ARRÊT DE LA COUR (première chambre)
13 mars 2025 ( *1 )
« Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement (UE) 2016/679 – Article 5, paragraphe 1, sous d) – Principe d’exactitude – Article 16 – Droit de rectification – Article 23 – Limitations – Données relatives à l’identité de genre – Données inexactes dès leur inscription dans un registre public – Moyens de preuve – Pratique administrative consistant à demander la preuve d’un traitement chirurgical de réassignation
sexuelle »
Dans l’affaire C‑247/23 [Deldits] ( i ),
ayant pour objet une demande de décision préjudicielle au titre de l’article 267 TFUE, introduite par la Fővárosi Törvényszék (cour de Budapest-Capitale, Hongrie), par décision du 29 mars 2023, parvenue à la Cour le 18 avril 2023, dans la procédure
VP
contre
Országos Idegenrendészeti Főigazgatóság,
LA COUR (première chambre),
composée de M. K. Lenaerts, président de la Cour, faisant fonction de président de la première chambre, M. T. von Danwitz (rapporteur), vice-président de la Cour, Mme M. L. Arastey Sahún, présidente de la cinquième chambre, M. A. Kumin et Mme I. Ziemele, juges,
avocat général : M. A. M. Collins,
greffier : M. I. Illéssy, administrateur,
vu la procédure écrite et à la suite de l’audience du 3 juin 2024,
considérant les observations présentées :
– pour VP, par Me G. Győző, ügyvéd, Mme E. Polgári et Me T. L. Sepsi, ügyvéd,
– pour le gouvernement hongrois, par M. M. Z. Fehér et Mme R. Kissné Berta, en qualité d’agents,
– pour le gouvernement estonien, par Mme N. Grünberg, en qualité d’agent,
– pour le gouvernement espagnol, par M. S. Núñez Silva et Mme A. Pérez-Zurita Gutiérrez, en qualité d’agents,
– pour le gouvernement français, par M. R. Bénard, Mme B. Dourthe et M. B. Fodda, en qualité d’agents,
– pour le gouvernement néerlandais, par Mmes M. K. Bulterman, A. Hanje et M. J. M. Hoogveld, en qualité d’agents,
– pour le gouvernement portugais, par Mmes P. Barros da Costa, A. Pimenta, MM. J. Ramos et Â. Seiça Neves, en qualité d’agents,
– pour la Commission européenne, par MM. A. Bouchagiar, H. Kranenborg et Mme Zs. Teleki, en qualité d’agents,
ayant entendu l’avocat général en ses conclusions à l’audience du 12 septembre 2024,
rend le présent
Arrêt
1 La demande de décision préjudicielle porte sur l’interprétation de l’article 16 du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, ci-après le « RGPD »).
2 Cette demande a été présentée dans le cadre d’un litige opposant VP, une personne physique, à l’Országos Idegenrendészeti Főigazgatóság (direction générale nationale de la police migratoire, Hongrie) (ci-après l’« autorité en charge de l’asile ») au sujet de la rectification des données relatives à l’identité de genre de VP dans un registre public tenu par cette autorité.
Le cadre juridique
Le droit de l’Union
3 Les considérants 1, 10, 59 et 73 du RGPD énoncent :
« (1) La protection des personnes physiques à l’égard du traitement des données à caractère personnel est un droit fondamental. L’article 8, paragraphe 1, de la [charte des droits fondamentaux de l’Union européenne (ci-après la “Charte”)] et l’article 16, paragraphe 1, [TFUE] disposent que toute personne a droit à la protection des données à caractère personnel la concernant.
[...]
(10) Afin d’assurer un niveau cohérent et élevé de protection des personnes physiques et de lever les obstacles aux flux de données à caractère personnel au sein de l’Union [européenne], le niveau de protection des droits et des libertés des personnes physiques à l’égard du traitement de ces données devrait être équivalent dans tous les États membres. Il convient dès lors d’assurer une application cohérente et homogène des règles de protection des libertés et droits fondamentaux des personnes
physiques à l’égard du traitement des données à caractère personnel dans l’ensemble de l’Union. En ce qui concerne le traitement de données à caractère personnel nécessaire au respect d’une obligation légale, à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement, il y a lieu d’autoriser les États membres à maintenir ou à introduire des dispositions nationales destinées à préciser davantage l’application des
règles du présent règlement. [...]
[...]
