Arrêt de la Cour de justice de l’Union euro­péenne (CJUE) du 25 février 2021, C‑658/​19, ECLI:EU:C:2021:138 (Commission/​Espagne)

Cadre

La Directive 2016/​680 du 27 avril 2016 (Directive Police-Justice) établit des règles spéci­fiques rela­tives à la protec­tion des personnes physiques à l’égard du trai­te­ment des données à carac­tère person­nel par les auto­ri­tés compé­tentes à des fins de préven­tion et de détec­tion des infrac­tions pénales, d’enquêtes et de pour­suites en matière d’exécution de sanc­tions pénales, y compris la protec­tion contre les menaces pour la sécu­rité publique et la préven­tion de telles menaces.

Faisant partie du paquet de la révi­sion euro­péenne de la protec­tion des données à carac­tère person­nel au côté du RGPD, la Directive Police-Justice a été adop­tée afin de faci­li­ter le libre flux de données à carac­tère person­nel entre les auto­ri­tés natio­nales compé­tentes à des fins notam­ment de préven­tion et de détec­tion des infrac­tions pénales au sein de l’Union euro­péenne, et le trans­fert de telles données vers des pays tiers. La Directive Police-Justice a abrogé la déci­sion-cadre 2008/​977/​JAI, dont le champ d’application se limi­tait au trai­te­ment des données à carac­tère person­nel trans­mises ou mises à dispo­si­tion entre les États membres de l’Union européenne.

Pour entrer dans le champ d’application de la Directive Police-Justice, le trai­te­ment de données à carac­tère person­nel doit pour­suivre l’une des fina­li­tés mention­nées à son art. 1^er, et être mis en œuvre par une auto­rité compé­tente, soit notam­ment une auto­rité publique compé­tente pour la préven­tion et la détec­tion des infrac­tions pénales.

La Directive Police-Justice a égale­ment une impor­tance pour le cadre juri­dique suisse puisqu’elle s’inscrit dans le déve­lop­pe­ment des acquis Schengen. Ce faisant, la Suisse a dû reprendre le contenu de la Directive Police-Justice au sein de son ordre juri­dique, ce qu’elle a fait en adop­tant la Loi fédé­rale du 28 septembre 2018 sur la protec­tion des données person­nelles dans le cadre de l’application de l’acquis de Schengen dans le domaine pénal (LPDS), après avoir scindé la révi­sion du cadre légis­la­tif rela­tif à la protec­tion des données.

Affaire

Les États membres ont le devoir de trans­po­ser les direc­tives de l’Union euro­péenne au sein de leur ordre juri­dique. L’art. 63 par. 1 de la Directive Police-Justice prévoit cette obli­ga­tion de trans­po­si­tion, fixée au plus tard au 6 mai 2018 (soit deux ans après son entrée en vigueur).

N’ayant reçu aucune nouvelle de l’Espagne au 20 juillet 2018, la Commission euro­péenne lui a adressé une lettre de mise en demeure confor­mé­ment à l’art. 258 du Traité sur le fonc­tion­ne­ment de l’Union euro­péenne (TFUE). Restée lettre morte, et sur la base de l’art. 258 TFUE, la Commission euro­péenne a adressé à l’Espagne (ainsi qu’à la Bulgarie, à Chypre, à la Grèce, à la Lettonie, aux Pays-Bas et à la Slovénie) un avis motivé le 25 janvier 2019, l’invitant à prendre les mesures néces­saires dans un délai de deux mois.

Faisant suite à l’avis motivé, et sans contes­ter avoir manqué à ses obli­ga­tions, l’Espagne a indi­qué le 27 mars 2019 que le retard pris résul­tait du contexte poli­tique parti­cu­lier, mais que la procé­dure pour l’adoption des mesures de trans­po­si­tion était en cours, l’Espagne prépa­rant un projet de loi qui devait être prêt à la fin du mois de juillet 2019, avant d’être trans­mis à son Parlement, ce dernier devant adop­ter le projet au plus tard en mars 2020.

Malgré la réponse de l’Espagne, la Commission euro­péenne a saisi la CJUE le 4 septembre 2019 confor­mé­ment à l’art. 258 TFUE, en lui deman­dant de consta­ter le manque­ment de l’Espagne à ses obli­ga­tions et, subsi­diai­re­ment, de lui infli­ger le paie­ment d’une somme forfai­taire et le paie­ment d’une astreinte confor­mé­ment à l’art. 260 par. 3 TFUE.

Dans un premier temps, la CJUE constate que l’Espagne a bien manqué à ses obli­ga­tions en n’assurant pas la trans­po­si­tion de la Directive Police-Justice au sein de son ordre juri­dique. Les argu­ments de l’Espagne en lien avec le contexte natio­nal poli­tique tendu ne suffisent pas à convaincre la CJUE. Cette dernière estime qu’un État membre ne saurait exci­per de situa­tions de son ordre juri­dique interne pour justi­fier une inob­ser­va­tion des obli­ga­tions décou­lant du droit de l’Union européenne.

Dans un second temps, la CJUE examine le manque­ment au titre de l’art. 260 par. 3 TFUE, rete­nant que ce dernier doit s’appliquer dans le cas d’espèce. La CJUE rappelle ensuite que la fixa­tion du montant d’une astreinte jour­na­lière ou d’une somme forfai­taire dépend de plusieurs critères. Il s’agit notam­ment de la durée de l’infraction, de son degré de gravité et de la capa­cité de paie­ment de l’État membre. Seuls les deux premiers critères seront analy­sés, la CJUE souli­gnant toute­fois, pour le dernier critère, l’évolution récente du PIB de l’Espagne.

Sur la durée de l’infraction, la CJUE note que le manque­ment perdure depuis l’expiration du délai fixé dans l’avis motivé, à savoir le 25 mars 2019. À cet égard, la CJUE estime qu’une durée de plus d’un an et demi est consé­quente, ce d’autant plus que les États membres avaient l’obligation de trans­po­ser ladite direc­tive au plus tard le 6 mai 2018.

Sur la gravité de l’infraction, la CJUE est d’avis que l’obligation d’adopter des mesures natio­nales pour assu­rer la trans­po­si­tion complète d’une direc­tive consti­tue une obli­ga­tion essen­tielle afin d’assurer la pleine effec­ti­vité du droit de l’Union euro­péenne. Dès lors, le manque­ment doit être consi­déré comme étant d’une gravité certaine. La CJUE souligne égale­ment l’importance de la Directive Police-Justice. La CJUE déclare notam­ment que l’insuffisance de règles garan­tis­sant le bon fonc­tion­ne­ment de l’espace de liberté, de sécu­rité et de justice au sein de l’Union euro­péenne doit être consi­dé­rée comme parti­cu­liè­re­ment grave, compte tenu des consé­quences pour les inté­rêts publics et privés.

Au vu de ce qui précède, la CJUE confirme la requête de la Commission euro­péenne, et condamne l’Espagne au verse­ment d’une somme forfai­taire de € 15 millions et à une astreinte jour­na­lière à hauteur de € 89’000 jusqu’à que l’Espagne mette un terme au manque­ment constaté.

À notre connais­sance, la Commission euro­péenne n’a saisi la CJUE, jusqu’à ce jour, que contre l’Espagne. Les autres États membres ont vrai­sem­bla­ble­ment tous adopté une loi mettant en œuvre la Directive Police-Justice.