Conclusions de l'avocat général Mme L. Medina, présentées le 1er octobre 2026.###

Édition provisoire

CONCLUSIONS DE L’AVOCATE GÉNÉRALE

M^ME LAILA MEDINA

présentées le 1er octobre 2026 (1)

Affaire C‑12/25

Bisdom Gent VZW

contre

Gegevensbeschermingsautoriteit,

en présence de :

JM,

Unie Vrijzinnige Verenigingen VZW,

Centre d’Action Laïque VZW,

Centrale Raad der niet confessionele levensbeschouwelijke gemeenschappen van België VZW,

FA,

MO,

RV,

TA,

CH,

LV,

NA,

BU,

MI,

DO,

BZ,

DF,

RA,

JD

[demande de décision préjudicielle formée par le hof van beroep te Brussel (cour d’appel de Bruxelles, Belgique)]

« Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel et libre circulation de ces données – Associations religieuses – Registre des baptêmes – Articles 6, 17, 21 et 89 du règlement (UE) 2016/679 – Notion de “fichier” – Droit à l’effacement – Licéité du traitement – Droit d’opposition – Traitement à des fins archivistiques dans l’intérêt public ou à des fins de recherche historique – Articles 7, 8 et 10 de la charte des droits fondamentaux de l’Union européenne – Respect de la vie privée et familiale – Protection des données à caractère personnel – Liberté de pensée, de conscience et de religion – Article 17 TFUE – Principes de neutralité et d’autonomie »

I.      Introduction

1.        « Rendez donc à César ce qui est à César, et à Dieu ce qui est à Dieu ». Cette phrase, que l’un des Evangiles synoptiques attribue à Jésus (2), est souvent considérée comme étant le reflet de la dichotomie fondamentale, à laquelle sont confrontés les individus depuis la nuit des temps, qui consiste à distinguer le domaine de l’État laïque (ainsi que ses lois, qui s’appliquent à tout individu (3)) de celui des convictions et de la religion (qui relève du for intérieur de chaque être (4)).

2.        Cette phrase est également perçue par beaucoup comme un plaidoyer en faveur de la séparation de l’Église et de l’État. L’Histoire montre cependant que les religions et les églises ont eu une influence significative, à la fois en Europe et ailleurs, sur la légitimité du gouvernement politique, le façonnement de la culture locale et la formation de l’identité d’une société. Ainsi, tout au long des siècles, les lois laïques ont réglementé certains aspects relatifs tant à la religion (entendue comme un système de convictions) qu’aux églises (c’est‑à‑dire aux communautés et institutions qui rassemblent et représentent les fidèles).

3.        Il en va également ainsi dans le monde actuel, bien que les spécificités de chaque ordre juridique en la matière varient d’un État à l’autre, y compris en Europe (5). En ce qui concerne l’ordre juridique de l’Union, on peut dire, en résumé, que la relation entre « César et Dieu » s’articule autour de quatre axes fondamentaux.

4.        Premièrement, l’Union reconnaît la contribution de la religion à l’émergence de la culture européenne d’aujourd’hui. Ainsi qu’il ressort du préambule du traité sur l’Union européenne (ci-après le « TUE »), en décidant d’instituer une Union européenne, les rédacteurs des traités se sont notamment « [inspirés] des héritages culturels, religieux et humanistes de l’Europe, à partir desquels se sont développées les valeurs universelles que constituent les droits inviolables et inaliénables de la personne humaine, ainsi que la liberté, la démocratie, l’égalité et l’État de droit » (6). Ce patrimoine commun trouve une expression plus concrète, en particulier, dans les valeurs de l’Union énoncées à l’article 2 TUE ainsi que dans les droits fondamentaux consacrés dans la Charte.

5.        Deuxièmement, la liberté de religion constitue l’un de ces droits fondamentaux, en ce qu’il fait partie intégrante de la « liberté de pensée, de conscience et de religion » consacrée à l’article 10 de la Charte. Aux termes du premier paragraphe de cette disposition, « [t]oute personne a droit à la liberté de pensée, de conscience et de religion. Ce droit implique la liberté de changer de religion ou de conviction, ainsi que la liberté de manifester sa religion ou sa conviction individuellement ou collectivement, en public ou en privé, par le culte, l’enseignement, les pratiques et l’accomplissement des rites » (7).

6.        Troisièmement, l’Union dispose de pouvoirs réglementaires limités en matière religieuse. Elle a notamment été explicitement mandatée pour prendre les mesures appropriées en vue de combattre toute discrimination fondée, entre autres, sur la religion ou les convictions (8). De manière plus générale, aux termes de l’article 17, paragraphe 1, TFUE, « l’Union respecte et ne préjuge pas du statut dont bénéficient, en vertu du droit national, les églises et les associations ou communautés religieuses dans les États membres ». Cette disposition exprime la neutralité de l’Union à l’égard de l’organisation par les États membres de leurs rapports avec les églises et les associations ou communautés religieuses (9). L’Union européenne accepte et accorde de l’importance à la diversité dans les modalités d’établissement des relations entre l’Église et l’État, telles qu’elles sont maintenues par les États membres, et ne s’ingère pas dans ces relations.

7.        Il découle également de l’article 17, paragraphe 1, TFUE, lu à la lumière de l’article 12 de la Charte (« Liberté de réunion et d’association »), que les associations religieuses jouissent d’une autonomie pour gérer leurs affaires internes sans ingérence indue de la part d’acteurs publics (10). Il convient d’interpréter le terme « affaires internes » en ce sens qu’il a trait à des questions directement liées à l’identité fondamentale de ces associations, telles que les structures administratives internes, la désignation des ministres du culte et les questions doctrinales.

8.        Quatrièmement, les principes de neutralité et d’autonomie ci‑dessus mentionnés ne sauraient être interprétés en ce sens qu’ils constituent implicitement un fondement permettant de considérer que les associations religieuses sont exemptées du respect des dispositions du droit de l’Union susceptibles d’affecter leurs activités (11). De même, les États membres ne sont pas libres d’adopter des règles prévoyant des exceptions ou des dérogations aux dispositions applicables du droit de l’Union, à moins que ce dernier les y autorise expressément (12). En effet, la Cour a statué à plusieurs reprises sur la conformité au droit de l’Union de certaines pratiques adoptées par des communautés religieuses (13) ou de mesures nationales spécifiques gouvernant certains aspects de la relation qu’entretenait l’État membre en cause avec ces communautés (14).

