Sommaire de l'arrêt

1.

En effet, d’une part, la première exception, prévue au premier tiret dudit paragraphe 2, concerne les traitements de données à caractère personnel mis en oeuvre pour l’exercice d’activités qui ne relèvent pas du champ d’application du droit communautaire, telles que celles prévues aux titres V et VI du traité sur l’Union européenne, et, en tout état de cause, les traitements ayant pour objet la sécurité publique, la défense, la sûreté de l’État (y compris le bien-être économique de l’État lorsque ces traitements sont liés à des questions de sûreté de l’État) et les activités de l’État relatives à des domaines du droit pénal. Les activités mentionnées à titre d’exemple dans cette disposition sont, dans tous les cas, des activités propres aux États ou aux autorités étatiques et étrangères aux domaines d’activité des particuliers, et destinées à définir la portée de l’exception y prévue, de sorte que cette exception ne s’applique qu’aux activités qui y sont ainsi expressément mentionnées ou qui peuvent être rangées dans la même catégorie. Or, des activités bénévoles ou religieuses ne sont pas assimilables aux activités mentionnées dans ladite disposition et ne sont donc pas couvertes par cette exception. D’autre part, la seconde exception, prévue au second tiret du même paragraphe 2, vise uniquement les activités qui s’insèrent dans le cadre de la vie privée ou familiale des particuliers, ce qui n’est manifestement pas le cas du traitement de données à caractère personnel consistant dans leur publication sur Internet de sorte que ces données sont rendues accessibles à un nombre indéfini de personnes.

2.

Le fait qu’une personne s’est blessée au pied et est en congé de maladie partiel constitue une donnée à caractère personnel relative à la santé au sens de l’article 8, paragraphe 1, de la directive 95/46, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données. En effet, eu égard à l’objet de cette directive, l’expression «données relatives à la santé» employée dans ladite disposition appelle une interprétation large de sorte qu’elle comprenne des informations concernant tous les aspects, tant physiques que psychiques, de la santé d’une personne.

3.

4.

5.

ARRÊT DE LA COUR
6 novembre 2003(1)

«Directive 95/46/CE – Champ d'application – Publication des données à caractère personnel sur Internet – Lieu de la publication – Notion de transfert de données à caractère personnel vers des pays tiers – Liberté d'expression – Compatibilité avec la directive 95/46 d'une protection plus forte des données à caractère personnel par la législation d'un État membre» 

Dans l'affaire C-101/01,

LA COUR,

me

considérant les observations écrites présentées:

–

me

e

–

–

me

–

me

me

–

me

vu le rapport d'audience,

ayant entendu les observations orales de M ^me Lindqvist, représentée par M ^e S. Larsson, du gouvernement suédois, représenté par M. A. Kruse et M ^me B. Hernqvist, en qualité d'agent, du gouvernement néerlandais, représenté par M ^me J. van Bakel, en qualité d'agent, du gouvernement du Royaume-Uni, représenté par M ^me J. Stratford, de la Commission, représentée par M ^me L. Ström et M. C. Docksey, en qualité d'agent, et de l'Autorité de surveillance AELE, représentée par M ^me D. Sif Tynes, en qualité d'agent, à l'audience du 30 avril 2002,

ayant entendu l'avocat général en ses conclusions à l'audience du 19 septembre 2002,

rend le présent

Arrêt

1

Par ordonnance du 23 février 2001, parvenue à la Cour le 1

er

mars suivant, le Göta hovrätt a posé, en application de l’article 234 CE, sept questions préjudicielles relatives, notamment, à l’interprétation de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO L 281, p. 31).

2

Ces questions ont été soulevées dans le cadre d’une procédure pénale poursuivie devant ladite juridiction contre M

me

Lindqvist, accusée d’avoir enfreint la législation suédoise relative à la protection des données à caractère personnel en publiant sur son site Internet des données à caractère personnel concernant un certain nombre de personnes qui travaillent, comme elle, à titre bénévole dans une paroisse de l’Église protestante de Suède.

3

er

, paragraphe 1, la protection des libertés et des droits fondamentaux des personnes physiques, notamment de leur vie privée, à l’égard du traitement des données à caractère personnel.

4

«1.