(59) Des modalités devraient être prévues pour faciliter l’exercice par la personne concernée des droits qui lui sont conférés par le présent règlement, y compris les moyens de demander et, le cas échéant, d’obtenir sans frais, notamment, l’accès aux données à caractère personnel, et leur rectification ou leur effacement, et l’exercice d’un droit d’opposition. [...]
[...]
(73) Des limitations à certains principes spécifiques ainsi qu’au [...] droit de rectification ou d’effacement [des données à caractère personnel] [...] peuvent être imposées par le droit de l’Union ou le droit d’un État membre, dans la mesure nécessaire et proportionnée dans une société démocratique pour garantir la sécurité publique, y compris [...] la prévention des infractions pénales, les enquêtes et les poursuites en la matière ou l’exécution de sanctions pénales, y compris la protection
contre les menaces pour la sécurité publique et la prévention de telles menaces [...], et pour garantir d’autres objectifs d’intérêt public importants de l’Union ou d’un État membre, notamment [...] la tenue de registres publics conservés pour des motifs d’intérêt public général, [...] ou la protection de la personne concernée ou des droits et libertés d’autrui, y compris la protection sociale, la santé publique et les finalités humanitaires. Il y a lieu que ces limitations respectent les
exigences énoncées par la Charte et par la [convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, signée à Rome le 4 novembre 1950 (ci-après la “CEDH”)]. »
4 L’article 1er du RGPD, intitulé « Objet et objectifs », dispose, à son paragraphe 2 :
« Le présent règlement protège les libertés et droits fondamentaux des personnes physiques, et en particulier leur droit à la protection des données à caractère personnel. »
5 L’article 2 du RGPD, intitulé « Champ d’application matériel », prévoit, à son paragraphe 1 :
« Le présent règlement s’applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu’au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier. »
6 Aux termes de l’article 4 du RGPD, intitulé « Définitions » :
« Aux fins du présent règlement, on entend par :
1) “données à caractère personnel”, toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée “personne concernée” ) ; est réputée être une “personne physique identifiable” une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité
physique, physiologique, génétique, psychique, économique, culturelle ou sociale ;
2) “traitement”, toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la
limitation, l’effacement ou la destruction ;
[...] »
7 L’article 5 du RGPD, intitulé « Principes relatifs au traitement des données à caractère personnel », prévoit, à son paragraphe 1 :
« Les données à caractère personnel doivent être :
[...]
d) exactes et, si nécessaire, tenues à jour ; toutes les mesures raisonnables doivent être prises pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder (exactitude) ;
[...] »
8 L’article 6 du RGPD, intitulé « Licéité du traitement », dispose :
« 1. Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :
[...]
c) le traitement est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis ;
[...]
e) le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ;
[...]
2. Les États membres peuvent maintenir ou introduire des dispositions plus spécifiques pour adapter l’application des règles du présent règlement pour ce qui est du traitement dans le but de respecter le paragraphe 1, points c) et e), en déterminant plus précisément les exigences spécifiques applicables au traitement ainsi que d’autres mesures visant à garantir un traitement licite et loyal, y compris dans d’autres situations particulières de traitement comme le prévoit le chapitre IX.
3. Le fondement du traitement visé au paragraphe 1, points c) et e), est défini par :
a) le droit de l’Union ; ou
b) le droit de l’État membre auquel le responsable du traitement est soumis.
Les finalités du traitement sont définies dans cette base juridique ou, en ce qui concerne le traitement visé au paragraphe 1, point e), sont nécessaires à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement. Cette base juridique peut contenir des dispositions spécifiques pour adapter l’application des règles du présent règlement, entre autres : les conditions générales régissant la licéité du traitement par le
responsable du traitement ; les types de données qui font l’objet du traitement ; les personnes concernées ; les entités auxquelles les données à caractère personnel peuvent être communiquées et les finalités pour lesquelles elles peuvent l’être ; la limitation des finalités ; les durées de conservation ; et les opérations et procédures de traitement, y compris les mesures visant à garantir un traitement licite et loyal, telles que celles prévues dans d’autres situations particulières de
traitement comme le prévoit le chapitre IX. Le droit de l’Union ou le droit des États membres répond à un objectif d’intérêt public et est proportionné à l’objectif légitime poursuivi.