9.        Cette situation découle, de toute évidence, du fait que l’Union européenne est une communauté de droit (15), qui est fondée sur la conviction que nul n’est au-dessus de la loi, pas plus qu’il n’est privé de sa protection (16).

10.      Les interactions entre ces éléments ainsi que les éventuelles tensions apparaissant dans ce contexte ressortent avec force en l’espèce. Par ses questions, la juridiction de renvoi demande à la Cour, en substance, si les dispositions du règlement général sur la protection des données (17) confèrent à une personne baptisée en tant que mineure et qui entend se distancier de l’Église catholique romaine (18) en tant qu’adulte le droit d’obtenir l’effacement de ses données à caractère personnel du registre des baptêmes.

11.      Pour répondre à cette question, il convient de tenir compte de différents éléments relatifs aux droits et aux libertés en matière de religion : le droit des individus de changer de religion et leur droit au respect de leur vie privée, l’autonomie dont dispose l’Église pour gérer ses affaires internes comme elle l’entend, et l’étendue du pouvoir discrétionnaire dont disposent les États membres pour réglementer le rôle que jouent les églises dans la société. Dans la mesure où, en l’espèce, ces éléments militent en des sens opposés, j’estime qu’il convient de trouver un juste équilibre entre eux. Ni les communautés religieuses ni leurs membres, actuels ou anciens, ne sont au-dessus de la loi ni privés de la protection de celle-ci. Il convient, dans la mesure du possible, de concilier les droits et les intérêts des deux parties.

II.    Le cadre juridique

A.      Le droit de l’Union

12.      L’article 2, paragraphe 1, du RGPD, qui a trait au champ d’application matériel de ce règlement, dispose que « [l]e présent règlement s’applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu’au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier ».

13.      L’article 4, point 6, du RGPD, dispose que, aux fins de ce règlement, on entend par « fichier », « tout ensemble structuré de données à caractère personnel qui est accessible selon des critères spécifiques, qu’il soit centralisé, décentralisé ou dispersé sur une base fonctionnelle ou géographique ».

14.      L’article 6 du RGPD, intitulé « Licéité du traitement », est ainsi libellé :

« 1. Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :

[...]

f)       le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant.

[...] ».

15.      L’article 9 du RGPD, intitulé « Traitement portant sur des catégories particulières de données à caractère personnel », est ainsi libellé :

« 1. Le traitement des données à caractère personnel qui révèle l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique sont interdits.

2. Le paragraphe 1 ne s’applique pas si l’une des conditions suivantes est remplie :

[...]

d)       le traitement est effectué, dans le cadre de leurs activités légitimes et moyennant les garanties appropriées, par une fondation, une association ou tout autre organisme à but non lucratif et poursuivant une finalité politique, philosophique, religieuse ou syndicale, à condition que ledit traitement se rapporte exclusivement aux membres ou aux anciens membres dudit organisme ou aux personnes entretenant avec celui-ci des contacts réguliers en liaison avec ses finalités et que les données à caractère personnel ne soient pas communiquées en dehors de cet organisme sans le consentement des personnes concernées ;

[...] ».

16.      L’article 17 du RGPD, portant sur le droit à l’effacement (« droit à l’oubli »), est ainsi libellé :

« 1. La personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l’obligation d’effacer ces données à caractère personnel dans les meilleurs délais, lorsque l’un des motifs suivants s’applique :

[...]

c)       la personne concernée s’oppose au traitement en vertu de l’article 21, paragraphe 1, et il n’existe pas de motif légitime impérieux pour le traitement, ou la personne concernée s’oppose au traitement en vertu de l’article 21, paragraphe 2 ;

d)       les données à caractère personnel ont fait l’objet d’un traitement illicite ;

[...]

3. Les paragraphes 1 et 2 ne s’appliquent pas dans la mesure où ce traitement est nécessaire :

[...]

d)      à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques conformément à l’article 89, paragraphe 1, dans la mesure où le droit visé au paragraphe 1 est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs dudit traitement ; [...] ».

17.      Le premier paragraphe de l’article 21 du RGPD, intitulé « Droit d’opposition », est ainsi libellé :

« La personne concernée a le droit de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des données à caractère personnel la concernant fondé sur l’article 6, paragraphe 1, point e) ou f), y compris un profilage fondé sur ces dispositions. Le responsable du traitement ne traite plus les données à caractère personnel, à moins qu’il ne démontre qu’il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l’exercice ou la défense de droits en justice ».

18.      L’article 89 du RGPD, intitulé « Garanties et dérogations applicables au traitement à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques », est ainsi libellé :

« 1. Le traitement à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique, ou à des fins statistiques est soumis, conformément au présent règlement, à des garanties appropriées pour les droits et libertés de la personne concernée. Ces garanties garantissent la mise en place de mesures techniques et organisationnelles, en particulier pour assurer le respect du principe de minimisation des données. Ces mesures peuvent comprendre la pseudonymisation, dans la mesure où ces finalités peuvent être atteintes de cette manière. Chaque fois que ces finalités peuvent être atteintes par un traitement ultérieur ne permettant pas ou plus l’identification des personnes concernées, il convient de procéder de cette manière.

2. Lorsque des données à caractère personnel sont traitées à des fins de recherche scientifique ou historique ou à des fins statistiques, le droit de l’Union ou le droit d’un État membre peut prévoir des dérogations aux droits visés aux articles 15, 16, 18 et 21, sous réserve des conditions et des garanties visées au paragraphe 1 du présent article, dans la mesure où ces droits risqueraient de rendre impossible ou d’entraver sérieusement la réalisation des finalités spécifiques et où de telles dérogations sont nécessaires pour atteindre ces finalités.

3. Lorsque des données à caractère personnel sont traitées à des fins archivistiques dans l’intérêt public, le droit de l’Union ou le droit d’un État membre peut prévoir des dérogations aux droits visés aux articles 15, 16, 18, 19, 20 et 21, sous réserve des conditions et des garanties visées au paragraphe 1 du présent article, dans la mesure où ces droits risqueraient de rendre impossible ou d’entraver sérieusement la réalisation des finalités spécifiques et où de telles dérogations sont nécessaires pour atteindre ces finalités.

[...] ».

