Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Novembre 2016 - n°418 - 385

jurisprudence

M. B. / BUNDESREPUBLIK DEUTSCHLAND
COUR DE JUSTICE DE L'UNION EUROPÉENNE,
2ÈME CH., ARRÊT DU 19 OCTOBRE 2016
(VOIR LE COMMENTAIRE P. 381)

Dans
l'affaire
C-582/14,
ayant
pour objet une demande de décision préjudicielle au titre de l'article 267 TFUE, introduite par le
Bundesgerichtshof (Cour fédérale de
justice, Allemagne), par décision du
28 octobre 2014, parvenue à la Cour le
17 décembre 2014, dans la procédure M. B.
contre Bundesrepublik Deutschland.

1. La demande de décision préjudicielle porte sur l'interprétation de
l'article 2, sous a), et de l'article 7,
sous f), de la directive 95/46/CE du
Parlement européen et du Conseil, du
24 octobre 1995, relative à la protection
des personnes physiques à l'égard du
traitement des données à caractère
personnel et à la libre circulation de
ces données (JO 1995, L 281, p. 31).
2. Cette demande a été présentée dans le cadre d'un litige opposant M. M. B. à la Bundesrepublik
Deutschland (République fédérale
d'Allemagne), au sujet de l'enregistrement et de la conservation par
cette dernière de l'adresse de protocole Internet (ci-après l'« adresse
IP ») de M. B. lors de la consultation
par celui-ci de plusieurs sites Internet
des services fédéraux allemands.

LE CADRE JURIDIQUE
Le droit de l'Union
3. Le considérant 26 de la directive
95/46 est libellé comme suit :
« considérant que les principes de
la protection doivent s'appliquer à
toute information concernant une
personne identifiée ou identifiable ;
que, pour déterminer si une personne
est identifiable, il convient de considérer l'ensemble des moyens susceptibles d'être raisonnablement mis en
œuvre, soit par le responsable du traitement, soit par une autre personne,
pour identifier ladite personne ; que
les principes de la protection ne s'appliquent pas aux données rendues

anonymes d'une manière telle que la
personne concernée n'est plus identifiable ; que les codes de conduite au
sens de l'article 27 peuvent être un
instrument utile pour fournir des indications sur les moyens par lesquels
les données peuvent être rendues
anonymes et conservées sous une
forme ne permettant plus l'identification de la personne concernée ».

4. Aux termes de l'article 1er de
ladite directive :
« 1. Les États membres assurent,
conformément à la présente directive, la protection des libertés et
droits fondamentaux des personnes
physiques, notamment de leur vie
privée, à l'égard du traitement des
données à caractère personnel.
2. Les États membres ne peuvent
restreindre ni interdire la libre
circulation des données à caractère
personnel entre États membres pour
des raisons relatives à la protection
assurée en vertu du paragraphe 1. »
5. L'article 2 de la même directive
énonce :
« Aux fins de la présente directive, on
entend par :
a) "données à caractère personnel" :
toute information concernant une
personne physique identifiée ou
identifiable (personne concernée);
est réputée identifiable une personne
qui peut être identifiée, directement
ou indirectement, notamment par
référence à un numéro d'identification ou à un ou plusieurs éléments
spécifiques, propres à son identité
physique, physiologique, psychique,
économique, culturelle ou sociale ;
b) "traitement de données à caractère personnel" (traitement) : toute
opération ou ensemble d'opérations
effectuées ou non à l'aide de procédés automatisés et appliquées à
des données à caractère personnel,
telles que la collecte, l'enregistrement, l'organisation, la conservation,

EXPERTISES NOVEMBRE 2016

l'adaptation ou la modification, l'extraction, la consultation, l'utilisation,
la communication par transmission,
diffusion ou toute autre forme de
mise à disposition, le rapprochement ou l'interconnexion, ainsi que
le verrouillage, l'effacement ou la
destruction ;
[...]
d) "responsable du traitement" : la
personne physique ou morale, l'autorité publique, le service ou tout
autre organisme qui, seul ou conjointement avec d'autres, détermine les
finalités et les moyens du traitement
de données à caractère personnel;
lorsque les finalités et les moyens du
traitement sont déterminés par des
dispositions législatives ou réglementaires nationales ou communautaires, le responsable du traitement
ou les critères spécifiques pour le
désigner peuvent être fixés par le
droit national ou communautaire ; [...]
f) "tiers" : la personne physique ou
morale, l'autorité publique, le service
ou tout autre organisme autre que la
personne concernée, le responsable
du traitement, le sous-traitant et les
personnes qui, placées sous l'autorité
directe du responsable du traitement
ou du sous-traitant, sont habilitées à
traiter les données ; [...] »

6. L'article 3 de la directive 95/46,
intitulé « Champ d'application »,
prévoit :
«1. La présente directive s'applique
au traitement de données à caractère personnel, automatisé en tout ou
en partie, ainsi qu'au traitement non
automatisé de données à caractère
personnel contenues ou appelées à
figurer dans un fichier.
2. La présente directive ne s'applique
pas au traitement de données à
caractère personnel :
- mis en œuvre pour l'exercice
d'activités qui ne relèvent pas
du champ d'application du droit

385

Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Novembre 2016 - n°418