Arrêt « Puškár contre Slovaquie » du 27 septembre 2017 (CJUE)

Le présent billet est un résumé de la décision « Puškár contre Slovaquie » de la Cour de justice de l’Union européenne, du 27 septembre 2017.

La direction des finances de la République slovaque tient à jour, avec le bureau de lutte contre la criminalité des finances du pays, une liste de personnes considérées par la direction des finances comme étant des prête-noms pour occuper des fonctions de direction. M. Puškár faisait partie des personnes inscrites sur cette liste.

Estimant lésés ses droits à la protection de la vie privée ^[1]art. 7 de la Charte des droits fondamentaux de l’UE et art. 8 CEDH, il déposa un recours devant les tribunaux slovaques pour faire retirer son nom de cette liste. Ce qui lui fut refusé, au prétexte que le droit slovaque lui imposait d’avoir épuisé toutes les voies de recours administratif avant de porter plainte devant les tribunaux, c’est-à-dire de faire une demande auprès de l’autorité de protection des données du pays avant de recourir aux tribunaux.

Or, selon la Cour constitutionnelle du pays, exiger cela d’un requérant aboutit à le prix au droit à un procès équitable. Elle annula donc les décisions de la Cour suprême et lui renvoya l’affaire. La Cour suprême décida alors de poser une série de questions préjudicielles à la CJUE ^[2]Voir les questions complètes : CJUE 27 septembre 2017 « Puškár contre Slovaquie » Aff. C-73/16 pt. 32, que l’on peut résumer ainsi :

1. Est-il possible de subordonner l’exercice d’un recours en justice pour violation du droit à la vie privée et à la protection des données personnelles au fait d’avoir d’abord épuisé les voies de recours administratives notamment auprès de l’autorité de protection des données compétentes, sans pour autant violer l’article 47 premier alinéa de la Charte des droits fondamentaux sur le droit à un recours effectif devant un tribunal pour les victimes de violation d’une liberté fondamentale ? Si oui, alors sous quelles conditions ?

2. Un Etat a-t-il le droit de collecter sans son consentement des données sur quelqu’un lorsqu’il s’agit de les inscrire sur une liste établies à des fins de perception de l’impôt et de répression de la fraude fiscale ? Une telle liste entre-t-elle dans le cadre de ce qui est prévu à l’article 13, paragraphe 1, sous e) de la directive 95/46/CE ?

3. Une liste contenant des données à caractère personnel obtenue sans le consentement du responsable de traitement est-elle un moyen de preuve illégal dans un procès ?

4. En cas de conflit de jurisprudence entre la CEDH et la CJUE, quelle est l’interprétation qu’une juridiction nationale doit privilégier ?

0. Remarques liminaires sur la recevabilité

Le gouvernement espagnol objecta ^[3]pt. 35 de l’arrêt précité qu’une liste de données personnelles visant à lutter contre la fraude fiscale ne relevait pas du champ d’application de la directive 95/46/CE, en vertu de l’article 3 paragraphe 2 de cette directive (et par ailleurs, même si le gouvernement espagnol ne le mentionne pas, des traités). Cet article exclut les traitements de données personnelles ayant pour objet la sécurité publique, la défense, la sûreté de l’Etat, y compris le bien-être économique de l’Etat lorsque cela a un rapport avec la sécurité publique.

La CJUE n’est cependant pas convaincue par cette interprétation.

En effet, il n’apparaît pas que le litige porte sur des questions de sûreté de l’Etat, de défense, ou de sécurité publique ^[4]pt. 39 de l’arrêt précité. Les données collectées ne l’ont pas non plus été dans le cadre d’une enquête pénale ^[5]pt. 40 de l’arrêt précité. Par ailleurs, la CJUE a déjà eu l’occasion de dire que les données fiscales sont des données personnelles au sens de la directive 95/46/CE ^[6]CJUE 1^er october 2015, « Bara e.a. », C-201/14, pt. 29.