La présente directive s’applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu’au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier.

2.

La présente directive ne s’applique pas au traitement de données à caractère personnel:

–

–

5

«1.

Les États membres interdisent le traitement des données à caractère personnel qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, ainsi que le traitement des données relatives à la santé et à la vie sexuelle.

2.

Le paragraphe 1 ne s’applique pas lorsque:

a)

ou

b)

ou

c)

ou

d)

ou

e)

3.

Le paragraphe 1 ne s’applique pas lorsque le traitement des données est nécessaire aux fins de la médecine préventive, des diagnostics médicaux, de l’administration de soins ou de traitements ou de la gestion de services de santé et que le traitement de ces données est effectué par un praticien de la santé soumis par le droit national ou par des réglementations arrêtées par les autorités nationales compétentes au secret professionnel, ou par une autre personne également soumise à une obligation de secret équivalente.

4.

Sous réserve de garanties appropriées, les États membres peuvent prévoir, pour un motif d’intérêt public important, des dérogations autres que celles prévues au paragraphe 2, soit par leur législation nationale, soit sur décision de l’autorité de contrôle.

5.

Le traitement de données relatives aux infractions, aux condamnations pénales ou aux mesures de sûreté ne peut être effectué que sous le contrôle de l’autorité publique ou si des garanties appropriées et spécifiques sont prévues par le droit national, sous réserve des dérogations qui peuvent être accordées par l’État membre sur la base de dispositions nationales prévoyant des garanties appropriées et spécifiques. Toutefois, un recueil exhaustif des condamnations pénales ne peut être tenu que sous le contrôle de l’autorité publique.

Les États membres peuvent prévoir que les données relatives aux sanctions administratives ou aux jugements civils sont également traitées sous le contrôle de l’autorité publique.

6.

Les dérogations au paragraphe 1 prévues aux paragraphes 4 et 5 sont notifiées à la Commission.

7.

Les États membres déterminent les conditions dans lesquelles un numéro national d’identification ou tout autre identifiant de portée générale peut faire l’objet d’un traitement.»

6

«Les États membres prévoient, pour les traitements de données à caractère personnel effectués aux seules fins de journalisme ou d’expression artistique ou littéraire, des exemptions et dérogations au présent chapitre, au chapitre IV et au chapitre VI dans la seule mesure où elles s’avèrent nécessaires pour concilier le droit à la vie privée avec les règles régissant la liberté d’expression.»

7

8

«1.

Les États membres prévoient que le transfert vers un pays tiers de données à caractère personnel faisant l’objet d’un traitement, ou destinées à faire l’objet d’un traitement après leur transfert, ne peut avoir lieu que si, sous réserve du respect des dispositions nationales prises en application des autres dispositions de la présente directive, le pays tiers en question assure un niveau de protection adéquat.

2.

Le caractère adéquat du niveau de protection offert par un pays tiers s’apprécie au regard de toutes les circonstances relatives à un transfert ou à une catégorie de transferts de données; en particulier, sont pris en considération la nature des données, la finalité et la durée du ou des traitements envisagés, les pays d’origine et de destination finale, les règles de droit, générales ou sectorielles, en vigueur dans le pays tiers en cause, ainsi que les règles professionnelles et les mesures de sécurité qui y sont respectées.

3.

Les États membres et la Commission s’informent mutuellement des cas dans lesquels ils estiment qu’un pays tiers n’assure pas un niveau de protection adéquat au sens du paragraphe 2.

4.

Lorsque la Commission constate, conformément à la procédure prévue à l’article 31 paragraphe 2, qu’un pays tiers n’assure pas un niveau de protection adéquat au sens du paragraphe 2 du présent article, les États membres prennent les mesures nécessaires en vue d’empêcher tout transfert de même nature vers le pays tiers en cause.

5.

La Commission engage, au moment opportun, des négociations en vue de remédier à la situation résultant de la constatation faite en application du paragraphe 4.

6.

La Commission peut constater, conformément à la procédure prévue à l’article 31 paragraphe 2, qu’un pays tiers assure un niveau de protection adéquat au sens du paragraphe 2 du présent article, en raison de sa législation interne ou de ses engagements internationaux, souscrits notamment à l’issue des négociations visées au paragraphe 5, en vue de la protection de la vie privée et des libertés et droits fondamentaux des personnes.