19.      L’article 91 du RGPD, intitulé « Règles existantes des églises et associations religieuses en matière de protection des données », est ainsi libellé :

« 1. Lorsque, dans un État membre, des églises et des associations ou communautés religieuses appliquent, à la date d’entrée en vigueur du présent règlement, un ensemble complet de règles relatives à la protection des personnes physiques à l’égard du traitement, elles peuvent continuer d’appliquer lesdites règles à condition de les mettre en conformité avec le présent règlement.

2. Les églises et les associations religieuses qui appliquent un ensemble complet de règles conformément au paragraphe 1 du présent article sont soumises au contrôle d’une autorité de contrôle indépendante qui peut être spécifique, pour autant qu’elle remplisse les conditions fixées au chapitre VI du présent règlement ».

B.      Le droit national

20.      L’article 19 de la Constitution belge est ainsi libellé :

« La liberté des cultes, celle de leur exercice public, ainsi que la liberté de manifester ses opinions en toute matière, sont garanties, sauf la répression des délits commis à l’occasion de l’usage de ces libertés ».

21.      L’article 21 de la Constitution belge est ainsi libellé :

« L’État n’a le droit d’intervenir ni dans la nomination ni dans l’installation des ministres d’un culte quelconque, ni de défendre à ceux-ci de correspondre avec leurs supérieurs, et de publier leurs actes, sauf, en ce dernier cas, la responsabilité ordinaire en matière de presse et de publication.

[...] ».

III. Les faits, la procédure et les questions préjudicielles

22.      Le 26 juin 1955, JM – l’auteur de la réclamation dans la procédure devant la chambre contentieuse de la Gegevensbeschermingsautoriteit (Autorité de protection des données, Belgique, ci-après la « GBA ») (19) – a été baptisé à Gand (Belgique), à la paroisse de Bijloke. Par lettre du 25 mars 2021, il s’est adressé au Bisdom Gent (ci-après également « l’évêché de Gand ») en demandant, en application du RGPD, la suppression de toute référence à sa personne de toutes archives ou de tout registre physique ou numérique.

23.      L’évêché de Gand a ensuite enregistré le départ de JM de l’Église, le 2 avril 2021, en biffant les données à caractère personnel en cause, ces dernières conservant toutefois un caractère lisible. Le 7 avril 2021, l’évêché de Gand a informé JM, par lettre, que son départ de l’Église catholique romaine avait été inscrit sur la liste des personnes ayant quitté l’Eglise, conservée à la paroisse de Gand.

24.      Par lettre du 14 avril 2021 adressée à l’évêché de Gand, JM a fait part de son mécontentement concernant cette démarche et a réitéré sa demande visant à ce que toute donnée à caractère personnel le concernant soit effacée de tout registre physique ou numérique ou de toutes archives. Le même jour, JM a introduit une réclamation auprès de la GBA, dans laquelle il a exprimé son désaccord avec l’interprétation du RGPD retenue par l’évêché de Gand et exigé que tout lien entre sa personne et toute religion ou organisation reposant sur des fondements philosophiques soit effacé.

25.      Par la décision no 169/2023 du 19 décembre 2023 (ci-après la « décision attaquée »), la chambre contentieuse de la GBA a conclu que l’évêché de Gand avait violé le RGPD, en particulier les dispositions combinées de l’article 5, paragraphe 1, sous a), et de l’article 6, paragraphe 1, sous f), ainsi que l’article 5, paragraphe 1, sous b) et c), l’article 9 et les dispositions combinées de l’article 12, paragraphes 1 à 4, et des articles 13 et 17 de ce règlement. La chambre contentieuse a décidé, notamment sur le fondement de l’article 58, paragraphe 2, sous c), du RGPD, d’ordonner à l’évêché de Gand de faire droit à la demande de JM tendant à exercer son droit d’opposition ainsi que son droit à l’effacement, conformément aux exigences de l’article 12 du RGPD, et de mettre fin, en conséquence, à tout traitement illicite de ses données à caractère personnel (article 21, paragraphe 1, du RGPD), ainsi que de procéder à l’effacement de ses données à caractère personnel [article 17, paragraphe 1, sous c), du RGPD] dans un délai de 30 jours à compter de la notification de cette décision.

26.      L’évêché de Gand a interjeté appel de la décision litigieuse devant le hof van beroep te Brussel (cour d’appel de Bruxelles, Belgique). Éprouvant des doutes quant à l’interprétation adéquate des dispositions du droit de l’Union en cause, cette juridiction a décidé de suspendre la procédure et de saisir la Cour, à titre préjudiciel, des questions suivantes :

« 1)      L’article 17 du RGPD, lu conjointement avec le droit à la protection des données à caractère personnel tel que garanti à l’article 8 de [la Charte], avec la liberté de pensée, de conscience et de religion telle que garantie à l’article 10 de la Charte et à l’article 9 de la CEDH ainsi qu’avec le principe de la séparation entre l’Église et l’État tel que consacré aux articles 19 et 21 de la Constitution belge, doit-il être interprété en ce sens qu’une personne qui a été baptisée en tant que mineure et qui entend se distancier de l’Église catholique romaine en tant que majeure dispose d’un droit à l’effacement de ses données à caractère personnel dans le registre des baptêmes ou en ce sens que tel n’est pas le cas ?

2)      Pour l’application de l’article 17, paragraphe 1, sous c), du RGPD, le fait que l’inscription dans le registre des baptêmes touche, selon le responsable du traitement, aux droits fondamentaux susmentionnés (liberté de religion) de ce responsable du traitement et de la communauté ecclésiale catholique romaine qu’il représente entraîne-t-il une réponse différente ?

3)      Le fait que ce registre des baptêmes est non pas un registre numérique mais un support matériel unique sous la forme d’un livre, avec des pages recto verso au dos desquelles figurent également des données d’autres personnes concernées, entraîne‑t‑il une réponse différente ?

4)      Le fait que le livre lui-même constitue un artefact historique et que le registre des baptêmes constitue une représentation unique de faits historiques qui ne sont enregistrés nulle part ailleurs, le traitement ayant ainsi lieu également à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques au sens de l’article 17, paragraphe 3, sous d), du RGPD, entraîne-t-il une réponse différente ?

