Quel est l’impact du RGPD dans la production d’une preuve en justice ?

Une donnée recueillie à des fins fiscales, peut-elle être réutilisée en justice dans un conflit sans rapport avec la fiscalité ? Le RGPD s’applique-t-il à la procédure civile ? La CJUE et la Cour de cassation ont rendu des arrêts qui confirment l’applicabilité générale du GDPR dans le cadre du droit procédural civil national, mais ouvrent largement la porte à des réutilisations.

Contexte

X construit un immeuble de bureaux pour B.

X assigne B en paiement du solde des travaux.

B conteste : selon lui, X réclame des heures qui n’ont pas été effectivement prestées.

Il se trouve que le droit suédois, applicable à ce dossier, exige des entrepreneurs de tenir en permanence un registre électronique du personnel, qui précise les temps de travail individuel de chaque travailleur. Autant dire que la réponse au procès au principal s’y trouve.

B sollicite en justice la production de ce registre.

X s’oppose à la production d’une copie non-expurgée de ce registre : il estime que la réutilisation du registre dans le cadre d’un litige de droit civil, est incompatible avec la finalité initiale (fiscale) pour laquelle les données ont été collectées.

Le RGPD est-il applicable aux procédures en justice ?

La CJUE précise tout d’abord que l’article 2, paragraphe 1, du RGPD s’applique aux traitements effectués par des personnes privées ainsi qu’aux traitements effectués par des autorités publiques, y compris les autorités judiciaires telles que les tribunaux. Aucune distinction n’est faite à cet égard en fonction de l’auteur du traitement des données.

En outre, la Cour précise que la création et la tenue du registre électronique du personnel à des fins fiscales, ainsi que la production de ce document ordonnée dans le cadre d’une procédure judiciaire, constituent chacune un traitement de données à caractère personnel au sens du RGPD.

Le principe de finalité est-il applicable à la production d’une preuve en justice ?

Le registre litigieux permet aux agents de l’administration fiscale suédoise de procéder à des rapprochements lors des inspections sur place. L’objectif principal est de prévenir le travail non déclaré et de créer des conditions de concurrence plus saines.

Dès lors, le traitement de ces données dans le cadre d’une procédure juridictionnelle, telle que celle en cause au principal, constitue un traitement effectué à une autre fin que celle pour laquelle les données ont été collectées.

Conséquence : « le traitement de données à caractère personnel pour une fin autre que celle pour laquelle ces données ont été collectées doit non seulement être fondé sur le droit national, tel que les dispositions du chapitre 38 du RB, mais également constituer une mesure nécessaire et proportionnée dans une société démocratique, au sens de l’article 6, paragraphe 4, du RGPD, et garantir l’un des objectifs visés à l’article 23, paragraphe 1, du RGPD. »

Pour la Cour, la bonne administration de la justice est un de ces objectifs. Elle estime qu’il n’est donc pas exclu que le traitement de données à caractère personnel de tiers dans le cadre d’une procédure juridictionnelle civile puisse se fonder sur de tels objectifs. Elle invite toutefois le juge national à vérifier la nécessité et la proportionnalité de la mesure sollicitée.

L’intérêt des tiers au procès doit-il être pris en compte ?

Dernière question soumise à la Cour : le juge national doit-il prendre en compte les intérêts des tiers au procès ? Dans le cas d’espèce, il s’agit entre autres de l’intérêt des travailleurs dont le nom et l’activité sont repris au registre.

Sans surprise, la CJUE insiste sur le fait que le résultat de la pondération à laquelle doit procéder la juridiction nationale peut varier tant en fonction des circonstances de chaque espèce que du type de procédure en cause.

Plus précisément, elle rappelle que si la protection des données à caractère personnel est un objectif important du droit de l’union, ce droit n’est pas absolu et doit être mis en balance avec d’autres valeurs tout aussi importantes, par exemple les objectifs de justice (droit à un recours effectif, loyauté des débats, égalité des armes, etc.).

Dès lors, « afin d’assurer que les justiciables puissent jouir d’un droit à une protection juridictionnelle effective et notamment d’un droit à un procès équitable, au sens de l’article 47, deuxième alinéa, de la Charte, il convient de considérer que les parties à une procédure juridictionnelle civile doivent être en mesure d’accéder aux preuves nécessaires pour établir à suffisance le bien-fondé de leurs griefs, qui peuvent éventuellement inclure des données à caractère personnel des parties ou de tiers. »

La Cour ouvre donc largement la porte, mais rappelle toutefois que conformément aux principes désormais bien connus, dont la minimisation des données, le juge doit s’assurer que les éléments de preuve dont la production est réclamée ne vont pas au-delà de ce qui est nécessaire.

Elle répond donc que « les articles 5 et 6 du RGPD doivent être interprétés en ce sens que, lors de l’appréciation du point de savoir si la production d’un document contenant des données à caractère personnel doit être ordonnée, la juridiction nationale est tenue de prendre en compte les intérêts des personnes concernées et de les pondérer en fonction des circonstances de chaque espèce, du type de procédure en cause et en tenant dûment compte des exigences résultant du principe de proportionnalité ainsi que, en particulier, de celles résultant du principe de la minimisation des données visé à l’article 5, paragraphe 1, sous c), de ce règlement. »

La Cour de cassation est sur la même ligne

Hasard du calendrier, la Cour de cassation française a rendu, à quelques jours d’intervalles, un arrêt portant sur une problématique similaire.

La Cour rappelle tout d’abord que le droit à la protection des données à caractère personnel n’est pas un droit absolu et doit être considéré par rapport à sa fonction dans la société et être mis en balance avec d’autres droits fondamentaux, conformément au principe de proportionnalité. Parmi ces droits fondamentaux qui peuvent justifier une mise en balance : le droit à un recours effectif et à accéder à un tribunal impartial.

Ensuite, la Cour souligne la portée générale de l’article 145 du code de procédure civile : s’il existe un motif légitime de conserver ou d’établir avant tout procès la preuve de faits dont pourrait dépendre la solution d’un litige, les mesures d’instruction légalement admissibles peuvent être ordonnées à la demande de tout intéressé. Pour la cour de cassation, il résulte des articles 6 et 8 de la Convention de sauvegarde des droits de l’homme et des libertés fondamentales, 9 du code civil et 9 du code de procédure civile, que le droit à la preuve peut justifier la production d’éléments portant atteinte à la vie personnelle d’autrui, à la condition que cette production soit indispensable à l’exercice de ce droit et que l’atteinte soit proportionnée au but poursuivi.

Appliquant ces principes au cas d’espèce, la Cour de cassation juge que « doit en conséquence être approuvé l’arrêt qui ordonne à l’employeur de communiquer à une salariée les bulletins de salaires d’autres salariés occupant des postes de niveau comparable au sien avec occultation des données personnelles à l’exception des noms et prénoms, de la classification conventionnelle et de la rémunération, après avoir relevé que cette communication d’éléments portant atteinte à la vie personnelle d’autres salariés était indispensable à l’exercice du droit à la preuve et proportionnée au but poursuivi, soit la défense de l’intérêt légitime de la salariée à l’égalité de traitement entre hommes et femmes en matière d’emploi et de travail ».

Plus d’infos ?

Les arrêts commentés (CJUE et Cour de cassation), ainsi que les conclusions de l’avocat général, sont disponibles en annexe.

Source Droit & Technologies​