Les États membres prennent les mesures nécessaires pour se conformer à la décision de la Commission.»

9

«Le royaume de Suède considère que la notion d’expression artistique et littéraire renvoie aux moyens d’expression plutôt qu’au contenu de la communication ou à sa qualité.»

10

La convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, signée à Rome le 4 novembre 1950 (ci‑après la «CEDH»), prévoit, à son article 8, le droit au respect de la vie privée et familiale et contient, à son article 10, des dispositions relatives à la liberté d’expression.

11

12

Outre qu’elle occupait un emploi salarié d’agent d’entretien, M

me

Lindqvist exerçait la fonction de formatrice de communiants dans la paroisse d’Alseda (Suède). Elle a suivi un cours d’informatique dans le cadre duquel elle devait notamment créer une page d’accueil sur Internet. À la fin de l’année 1998, M

me

Lindqvist a créé, à son domicile et avec son ordinateur personnel, des pages Internet dans le but de permettre aux paroissiens préparant leur confirmation d’obtenir facilement les informations dont ils pouvaient avoir besoin. À sa demande, l’administrateur du site Internet de l’Église de Suède a établi un lien entre ces pages et ledit site.

13

Les pages visées contenaient des informations sur M

me

Lindqvist et 18 de ses collègues de la paroisse, y compris leur nom complet ou parfois seulement leur prénom. M

me

Lindqvist a en outre décrit les fonctions occupées par ses collègues et leurs loisirs en termes légèrement humoristiques. Dans plusieurs cas, leur situation familiale, leur numéro de téléphone et d’autres informations ont été mentionnés. Par ailleurs, elle a indiqué qu’une de ses collègues s’était blessée au pied et qu’elle était en congé de maladie partiel.

14

M

me

Lindqvist n’avait ni informé ses collègues de l’existence de ces pages, ni recueilli leur consentement, ni déclaré sa démarche à la Datainspektion (organisme public pour la protection des données transmises par voie informatique). Elle a supprimé les pages visées dès qu’elle a appris que celles-ci n’étaient pas appréciées par certains de ses collègues.

15

Le ministère public a engagé des poursuites à l’encontre de M

me

Lindqvist pour infraction à la PUL et a conclu à sa condamnation, au motif qu’elle avait:

–

–

–

16

M

me

Lindqvist a reconnu les faits, mais a nié avoir commis une infraction. Condamnée par l’Eksjö tingsrätt (Suède) au paiement d’une amende, M

me

Lindqvist a interjeté appel de cette décision devant la juridiction de renvoi.

17

L’amende s’élevait à 4 000 SEK, compte tenu de l’application à la somme de 100 SEK, calculée en fonction de la situation financière de M

me

Lindqvist, d’un multiplicateur de 40 représentant la sévérité de l’infraction. M

me

Lindqvist a en outre été condamnée à verser 300 SEK à un fonds suédois destiné à aider les victimes d’infractions.

18

«1)

2)

Si l’une des questions précédentes appelle une réponse affirmative, le hovrätt pose en outre les questions suivantes:

3)

4)

5)

6)

Enfin, le hovrätt pose la question suivante:

7)

19

20

Selon M

me

Lindqvist, il n’est pas raisonnable de considérer que la simple mention du nom d’une personne ou de données à caractère personnel dans un texte contenu sur une page Internet constitue un traitement automatisé de données. En revanche, la mention de telles données dans un mot clé des «balises méta» («meta tags») d’une page Internet, qui permet de procéder à une indexation et de trouver cette page par un moteur de recherche, pourrait constituer un tel traitement.

21

Le gouvernement suédois soutient que la notion de «traitement de données à caractère personnel, automatisé en tout ou en partie», telle que visée à l’article 3, paragraphe 1, de la directive 95/46, inclut tout traitement sous un format informatique, c’est‑à‑dire en format binaire. Par conséquent, dès lors qu’une donnée à caractère personnel est traitée au moyen d’un ordinateur, que ce soit par exemple au moyen d’un programme de traitement de texte ou afin de l’insérer sur une page Internet, elle ferait l’objet d’un traitement couvert par la directive 95/46.

