La Cour de justice de l'Union européenne a rendu le 1er aout 2022 un arrêt afin de répondre à deux questions qui lui étaient posées par le tribunal administratif régional de Vilnius en Lituanie.
La publication en ligne des déclarations
La Haute commission de prévention des conflits d’intérêts dans le service public (l'équivalent de la Haute Autorité pour la transparence de la vie publique en France) doit, légalement, publier les déclarations d'intérêts privés qu'elle reçoit. Elle met ainsi en oeuvre un traitement sur le fondement d'une obligation légale (article 6 1c) du RGPD).
Ce traitement de données contient les données de la déclaration, à savoir les informations concernant le responsable public mais aussi son entourage, son conjoint et ses intérêts privés.
Deux questions préjudicielles
La première consiste à savoir si la loi lituanienne peut imposer la publication en ligne sur internet des informations nominatives figurant dans la déclaration d'intérêts privés renseignée par les membres de la haute fonction publique, en particulier les informations sur l'entourage et les conjoints. Est ce que cette publication n'est pas une atteinte à la vie privée disproportionnée ?
En effet, il est nécessaire de mettre en balance le droit à la vie privée et le droit défendu par l'obligation de la loi lituanienne, à savoir lutter contre la corruption.
La seconde question est de savoir si l'information concernant un conjoint constitue une donnée particulière au sens du RGPD ? En effet, il est possible de déduire l'orientation sexuelle de la personne en connaissant l'identité de son conjoint.
La transparence conditionnée à la minimisation
La Cour fait une mise en balance entre l'intérêt général de lutte contre la corruption et l'ingérence dans le droit à la vie privée et la protection des données personnelles consacrés par la charte des droits fondamentaux de l'Union européenne (articles 7 et 8).
Elle juge que les données de la déclaration peuvent être publiées sous réserve d'être strictement nécessaire et que cela respecte le principe de minimisation du RGPD. Ainsi les données concernant les noms et activités des conjoints, ainsi que les intérêts de moins de 3000 euros ne sont pas pertinents et ne doivent pas être publiés de manière obligatoire, ce serait attentatoire au droit à la vie privée.
Données sensibles et nom d'un conjoint
La Cour indique les données nominatives du conjoint constituent des données particulières (donc sensibles) et doivent être particulièrement protégées (par défaut, leur collecte est interdite !).
En effet, elle retient une interprétation large des données sensibles. Le RGPD indique que les données relatives à la santé et à la vie sexuelle sont des données sensibles. Cela s'entend également dans le cas notamment de données susceptibles de dévoiler, de manière indirecte, des données sensibles. En effet, le nom du conjoint peut révéler une orientation sexuelle si le conjoint est de même sexe.
Ainsi, la notion de donnée sensible est à envisager de manière large, dans l'intérêt protecteur des droits des personnes.
En France ?
Nous avons vérifié, ces informations sont caviardées !