Contexte de l’affaire : accès aux données bancaires de plusieurs magistrats ainsi que de membres de leur famille.
En l’espèce, dans le cadre de vérifications liées à d’éventuelles procédures disciplinaires, l’Inspection près le Conseil supérieur de la magistrature bulgare a sollicité l’accès aux données bancaires de plusieurs magistrats ainsi que de membres de leur famille.
L’Inspection est chargée de contrôler l’intégrité, les conflits d’intérêts et les déclarations de patrimoine des juges, procureurs et magistrats d’instruction en Bulgarie. Il dispose de pouvoirs d’enquête, peut proposer des sanctions disciplinaires et émet des rapports à destination d’autres autorités étatiques.
Sa demande a soulevé plusieurs interrogations quant à sa conformité avec le Règlement Général sur la Protection des Données (ci-après le « RGPD »), en particulier sur les conditions de licéité du traitement, de la sécurité des données personnelles [1] et sur le respect des droits des personnes concernées.
Le tribunal d’arrondissement de Sofia, en Bulgarie, saisi de l’affaire, a, à son tour, saisit la Cour de Justice de l’Union Européenne (ci-après la « CJUE ») pour clarifier plusieurs points, notamment :
- La compatibilité de la prorogation des mandats des membres de l’Inspection avec le principe d’indépendance judiciaire garanti par le droit de l’Union européenne ;
- La qualification de la juridiction nationale qui autorise l’accès aux données bancaires comme « responsable de traitement » ou « autorité de contrôle » ;
- Les obligations de cette juridiction en matière de protection des données personnelles, notamment en l’absence de recours spécifique.
Dans son arrêt n° C-313/23, du 30 avril 2025, la CJUE a ainsi interprété plusieurs dispositions du RGPD, lus en combinaison avec la Charte des Droits Fondamentaux de l’Union Européenne et notamment :
- L’article 2, paragraphe 2, point a) [2] : déterminant le champ d’application matériel du RGPD, précisant les activités exclues de son application ;
- L’article 4, point 7) [3] : définissant la notion de "responsable de traitement", c’est-à-dire la personne physique ou morale qui détermine les finalités et les moyens du traitement des données personnelles ;
- L’article 51 [4] : Concernant les autorités de contrôle indépendantes chargées de surveiller l’application du RGPD ;
- L’article 57, paragraphe 1, point a) [5] : détaillant les missions des autorités de contrôle, notamment la surveillance et l’application du RGPD ;
- L’article 79, paragraphe 1) [6] : garantissant le droit à un recours juridictionnel effectif contre un responsable de traitement ou un sous-traitant en cas de violation des droits conférés par le RGPD.
Les interprétations de la Cour de Justice de l’Union européenne.
La CJUE a ainsi considéré que :
- Conformément à l’article 2 du RGPD, la divulgation de données relatives aux comptes bancaires de magistrats et de leurs proches à un organe judiciaire, dans le cadre de la vérification de leurs déclarations de patrimoine, constitue un traitement de données à caractère personnel et est donc soumise au RGPD ;
- Conformément à l’article 4, point 7) du RGPD, une juridiction qui autorise la divulgation de données bancaires à la demande d’un autre organe judiciaire n’est pas considérée comme responsable de traitement. Toutefois, l’Inspection, elle, est considérée comme responsable de traitement car elle détermine les finalités et les moyens du traitement des données personnelles dans le cadre de ses enquêtes ;
- Conformément à l’article 51 du RGPD, une juridiction qui autorise la divulgation de données personnelles n’est pas une autorité de contrôle au sens du RGPD, si elle n’a pas pour mission, selon le droit national, de veiller à l’application du règlement pour protéger les droits et libertés des personnes ;
- Conformément à l’article 79, paragraphe 1 du RGPD, une juridiction qui autorise la divulgation de données personnelles n’a pas à vérifier d’office le respect du RGPD en matière de sécurité des données, sauf si elle est saisie d’un recours à ce titre, même si l’organe demandeur a déjà enfreint le RGPD par le passé.
Rappels de la CJUE sur les exigences du RGPD.
Par ailleurs, la CJUE a rappelé que :
- Le traitement des données bancaires des magistrats et de leurs proches doit reposer sur une base légale conforme à l’article 6 du RGPD [7]. La CJUE souligne que l’accès à de telles données doit être strictement nécessaire et proportionné aux objectifs poursuivis ;
- Conformément à l’article 32 du RGPD [8], l’Inspection doit mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir la sécurité des données personnelles traitées, notamment pour prévenir tout accès non autorisé ;
- Les magistrats et leurs proches disposent des droits prévus par le RGPD [9], tels que le droit d’accès, de rectification et d’opposition. Toute limitation de ces droits doit être justifiée et proportionnée.
Cet arrêt souligne l’importance pour les autorités publiques de respecter les principes du RGPD lorsqu’elles traitent des données personnelles, même dans le cadre de procédures disciplinaires.
Concernant les juridictions nationales qui autorisent la divulgation des données, ne doivent pas systématiquement se substituer à l’autorité destinataire pour vérifier ses pratiques internes en matière de protection des données.