22

Le gouvernement néerlandais fait valoir que l’insertion de données à caractère personnel sur une page Internet se fait à l’aide d’un ordinateur et d’un serveur, ce qui constituerait une caractéristique importante de l’automatisation, de sorte qu’il faudrait considérer que ces données font l’objet d’un traitement automatisé.

23

La Commission soutient que la directive 95/46 s’applique à tout traitement de données à caractère personnel visé à l’article 3 de celle‑ci, indépendamment des moyens techniques utilisés. La mise à disposition de données à caractère personnel sur Internet constituerait par conséquent un traitement automatisé, en tout ou en partie, à condition qu’il n’existe pas de limitations techniques qui restreignent le traitement à une opération exclusivement manuelle. Une page Internet relèverait donc, par sa nature même, du champ d’application de la directive 95/46.

24

25

26

Reste à déterminer si ce traitement est «automatisé en tout ou en partie». À cet égard, il convient de relever que faire apparaître des informations sur une page Internet implique, selon les procédures techniques et informatiques appliquées actuellement, de réaliser une opération de chargement de cette page sur un serveur ainsi que les opérations nécessaires pour rendre cette page accessible aux personnes qui se sont connectées à Internet. Ces opérations sont effectuées, au moins en partie, de manière automatisée.

27

28

La première question ayant reçu une réponse affirmative, il n’y a pas lieu de répondre à la deuxième question, qui n’a été posée que pour le cas où la première question appellerait une réponse négative.

29

30

M

me

Lindqvist soutient qu’une personne privée qui, usant de sa liberté d’expression, crée des pages Internet dans le cadre d’une activité à but non lucratif ou de ses loisirs n’exerce pas une activité économique et échappe donc à l’application du droit communautaire. Si la Cour devait juger le contraire, se poserait alors la question de la validité de la directive 95/46, car, en l’adoptant, le législateur communautaire aurait outrepassé les compétences qui lui ont été conférées par l’article 100 A du traité CE (devenu, après modification, article 95 CE). En effet, le rapprochement des législations, qui aurait pour objet l’établissement et le fonctionnement du marché intérieur, ne saurait servir de base légale pour des mesures communautaires qui réglementent le droit des personnes privées à la liberté d’expression sur Internet.

31

Le gouvernement suédois fait valoir que, lors de la transposition de la directive 95/46 en droit interne, le législateur suédois a considéré que le traitement de données à caractère personnel par une personne physique consistant à transmettre ces données à un nombre indéterminé de destinataires, par exemple au moyen d’Internet, ne pouvait être qualifié d’«activité exclusivement personnelle ou domestique» au sens de l’article 3, paragraphe 2, second tiret, de la directive 95/46. En revanche, ce gouvernement n’exclut pas que l’exception prévue au premier tiret de ce paragraphe vise les cas où une personne physique publie des données à caractère personnel sur une page Internet dans le seul cadre de l’exercice de sa liberté d’expression et sans aucun lien avec une activité professionnelle ou commerciale.

32

33

34

Elle considère que l’article 3, paragraphe 2, premier tiret, de la directive 95/46 se prête à deux interprétations différentes. L’une consisterait à limiter la portée de cette disposition aux domaines cités comme exemples, à savoir des activités qui relèvent essentiellement de ce qu’il est convenu d’appeler les deuxième et troisième piliers. L’autre interprétation consisterait à exclure du champ d’application de la directive 95/46 l’exercice de toute activité qui ne relève pas du droit communautaire.

35

La Commission soutient que le droit communautaire ne se limite pas aux seules activités économiques liées aux quatre libertés fondamentales. Se référant à la base juridique de la directive 95/46, à son objectif, à l’article 6 UE, à la charte des droits fondamentaux de l’Union européenne, proclamée à Nice le 18 décembre 2000 (JO C 364, p. 1), et à la convention du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel, elle conclut que cette directive vise à réglementer la libre circulation de données à caractère personnel comme l’exercice non seulement d’une activité économique, mais également d’une activité sociale dans le cadre de l’intégration et du fonctionnement du marché intérieur.

