Une communication orale de données à caractère personnel constitue-t-elle un traitement de données à caractère personnel soumis au RGPD ? La CJUE a récemment répondu par l’affirmative, sous réserve du respect de certaines conditions.
- Le litige : une demande de communication orale de données sensibles
L’affaire concernait la société ENDEMOL, laquelle avait demandé oralement à une juridiction des informations sur des éventuelles condamnations pénales en cours ou déjà purgées d’une personne physique. Cette personne était une participante à un concours organisé par ENDEMOL.
La juridiction n’a pas fait droit à cette demande au motif, notamment de l’interdiction de principe de traitement des données relatives aux infractions et condamnations pénales (selon l’article 10 du RGPD).
ENDEMOL a contesté cette position, considérant que la communication orale des informations sollicitées ne constitue pas un traitement de données à caractère personnel au sens du RGPD.
2. La position de la CJUE : une communication orale de données à caractère personnel relève du RGPD
Pour la CJUE, la notion de « traitement » au sens du RGPD couvre nécessairement la communication orale de données à caractère personnel.
A cet égard, la Cour a précisé que la notion de traitement à une portée large visant notamment la communication par transmission, la diffusion et « toute autre forme de mise à disposition », ces opérations pouvant être automatisées ou non automatisées.
Toutefois, pour que le RGPD s’applique à ce traitement, encore faut-il, rappelle la Cour, qu’il relève du champ d’application matériel de la loi, ce qui requiert que les données concernées par le traitement soient contenues ou appelés à figurer dans un fichier.
Selon la CJUE, la notion de « fichier » doit être entendue largement et, notamment, comme visant tout ensemble structuré de données à caractère personnel « selon des critères déterminés », sans exigences en termes de modalités ou de forme. Il suffit alors que le fichier « [permette] que les données relatives à une personne puissent être retrouvées aisément ».
La CJUE a relevé que cette condition est, a priori, remplie en l’espèce, dans la mesure où il ressort du dossier que les données sont « contenues dans un fichier de données à caractère personnel tenu par une juridiction ». La Cour a précisé qu’il appartiendra à la juridiction de renvoi de vérifier ce point « sans qu’il importe de savoir si lesdites données sont contenues dans des bases de données électroniques ou encore dans des dossiers ou registres physiques ».
La communication orale d’informations constitue donc bien un traitement de données à caractère personnel relevant du champ d’application matériel du RGPD, dès lors que ces informations sont contenues ou appelées à figurer dans un fichier.
