La liberté d’expression et le droit au respect de la vie privée constituent des droits humains essentiels à l’épanouissement des individus. Pourtant, au quotidien, le « débat public » cher à toute société démocratique implique des arbitrages, parfois délicats, entre ces deux droits d’égale valeur. C’est l’exercice d’équilibriste auquel s’est livrée la Chambre contentieuse de l’Autorité de protection des données le 14 août dernier à l’occasion d’une affaire impliquant l’éditeur d’un site web consacré à la transparence du cumul des mandats, des fonctions et des professions (et des rémunérations) par les mandataires publics, les responsables politiques et les hauts fonctionnaires en Belgique.
Manon Knockaert et Alejandra Michel, toutes deux chercheuses seniors et responsables de l’unité « Droit des médias » au CRIDS/NaDI de l’Université de Namur, nous présentent cette décision.
1. L’Autorité de protection des données (« APD ») veille au respect de la réglementation relative à la protection des données à caractère personnel. Parmi les services qu’elle propose figure la possibilité pour le citoyen de lui adresser une plainte (à ce propos, voyez, sur Justice-en-ligne, l’article suivant : E. Degrave, « L’Autorité de protection des données, un nouveau chien de garde de la vie privée des citoyens »).
2. Par sa décision n° 103/2024 du 14 août 2024, la Chambre contentieuse de l’APD a ainsi été amenée à se prononcer sur la conformité au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ‘relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données)’ (ci-après : « le RGPD ») de la décision de l’éditeur de Cumuleo.be de refuser de faire droit à la demande d’effacement introduite par une mandataire publique.
L’article 17 du RGPD permet en effet à toute personne physique d’obtenir de la part du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant lorsque certaines situations se présentent (par exemple lorsque « les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées »). Toutefois, ce droit n’est pas absolu. Parmi les dérogations possibles figure la nécessité du traitement pour l’exercice du droit à la liberté d’expression et d’information.
3. Nous proposons, dans le présent commentaire, d’éclairer le raisonnement tenu par la Chambre contentieuse de l’APD pour rejeter la plainte au regard des mécanismes de la protection des données et de revenir, plus largement, sur l’importance des initiatives de transparence pour le bon fonctionnement de la démocratie.
Le droit au respect de la vie privée et la liberté d’expression
4. Avant toute chose, il est utile de rappeler que le droit au respect de la vie privée et à la liberté d’expression sont reconnus et protégés à tous les niveaux de l’ordonnancement juridique. Depuis plus de cinquante ans, la riche jurisprudence de la Cour européenne des droits de l’homme reconnait le large champ d’application de ces droits.
Si, pour la Cour, la notion multifacette de vie privée ne se prête pas à une définition exhaustive (arrêt Niemietz c. Allemagne], § 29), il ne fait nul doute que la protection des données en fait partie intégrante (arrêt Satamedia c. Finlande], § 137). Même constat pour la liberté d’expression, susceptible de couvrir de très nombreuses situations en protégeant à la fois le contenu, le mode d’expression et le moyen utilisé pour diffuser des idées et des informations. Elle englobe la liberté de la presse, qui confère une protection renforcée face aux restrictions qu’y apporterait l’État (arrêt Stoll c. Suisse], §§ 105 et 106) et dont les titulaires – les « chiens de garde de la démocratie », comme le dit la Cour européenne – ne se limitent pas aux professionnels des médias mais peuvent s’étendre aux blogueurs, aux utilisateurs des réseaux sociaux et aux journalistes citoyens (arrêt Magyar Helsinki Bizottság c. Hongrie], § 168 ; décision Bartnik c. Pologne], §26).
5. La liberté d’expression et le droit au respect de la vie privée ne s’élèvent toutefois pas au rang de « droit absolu ».