36

Elle ajoute qu’exclure d’une manière générale du champ d’application de la directive 95/46 les pages Internet qui ne contiennent aucun élément commercial ou de prestation de services pourrait entraîner de graves problèmes de délimitation. Un grand nombre de pages Internet contenant des données à caractère personnel, destinées à stigmatiser certaines personnes dans des buts particuliers, pourraient alors se trouver exclues du champ d’application de cette directive.

37

38

La première exception concerne les traitements de données à caractère personnel mis en œuvre pour l’exercice d’activités qui ne relèvent pas du champ d’application du droit communautaire, telles que celles prévues aux titres V et VI du traité sur l’Union européenne, et, en tout état de cause, les traitements ayant pour objet la sécurité publique, la défense, la sûreté de l’État (y compris le bien-être économique de l’État lorsque ces traitements sont liés à des questions de sûreté de l’État) et les activités de l’État relatives à des domaines du droit pénal.

39

Les activités de M

me

40

La Cour a déjà jugé à propos de la directive 95/46, fondée sur l’article 100 A du traité, que le recours à cette base juridique ne présuppose pas l’existence d’un lien effectif avec la libre circulation entre États membres dans chacune des situations visées par l’acte fondé sur une telle base (voir arrêt du 20 mai 2003, Österreichischer Rundfunk e.a., C‑465/00, C‑138/01et C‑139/01, non encore publié au Recueil, point 41 et jurisprudence citée).

41

Une interprétation contraire risquerait de rendre les limites du domaine d’application de ladite directive particulièrement incertaines et aléatoires, ce qui serait contraire à l’objectif essentiel de celle-ci, qui est de rapprocher les dispositions législatives, réglementaires et administratives des États membres afin d’éliminer les obstacles au fonctionnement du marché intérieur découlant précisément des disparités entre les législations nationales (arrêt Österreichischer Rundfunk e.a., précité, point 42).

42

Dans ces conditions, il ne serait pas approprié d’interpréter l’expression «activités qui ne relèvent pas du champ d’application du droit communautaire» comme ayant une portée telle qu’il serait nécessaire de vérifier, au cas par cas, si l’activité spécifique en cause affecte directement la libre circulation entre États membres.

43

44

45

Or, des activités bénévoles ou religieuses, telles que celles exercées par M

me

46

47

Cette exception doit donc être interprétée comme visant uniquement les activités qui s’insèrent dans le cadre de la vie privée ou familiale des particuliers, ce qui n’est manifestement pas le cas du traitement de données à caractère personnel consistant dans leur publication sur Internet de sorte que ces données sont rendues accessibles à un nombre indéfini de personnes.

48

49

50

Eu égard à l’objet de cette directive, il convient de donner à l’expression «données relatives à la santé» employée à son article 8, paragraphe 1, une interprétation large de sorte qu’elle comprenne des informations concernant tous les aspects, tant physiques que psychiques, de la santé d’une personne.

51

52

53

54

Le gouvernement néerlandais rappelle que la notion de «transfert» n’est pas définie par la directive 95/46. Il considère, d’une part, que cette notion doit être entendue comme visant un acte tendant délibérément à transférer des données à caractère personnel du territoire d’un État membre vers un pays tiers et, d’autre part, qu’une distinction ne peut être établie entre les différentes formes sous lesquelles des données sont rendues accessibles à des tiers. Il en conclut que l’introduction de données à caractère personnel sur une page Internet au moyen d’un ordinateur ne peut pas être considérée comme un transfert vers un pays tiers de données à caractère personnel au sens de l’article 25 de la directive 95/46.

55

Le gouvernement du Royaume‑Uni fait valoir que l’article 25 de la directive 95/46 vise les transferts de données vers des pays tiers et non leur accessibilité à partir de pays tiers. La notion de «transfert» impliquerait la transmission d’une donnée par une personne située dans un lieu précis à une tierce personne située dans un autre lieu. Ce ne serait que dans l’hypothèse d’un tel transfert que l’article 25 de la directive 95/46 impose aux États membres de veiller au caractère adéquat du niveau de protection des données à caractère personnel dans un pays tiers.

56

57

58

Les informations qui se trouvent sur Internet peuvent être consultées par un nombre indéfini de personnes résidant dans des lieux multiples et presque à tout moment. Le caractère ubiquitaire de ces informations résulte notamment du fait que les moyens techniques utilisés dans le cadre d’Internet sont relativement simples et de moins en moins coûteux.