5)      Dans la mesure où il existerait un droit à l’effacement au sens de l’article 17, paragraphe 1, du RGPD et où aucune exception à ce droit au sens de l’article 17, paragraphe 3, du RGPD ne s’appliquerait, l’annotation dans la marge du registre des baptêmes indiquant qu’une personne a quitté l’Église satisfait-elle, par équivalent, audit droit ? »

27.      Des observations écrites ont été déposées par l’évêché de Gand, par les personnes intervenues à la procédure au principal (JM, BZ, DF, RA, JD et FA), par la GBA, par les gouvernements tchèque, français, italien, letton, hongrois, autrichien et roumain ainsi que par la Commission européenne. Lors de l’audience du 30 juin 2026, ces parties, à l’exception des gouvernements français, hongrois et roumain, ont été entendues en leurs plaidoiries ainsi qu’en leurs réponses aux questions écrites et orales posées par la Cour.

IV.    Analyse

28.      Par ses cinq questions, qui peuvent être examinées conjointement, la juridiction de renvoi demande à la Cour, en substance, si l’article 17, paragraphes 1 et 3, du RGPD, lu à la lumière des articles 8 et 10 de la Charte, doit être interprété en ce sens qu’une personne qui a été baptisée en tant que mineure et qui entend se distancier de la communauté religieuse en cause (en l’occurrence, l’Église catholique romaine) en tant que majeure dispose d’un droit à l’effacement de ses données à caractère personnel du registre des baptêmes. Dans l’affirmative, la juridiction de renvoi souhaite également savoir si la simple annotation dans la marge du registre des baptêmes indiquant qu’une personne a quitté la communauté religieuse constitue un « effacement » au sens de l’article 17, paragraphes 1 et 3, du RGPD.

29.      À cet égard, la juridiction de renvoi souligne que, premièrement, les inscriptions dans le registre des baptêmes affectent l’exercice des activités de la communauté religieuse en cause et que, deuxièmement, le registre des baptêmes n’est pas tenu sous forme numérique, mais qu’il s’agit d’un support matériel unique sous la forme d’un livre composé de pages recto-verso, dans lequel figurent également des données d’autres personnes concernées.

30.      Les présentes conclusions sont structurées de la manière suivante.

31.      Dans la première partie des présentes conclusions (section A), j’exposerai brièvement les raisons pour lesquelles le RGPD est applicable dans l’affaire en cause au principal.

32.      La deuxième partie des présentes conclusions (section B) sera consacrée à l’appréciation des circonstances pertinentes afin de déterminer si l’auteur de la réclamation peut utilement invoquer l’un des motifs d’effacement prévus à l’article 17, paragraphe 1, du RGPD. Parmi ces motifs, deux sont susceptibles d’être pertinents en l’espèce. Le premier d’entre eux porte sur le traitement prétendument illicite, par le responsable du traitement, des données à caractère personnel de l’auteur de la réclamation, ce qui impliquera d’examiner l’article 6, paragraphe 1, sous f), du RGPD. Le second a trait au droit dont dispose l’auteur de la réclamation, au titre de l’article 21 du RGPD, de s’opposer au traitement de ses données à caractère personnel.

33.      La troisième partie des présentes conclusions (section C) portera sur l’argument du responsable du traitement selon lequel, pour le cas où l’auteur de la réclamation serait en mesure d’invoquer l’un des motifs d’effacement énoncés à l’article 17, paragraphe 1, du RGPD, le traitement ultérieur des données à caractère personnel de l’auteur de la réclamation pourrait néanmoins être justifié, au titre de l’article 17, paragraphe 3, de ce règlement, comme étant nécessaire, en particulier, à des fins archivistiques dans l’intérêt public ou à des fins de recherche historique.

34.      Enfin, dans la quatrième partie des présentes conclusions (section D), j’aborderai la notion d’« effacement » aux fins du RGPD.

A.      L’applicabilité du RGPD

35.      La question qui se pose d’emblée est celle de savoir si les dispositions du RGPD sont applicables dans l’affaire au principal, étant donné que, parmi les parties ayant présenté des observations, certaines ont émis des doutes sur ce point.

36.      Aux termes de l’article 2, paragraphe 1, du RGPD, ce règlement « s’applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu’au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier ».

37.      Compte tenu des arguments soulevés par les parties dans leurs observations écrites et orales, quatre questions relatives à l’application du RGPD ratione materiae, ratione personae et ratione temporis dans le litige au principal justifient un bref examen.

38.      Premièrement, eu égard à la définition large des « données à caractère personnel » figurant à l’article 4, point 1, du RGPD, il est constant que le registre des baptêmes contient des données à caractère personnel des personnes qui ont été baptisées. En effet, aux termes du canon 877, paragraphe 1, du code de Droit canonique (CIC/1983), « [l]e curé du lieu où le baptême est célébré doit noter avec soin et sans retard dans le registre des baptisés les noms des baptisés avec mention du ministre, des parents, des parrains et des témoins s’il y en a, du lieu et du jour où le baptême a été administré, en indiquant aussi la date et le lieu de naissance ».

39.      Deuxièmement, je ne suis pas convaincue par les arguments, avancés par l’évêché de Gand ainsi que par le gouvernement letton, selon lesquels le RGPD n’est pas applicable dans l’affaire au principal parce que le registre des baptêmes n’est pas un « fichier » au sens de l’article 4, point 6, du RGPD (20).

40.      À cet égard, je rappelle, premièrement, qu’il ressort à la fois du quinzième considérant du RGPD et de la jurisprudence de la Cour que le RGPD s’applique aussi bien au traitement automatisé de données à caractère personnel qu’au traitement manuel de telles données (21). Toutefois, dans ce dernier cas, l’application du RGPD présuppose que ces données soient contenues ou appelées à figurer dans un fichier.

41.      Le terme « fichier », défini à l’article 4, point 6, du RGPD, s’entend comme « tout ensemble structuré de données à caractère personnel accessibles selon des critères déterminés, que cet ensemble soit centralisé, décentralisé ou réparti de manière fonctionnelle ou géographique ». Le RGPD ne prévoit pas de « modalités concrètes selon lesquelles un fichier doit être structuré et la forme qu’il doit revêtir » (22). En effet, ainsi que la Cour l’a jugé, le libellé même de la disposition (« tout ») et son objectif (assurer un niveau équivalent de protection, quelle que soit la technique employée aux fins du traitement des données (23)) requièrent une interprétation large du terme en cause (24).