[...] »
9 L’article 16 du RGPD, intitulé « Droit de rectification », prévoit :
« La personne concernée a le droit d’obtenir du responsable du traitement, dans les meilleurs délais, la rectification des données à caractère personnel la concernant qui sont inexactes. Compte tenu des finalités du traitement, la personne concernée a le droit d’obtenir que les données à caractère personnel incomplètes soient complétées, y compris en fournissant une déclaration complémentaire. »
10 L’article 23 du RGPD, intitulé « Limitations », dispose, à son paragraphe 1 :
« Le droit de l’Union ou le droit de l’État membre auquel le responsable du traitement ou le sous-traitant est soumis peuvent, par la voie de mesures législatives, limiter la portée des obligations et des droits prévus aux articles 12 à 22 et à l’article 34, ainsi qu’à l’article 5 dans la mesure où les dispositions du droit en question correspondent aux droits et obligations prévus aux articles 12 à 22, lorsqu’une telle limitation respecte l’essence des libertés et droits fondamentaux et qu’elle
constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir :
a) la sécurité nationale ;
b) la défense nationale ;
c) la sécurité publique ;
d) la prévention et la détection d’infractions pénales, ainsi que les enquêtes et les poursuites en la matière ou l’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces ;
e) d’autres objectifs importants d’intérêt public général de l’Union ou d’un État membre, notamment un intérêt économique ou financier important de l’Union ou d’un État membre, y compris dans les domaines monétaire, budgétaire et fiscal, de la santé publique et de la sécurité sociale ;
[...]
h) une mission de contrôle, d’inspection ou de réglementation liée, même occasionnellement, à l’exercice de l’autorité publique, dans les cas visés aux points a) à e) et g) ;
[...] »
Le droit hongrois
11 L’article 81 du menedékjogról szóló 2007. évi LXXX. törvény (loi no LXXX de 2007, relative au droit d’asile), du 29 juin 2007 (Magyar Közlöny 2007/83, ci-après la « loi relative au droit d’asile »), dispose :
« L’autorité en charge de l’asile traite, dans le registre de l’asile, les données à caractère personnel du réfugié, de la personne bénéficiant de la protection subsidiaire, de la personne admise, de la personne bénéficiant de la protection temporaire ainsi que de la personne sollicitant la protection internationale et de la personne relevant de la procédure Dublin (ci-après, conjointement, la “personne relevant du champ d’application de la présente loi”), ainsi que les données en relation avec
leur séjour, les prestations et l’aide auxquelles ils ont droit et, en outre, les changements ultérieurs dans ces données, et cela dans le but :
a) d’établir l’existence du statut de réfugié, de personne bénéficiant de la protection subsidiaire, de personne bénéficiant de la protection temporaire ou de personne admise et de garantir les droits y afférents,
b) d’établir le droit aux prestations et à l’aide prévues dans la présente loi et dans la réglementation,
c) d’identifier la personne,
d) de prévenir les procédures parallèles, et
e) d’établir si la demande a été introduite plusieurs fois. »
12 L’article 82 de la loi relative au droit d’asile prévoit :
« Aux fins du présent chapitre, on entend par “données d’identification d’une personne physique” les données suivantes d’une personne relevant du champ d’application de la présente loi :
[...]
f) le genre. »
13 Aux termes de l’article 83, paragraphe 1, de cette loi :
« Le registre de l’asile contient les données suivantes de la personne relevant du champ d’application de la présente loi :
a) les données d’identification de la personne physique ;
[...] »
14 L’article 83/A, paragraphe 5, de ladite loi dispose :
« L’autorité en charge de l’asile est tenue de procéder d’office, dans le registre de l’asile, à la radiation d’une inscription illicite et à la rectification d’une inscription erronée ou à l’ajout d’une inscription omise. »
Le litige au principal et les questions préjudicielles
15 VP est une personne de nationalité iranienne qui a obtenu le statut de réfugié en Hongrie au cours de l’année 2014. À l’appui de sa demande d’obtention de ce statut, VP avait invoqué sa transidentité et produit des attestations médicales établies par des spécialistes en psychiatrie et en gynécologie. Selon ces attestations, si VP était né femme, son identité de genre était masculine. À la suite de la reconnaissance de son statut de réfugié sur cette base, VP a toutefois été enregistré en tant que
femme dans le registre de l’asile qui, conformément aux dispositions de la loi relative au droit d’asile, est tenu par l’autorité en charge de l’asile et qui comporte les données d’identification, en ce compris le genre, des personnes physiques ayant obtenu ce statut.
16 Au cours de l’année 2022, VP a introduit une demande auprès de l’autorité en charge de l’asile, sur la base de l’article 16 du RGPD, visant à faire rectifier la mention de son genre comme étant masculin et à modifier son prénom dans le registre de l’asile. VP a annexé lesdites attestations médicales à cette demande. Par décision du 11 octobre 2022, cette autorité a rejeté ladite demande, au motif que VP n’avait pas prouvé avoir subi de traitement chirurgical de réassignation sexuelle et que les
attestations fournies n’établissaient que sa transidentité.