59

Selon les modalités d’utilisation d’Internet, telles qu’elles sont devenues disponibles à des particuliers comme M

me

Lindqvist au cours des années 1990, l’auteur d’une page destinée à être publiée sur Internet transmet les données qui constituent cette page à son fournisseur de services d’hébergement. Celui-ci gère l’infrastructure informatique nécessaire pour assurer le stockage de ces données et la connexion du serveur qui héberge le site Internet. Cela permet la transmission ultérieure de ces données à toute personne qui s’est connectée à Internet et demande à les obtenir. Les ordinateurs qui constituent cette infrastructure informatique peuvent être situés, et même sont souvent situés, dans un ou plusieurs pays autres que celui du lieu d’établissement du fournisseur de services d’hébergement, sans que la clientèle de celui-ci en ait ou puisse raisonnablement en prendre connaissance.

60

Il ressort du dossier que, pour obtenir les informations figurant sur les pages Internet dans lesquelles M

me

Lindqvist avait inséré des données relatives à ses collègues, un utilisateur d’Internet devait non seulement se connecter à celui-ci mais aussi effectuer, par une démarche personnelle, les actions nécessaires pour consulter lesdites pages. En d’autres termes, les pages Internet de M

me

Lindqvist ne comportaient pas les mécanismes techniques qui auraient permis l’envoi automatique de ces informations à des personnes qui n’avaient pas délibérément cherché à accéder à ces pages.

61

Il s’ensuit que, dans des circonstances telles que celles de l’espèce au principal, les données à caractère personnel qui arrivent sur l’ordinateur d’une personne située dans un pays tiers, en provenance d’une personne qui les a chargées sur un site Internet, n’ont pas été transférées directement entre ces deux personnes mais au travers de l’infrastructure informatique du fournisseur de services d’hébergement où la page est stockée.

62

C’est dans ce contexte qu’il est nécessaire d’examiner si le législateur communautaire avait l’intention, aux fins de l’application du chapitre IV de la directive 95/46, d’inclure dans la notion de «transfert vers un pays tiers de données» au sens de l’article 25 de cette directive des opérations telles que celles effectuées par M

me

Lindqvist. Il faut souligner que la cinquième question posée par la juridiction de renvoi ne concerne que ces opérations, à l’exclusion de celles effectuées par les fournisseurs de services d’hébergement.

63

64

L’objectif du chapitre IV est défini aux cinquante-sixième à soixantième considérants de la directive 95/46, lesquels énoncent notamment que, si la protection des personnes garantie dans la Communauté par cette directive ne s’oppose pas aux transferts de données à caractère personnel vers des pays tiers assurant un niveau de protection adéquat, ce caractère adéquat doit s’apprécier au regard de toutes les circonstances relatives à un transfert ou à une catégorie de transferts. Lorsqu’un pays tiers n’offre pas un niveau de protection adéquat, le transfert de données à caractère personnel vers ce pays doit être interdit.

65

66

67

68

me

Lindqvist, de données sur une page Internet, même si celles-ci sont ainsi rendues accessibles aux personnes de pays tiers possédant les moyens techniques d’y accéder.

69

Si l’article 25 de la directive 95/46 était interprété en ce sens qu’il existe un «transfert vers un pays tiers de données» chaque fois que des données à caractère personnel sont chargées sur une page Internet, ce transfert serait nécessairement un transfert vers tous les pays tiers où existent les moyens techniques nécessaires pour accéder à Internet. Le régime spécial prévu par le chapitre IV de ladite directive deviendrait donc nécessairement, en ce qui concerne les opérations sur Internet, un régime d’application générale. En effet, dès que la Commission constaterait, en application de l’article 25, paragraphe 4, de la directive 95/46, qu’un seul pays tiers n’assure pas un niveau de protection adéquat, les États membres seraient obligés d’empêcher toute mise sur Internet de données à caractère personnel.

70

me

Lindqvist ne constituent pas en elles‑mêmes un «transfert vers un pays tiers de données». Il n’est donc pas nécessaire de rechercher si une personne d’un pays tiers a eu accès à la page Internet concernée ou si le serveur de ce fournisseur est physiquement situé dans un pays tiers.

