de données à caractère personnel, au sens de l’article 5, de l’article 6, paragraphe 1, ainsi que de l’article 9, paragraphes 1
et 2, de ce règlement, n’empêche pas le juge national d’exercer un contrôle juridictionnel complet à cet égard.
Sur la troisième question
61 Eu égard à la réponse apportée à la deuxième question, il n’y a pas lieu de répondre à la troisième question.
Sur les dépens
62 La procédure revêtant, à l’égard des parties au principal, le caractère d’un incident soulevé devant la juridiction de renvoi, il appartient à celle-ci de statuer sur les dépens. Les frais exposés pour soumettre des observations à la Cour, autres que ceux desdites parties, ne peuvent faire l’objet d’un remboursement.
Par ces motifs, la Cour (huitième chambre) dit pour droit :
1) L’article 88, paragraphes 1 et 2, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données),
doit être interprété en ce sens que :
une disposition nationale ayant pour objet le traitement de données à caractère personnel aux fins des relations de travail et ayant été adoptée en vertu de l’article 88, paragraphe 1, de ce règlement doit avoir pour effet de contraindre ses destinataires à respecter non seulement les exigences découlant de l’article 88, paragraphe 2, dudit règlement, mais également celles découlant de l’article 5, de l’article 6, paragraphe 1, ainsi que de l’article 9, paragraphes 1 et 2, de celui-ci.
2) L’article 88, paragraphe 1, du règlement 2016/679
doit être interprété en ce sens que :
lorsqu’une convention collective relève du champ d’application de cette disposition, la marge d’appréciation dont les parties à cette convention disposent pour déterminer le caractère « nécessaire » d’un traitement de données à caractère personnel, au sens de l’article 5, de l’article 6, paragraphe 1, ainsi que de l’article 9, paragraphes 1 et 2, de ce règlement, n’empêche pas le juge national d’exercer un contrôle juridictionnel complet à cet égard.
Signatures
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
( *1 ) Langue de procédure : l’allemand.
