Panorama rapide de l’actualité « Technologies de l’information » de la semaine du 29 janvier 2024

Données personnelles

Le droit à l’effacement appliqué aux personnes condamnées pénalement

• Par un arrêt du 30 janvier 2024, la Cour de justice de l’Union européenne a jugé que la conservation générale et indifférenciée, jusqu’à leur décès, de données biométriques et génétiques des personnes condamnées pénalement est contraire au droit de l’Union.
  En Bulgarie, une personne a fait l’objet d’une inscription au registre de police dans le cadre d’une procédure d’instruction pour faux témoignage, à la suite de laquelle elle a été reconnue coupable et condamnée à une peine de probation d’un an. Après avoir purgé sa peine, cette personne a bénéficié d’une réhabilitation et a demandé à être radiée du registre de police. En droit bulgare, les données biométriques (relatives aux caractéristiques physiques, physiologiques ou comportementales) et génétiques (sexe, traits ethniques, taille ou poids) concernant les condamnés peuvent être conservées sans limitation de durée, autre que leur décès. La demande de radiation a été rejetée au motif qu’une condamnation pénale définitive, même après réhabilitation, ne fait pas partie des motifs de radiation de l’inscription au registre de police.
  Saisie d’un recours, la Cour administrative suprême bulgare a interrogé la Cour de justice de l’Union européenne sur l’interprétation de l’article 5 de la directive (UE) 2016/680 du 27 avril 2016, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel. Pour rappel, cet article impose aux États membres de prévoir des délais appropriés pour l’effacement des données à caractère personnel, ainsi que de vérifier régulièrement si cette conservation est toujours nécessaire.
  La Cour relève que les données à caractère personnel conservées dans le registre de police en Bulgarie sont, notamment, un relevé des empreintes digitales, une photographie, un prélèvement à des fins de profilage ADN ainsi que des données relatives aux infractions pénales commises. Si ces données peuvent être indispensables pour vérifier que la personne concernée est impliquée dans d’autres infractions pénales, toutes ne présentent pas le même degré de risque d’être impliquées dans d’autres infractions pénales. Ainsi, la nature et la gravité de l’infraction commise ou l’absence de récidive sont des facteurs à prendre en compte pour déterminer la durée de conservation adéquate des données
  Par conséquent, et dans la lignée de sa jurisprudence en matière de conservation des données, la Cour a considéré, dans son arrêt du 30 janvier 2024, que la conservation générale et indifférenciée, jusqu’à leur décès, de données biométriques et génétiques des personnes condamnées pénalement, est contraire au droit de l’Union. (CJUE, 30 janv. 2024, C-118/22, Direktor na Glavna direktsia, Natsionalna politsia « pri MVR – Sofia)

Le dommage moral résultant d’une erreur matérielle dans la communication de données personnelles

• Dans un arrêt du 25 janvier 2024, la Cour de Justice de l’Union européenne a confirmé qu’en cas de violation de données à caractère personnel, la personne concernée peut solliciter réparation de son préjudice dans les conditions du droit commun de la responsabilité. Un risque purement hypothétique d’usage abusif par un tiers non autorisé ne saurait, toutefois, donner lieu à réparation.
  Ce n’est pas la première fois que la CJUE apporte un éclairage sur l’interprétation de l’article 82 de RGDP aux termes duquel toute personne ayant subi un dommage matériel ou moral du fait d’un traitement illicite de données a le droit d’obtenir une réparation du préjudice subi, du fait du dommage causé par le responsable du traitement (voir par ex. : L’arrêt Österreichische Post [OP], 4 mai 2023, affaire C-300/21). En...