71

72

73

me

74

En outre, selon elle, le simple fait de citer nominativement une personne physique, de révéler ses coordonnées téléphoniques et ses conditions de travail ainsi que de donner des informations sur son état de santé et ses loisirs, informations qui seraient publiques, notoirement connues ou triviales, n’est pas constitutif d’une violation substantielle du droit au respect de la vie privée. M

me

75

76

Le gouvernement néerlandais rappelle que tant la liberté d’expression que le droit au respect de la vie privée font partie des principes généraux du droit dont la Cour assure le respect et que la CEDH n’établit aucune hiérarchie entre les différents droits fondamentaux. Il considère dès lors que la juridiction nationale doit s’efforcer de concilier les différents droits fondamentaux en cause en prenant en considération les circonstances du cas d’espèce.

77

Le gouvernement du Royaume‑Uni note que sa proposition de réponse à la cinquième question, exposée au point 55 du présent arrêt, s’accorde parfaitement avec les droits fondamentaux et permet d’éviter de porter atteinte de manière disproportionnée à la liberté d’expression. Il ajoute qu’une interprétation qui aurait pour effet qu’une publication de données à caractère personnel sous une forme particulière, à savoir sur une page Internet, soit sujette à des restrictions beaucoup plus sévères que celles applicables aux publications réalisées sous d’autres formes de publication, telles que le papier, serait difficile à justifier.

78

79

Il ressort du septième considérant de la directive 95/46 que l’établissement et le fonctionnement du marché intérieur sont susceptibles d’être sérieusement affectés par les différences entre les régimes nationaux applicables au traitement des données à caractère personnel. Selon le troisième considérant de la même directive, l’harmonisation de ces régimes nationaux doit avoir pour objectifs non seulement la libre circulation de ces données entre États membres, mais également la sauvegarde des droits fondamentaux des personnes. Ces objectifs peuvent évidemment entrer en conflit.

80

D’une part, l’intégration économique et sociale résultant de l’établissement et du fonctionnement du marché intérieur entraînera nécessairement une augmentation sensible des flux de données à caractère personnel entre tous les acteurs de la vie économique et sociale des États membres, qu’il s’agisse d’entreprises ou d’administrations des États membres. Lesdits acteurs ont, dans une certaine mesure, besoin de disposer de données à caractère personnel pour effectuer leurs transactions ou pour accomplir leur mission dans le cadre de l’espace sans frontières que constitue le marché intérieur.

81

D’autre part, les personnes concernées par le traitement de données à caractère personnel demandent à juste titre que ces données soient protégées de manière efficace.

82

Les mécanismes permettant de mettre en balance ces différents droits et intérêts sont inscrits, d’une part, dans la directive 95/46 elle-même, en ce qu’elle prévoit des règles qui déterminent dans quelles situations et dans quelle mesure le traitement des données à caractère personnel est licite et quelles sauvegardes doivent être prévues. D’autre part, ils résultent de l’adoption, par les États membres, de dispositions nationales assurant la transposition de cette directive et de l’éventuelle application de celles-ci par les autorités nationales.

83

me

Lindqvist, c’est donc à juste titre que cette directive comporte des règles caractérisées par une certaine souplesse et qu’elle laisse dans de nombreux cas aux États membres le soin d’arrêter les détails ou de choisir parmi des options.

84

85

86

Dans ce contexte, les droits fondamentaux revêtent une importance particulière, ainsi que le démontre l’affaire au principal où il est en substance nécessaire de mettre en balance, d’une part, la liberté d’expression de M

me

Lindqvist dans le cadre de son travail comme formatrice de communiants ainsi que la liberté d’exercer des activités contribuant à la vie religieuse et, d’autre part, la protection de la vie privée des personnes à propos desquelles M

me

Lindqvist a fait figurer des données sur son site Internet.

87

88

S’il est vrai que la protection de la vie privée requiert l’application de sanctions efficaces à l’encontre des personnes traitant des données à caractère personnel d’une manière non conforme à la directive 95/46, de telles sanctions doivent toujours respecter le principe de proportionnalité. Il en va d’autant plus ainsi que le champ d’application de la directive 95/46 apparaît très large et que les obligations des personnes qui procèdent à des traitements de données à caractère personnel sont nombreuses et importantes.