17 VP a formé un recours en annulation contre cette décision devant la Fővárosi Törvényszék (cour de Budapest-Capitale, Hongrie), qui est la juridiction de renvoi. À l’appui de son recours, VP fait valoir que la transidentité implique, par définition, un changement d’identité de genre et que les attestations médicales présentées confirment ce changement. Il ressortirait de la jurisprudence de la Cour européenne des droits de l’homme qu’un traitement chirurgical de réassignation sexuelle ne peut pas
être exigé aux fins de la reconnaissance d’un changement d’identité de genre. Une exigence de cette nature serait également contraire, notamment, aux articles 3 et 7 de la Charte. VP soutient par ailleurs que plusieurs États membres, y compris le Royaume de Belgique, le Royaume du Danemark, l’Irlande, la République hellénique, la République de Malte, la République portugaise et le Royaume de Suède, reconnaîtraient les changements d’identité de genre sur la base de déclarations des personnes
concernées. VP précise que les attestations médicales présentées à l’appui de son recours font état de son apparence masculine et visent expressément, à titre de diagnostic, le code F64.0 de la classification internationale des maladies établie par l’Organisation mondiale de la santé (OMS), relatif à la transidentité.
18 L’autorité en charge de l’asile conclut au rejet du recours.
19 Selon la juridiction de renvoi, si la loi relative au droit d’asile comporte certes une disposition générale quant à la rectification des inscriptions erronées, cette loi ne prévoirait ni la procédure ni les conditions de reconnaissance d’un changement d’identité de genre et/ou de prénom en rapport avec un tel changement. À cet égard, l’Alkotmánybíróság (Cour constitutionnelle, Hongrie) aurait considéré dans son arrêt no 6/2018, du 27 juin 2018, que le défaut d’adoption, par le législateur
hongrois, d’une procédure permettant aux personnes qui résident légalement en Hongrie, sans avoir la qualité de ressortissants hongrois, de modifier la mention relative à leur genre et à leur prénom, alors qu’une telle possibilité était offerte aux ressortissants hongrois, était inconstitutionnel. En outre, la Cour européenne des droits de l’homme aurait jugé, par son arrêt du 16 juillet 2020, Rana c. Hongrie (CE:ECHR:2020:0716JUD004088817), que la Hongrie avait violé la CEDH en ne prévoyant pas
de procédure de reconnaissance juridique d’un changement d’identité de genre pour les réfugiés. Cette situation de vide juridique perdurerait depuis lors, en dépit de ces arrêts.
20 Ladite situation serait aggravée par la circonstance que, depuis l’année 2020, la possibilité de reconnaissance juridique d’un changement d’identité de genre aurait cessé d’exister pour les ressortissants hongrois. Ce serait précisément en raison de cette absence de possibilité de reconnaissance en droit national que VP aurait introduit son recours sur le fondement de l’article 16 du RGPD. Dans un tel contexte, la juridiction de renvoi se demande si cet article fait peser sur l’autorité en charge
de l’asile une obligation de rectifier les données relatives au genre dans le registre de l’asile et, dans l’affirmative, quelles seraient les preuves que la personne concernée devrait fournir à l’appui de sa demande.
21 C’est dans ces conditions que la Fővárosi Törvényszék (cour de Budapest-Capitale) a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :
« 1) L’article 16 du RGPD doit-il être interprété en ce sens qu’une autorité chargée de la tenue de registres en vertu du droit national doit, en relation avec l’exercice de ses droits par la personne concernée, rectifier les données à caractère personnel relatives au genre de la personne concernée qui ont été enregistrées par l’autorité, lorsque ces données ont changé depuis qu’elles ont été inscrites dans les registres et ne sont donc pas conformes au principe d’exactitude énoncé à l’article 5,
paragraphe 1, sous d), du RGPD ?
2) Si la réponse à la première question est affirmative, l’article 16 du RGPD doit-il être interprété en ce sens qu’il exige d’une personne demandant la rectification de données relatives à son genre qu’elle fournisse des preuves à l’appui de sa demande de rectification ?
