Si la Cour de justice de l’Union européenne considère qu’une juridiction ne peut pas rejeter une preuve d’une violation de la protection des données personnelles obtenue sans le consentement du responsable du traitement, elle pose cependant un certain nombre de restrictions. Dans son arrêt du 27 septembre 2017, elle déclare que « l’article 47 de la charte des droits fondamentaux de l’Union européenne doit être interprété en ce sens qu’il s’oppose à ce qu’une juridiction nationale rejette, en tant que moyen de preuve d’une violation de la protection des données à caractère personnel conférée par la directive 95/46, une liste, telle que la liste litigieuse, présentée par la personne concernée et contenant des données à caractère personnel de celle-ci, dans l’hypothèse où cette personne aurait obtenu cette liste sans le consentement, légalement requis, du responsable du traitement de ces données, à moins qu’un tel rejet soit prévu par la législation nationale et qu’il respecte à la fois le contenu essentiel du droit à un recours effectif et le principe de proportionnalité. ».
A la deuxième question posée qui était de savoir si un Etat peut établir une liste de personnes en vue de percevoir l’impôt ou de lutter contre la fraude fiscale, sans le consentement des personnes concernées, la Cour a répondu par l’affirmative en émettant des conditions. Elle rappelle en effet que le fait d’être inscrit sur une telle liste est susceptible de porter atteinte à certains des droits de la personne concernée. Selon la CJUE, l’article 7 e) de la directive de 1995 ne s’oppose pas à un tel traitement de l’administration fiscale « à condition, d’une part, que ces autorités aient été investies par la législation nationale de missions d’intérêt public au sens de cette disposition, que l’établissement de cette liste et l’inscription sur celle-ci du nom des personnes concernées soient effectivement aptes et nécessaires aux fins de la réalisation des objectifs poursuivis et qu’il existe des indices suffisants pour présumer que les personnes concernées figurent à juste titre sur ladite liste et, d’autre part, que toutes les conditions de licéité de ce traitement de données à caractère personnel imposées par la directive 95/46 soient satisfaites. ».
La première question posée dans le cadre de ce renvoi préjudiciel portait sur le point de savoir si le droit à un recours effectif devant un tribunal, en vertu de la Charte des droits fondamentaux de l’UE, s’opposait à subordonner l’exercice de ce recours devant le juge administratif à l’épuisement préalable des voies de recours dont il dispose en vertu d’une réglementation spécifique. Ce n’est pas contraire à la Charte, a répondu la Cour « à condition que les modalités concrètes d’exercice desdites voies de recours n’affectent pas de manière disproportionnée le droit à un recours effectif devant un tribunal visé à cette disposition. Il importe, notamment, que l’épuisement préalable des voies de recours disponibles devant les autorités administratives nationales n’entraîne pas de retard substantiel pour l’introduction d’un recours juridictionnel, qu’il entraîne la suspension de la prescription des droits concernés et qu’il n’occasionne pas de frais excessifs. »
Un homme reprochait à la direction des finances de la République slovaque de l’avoir fait figurer, en tant que prête-nom, sur une liste établie pour la perception des impôts. Il avait obtenu cette liste alors qu’elle était protégée par des mesures techniques et d’organisation appropriées. Après avoir pris connaissance de son inscription sur cette liste, il avait demandé à la direction des finances de supprimer son nom. La Cour suprême slovaque avait rejeté sa demande au motif qu’il n’avait pas épuisé les voies de recours devant les autorités administratives nationales, mais ne s’était pas prononcé sur le fond. La personne s’était alors tournée vers la Cour constitutionnelle qui s’était appuyée sur la jurisprudence de la Cour européenne des droits de l’homme, notamment sur le droit à un procès équitable et la protection des données personnelles et avait renvoyé l’affaire devant la Cour suprême en lui rappelant qu’elle était liée par la jurisprudence de la CEDH en matière de données personnelles. Suite à ce renvoi, la Cour suprême s’est tournée vers la CJUE pour connaître sa position.

Lire la décision