Cela signifie qu’ils peuvent faire l’objet de restrictions, notamment pour garantir les droits et les libertés d’autrui, sous réserve du bon respect des conditions de légalité, de légitimité et de nécessité. Dans le domaine médiatique, les besoins du libre débat public impliquent quotidiennement des mises en balance d’intérêts entre, d’une part, la liberté d’expression, la liberté de la presse et le droit à l’information et, d’autre part, le droit au respect de la vie privée et la protection des données. Si cet exercice d’équilibriste est délicat, insistons sur l’égale valeur de principe entre ces droits humains (arrêt Mosley c. Royaume-Uni], § 111). Contrairement à ce qu’avait pu laisser entendre la Cour de justice de l’Union européenne dans son arrêt Google Spain, il n’y a pas de prévalence de principe de l’un sur l’autre. Le résultat d’un tel arbitrage doit toujours s’opérer au cas par cas et sera fonction des circonstances propres à chaque espèce.
En 2012, après des années de résolutions de conflits quelque peu éclatées, voire incohérentes, la Cour européenne des droits de l’homme a enfin établi une grille d’analyse dans le but de systématiser les critères à mobiliser pour procéder à la mise en balance entre la liberté d’expression et le droit au respect de la vie privée (arrêt von Hannover c. Allemagne] (n° 2), §§ 108-113 ; arrêt Springer c. Allemagne], §§ 89-95). Il s’agit des critères suivants : (i) la contribution à un débat d’intérêt général, (ii) la notoriété de la personne visée et l’objet du reportage, (iii) le comportement antérieur de la personne concernée, (iv) le mode d’obtention des informations et leur véracité, (v) le contenu, la forme et les répercussions de la publication, et (vi) la gravité de la sanction imposée.
L’affaire Cumuleo devant l’Autorité de protection des données
6. Ces balises étant posées, nous pouvons revenir au cœur de l’affaire portée devant la Chambre contentieuse de l’Autorité de protection des données.
7. Premièrement, il convient de se pencher sur le contexte entourant le traitement litigieux afin de déterminer si les droits à la liberté d’expression et d’information sont bel et bien en jeu.
Créé en 2009, Cumuleo.be promeut la transparence des mandats, des fonctions et des professions exercés par les mandataires publics, les respectivement politiques et les hauts fonctionnaires. En Belgique, ces acteurs sont en effet soumis, en vertu de la loi du 2 mai 1995, à une obligation de déclaration annuelle des mandats exercés et des rémunérations perçues auprès de la Cour des comptes, quel que soit le niveau de pouvoir au sein duquel ils sont occupés. Cette obligation s’étend également aux activités exercées dans le secteur privé. Dès lors qu’à l’époque des faits, la plaignante était titulaire d’un « mandat assujettissable », ces informations ont été rendues publiques sur le site web de la Cour des comptes et au Moniteur belge.
L’objectif majeur de Cumuleo.be consiste à renforcer le mécanisme de transparence établi par le législateur en recensant, collectant, agrégeant et rendant à son tour accessibles les déclarations des mandataires publics sur son site web, notamment par l’intermédiaire d’un moteur de recherche dédié.
8. En 2021, la plaignante a sollicité l’éditeur pour obtenir l’effacement des données relatives aux rémunérations perçues dans le secteur privé. Cumuleo.be n’a pas fait suite à sa demande, estimant que la publication de telles informations sur son site s’inscrivait dans une démarche de « transparence indispensable au bon fonctionnement de la démocratie » (point 8 de la décision).
À son estime, l’effacement des données « dont le législateur belge a voulu assurer expressément la transparence envers le grand public, irait à l’encontre de son droit fondamental à la liberté d’expression et d’information » (point 8 de la décision).
9. La Chambre contentieuse de l’APD retient ce raisonnement et considère qu’en l’espèce la mise en balance des intérêts en présence « penche en faveur de la liberté d’expression et d’information » (point 34 de la décision).
Dans son appréciation, elle mobilise une grille d’analyse similaire à celle développée par les hautes juridictions européennes pour ménager l’équilibre entre le droit au respect de la vie privée et la liberté d’expression (voir, plus haut, le point 4). Elle se montre particulièrement attentive à (i) la nature publique de l’information, (ii) la large acception de la notion de journaliste pour le débat public et (iii) l’objectif de transparence poursuivi par Cumuleo.be.