3) Si la réponse à la deuxième question est affirmative, l’article 16 du RGPD doit-il être interprété en ce sens qu’il signifie que la personne à l’origine de la demande doit fournir la preuve qu’elle a subi un traitement chirurgical de réassignation sexuelle ? »
Sur les questions préjudicielles
Sur la première question
22 Par sa première question, la juridiction de renvoi demande, en substance, si l’article 16 du RGPD doit être interprété en ce sens qu’il impose à une autorité nationale chargée de la tenue d’un registre public de rectifier les données à caractère personnel relatives à l’identité de genre d’une personne physique lorsque ces données ne sont pas exactes, au sens de l’article 5, paragraphe 1, sous d), de ce règlement.
23 À titre liminaire, il convient de rappeler que, aux termes de l’article 16 du RGPD, la personne concernée a le droit d’obtenir du responsable du traitement, dans les meilleurs délais, la rectification des données à caractère personnel la concernant qui sont inexactes. Compte tenu des finalités du traitement, la personne concernée a le droit d’obtenir que les données à caractère personnel incomplètes soient complétées, y compris en fournissant une déclaration complémentaire.
24 Cette disposition concrétise le droit fondamental consacré à l’article 8, paragraphe 2, seconde phrase, de la Charte, selon lequel toute personne a le droit d’accéder aux données collectées la concernant et d’en obtenir la rectification.
25 En outre, l’article 16 du RGPD doit être lu à la lumière, d’une part, de l’article 5, paragraphe 1, sous d), du RGPD, qui consacre le principe d’exactitude, en vertu duquel les données traitées doivent être exactes et, si nécessaire, tenues à jour, étant précisé que toutes les mesures raisonnables doivent être prises pour que les données qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder. D’autre part, cette disposition doit
également être lue à la lumière du considérant 59 du RGPD, dont il ressort que des modalités devraient être prévues pour faciliter l’exercice par la personne concernée des droits qui lui sont conférés par ce règlement, y compris les moyens de demander et, le cas échéant, d’obtenir sans frais, notamment, la rectification de ses données à caractère personnel.
26 À cet égard, il y a lieu de préciser que, selon la jurisprudence de la Cour, le caractère exact et complet de données à caractère personnel doit être apprécié au regard de la finalité pour laquelle ces données ont été collectées (voir, par analogie, arrêt du 20 décembre 2017, Nowak, C‑434/16, EU:C:2017:994, point 53).
27 Enfin, aux fins de l’interprétation de l’article 16 du RGPD, il convient encore de rappeler que l’objectif poursuivi par ce règlement, tel qu’il ressort de l’article 1er ainsi que des considérants 1 et 10 de celui-ci, consiste, notamment, à garantir un niveau élevé de protection des libertés et des droits fondamentaux des personnes physiques, en particulier de leur droit à la vie privée à l’égard du traitement des données à caractère personnel, consacré à l’article 8, paragraphe 1, de la Charte
et à l’article 16, paragraphe 1, TFUE (arrêt du 9 janvier 2025, Mousse, C‑394/23, EU:C:2025:2, point 21 et jurisprudence citée).
28 Conformément à cet objectif, tout traitement de données à caractère personnel doit, notamment, être conforme aux principes relatifs au traitement de telles données énoncés à l’article 5 du RGPD, y compris le principe d’exactitude rappelé au point 25 du présent arrêt, mais également satisfaire aux conditions de licéité énumérées à l’article 6 de ce règlement (voir, en ce sens, arrêt du 9 janvier 2025, Mousse, C‑394/23, EU:C:2025:2, point 22 et jurisprudence citée).
29 Dans ces conditions, la tenue à jour des données traitées constitue un aspect essentiel de la protection de la personne concernée à l’égard du traitement de ces données.
30 En l’occurrence, il est constant, d’une part, que l’information relative à l’identité de genre de VP peut être qualifiée de « donnée à caractère personnel », dès lors qu’elle se rapporte à une personne physique identifiée ou identifiable, au sens de l’article 4, point 1, du RGPD, et, d’autre part, que cette donnée a fait l’objet d’un « traitement », au sens de l’article 4, point 2, de ce règlement, dès lors qu’elle a été collectée et enregistrée par l’autorité en charge de l’asile dans un
registre public, à savoir le registre de l’asile. Par conséquent, un tel traitement, qui porte sur des données contenues ou appelées à figurer dans un fichier, relève du champ d’application matériel dudit règlement, en vertu de l’article 2, paragraphe 1, de celui-ci (voir, par analogie, arrêt du 9 janvier 2025, Mousse, C‑394/23, EU:C:2025:2, point 30).
