CJUE : examen professionnel et données à caractère personnel

La directive 95/46/CE du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données définit la notion de données à caractère personnel comme : « toute information concernant une personne physique identifiée ou identifiable (personne concernée); est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d’identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale » (Dir. préc., art. 2, a).

La jurisprudence communautaire, comme nationale, ont toujours eu une interprétation extensive de la notion de donnée à caractère personnel (V., A. Debet, J. Massot et N. Metallinos, Informatique et libertés, Lextenso, 2015, n^os 484 s.) et ce, conformément aux objectifs poursuivis par la directive selon laquelle : « les principes de la protection doivent s’appliquer à toute information concernant une personne identifiée ou identifiable; que, pour déterminer si une personne est identifiable, il convient de considérer l’ensemble des moyens susceptibles d’être raisonnablement mis en œuvre, soit par le responsable du traitement, soit par une autre personne, pour identifier ladite personne ; que les principes de la protection ne s’appliquent pas aux données rendues anonymes d’une manière telle que la personne concernée n’est plus identifiable; que les codes de conduite au sens de l’article 27 peuvent être un instrument utile pour fournir des indications sur les moyens par lesquels les données peuvent être rendues anonymes et conservées sous une forme ne permettant plus l’identification de la personne concernée » (Dir. préc., consid. 26).

C’était cette notion même de données à caractère personnel, laquelle détermine le champ d’application de la réglementation en la matière, en ce notamment le droit pour les personnes concernées d’avoir accès aux données en cause, de pouvoir les faire rectifier ou d’en solliciter la suppression auprès du responsable de traitement, qui était au cœur du litige ayant conduit à la saisine de la Cour de justice de l’Union européenne (CJUE).

En l’occurrence, un expert-comptable stagiaire avait échoué à un des examens nécessaires pour pouvoir intégrer la profession d’expert-comptable en Irlande. À la suite de cet échec, il avait contesté les résultats de l’examen, puis, cette première réclamation ayant été rejetée, il avait présenté une demande d’accès visant l’ensemble des données à caractère personnel le concernant, détenues par l’ordre irlandais des experts-comptables. L’ordre lui avait communiqué un certain nombre de documents, mais pas sa copie d’examen (avec les annotations des correcteurs), au motif que cette dernière ne contiendrait pas de données à caractère personnel (§ 26).

Dans le cadre de ce contentieux, la Cour suprême d’Irlande avait saisi la CJUE d’une question préjudicielle quant à savoir si les réponses écrites fournies par un candidat lors d’un examen professionnel et les éventuelles annotations des correcteurs constituaient des données à caractère personnel au sens de la directive 95/46/CE.

Dans son...