Par une décision du 2 février 2024, le Conseil d’État a jugé que l’Église catholique était fondée à refuser d’effacer de ses registres les données relatives à un baptême.
Un particulier (la « Personne concernée ») a effectué une demande d’effacement de ses données personnelles figurant dans le registre des baptêmes du diocèse d’une commune (le « Diocèse »). En réponse, le Diocèse avait apposé une mention sur son registre précisant que la Personne concernée ne reconnaissait désormais plus la valeur de son baptême.
Insatisfaite, la Personne concernée a saisi la CNIL afin que le Diocèse fasse notamment droit à sa demande d’effacement. La commission a clôturé sa plainte, considérant que la mention de la renonciation par la Personne concernée de son baptême était suffisante au regard des exigences du RGPD.
Saisi d’un recours pour excès de pouvoir, le Conseil d’État a confirmé la décision de la CNIL.
La tenue du registre des baptêmes constitue un motif légitime impérieux pour refuser l’effacement de données personnelles
Au titre de l’article 17 du RGPD[1], toute personne concernée a le droit de demander l’effacement de ses données personnelles. Les responsables de traitement sont tenus de faire droit à cette demande notamment lorsque :
- les données ne sont plus nécessaires au regard des finalités poursuivies ;
- la personne concernée a retiré son consentement sur lequel est fondé le traitement ;
- les données ont fait l’objet d’un traitement illicite ;
- la personne a exercé son droit d’opposition et le responsable de traitement ne dispose pas d’un motif légitime impérieux.
La CNIL avait considéré que la Personne concernée ne pouvait se prévaloir d’aucun des motifs listés ci-dessus. Partant, le Diocèse pouvait refuser de donner suite à sa demande d’effacement.
Le Conseil d’État a validé ce raisonnement et relevé que le Diocèse justifiait de la nécessité de traiter les données relatives aux baptêmes jusqu’au décès de la Personne concernée – celui-ci ayant pour mission d’assurer le respect du droit canon selon lequel une personne ne peut être baptisée qu’une seule fois dans sa vie.
Dès lors, le traitement des données de la Personne concernée et la conservation de celles-ci étaient indispensables à la poursuite des intérêts légitimes du responsable de traitement. Le juge administratif a donc considéré que le Diocèse était fondé à refuser l’effacement du registre des baptêmes.
L’opposition de la personne concernée au traitement de ses données ne permettait pas d’obtenir l’effacement des données du registre
Au titre de l’article 21 du RGPD[2], toute personne concernée a le droit de s’opposer au traitement de ses données à caractère personnel. Lorsqu’elle exerce un tel droit, le responsable de traitement est, en principe, tenu d’effacer ses données .
Par exception, il peut les conserver à condition de démontrer l’existence d’un motif légitime impérieux prévalant sur l’intérêt moral de la personne concernée.
En l’espèce, le Conseil d’État a considéré que le Diocèse disposait d’un tel motif prévalant sur l’intérêt moral de la Personne concernée en raison (i) de l’objet du registre des baptêmes, et (ii) des conditions de consultation (registre dématérialisé, conservé dans un lieu clos et en accès restreint).
Partant, le Diocèse pouvait conserver les données de la Personne concernée jusqu’à son décès, et ce, malgré l’exercice de son droit d’opposition. Le juge administratif a d’ailleurs considéré que l’ajout d’une mention faisant état de la renonciation au baptême permettait de satisfaire à l’exercice de ce droit.
Lire la décision du Conseil d’État du 2 février 2024, n°461093