42.      La Cour a jugé que le point déterminant à cet égard était celui de savoir si, quelle que soit la structure ou la forme concrète du fichier, les données à caractère personnel que celui-ci contient étaient agencées selon une logique spécifique, de sorte qu’elles puissent être retrouvées aisément (25). Cette interprétation téléologique du terme répond à sa signification sur le plan technique et historique : les fichiers sont, en effet, le noyau dur des méthodes de gestion des archives, un domaine de connaissance et de recherche qui trouve ses origines dans la tenue de registres anciens sur des tablettes d’argile et des rouleaux de papyrus (26). Les méthodes classiques de classement et d’archivage des informations ainsi que des documents comportent des systèmes alphabétiques, numériques, chronologiques et thématiques.

43.      Il ressort de la décision de renvoi que, dans l’Église catholique romaine, les baptêmes sont enregistrés sur la base d’un critère géographique (dans le registre de la paroisse au sein de laquelle ils sont célébrés (27)) et qu’ils le sont, dans le registre en question, par ordre chronologique (c’est-à-dire en fonction de la date de célébration du baptême). Les registres de baptême contiennent ainsi un ensemble « structuré » de données à caractère personnel, de nature décentralisée, qui permet de retrouver aisément toutes les informations concernant un baptême spécifique en fonction du lieu et de la date de célébration.

44.      Le gouvernement letton souligne toutefois que les critères employés afin de structurer le fichier ne sont pas directement relatifs aux personnes concernées qui ont été baptisées. J’estime que cet élément n’est pas pertinent. Contrairement à son prédécesseur, la directive 95/46/CE (28), à aucun endroit le RGPD n’impose une telle exigence, qui irait à l’encontre de l’interprétation large donnée par la Cour à la notion de « fichier » et ferait en partie obstacle aux objectifs poursuivis par l’article 4, point 6, du RGPD.

45.      De même, le fait que les données à caractère personnel figurant dans les registres soient accessibles à un nombre très restreint de personnes ou que, afin de retrouver ces données, il soit nécessaire d’avoir connaissance, au préalable, de certains éléments relatifs à l’événement en cause, ainsi que le fait valoir l’évêché de Gand, n’est pas pertinent. Le point de savoir si un « ensemble structuré de données à caractère personnel » constitue un fichier au sens de l’article 4, point 6, du RGPD dépend uniquement des caractéristiques objectives de cet ensemble de données et non de l’identité ou du nombre des personnes en mesure d’y accéder, de la connaissance qu’ont ces personnes de la structure du fichier ou des caractéristiques de l’événement en question.

46.      Par conséquent, les registres de baptême constituent des fichiers au sens de l’article 4, point 6, du RGPD.

47.      Troisièmement, le RGPD s’applique, ratione personae, à des entités telles que les églises et les communautés religieuses. Ainsi que je l’ai expliqué aux points 6 à 9 des présentes conclusions, cette constatation ne saurait être remise en cause par les principes d’autonomie et de neutralité découlant de l’article 17, paragraphe 1, TFUE. La jurisprudence de la Cour est parfaitement claire à cet égard (29). En effet, un certain nombre de dispositions du RGPD ont expressément trait à l’application dudit règlement aux églises et aux associations religieuses (30).

48.      Enfin, quatrièmement, il convient d’ajouter, dans un souci de clarté, que le traitement des données à caractère personnel de l’auteur de la réclamation en cause dans la présente procédure n’est pas, de toute évidence, le traitement résultant de la première mention de ces données après la célébration du baptême. Cet événement est largement antérieur à l’entrée en vigueur de toute règle de droit de l’Union en matière de protection des données. Dans ce contexte, je souligne que, conformément à l’article 91, paragraphe 1, du RGPD, « [l]orsque, dans un État membre, des églises et des associations ou communautés religieuses appliquent, à la date d’entrée en vigueur du présent règlement, un ensemble complet de règles relatives à la protection des personnes physiques à l’égard du traitement, elles peuvent continuer d’appliquer lesdites règles à condition de les mettre en conformité avec le présent règlement ».

49.      Par conséquent, le point en cause dans la présente procédure est celui de la licéité du traitement des données – sous la forme d’une conservation et, le cas échéant, d’une extraction et d’une utilisation (31) – au regard des règles de l’Union actuellement en vigueur (à savoir les dispositions du RGPD, lues à la lumière des dispositions de la Charte) (32). Dans le cadre de mon analyse ci-après, je me concentrerai en particulier sur la période postérieure à la date à laquelle l’auteur de la réclamation a demandé au responsable du traitement d’effacer ses données à caractère personnel du registre des baptêmes.

50.      Eu égard aux considérations qui précèdent, force est de constater que le RGPD est applicable dans l’affaire au principal, ainsi que la GBA l’a constaté à juste titre dans la décision attaquée (33). En conséquence, j’aborderai à présent les différents points de droit qui découlent des questions préjudicielles.

B.      Les motifs d’effacement

51.      Le droit à l’effacement (ou « droit à l’oubli »), que l’article 17 du RGPD confère aux personnes concernées dans certaines circonstances, figure au cœur de ces questions. En substance, il s’agit principalement de déterminer si, ainsi que la GBA l’a constaté dans la décision attaquée, l’auteur de la réclamation était, en l’espèce, en droit de se fonder sur cette disposition pour exiger du responsable du traitement (en l’espèce, l’évêché de Gand) qu’il efface du registre des baptêmes les données à caractère personnel le concernant.

52.      Il y a lieu de rappeler que l’article 17, paragraphe 1, du RGPD prévoit six motifs distincts, sur le fondement desquels la personne concernée est en droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l’obligation d’effacer ces données à caractère personnel dans les meilleurs délais.

53.      Dans la procédure au principal, l’auteur de la réclamation et la GBA se sont fondés sur les motifs énoncés à l’article 17, paragraphe 1, sous c) et d), du RGPD. L’article 17, paragraphe 1, sous c), dudit règlement vise la situation dans laquelle la personne concernée s’oppose au traitement conformément à l’article 21, paragraphe 1, de ce règlement et dans laquelle il n’existe pas de motifs légitimes impérieux justifiant le traitement, tandis que l’article 17, paragraphe 1, sous d), dudit règlement vise la situation dans laquelle les données à caractère personnel de la personne concernée ont fait l’objet d’un traitement illicite. En l’espèce, la question de la licéité du traitement dépend de celle de savoir si le traitement des données était, conformément à l’article 6, paragraphe 1, sous f), du RGPD, nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement, à condition que les libertés et droits fondamentaux de la personne concernée qui exigent une protection ne prévalent pas sur ces intérêts (34).

