L'Autorité polonaise de protection des données personnelles (UODO) a prononcé des réprimandes à l'encontre de près de 90 présidents de tribunaux et chefs de parquets pour avoir publié des données sur l'appartenance associative et politique de juges et de procureurs, sur la base d'une loi nationale jugée non conforme au droit de l'Union européenne.

Faits et contexte

L'Autorité polonaise de protection des données personnelles (UODO) a aujourd'hui publié une décision de sanction à l'encontre de près de 90 présidents de tribunaux et chefs de parquets (comprenant le prononcé de réprimandes) pour des manquements en lien avec la publication de données personnelles de juges et de procureurs.

L'affaire a débuté en 2019 à la suite d'un signalement du Défenseur des droits civiques polonais, qui a attiré l'attention de l'UODO sur une nouvelle loi, dite "loi muselière", imposant aux juges et procureurs de déclarer leur appartenance à des associations, fondations ou partis politiques, et prévoyant la publication de ces déclarations dans les Bulletins d'information publique.

Motifs de la décision

Après une première décision de classement en 2020, annulée par la Cour administrative suprême (NSA) à la suite d'un arrêt de la Cour de Justice de l'Union Européenne (CJUE), l'UODO a réexaminé l'affaire et a constaté les manquements suivants :

• Obligation de disposer d'une base juridique valide pour le traitement (article 6 du RGPD) : Les responsables de traitement se fondaient sur une obligation légale nationale pour justifier la collecte et la publication des données. Cependant, l'UODO, se conformant à l'arrêt de la CJUE du 5 juin 2023 (affaire C-204/21) et à la décision subséquente de la NSA, a jugé que la loi nationale en question ne constituait pas une base juridique suffisante. En effet, une disposition nationale ne peut légitimer un traitement au sens des articles 6, paragraphe 1, point c) et e) du RGPD que si elle respecte les critères qualitatifs du droit de l'Union, notamment les principes de proportionnalité et de nécessité, et sert un objectif d'intérêt public. Or, la loi ne précisait ni la finalité du traitement et de la publication, ni la durée de conservation des données, portant ainsi une atteinte disproportionnée au droit à la vie privée et à la protection des données garanti par les articles 7 et 8 de la Charte des droits fondamentaux de l'Union européenne.
• Interdiction de traiter les catégories particulières de données (article 9 du RGPD) : Les informations relatives à l'appartenance à une association, une fondation ou un parti politique sont susceptibles de révéler les opinions politiques ou les convictions philosophiques des personnes concernées, constituant ainsi des données sensibles au sens de l'article 9 du RGPD. L'arrêt de la CJUE a explicitement constaté une violation de l'article 9, paragraphe 1 du RGPD. La base juridique nationale ayant été jugée invalide, le traitement de ces données de catégories particulières était dépourvu de toute condition de licéité. La NSA a par ailleurs précisé que toute forme de traitement de ces données, y compris leur simple conservation, était illégale.

Décision de l'autorité

En conséquence, l'autorité a prononcé des réprimandes à l'encontre des responsables de traitement concernés.

En outre, l'autorité a ordonné la suppression des déclarations qui étaient encore conservées, même si leur publication avait déjà été suspendue par les entités entre juillet 2024 et octobre 2025.

Enseignements

Cette décision rappelle que :

• Une obligation légale nationale ne constitue une base juridique valide au sens de l'article 6 du RGPD que si la loi elle-même est conforme aux exigences du droit de l'Union, notamment les principes de nécessité et de proportionnalité ainsi que la Charte des droits fondamentaux.
• Une disposition légale nationale autorisant un traitement de données doit être claire et précise quant à ses finalités et ne doit pas porter une atteinte excessive aux droits et libertés des personnes concernées.
• L'invalidation d'une base juridique par une juridiction supérieure rend illicite toute opération de traitement fondée sur celle-ci, y compris la simple conservation des données, qui doivent alors être supprimées.