CJUE : le juge peut-il utiliser une preuve RGPD illicite sans violer le règlement ?

La question de l’utilisation par un juge de preuves contenant des données personnelles collectées en violation du RGPD soulève un débat juridique original. Si la recevabilité d’une preuve est souvent contestée au motif de son illicéité initiale, la CJUE a récemment tranché sur un angle inédit : l’utilisation même de ces données par la juridiction pourrait-elle constituer une violation du RGPD ?

Une affaire illustrant le traitement de données personnelles illicites

Dans l’affaire soumise à la CJUE, une entreprise a engagé une action en justice contre un ancien salarié pour avoir vendu, à titre personnel, des biens appartenant à l’entreprise via la plateforme eBay. Pour étayer sa demande, l’entreprise a produit des éléments tirés du compte eBay privé du salarié, obtenus en accédant à son historique de navigation sur un ordinateur professionnel et à un « dossier familial » contenant ses identifiants. Ces données, probablement collectées en violation du RGPD, ont été versées aux débats.

La CJUE valide l’utilisation de la preuve sous conditions strictes

La CJUE a jugé que le RGPD n’interdit pas, de manière générale, à une juridiction d’utiliser des données personnelles issues d’un traitement illicite par une partie. Cependant, le juge doit lui-même respecter le RGPD lorsqu’il traite ces données. La Cour souligne que le traitement juridictionnel des données personnelles est soumis à une base légale et au principe de minimisation.

La base légale du traitement par le juge repose sur son obligation de statuer sur l’admissibilité des preuves et de trancher le litige. Cette obligation, issue de la jurisprudence nationale, doit être claire, précise et proportionnée. La CJUE identifie l’objectif d’intérêt public dans la garantie du droit à un procès équitable, qu’aucune autre mesure ne permettrait de satisfaire aussi efficacement.

Le respect du principe de minimisation par la juridiction

Le juge doit limiter le traitement des données personnelles aux seules informations nécessaires à l’appréciation de l’admissibilité de la preuve. Une fois ce contrôle effectué, il doit évaluer si les données sont strictement indispensables pour rendre sa décision. Si ce n’est pas le cas, des mesures d’anonymisation ou de pseudonymisation doivent être envisagées. Enfin, lors de la publication de la décision, le juge doit également apprécier la nécessité d’appliquer ces mesures pour protéger les données personnelles.

En conclusion, la CJUE écarte l’argument consistant à exclure une preuve au seul motif que son utilisation par le juge impliquerait un traitement de données issues d’un traitement illicite. L’enjeu réside désormais dans la conformité du traitement juridictionnel des données personnelles au RGPD.

Source : Derriennic