54.      Ces deux motifs seront examinés l’un après l’autre, en commençant par celui énoncé à l’article 17, paragraphe 1, sous d), du RGPD. La Cour a en effet précisé que l’applicabilité de l’article 21 du RGPD et, par conséquent, l’existence éventuelle d’un droit d’opposition supposaient l’existence d’un traitement licite (35).

55.      L’ordre de cette analyse reflète également la logique qui sous‑tend les deux motifs d’effacement des données à caractère personnel. En substance, les deux motifs impliquent, à un certain stade de l’appréciation juridique, de mettre en balance les droits et intérêts opposés en présence : ceux du responsable du traitement, d’une part, et ceux de la personne concernée, d’autre part. Idéalement, ces droits et intérêts devraient être conciliés. Toutefois, à défaut, il peut être nécessaire de déterminer lesquels, dans un ensemble de circonstances spécifiques, doivent prévaloir (36). En fonction du motif d’effacement invoqué, cet exercice est susceptible d’aboutir à des résultats différents. Cette situation résulte de la raison d’être et de la nature des deux motifs en cause en l’espèce, qui sont différentes.

56.      L’article 17, paragraphe 1, sous d), du RGPD est une disposition d’orientation principalement rétrospective, qui permet, en substance, à une personne concernée de réagir au traitement illicite dont ses données à caractère personnel ont fait l’objet. Il ne faut pas perdre de vue que, en vertu des dispositions du RGPD, un responsable du traitement doit être en mesure de démontrer à tout moment que le traitement est effectué conformément aux dispositions de ce règlement (37). En effet, lorsque le traitement est fondé sur l’article 6, paragraphe 1, sous f), du RGPD, il est déterminant, afin de garantir la licéité du traitement, que le responsable du traitement effectue une mise en balance des divers intérêts concurrents avant même que le traitement soit effectué. Par définition, le responsable du traitement est susceptible de ne pas avoir connaissance, à ce stade, des circonstances spécifiques propres à chaque personne physique dont les données sont appelées à faire l’objet d’un traitement (38).

57.      La mise en balance visée au point précédent doit, dès lors, intervenir à un niveau relativement étendu, en se concentrant principalement sur les droits et intérêts des personnes concernées dans leur ensemble. Le critère permettant d’évaluer la licéité du traitement est strict mais, ainsi que je l’expliquerai ci-après, il ne l’est pas autant que le critère applicable au titre de l’article 17, paragraphe 1, sous c), du RGPD.

58.      En revanche, l’article 17, paragraphe 1, sous c), du RGPD est une disposition d’orientation prospective, permettant aux personnes concernées de s’opposer au traitement futur de leurs données, pour des raisons spécifiquement liées à leur situation propre. Par conséquent, la mise en balance doit être effectuée lorsque le responsable du traitement prend connaissance de la réclamation introduite par la personne concernée ainsi que des motifs sur lesquelles celle-ci se fonde. Dans ce cas, bien que l’ensemble des facteurs généraux pris en compte au titre de l’article 6, paragraphe 1, sous f), de ce règlement demeurent pertinents, cette appréciation réalisée a posteriori les complète au moyen d’autres éléments propres à la personne concernée qui s’est opposée au traitement (39). La mise en balance au titre de l’article 17, paragraphe 1, sous c), du RGPD est, en fait, axée sur « les circonstances entourant la situation concrète de la personne concernée » (40).

59.      Il y a une autre différence importante entre les deux dispositions : le critère qu’est tenu de remplir le responsable du traitement afin de justifier le traitement des données, nonobstant la réclamation introduite par la personne concernée, est particulièrement strict. En effet, lorsqu’une personne concernée s’oppose au traitement de ses données au titre de l’article 21, paragraphe 1, du RGPD, seuls des « motifs légitimes et impérieux » peuvent prévaloir sur les intérêts et les droits de la personne concernée (41). En outre, l’article 21, paragraphe 1, du RGPD introduit une présomption en faveur de la personne concernée (42): une fois l’opposition communiquée au responsable du traitement, celui-ci « ne traite plus les données à caractère personnel, à moins qu’il ne démontre qu’il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée » (43).

60.      Il me semble que cette distinction dans la nature de l’appréciation qui s’impose lorsqu’il pourrait y avoir eu traitement illicite, d’une part, et lorsqu’une personne concernée s’oppose à un traitement (par hypothèse licite), d’autre part, ressort déjà de l’arrêt rendu dans l’affaire Google Spain et Google (44). Mon interprétation de l’article 17, paragraphe 1, du RGPD est également corroborée par le libellé clair de cette disposition : à l’article 17, paragraphe 1, sous d), du RGPD, c’est un verbe conjugué au passé qui est employé (« ont fait l’objet d’un traitement »), tandis que, à l’article 17, paragraphe 1, sous c), de ce règlement, il s’agit d’un verbe conjugué au présent (« s’oppose ») (45).

61.      Eu égard à ce qui précède, j’examinerai ci-après, dans un premier temps, si le responsable du traitement a, avant d’avoir pris connaissance de la réclamation introduite par JM, procédé au traitement licite des données à caractère personnel de ce dernier (voir point 1). J’évaluerai ensuite la possibilité, pour l’auteur de la réclamation, de s’opposer au traitement de ses données à caractère personnel (voir point 2).

62.      Avant cela, il y a lieu de formuler une observation relative à l’économie générale du système. Il ressort de la jurisprudence que, dans les deux cas de figure, c’est en principe à la juridiction de renvoi qu’il appartient d’apprécier en dernier ressort si une personne concernée a le droit de demander l’effacement de ses données à caractère personnel (46). Il appartient notamment à cette juridiction de procéder à la mise en balance des droits et des intérêts concurrents ci-dessus mentionnés, à la lumière des critères et des éléments établis par la Cour dans sa jurisprudence en la matière (47). En effet, le résultat de cette appréciation dépend des circonstances propres à chaque situation (48), qui doivent, par conséquent, faire l’objet d’une appréciation au cas par cas (49). Cela étant, il est loisible à la Cour, statuant sur renvoi préjudiciel, d’apporter des précisions visant à guider la juridiction nationale sur ce point (50).

1.      Le traitement licite de données à caractère personnel 

63.      Le caractère licite ou illicite du traitement de données à caractère personnel dépend, en règle générale, du point de savoir si les conditions énoncées aux deux dispositions suivantes du RGPD sont remplies (51).

