Affaire C‑185/25 [Waldfelber] RS c. TS | Conclusions de l'Avocat Général du 18 juin 2026

Avertissement liminaire: Les conclusions d’un Avocat Général ne constituent pas les attendus de l'arrêt qui sera rendu, mais orientent bien souvent la direction que prendra la CJUE à laquelle elles seront soumises. Les principes dégagés ci-dessous s’appuient sur ces conclusions ainsi que sur la jurisprudence citée par l’Avocat Général.

 

       

I. Rappel des faits et de la procédure

L’affaire C-185/25 Waldfelber, met en scène TS, directeur d’une école primaire autrichienne, qui, après avoir recueilli des appréciations défavorables sur RS (coordinateur de programme proposé par le centre de formation des enseignants) auprès d’un tiers lors d’une conversation en personne, a transmis depuis son adresse électronique professionnelle — en utilisant un ordinateur et un serveur de l’établissement — un courriel au centre de formation lui demandant de désigner un autre coordinateu. Ce courriel mentionnait que RS « remettait en cause le système scolaire public » et était « en conflit permanent avec l’autorité scolaire compétente ». TS n’avait établi aucun document relatif à la conversation qu’il avait eue avec le tiers et n’avait pas conservé le nom de celui-ci.

RS, ayant eu connaissance du courriel, a réclamé à TS la communication de l’identité du tiers sur le fondement de l’article 15, paragraphe 1, sous g), du RGPD, ainsi qu’une copie de ses données traitées, et a sollicité 800 euros de réparation pour préjudice extrapatrimonial résultant de la violation alléguée de son droit d’information.

Les juridictions de première instance et d’appel ont rejeté les demandes de RS, considérant que TS avait agi en qualité d’organe de l’entité juridique publique dont dépendait l’école, que les moyens de traitement avaient été déterminés pourlui et non par lui, et que qualifier TS de « responsable du traitement » serait contraire à la loi autrichienne sur la responsabilité administrative (Amtshaftungsgesetz). La juridiction d’appel a en outre estimé qu’il n’existait aucune obligation de conserver le nom du tiers et, partant, aucune obligation d’en communiquer l’identité. L’Oberster Gerichtshof (Cour suprême, Autriche) a sursis à statuer et saisi la Cour de justice le 7 mars 2025.

II. Enjeux de l’affaire

La CJUE, dans cette affaire, est appelée à trancher quatre questions préjudicielles portant successivement sur la notion de responsable du traitement appliquée à une personne physique agissant ès qualités de dirigeant d’un organisme sans personnalité morale, sur la portée du droit d’accès à la source des données à caractère personnel au sens de l’article 15, paragraphe 1, sous g), du RGPD, et sur le régime de la responsabilité civile en cas de violation dudit droit d’accès, notamment face à une législation nationale qui exclut la responsabilité personnelle des organes d’entités juridiques de droit public.

La singularité de cette affaire tient à l’imbrication de trois confrontations normatives fondamentales: - La première oppose la définition fonctionnelle et large du responsable du traitement consacrée par le RGPD aux constructions institutionnelles du droit administratif autrichien, qui ignorent la personnalité juridique de l’école et de son directeur, organe d’une entité de droit public - La deuxième oppose le droit à la transparence de la personne concernée — droit d’accès à l’identité de tiers interlocuteurs dont les propos ont fondé un jugement de valeur la concernant — aux droits fondamentaux à la vie privée et à la liberté d’expression dont bénéficient ces mêmes tiers. - La dernière tension confronte l’effectivité du droit à réparation garanti par l’article 82 du RGPD aux mécanismes nationaux de responsabilité administrative qui transfèrent la charge indemnitaire à la seule entité juridique de rattachement, protégeant l’organe lui-même de toute action directe de la victime.

Les conclusions de l’Avocat général Norkus apportent sur chacun de ces points une analyse qui, si elle est suivie par la Cour, représenterait une inflexion sensible dans l’interprétation de la notion fonctionnelle de responsable du traitement, jusque-là construite selon une acception large et volontariste par la jurisprudence européenne.

III. Principes proposés par l’Avocat Général

1. Responsable du traitement (art. 4, pt 7) — Dans la ligne des arrêts juris (C-741/21), Deutsche Wohnen (C-807/21), Amt der Tiroler Landesregierung (C-638/23) et des lignes directrices 07/2020 du CEPD, l’Avocat Général conclut qu’une personne physique agissant dans l’intérêt institutionnel, avec des moyens déterminés pour elle et non par elle, n’est pas un « responsable du traitement » au sens du RGPD. Ce statut appartient à l’entité juridique de droit public dont relève l’école.

2. « Source » des données (art. 15, § 1, g)) — S’appuyant sur les arrêts Nowak (C-434/16), Pankki S (C-579/21) et Österreichische Datenschutzbehörde (C-416/23), et sur une interprétation téléologique du droit d’accès (considérant 63 du RGPD), l’Avocat Général juge que la source de l’opinion contenue dans le courriel est son auteur (TS), non les tiers qui l’ont inspirée: la « source » du courriel est TS lui-même : c’est lui qui a formulé et transmis l’opinion négative sur RS, en utilisant ses propres moyens professionnels, en son propre nom institutionnel, même si le tiers est la “source” des informations ayant nourri cette opinion. L’obligation de communication ne s’étend donc pas automatiquement à l’identité du tiers.

3. Le rôle de la prévisibilité dans la mise en balance des droits fondamentaux — L’absence de prévisibilité du tiers que ses déclarations feraient l’objet d’un traitement de données constitue un facteur pertinent de pondération, dans le cadre de la mise en balance exigée entre la protection des données (art. 8 Charte) et les droits du tiers (art. 7, 11 Charte ; art. 8, 10 CEDH), conformément à la jurisprudence Brillen Rottler (C-526/24, EU:C:2026:216). L’Avocat Général considère que, même si l’identité du tiers devait être qualifiée d’« information disponible quant à la source », la mise en balance devrait impérativement tenir compte du fait que le tiers « ne pouvait pas prévoir que ses déclarations feraient l’objet d’un traitement de données ». Cette imprévisibilité renforce la protection de la vie privée du tiers et justifie que l’obligation de divulgation ne s’impose pas, sauf à démontrer que cette divulgation est strictement nécessaire à l’exercice des droits de la personne concernée.

4. Réparation pour violation du droit d’accès (art. 82) — En s’appuyant notamment sur l’arrêt Brillen Rottler (EU:C:2026:216, pts 48-53, 59) et sur la distinction entre l’article 82, § 1 (principe du droit à réparation pour toute violation du RGPD) et l’article 82, § 2 (règles de responsabilité), l’Avocat Général conclut que la violation de l’obligation d’information de l’article 15, § 1, peut néanmoins ouvrir droit à réparation, sous réserve de la démonstration d’un dommage effectif et d’un lien de causalité.

5. Compatibilité avec le droit autrichien — Le mécanisme de transfert de responsabilité vers l’entité publique prévu par l’Amtshaftungsgesetz n’est pas incompatible avec l’article 82 RGPD, dont la finalité est exclusivement indemnitaire — à la différence de l’article 83, de finalité punitive (arrêts juris, C-741/21 ; Quirin Privatbank, C-655/23). Ce qui prime est la possibilité pour la personne concernée d’obtenir une réparation complète et effective (considérant 146 du RGPD ; arrêts Patērētāju tiesību aizsardzības centrs, C-507/23 ; Quirin Privatbank, C-655/23), non l’identité de la personne directement redevable de l’indemnisation.