Enfin, l’article 13 paragraphe 1 de la directive permet aux Etats membres, sous certaines conditions, de se passer d’appliquer un certain nombre des principes contenus dans la directive 95/46/CE notamment pour sauvegarder un intérêt économique ou financier important, « y compris dans les domaines monétaire, budgétaire et fiscal » ^[7]art. 13 de la directive 95/46/CE. Pourquoi le législateur aurait-il inclut cette disposition s’il estimait que la directive ne s’applique pas à ces traitements ? ^[8]pt. 43 de l’arrêt Puškár.

1. Sur la possibilité de subordonner un recours juridique sur la violation du droit à la vie privée et à la protection des données à l’épuisement des voies de recours administratives

Le droit à un recours juridictionnel effectif en cas de violation des droits à la vie privée et à la protection des données personnelles ^[9]Articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne est prévu non seulement par l’article 47 de la Charte, mais aussi par l’article 22 de la directive 95/46/CE, qui dispose :

« Sans préjudice du recours administratif qui peut être organisé, notamment devant l’autorité de contrôle visée à l’article 28, antérieurement à la saisine de l’autorité judiciaire, les Etats membres prévoient que toute personne dispose d’un recours juridictionnel en cas de violation des droits qui lui sont garantis par les dispositions nationales applicables au traitement en question » ^[10]Art. 22 de la directive 95/46/CE

Comment interpréter les mots « sans préjudice du recours administratif qui peut être organisé » de l’article 22 de la directive au regard des dispositions de la Charte des droits fondamentaux de l’Union européenne, et notamment de son article 47 ?

Pour la CJUE, le fait de subordonner l’exercice d’un droit de recours devant le juge en cas de violation des droits à la vie privée et à la protection des données est une limitation du droit à un recours juridictionnel garanti à l’article 47, qui n’est justifié « que si elle est prévue par la loi, si elle respecte le contenu essentiel dudit droit et si, dans le respect du principe de proportionnalité, elle est nécessaire et répond effectivement à des objectifs d’intérêt général reconnus par l’Union ou au besoin de protection des droits et des libertés d’autrui » ^[11]Point 62 de l’arrêt Puškár précité.

La CJUE valide le raisonnement du gouvernement slovaque, pour qui la restriction en cause poursuit le but d’intérêt général légitime d’améliorer l’efficacité de la procédure juridictionnelle ^[12]Points 66 à 68 de l’arrêt Puškár précité. Mais elle doit remplir certaines conditions pour respecter le principe de proportionnalité ^[13]Point 76 de l’arrêt Puškár précité :

1. L’épuisement préalable des voies de recours administratives disponibles ne doit pas entraîner de retard substantiel pour l’introduction d’un recours juridictionnel ;

2. L’introduction d’un recours administratif doit entraîner la suspension du délai de prescription des droits concernés par le recours ;

3. L’exigence procédurale introduite ne doit pas occasioner de frais excessifs.

2. Est-il possible de se passer du consentement des personnes concernées pour la constitution d’un fichier de données personnelles ayant pour finalité la perception de l’impôt et la lutte contre la fraude fiscale ?

Dans l’arrêt Bara ^[14]CJUE 1^er october 2015, « Bara e.a. », C-201/14 la CEDH avait déjà indiqué qu’à condition que cela soit prévu par des mesures législatives, l’article 13 de la directive 95/46/CE permet bel et bien de limiter certains droits des personnes concernées s’il s’agit pour l’Etat (notamment) de lutter par cela contre la fraude fiscal. Ce n’est donc pas surprenant que la Cour rappelle que l’établissement de la liste dont il était question dans cette affaire peut relever de l’article 13 ^[15]Point 107 de l’arrêt Puškár précité.

Mais seul une autorité investie d’une mission d’intérêt général de perception de l’impôt de lutte contre la fraude fiscale peut établir une telle liste sans le consentement des personnes concernées ^[16]Points 109 et 110 de l’arrêt Puškár précité. Et cette autorité doit être en mesure de prouver la nécessité stricte de l’établissement d’une telle liste ^[17]Points 111 et 112 de l’arrêt Puškár précité.