89

90

Il convient donc de répondre à la sixième question que les dispositions de la directive 95/46 ne comportent pas, en elles-mêmes, une restriction contraire au principe général de la liberté d’expression ou à d’autres droits et libertés applicables dans l’Union européenne et correspondant notamment à l’article 10 de la CEDH. Il appartient aux autorités et aux juridictions nationales chargées d’appliquer la réglementation nationale transposant la directive 95/46 d’assurer un juste équilibre des droits et intérêts en cause, y compris les droits fondamentaux protégés par l’ordre juridique communautaire.

91

92

Le gouvernement suédois affirme que la directive 95/46 ne se contente pas de fixer des conditions minimales de protection des données à caractère personnel. Les États membres seraient, dans le cadre de la transposition de cette directive, obligés de réaliser le niveau de protection fixé par celle‑ci et ils ne seraient pas habilités à prévoir une protection plus forte ou plus faible. Toutefois, il conviendrait de tenir compte de la marge d’appréciation dont disposent les États membres lors de ladite transposition pour préciser dans leur droit interne les conditions générales de licéité du traitement des données à caractère personnel.

93

Le gouvernement néerlandais soutient que la directive 95/46 ne s’oppose pas à ce que les États membres prévoient une protection plus forte dans certains domaines. Il ressortirait par exemple des articles 10, 11, paragraphe 1, 14, premier alinéa, sous a), 17, paragraphe 3, 18, paragraphe 5, et 19, paragraphe 1, de ladite directive que les États membres peuvent prévoir une protection plus large. En outre, les États membres seraient libres d’appliquer les principes de la directive 95/46 également à des activités qui ne relèvent pas du champ d’application de celle‑ci.

94

La Commission fait valoir que la directive 95/46 est fondée sur l’article 100 A du traité et que, si un État membre souhaite maintenir ou instaurer une législation qui déroge à une telle directive d’harmonisation, il est tenu de la notifier à la Commission conformément au paragraphe 4 ou au paragraphe 5 de l’article 95 CE. La Commission soutient en conséquence qu’un État membre ne saurait prévoir une protection des données à caractère personnel plus étendue ou un champ d’application plus large que ceux qui résultent de ladite directive.

95

96

97

Il est vrai que la directive 95/46 reconnaît aux États membres une marge de manœuvre dans certains domaines et qu’elle les autorise à maintenir ou à introduire des régimes particuliers pour des situations spécifiques ainsi qu’en témoignent un grand nombre de ses dispositions. Toutefois, de telles possibilités doivent être utilisées de la manière prévue par la directive 95/46 et conformément à son objectif consistant à maintenir un équilibre entre la libre circulation des données à caractère personnel et la protection de la vie privée.

98

99

Au vu de ces considérations, il convient de répondre à la septième question que les mesures prises par les États membres pour assurer la protection des données à caractère personnel doivent être conformes tant aux dispositions de la directive 95/46qu’à son objectif consistant à maintenir un équilibre entre la libre circulation des données à caractère personnel et la protection de la vie privée. En revanche, rien ne s’oppose à ce qu’un État membre étende la portée de la législation nationale transposant les dispositions de la directive 95/46 à des domaines non inclus dans le champ d’application de cette dernière, pour autant qu’aucune autre disposition du droit communautaire n’y fasse obstacle.

Sur les dépens

100

Les frais exposés par les gouvernements suédois, néerlandais et du Royaume‑Uni, ainsi que par la Commission et l’Autorité de surveillance AELE, qui ont soumis des observations à la Cour, ne peuvent faire l’objet d’un remboursement. La procédure revêtant, à l’égard des parties au principal, le caractère d’un incident soulevé devant la juridiction de renvoi, il appartient à celle‑ci de statuer sur les dépens.

Par ces motifs,

LA COUR,

statuant sur les questions à elle soumises par le Göta hovrätt, par ordonnance du 23 février 2001, dit pour droit:

1)

Ainsi prononcé en audience publique à Luxembourg, le 6 novembre 2003.

–

Langue de procédure: le suédois.