La police peut communiquer des données à caractère personnel à un tiers afin de lui permettre d’introduire un recours en indemnisation devant une juridiction civile pour un dommage causé par la personne concernée par la protection de ces données, sous certaines condtitions.
L’Augstākās tiesas Administratīvo lietu departaments (Cour suprême, département des affaires administratives, Lettonie) a introduit une demande de décision préjudicielle portant sur l’interprétation de l’article 7, sous f), de la directive 95/46/CE du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données.
La juridiction de renvoi souhaiterait savoir si la police nationale est dans l’obligation de communiquer des données à caractère personnel à un tiers afin de lui permettre d’introduire un recours en indemnisation devant une juridiction civile pour un dommage causé par la personne concernée par la protection de ces données.
Dans un arrêt du 4 mai 2017, la Cour de justice de l'Union européenne (CJUE) estime que l’article 7, sous f), de la directive 95/46/CE doit être interprété en ce sens "qu’il n’impose pas l’obligation de communiquer des données à caractère personnel à un tiers afin de lui permettre d’introduire un recours en indemnisation devant une juridiction civile pour un dommage causé par la personne concernée par la protection de ces données".
Toutefois, l’article 7, sous f), de cette directive "ne s’oppose pas à une telle communication sur la base du droit national".
La CJUE précise que trois conditions cumulatives doivent être remplies pour qu’un traitement de données à caractère personnel soit licite.
Ces trois conditions sont :
- la poursuite d’un intérêt légitime par le responsable du traitement ou par le ou les tiers auxquels les données sont communiquées ;
- la nécessité du traitement des données à caractère personnel pour la réalisation de l’intérêt légitime poursuivi ;
- la condition que les droits et les libertés fondamentaux de la personne concernée par la protection des données ne prévalent pas.
Références
- CJUE, (...)