31 Si le respect des conditions de licéité du traitement concerné, au sens de l’article 6 du RGPD, ne semble pas avoir été remis en cause dans le cadre du litige au principal, le respect, par l’autorité en charge de l’asile, du principe d’exactitude énoncé à l’article 5, paragraphe 1, sous d), de ce règlement est contesté par VP, qui sollicite une rectification de la donnée à caractère personnel relative à son identité de genre, au titre de l’article 16 dudit règlement.
32 À la lumière de la jurisprudence rappelée au point 26 du présent arrêt, il incombe à la juridiction de renvoi de vérifier l’exactitude de la donnée en cause au principal au regard de la finalité pour laquelle celle-ci a été collectée et d’apprécier, en particulier, à la lumière de l’article 81, sous c), de la loi relative au droit d’asile, si la collecte de cette donnée a pour but d’identifier la personne concernée. Si tel devait être le cas, ladite donnée semblerait donc viser l’identité de
genre vécue par cette personne, et non celle qui lui aurait été assignée à la naissance. Dans un tel contexte, contrairement à ce que soutient le gouvernement hongrois, il appartiendrait au responsable du traitement, en l’occurrence à l’autorité en charge de l’asile, de prendre en considération l’identité de genre de ladite personne au moment de son inscription dans le registre de l’asile, et non l’identité de genre qui lui aurait été assignée à la naissance.
33 Par conséquent, ainsi que M. l’avocat général l’a relevé, en substance, aux points 31 et 40 de ses conclusions, et eu égard au dossier dont dispose la Cour, selon lequel, dans le cadre de la procédure d’octroi du statut de réfugié, la Hongrie aurait admis que VP était une personne transgenre, la donnée à caractère personnel relative à son identité de genre, figurant dans le registre de l’asile, semble avoir été inexacte dès son inscription.
34 À cet égard, contrairement à ce que soutient le gouvernement hongrois, un État membre ne saurait se prévaloir de dispositions de droit national spécifiques, adoptées sur la base de l’article 6, paragraphes 2 et 3, du RGPD, pour faire obstacle au droit de rectification consacré à l’article 8, paragraphe 2, de la Charte et concrétisé à l’article 16 du RGPD.
35 En effet, d’une part, il ressort du considérant 10, troisième phrase, de ce règlement que ces dispositions spécifiques sont uniquement destinées à préciser davantage l’application des règles contenues dans le RGPD, et non à y déroger.
36 D’autre part, le droit de rectification énoncé à l’article 16 du RGPD ne peut être limité que dans les conditions énoncées à l’article 23 de ce règlement, lu à la lumière du considérant 73 de celui-ci. Ainsi, un État membre peut notamment prévoir, par des mesures législatives internes, des limitations à ce droit, s’agissant de données à caractère personnel figurant dans des registres publics tenus pour des motifs d’intérêt public général. Cependant, en l’occurrence, ainsi que M. l’avocat général
l’a relevé, en substance, au point 44 de ses conclusions, il ne ressort pas du dossier dont dispose la Cour que le législateur hongrois aurait limité, en respectant les conditions visées à l’article 23 du RGPD, la portée dudit droit de rectification, ni que l’autorité en charge de l’asile aurait motivé son refus de la rectification demandée en invoquant une telle limitation légale. En effet, sous réserve de vérification par la juridiction de renvoi, il semblerait que ce refus ne soit pas fondé
sur une mesure législative adoptée au titre de l’article 23 du RGPD, mais sur la considération selon laquelle VP n’aurait pas fourni la preuve de son identité de genre.
37 En tout état de cause, un État membre ne saurait invoquer l’absence, dans son droit national, de procédure de reconnaissance juridique de la transidentité pour faire obstacle au droit de rectification. À cet égard, il convient de rappeler que, si le droit de l’Union ne porte pas atteinte à la compétence des États membres dans le domaine de l’état civil des personnes et de la reconnaissance juridique de leur identité de genre, ces États doivent toutefois, dans l’exercice de cette compétence,
respecter le droit de l’Union. Ainsi, une réglementation nationale qui fait obstacle à ce qu’une personne transgenre, faute de la reconnaissance de son identité de genre, puisse remplir une condition nécessaire au bénéfice d’un droit protégé par le droit de l’Union tel que, en l’occurrence, le droit consacré à l’article 8, paragraphe 2, de la Charte et concrétisé à l’article 16 du RGPD, doit être considérée comme étant, en principe, incompatible avec le droit de l’Union (voir, par analogie, arrêt
du 4 octobre 2024, Mirin, C‑4/23, EU:C:2024:845, points 53 et 60 ainsi que jurisprudence citée).