10. Deuxièmement, après avoir analysé le contexte dans lequel s’inscrit le traitement des données à caractère personnel effectué par Cumuleo.be, encore faut-il évaluer son caractère nécessaire pour l’exercice du droit à la liberté d’expression et d’information. Pour ce faire, l’APD revient sur les principes clés contenus dans le RGPD.
D’abord, celui de la licéité, par lequel le responsable du traitement doit déterminer, en fonction des fondements juridiques limitativement énumérés par la réglementation, une base juridique sur laquelle fonder son traitement de données à caractère personnel. En l’espèce, la Chambre contentieuse de l’APD retient l’intérêt légitime de l’éditeur du site web (point 38 de la décision).
Ensuite, le responsable du traitement doit déterminer la finalité pour laquelle il entend procéder à la collecte et aux traitements des données à caractère personnel. L’APD est sensible au fait que Cumuleo.be poursuit un objectif identique à celui du législateur national, à savoir la transparence de la gestion publique et l’évitement des conflits d’intérêts dans le chef des mandataires publics (points 35 et suivants de la décision). Elle souligne également l’intérêt des informations publiées sur le site web pour le public ainsi que l’accessibilité rendue plus aisée (points 41 et 42 de la décision).
Enfin, la Chambre contentieuse de l’APD conclut par l’analyse de la proportionnalité du traitement effectué par Cumuleo.be. À cet égard, elle retient en particulier que (i) seules des fourchettes de rémunérations perçues par la plaignante dans le cadre de ses activités exercées dans le secteur privé ont été divulguées et (ii) le site web est principalement nourri de données peu sensibles et rendues publiques en vertu d’une obligation légale par le biais de sources officielles (points 5, 43 et 44 de la décision).
En conséquence, par son classement sans suite, la Chambre contentieuse de l’APD décide que le maintien des informations à caractère personnel de la plaignante participe de manière proportionnée à l’exercice du droit à la liberté d’expression et d’information et dès lors avalise le refus de faire droit à la demande d’effacement par Cumuleo.be.
La nécessité d’une mise en balance des droits fondamentaux
11. Par cette décision, la Chambre contentieuse de l’Autorité de protection des données s’est attelée à la mise en balance entre, d’une part, les impératifs de protection des données à caractère personnel et, d’autre part, le respect du droit à la liberté d’expression et d’information.
Elle note toutefois que cette mise en balance des droits fondamentaux est menacée par le législateur belge. Le mécanisme dérogatoire contenu à l’article 17, paragraphe 3, du RGPD lui suffisait pour résoudre le conflit porté devant elle. Cette disposition, déjà évoquée plus haut sous le point 3, prévoit en effet les cas dans lesquels un « droit à l’effacement » (ou « droit à l’oubli ») des données ne doit pas être mis en œuvre par le responsable de leur traitement. Toutefois, Cumuleo.be entendait également se prévaloir du régime dérogatoire pour les traitements de données à caractère personnel effectués à des fins journalistiques, prévu par l’article 24 de la loi du 30 juillet 2018 ‘relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel’.
Sans pour autant l’appliquer au cas d’espèce, l’APD a saisi l’occasion pour dresser quelques considérations critiques sur le régime instauré par cette dernière disposition : selon elle, le « caractère automatique » du régime dérogatoire belge pour les traitements de données effectués à des fins journalistiques n’est pas conforme au RGPD. Ce dernier octroie la possibilité, aux législateurs nationaux, de déroger à certaines garanties de la protection des données lorsqu’elles sont « nécessaires » pour concilier le droit au respect de la vie privée et la liberté de la presse. Le choix posé par le législateur belge, qui rejette l’analyse in concreto des droits en présence, revient à automatiquement faire primer la liberté journalistique sur la protection des données au mépris de la jurisprudence strasbourgeoise en la matière.
Le législateur belge est ainsi invité à revoir sa copie, à défaut de quoi la Chambre contentieuse de l’APD n’exclut pas d’écarter l’application de l’article 24 de la loi de 2024 dans les prochaines affaires qui lui seront soumises.