64.      Premièrement, l’article 5 du RGPD énonce un certain nombre de principes cardinaux relatifs au traitement des données à caractère personnel (en particulier, l’exigence selon laquelle les données doivent être « traitées de manière licite, loyale et transparente » et, en outre, « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées »). Ce dernier principe – celui de la minimisation des données – revêtira une importance particulière dans le cadre de la présente analyse en droit (52).

65.      Deuxièmement, l’article 6 du RGPD prévoit une liste « exhaustive et limitative » des cas dans lesquels un traitement de données à caractère personnel est licite (53). Ainsi que l’a précisé la Cour, les six hypothèses que prévoit cette disposition s’excluent mutuellement (54) et doivent faire l’objet d’une interprétation restrictive (55) à la lumière des principes énoncés à l’article 5 dudit règlement (56).

66.      En l’espèce, une troisième disposition du RGPD est également pertinente : il s’agit de l’article 9 de ce règlement, qui concerne le traitement portant sur des catégories particulières de données à caractère personnel. L’article 9, paragraphe 1, dudit règlement prévoit notamment que le traitement des données à caractère personnel qui révèle, notamment, les convictions religieuses ou philosophiques, est en principe interdit. Néanmoins, l’article 9, paragraphe 2, sous d), de ce règlement dispose que cette interdiction ne s’applique pas si « le traitement est effectué, dans le cadre de leurs activités légitimes et moyennant les garanties appropriées, par une fondation, une association ou tout autre organisme à but non lucratif et poursuivant une finalité [notamment religieuse], à condition que ledit traitement se rapporte exclusivement aux membres ou aux anciens membres dudit organisme ou aux personnes entretenant avec celui-ci des contacts réguliers en liaison avec ses finalités et que les données à caractère personnel ne soient pas communiquées en dehors de cet organisme sans le consentement des personnes concernées ».

67.      Il apparaît que, dans la mesure où le traitement de données à caractère personnel par l’Église concerne, premièrement, des personnes qui ont été baptisées et est effectué, deuxièmement, à des fins liées à ses activités religieuses ordinaires (telles que la bonne administration des sacrements, qui sera examinée ci-dessous), les conditions énoncées à l’article 9, paragraphe 2, sous d), du RGPD sont remplies. En particulier, les données à caractère personnel des personnes concernées ne sont accessibles qu’à un nombre restreint de personnes appartenant à l’Église, et il existe des garanties visant à prévenir tout accès non autorisé (par exemple, les données sont conservées dans des coffres-forts verrouillés ou dans des locaux dédiés). Partant, et sous réserve de confirmation par la juridiction de renvoi, l’interdiction énoncée à l’article 9, paragraphe 1, du RGPD ne s’applique pas, selon moi, à un traitement de données à caractère personnel tel que celui en cause au principal.

68.      En conséquence, la question essentielle est celle de savoir si l’un des fondements du traitement licite énoncés à l’article 6 du RGPD est applicable. Il est constant que le traitement, par l’évêché de Gand, des données à caractère personnel de l’auteur de la réclamation ne repose pas sur le consentement. L’évêché de Gand fait néanmoins valoir que ce traitement est licite au regard de l’article 6, paragraphe 1, sous f), du RGPD. Cette disposition autorise le traitement de données à caractère personnel lorsqu’il est « nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant ».

69.      Selon une jurisprudence constante, cette disposition prévoit trois conditions cumulatives pour qu’un traitement de données à caractère personnel soit licite : premièrement, la poursuite d’un intérêt légitime par le responsable du traitement ou par un tiers, deuxièmement, la nécessité du traitement des données à caractère personnel pour la réalisation de l’intérêt légitime poursuivi et, troisièmement, la condition que les intérêts ou les libertés et les droits fondamentaux de la personne concernée par la protection des données ne prévalent pas sur l’intérêt légitime du responsable du traitement ou d’un tiers (57).

a)      La poursuite d’un intérêt légitime

70.      En ce qui concerne la première condition, la Cour a jugé que, en l’absence de définition de la notion d’« intérêt légitime » dans le RGPD, un large éventail d’intérêts est, en principe, susceptible d’être considéré comme étant légitime. En particulier, cette notion n’est pas limitée aux intérêts consacrés et déterminés par une loi (58).

71.      Dans ses lignes directrices 1/2024, le CEPD a estimé que, pour être « légitime », l’intérêt du responsable du traitement devait être : licite (c’est-à-dire conforme au droit de l’Union ou au droit des États membres), clairement et précisément formulé (afin de garantir qu’il puisse être mis en balance avec les droits et intérêts des personnes concernées), et réel et actuel, et non hypothétique (59). Il apparaît que ces trois critères sont clairement étayés par la jurisprudence et sont, en effet, particulièrement pertinents dans le cadre de la présente analyse (60).

72.      En l’espèce, l’évêché de Gand soutient que la finalité principale du traitement est de garantir une bonne administration des sacrements, ce qui implique de consigner avec précision ceux qui ont été administrés à chaque membre de l’Église. En particulier, l’évêché de Gand souligne que, en principe, le baptême ne peut être administré qu’une seule fois et qu’il est, en conséquence, nécessaire d’éviter que les fidèles soient baptisés deux fois.

73.      Dans la décision attaquée, la GBA a admis qu’un tel objectif était susceptible d’être considéré comme un « intérêt légitime » aux fins de l’article 6, paragraphe 1, sous f), du RGPD. Aucune des parties ayant présenté des observations dans la présente procédure n’a soulevé de doutes à cet égard.

74.      Je suis également d’accord avec la GBA. Les sacrements sont des rites religieux de la plus haute importance pour l’Église catholique romaine. Le baptême, qui est l’un des sept sacrements reconnus par cette église, revêt une importance particulière. Le code de droit canonique y fait référence en tant que « porte des sacrements » (61).

75.      Ainsi que l’a souligné la Cour, le droit à la liberté de conscience et de religion consacré à l’article 10, paragraphe 1, de la Charte implique notamment que toute personne est libre de manifester sa religion ou sa conviction individuellement ou collectivement, en public, ou en privé, par le culte, l’enseignement, les pratiques et l’accomplissement de différents rites qu’elle comporte. En effet, la notion de « religion » figurant dans la Charte doit être interprétée de manière large, couvrant tant le forum internum, à savoir le fait d’avoir des convictions, que le forum externum, à savoir la manifestation en public de la foi religieuse. La célébration de rites religieux, telle que l’administration du sacrement du baptême, relève du forum externum de cette liberté (62).