38 Eu égard à l’ensemble des considérations qui précèdent, il y a lieu de répondre à la première question que l’article 16 du RGPD doit être interprété en ce sens qu’il impose à une autorité nationale chargée de la tenue d’un registre public de rectifier les données à caractère personnel relatives à l’identité de genre d’une personne physique lorsque ces données ne sont pas exactes, au sens de l’article 5, paragraphe 1, sous d), de ce règlement.
Sur les deuxième et troisième questions
39 Par ses deuxième et troisième questions, qu’il convient d’examiner ensemble, la juridiction de renvoi demande, en substance, si l’article 16 du RGPD doit être interprété en ce sens qu’un État membre peut subordonner, par une pratique administrative, l’exercice du droit de rectification des données à caractère personnel relatives à l’identité de genre d’une personne physique, contenues dans un registre public, à la production de preuves, notamment, d’un traitement chirurgical de réassignation
sexuelle.
40 Ainsi que M. l’avocat général l’a relevé au point 47 de ses conclusions, l’article 16 du RGPD ne précise pas quels sont les éléments de preuve qui peuvent être exigés par un responsable du traitement afin d’établir le caractère inexact des données à caractère personnel dont une personne physique sollicite la rectification.
41 Dans ce contexte, si la personne concernée, sollicitant la rectification de ces données, peut être tenue de fournir les éléments de preuve pertinents et suffisants qui peuvent, eu égard aux circonstances du cas d’espèce, raisonnablement être exigés de cette personne pour établir l’inexactitude desdites données [voir, par analogie, arrêt du 8 décembre 2022, Google (Déréférencement d’un contenu prétendument inexact), C‑460/20, EU:C:2022:962, points 68 et 72], il convient toutefois de préciser,
ainsi qu’il a été rappelé au point 36 du présent arrêt, qu’un État membre ne peut limiter l’exercice du droit de rectification que dans le respect de l’article 23 du RGPD.
42 Or, l’article 23, paragraphe 1, du RGPD prévoit que le droit de l’Union ou le droit de l’État membre auquel le responsable du traitement ou le sous-traitant est soumis peuvent, par la voie de mesures législatives, limiter la portée des obligations et des droits prévus aux articles 12 à 22 et à l’article 34 de ce règlement, ainsi qu’à son article 5 dans la mesure où les dispositions du droit en question correspondent aux droits et obligations prévus aux articles 12 à 22 dudit règlement, à
condition, toutefois, qu’une telle limitation respecte l’essence des libertés et droits fondamentaux et qu’elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir certains objectifs énumérés par ce même règlement tels que, notamment, des objectifs importants d’intérêt public général de l’Union ou d’un État membre. Ainsi qu’il a été relevé au point 36 du présent arrêt, le droit de rectification peut faire l’objet de limitations dans le contexte de la tenue
de registres publics conservés pour des motifs d’intérêt public général, notamment afin de garantir la fiabilité et la cohérence de ces registres.
43 En l’occurrence, il ressort de la demande de décision préjudicielle que l’État membre concerné a adopté une pratique administrative consistant à subordonner l’exercice, par une personne transgenre, de son droit de rectification des données relatives à son identité de genre, figurant dans un registre public, à la production de preuves d’un traitement chirurgical de réassignation sexuelle. Une telle pratique administrative donne lieu à une limitation du droit de rectification, laquelle se doit
d’être conforme aux conditions visées à l’article 23 du RGPD, ainsi qu’il a été rappelé aux deux points précédents du présent arrêt.
44 Or, premièrement, il y a lieu de relever que cette pratique administrative ne répond pas à l’exigence selon laquelle le droit d’un État membre ne peut limiter la portée du droit prévu à l’article 16 du RGPD que par la voie de mesures législatives. En effet, sous réserve de vérification par la juridiction de renvoi, le droit hongrois ne semble comporter aucune mesure législative afférente aux exigences de preuve applicables quant à la rectification des données relatives à l’identité de genre des
personnes inscrites au registre de l’asile.
45 Deuxièmement, une telle pratique administrative porte atteinte à l’essence de droits fondamentaux garantis par la Charte et, notamment, à l’essence du droit à l’intégrité de la personne et du droit au respect de la vie privée, respectivement visés aux articles 3 et 7 de celle-ci.
46 À cet égard, il convient de rappeler que, conformément à l’article 52, paragraphe 3, de la Charte, les droits garantis par celle-ci ont le même sens et la même portée que les droits correspondants garantis par la CEDH, cette dernière constituant un seuil de protection minimale (voir, en ce sens, arrêt du 4 octobre 2024, Mirin, C‑4/23, EU:C:2024:845, point 63 et jurisprudence citée).
