Source :   CJUE, 20 décembre 2017, aff. C-434/16, Peter Nowak c/ Data protection commissioner

La notion de « données à caractère personnel » est définie à l’article 2, sous a), de la Directive 95/46/CE du 24 octobre 1995 comme « toute information concernant une personne physique identifiée ou identifiable », cet article précisant qu’ « est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d’identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale ».

Le Règlement européen sur la protection des données adopté le 27 avril 2016, qui entrera en vigueur le 25 mai 2018 et abrogera par la même occasion la Directive précitée, n’a pas entendu modifier fondamentalement cette définition, se contentant d’ajouter en son article 4 d’autres exemples d’éléments susceptibles de rendre une personne identifiable, dénommés « identifiants » dans le nouveau texte, soit le nom, les données de localisation ou encore un identifiant en ligne.

La CJUE a récemment été saisie de la question de savoir si les informations inscrites dans des réponses ou à titre de réponse par un candidat à un examen professionnel étaient de nature à constituer des données à caractère personnel, après qu’un expert-comptable stagiaire irlandais se soit vu refuser le droit de consulter sa copie d’examen.

La Cour relève tout d’abord qu’un candidat à un examen professionnel est une personne physique qui peut être identifiée soit directement, à partir de son nom, soit indirectement, à partir d’un numéro d’identification, lesquels sont apposés sur la copie d’examen ou le feuillet de couverture de cette copie.

En effet, le point de savoir si l’examinateur peut ou non identifier le candidat au moment de la correction et de la notation de la copie d’examen est sans incidence sur la qualification de donnée à caractère personnelle, puisqu’il n’est pas requis que toutes les informations permettant l’identification soient entre les mains d’une même personne. En l’occurrence, l’entité organisant l’examen est en mesure d’identifier aisément le candidat à partir de son numéro d’identification apposé sur la copie ou le feuillet de couverture de la copie.

La Cour constate dans un second temps que les réponses écrites fournies par le candidat lors d’un examen professionnel et les éventuelles annotations de l’examinateur constituent des informations concernant le candidat en raison de leur contenu, de leur finalité et de leur effet. Le contenu des réponses reflète le niveau de connaissance et de compétence du candidat et son esprit critique, alors que les notes de l’examinateur reflètent son avis sur les performances individuelles du candidat.

La juridiction européenne confirme ainsi que l’expression « toute information » dans le cadre de la définition de donnée à caractère personnel reflète l’objectif du législateur de l’Union d’attribuer un sens large à cette notion, laquelle n’est pas restreinte aux informations d’ordre privé ou sensibles, mais englobe potentiellement toute sorte d’informations, tant objectives que subjectives sous forme d’avis ou d’appréciations, à condition que celles-ci « concernent » la personne visée.

La qualification de données à caractère personnel ayant été reconnue, il en découle pour le candidat plusieurs droits sur sa copie d’examen et les annotations de l’examinateur, à commencer par un droit d’accès, de rectification et d’opposition.

La Cour rappelle enfin que l’entité organisant l’examen est tenue, en tant que responsable du traitement des données, d’assurer que les réponses et annotations soient stockées de manière à éviter que des tiers y aient accès de manière illicite.

Virginie PERDRIEUX

Vivaldi-Avocats