Enfin, la CJUE évoque le fait que l’inscription d’une personne sur une liste de personnes suspectées d’être des « prête-noms » peut nuire à leur réputation et porter atteinte à la qualité de leurs relations avec l’administration fiscale. Dès lors, l’administration fiscale doit faire attention à respecter le principe de la présomption d’innocence ancré à l’article 48 paragraphe 1 de la Charte, et il revient ici à la juridiction de renvoi (la cour slovaque ayant posé la question) de vérifier qu’il existe bien des indices suffisants pour justifier l’inscription sans leur consentement des personnes concernées sur telle liste.

3. Sur la recevabilité d’une liste de données personnelles obtenues sans le consentement du responsable du traitement comme preuve dans un procès

La CJUE ne se prononce pas sur la recevabilité d’une liste de données personnelles dans un procès en général, mais uniquement sur le fait qu’il soit autorisé par le droit de l’Union (et notamment l’article 47 de la Charte sur le droit à un recours effectif en cas de violation d’une liberté fondamentale) qu’un tribunal rejette comme moyen de preuve une liste de données personnelles, obtenue par le requérant sans l’accord du responsable du traitement, dans un litige portant sur une violation alléguée des droits à la vie privée et à la protection des données.

Elle indique que l’article 47 de la Charte des droits fondamentaux de l’Union européenne ne permet de refuser qu’une telle liste soit admise comme moyen de preuve dans un tel procès que si une loi de l’Etat membre limite de façon justifiée au regard de l’article 13 les droits d’information et d’accès énoncés aux articles 10 à 12 de la directive 95/46/CE ^[18]Points 97 et 98 de l’arrêt Puškár précité.

4. Que faire en cas de divergence de jurisprudence entre la CJUE et la CEDH ?

De la même façon que, dans l’arrêt « Tele2 Sverige » de décembre 2016 ^[19]CJUE 21 décembre 2016 « Tele2 Sverige et al. » C-203/15 et C-698/15, la CJUE évite de répondre à la question portant sur la relation entre les articles 7 et 8 de la Charte des droits fondamentaux, à la fois entre eux et ensemble vis-à-vis de l’article 8 de la CEDH, et que dans l’arrêt « Amazon EU » du 27 juillet 2016 ^[20]CJUE 27 juillet 2016 « Amazon EU » C-191/15 elle évite de préciser la relation entre la directive 95/46/CE et les règlements de Rome I et Rome II ^[21]Arrêt « Amazon EU » précité, pts. 66 à 81, la CJUE évite de nouveau de répondre à une question cette fois encore plus épineuse : que faire si sa jurisprudence diverge de celle de la CEDH ?

Elle répond en effet à la Cour suprême slovaque, qui lui avait posé la question, qu’il faudrait pour qu’elle puisse répondre qu’elle dispose de tous les éléments de contexte nécessaires à la formulation d’une réponse. Le rôle d’une question préjudicielle n’est en effet pas « la formulation d’opinions consultatives sur des questions générales ou hypothétiques, mais le besoin inhérent à la solution effective d’un litige portant sur le droit de l’Union » ^[22]Point 123 de l’arrêt Puškár précité.

Il est probable qu’une question illustrant une telle divergence de jurisprudence, dont il ne nous pas prouvé dans le corpus jurisprudentiel analysé pour la rédaction du présent guide, qu’elle aille bien au-delà de différences sémantiques et de forme, aurait reçu pour réponse une analyse de la CJUE visant à faire converger les deux jurisprudence. En effet, un conflit entre la CEDH et la CJUE sur la hiérarchie entre leurs normes, surtout tant que l’UE ne sera pas signataire de la Convention européenne des droits de l’Homme, pourrait avoir de graves conséquences sur la sécurité juridique.

L’arrêt analysé ci-dessus sera très prochainement intégré au guide la jurisprudence (voir ici la dernière version publiée)