47 Or, il ressort de la jurisprudence constante de la Cour européenne des droits de l’homme que l’article 8 de la CEDH, qui correspond à l’article 7 de la Charte, protège l’identité de genre d’une personne, qui est un élément constitutif et un des aspects les plus intimes de sa vie privée. Ainsi, cette disposition englobe le droit pour chacun d’établir les détails de son identité d’être humain, ce qui comprend le droit des personnes transgenres à l’épanouissement personnel et à l’intégrité physique
et morale ainsi qu’au respect et à la reconnaissance de leur identité de genre. Cet article 8 impose, à cet effet, aux États, outre des obligations négatives ayant pour objet de prémunir les personnes transgenres contre les ingérences arbitraires des pouvoirs publics, des obligations positives, ce qui implique également la mise en place de procédures efficaces et accessibles garantissant un respect effectif de leur droit à l’identité de genre. En outre, compte tenu de l’importance particulière de
ce droit, les États ne jouissent que d’une marge d’appréciation restreinte dans ce domaine (voir, en ce sens, arrêt du 4 octobre 2024, Mirin, C‑4/23, EU:C:2024:845, points 64 et 65 ainsi que jurisprudence citée).
48 Dans ce contexte, la Cour européenne des droits de l’homme a notamment jugé que la reconnaissance de l’identité de genre d’une personne transgenre ne pouvait pas être subordonnée à la réalisation d’un traitement chirurgical non souhaité par cette personne (voir, en ce sens, Cour EDH, 19 janvier 2021, X et Y c. Roumanie, CE:ECHR:2021:0119JUD000214516, § 165 et 167 ainsi que jurisprudence citée).
49 Enfin, troisièmement, une pratique administrative telle que celle en cause au principal n’est, en tout état de cause, pas nécessaire ni proportionnée afin de garantir la fiabilité et la cohérence d’un registre public, tel que le registre de l’asile, dès lors qu’une attestation médicale, en ce compris un psychodiagnostic préalable, peut constituer un élément de preuve pertinent et suffisant à cet égard (voir, en ce sens, Cour EDH, 6 avril 2017, A.P., Garçon et Nicot c. France,
CE:ECHR:2017:0406JUD007988512, § 139 et 142).
50 Eu égard aux considérations qui précèdent, il convient de répondre aux deuxième et troisième questions que l’article 16 du RGPD doit être interprété en ce sens que, aux fins de l’exercice du droit de rectification des données à caractère personnel relatives à l’identité de genre d’une personne physique, contenues dans un registre public, cette personne peut être tenue de fournir les éléments de preuve pertinents et suffisants qui peuvent raisonnablement être exigés de ladite personne pour établir
l’inexactitude de ces données. Cependant, un État membre ne peut en aucun cas subordonner, par une pratique administrative, l’exercice de ce droit à la production de preuves d’un traitement chirurgical de réassignation sexuelle.
Sur les dépens
51 La procédure revêtant, à l’égard des parties au principal, le caractère d’un incident soulevé devant la juridiction de renvoi, il appartient à celle-ci de statuer sur les dépens. Les frais exposés pour soumettre des observations à la Cour, autres que ceux desdites parties, ne peuvent faire l’objet d’un remboursement.
Par ces motifs, la Cour (première chambre) dit pour droit :
1) L’article 16 du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données),
doit être interprété en ce sens que :
il impose à une autorité nationale chargée de la tenue d’un registre public de rectifier les données à caractère personnel relatives à l’identité de genre d’une personne physique lorsque ces données ne sont pas exactes, au sens de l’article 5, paragraphe 1, sous d), de ce règlement.
2) L’article 16 du règlement 2016/679
doit être interprété en ce sens que :
aux fins de l’exercice du droit de rectification des données à caractère personnel relatives à l’identité de genre d’une personne physique, contenues dans un registre public, cette personne peut être tenue de fournir les éléments de preuve pertinents et suffisants qui peuvent raisonnablement être exigés de ladite personne pour établir l’inexactitude de ces données. Cependant, un État membre ne peut en aucun cas subordonner, par une pratique administrative, l’exercice de ce droit à la production
de preuves d’un traitement chirurgical de réassignation sexuelle.
Signatures
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
( *1 ) Langue de procédure : le hongrois.
( i ) Le nom de la présente affaire est un nom fictif. Il ne correspond au nom réel d’aucune partie à la procédure.