76.      Partant, à la lumière des principes de neutralité et d’autonomie consacrés à l’article 17, paragraphe 1, TFUE (63), il est logique de considérer que l’intérêt de veiller à ce que les sacrements, y compris le baptême, soient administrés en bonne et due forme, est légitime au sens de l’article 6, paragraphe 1, sous f), du RGPD. Cet intérêt répond aux trois critères énoncés au point 71 des présentes conclusions : il est licite, suffisamment précis et non hypothétique.

b)      La nécessité du traitement des données

77.      En ce qui concerne la deuxième condition, à savoir celle de la nécessité, selon une jurisprudence constante de la Cour, cette condition « n’est pas remplie lorsque l’objectif poursuivi par [l]e traitement de données pourrait raisonnablement être atteint de manière aussi efficace par d’autres moyens moins attentatoires aux droits fondamentaux des personnes concernées [...], les dérogations et les restrictions au principe de la protection de telles données devant s’opérer dans les limites du strict nécessaire » (64). Dans ce contexte, il y a lieu de rappeler que « la condition tenant à la nécessité du traitement doit être examinée conjointement avec le principe de minimisation des données, consacré à l’article 5, paragraphe 1, sous c), du RGPD, selon lequel les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées » (65).

78.      La condition de nécessité comporte deux composantes complémentaires et étroitement liées (66). Premièrement, il importe de veiller à ce que la mesure soit appropriée pour atteindre l’objectif poursuivi. À l’évidence, une mesure impropre à atteindre son objectif ne saurait être considérée comme étant « strictement nécessaire à la réalisation de cet intérêt légitime ». Deuxièmement, il convient de vérifier si la mesure est indispensable : le traitement ne saurait être considéré comme étant nécessaire si l’intérêt poursuivi par le responsable du traitement peut « raisonnablement être atteint de manière aussi efficace par d’autres moyens moins attentatoires aux droits fondamentaux des personnes concernées » (67).

79.      En l’espèce, on pourrait soutenir que, tant qu’une personne est associée (ou qu’on peut raisonnablement présumer qu’elle est associée) à une communauté religieuse, cette communauté peut légitimement estimer nécessaire de consigner avec précision les sacrements que cette personne a reçus. En particulier, la conservation des données à caractère personnel pertinentes des fidèles qui ont été baptisés contribue directement à la poursuite de l’objectif consistant à assurer la bonne administration des sacrements.

80.      En outre, malgré l’existence éventuelle d’autres mesures moins intrusives pour les droits et les intérêts des personnes concernées (68), la conservation des données à caractère personnel dans le registre des baptêmes constitue, à mon sens, une mesure plus efficace à l’égard de l’ensemble des personnes appartenant à la communauté religieuse. En effet, le traitement est également effectué dans l’intérêt des personnes concernées elles-mêmes, qui sont susceptibles de devoir apporter la preuve du baptême lorsqu’elles demandent l’administration d’autres sacrements. En conséquence, une application excessivement stricte de la condition de nécessité apparaît, dans ce contexte, injustifiée (69).

81.      Par conséquent, sous réserve de confirmation par la juridiction de renvoi, un certain nombre d’éléments semblent confirmer la nécessité du traitement au sens de l’article 6, paragraphe 1, sous f), du RGPD.

c)      La mise en balance des intérêts

82.      Enfin, la condition selon laquelle les intérêts ou les libertés et droits fondamentaux de la personne concernée par le traitement des données ne prévalent pas sur les intérêts légitimes du responsable du traitement ou d’un tiers implique que les juridictions nationales effectuent une mise en balance des droits et des intérêts concurrents.

83.      Au sens figuré, la juridiction de renvoi devra placer, d’un côté de la balance, les droits et les intérêts de la personne concernée qui sont lésés par le traitement ultérieur et, de l’autre côté de cette balance, les droits et les intérêts du responsable du traitement qui seraient affectés négativement si l’on mettait un terme au traitement.

84.      Le libellé du RGPD ainsi que la jurisprudence de la Cour fournissent certaines indications quant à la manière dont cet exercice doit être effectué.

85.      Parmi les facteurs à prendre en considération figure, premièrement, « les attentes raisonnables des personnes concernées fondées sur leur relation avec le responsable du traitement. [...], au moment et dans le cadre de la collecte des données à caractère personnel, à ce que celles-ci fassent l’objet d’un traitement à une fin donnée. Les intérêts et droits fondamentaux de la personne concernée pourraient, en particulier, prévaloir sur l’intérêt du responsable du traitement lorsque des données à caractère personnel sont traitées dans des circonstances où les personnes concernées ne s’attendent raisonnablement pas à un traitement ultérieur » (70).

86.      En outre, l’étendue du traitement et son incidence sur les droits et les intérêts des personnes concernées revêtent une importance majeure (71). En ce qui concerne ce dernier élément, bien qu’il n’y ait pas d’obligation d’établir qu’un préjudice, quel qu’il soit, a été causé à la personne concernée (72), le fait que la personne concernée soit exposée à un dommage physique, matériel ou moral (73), y compris à une détresse émotionnelle (74), présenterait naturellement une importance particulière.

87.      Le nombre important de personnes ayant accès aux données à caractère personnel en question et, le cas échéant, les effets étendus, en termes de diffusion, que le traitement de ces données est susceptible d’avoir, sont potentiellement de nature à accroître la gravité de l’ingérence dans les droits de la personne concernée (75). En revanche, dans certains cas, la gravité de l’incidence pourrait être considérée comme étant mineure lorsque les données traitées sont accessibles au public, en fonction de la mesure dans laquelle ces données figurent déjà dans des sources accessibles au public (76). En outre, l’évaluation de l’incidence concrète du traitement des données en question n’est pas un exercice unilatéral : il convient naturellement d’ajouter à l’équation les éventuels avantages que les personnes concernées tirent du traitement (77).

88.      En outre, il y a lieu de faire preuve d’une vigilance particulière dans la mise en balance des intérêts concurrents lorsque les données traitées relèvent d’une catégorie particulière au sens de l’article 9 du RGPD (telles que celles révélant des convictions religieuses ou philosophiques) (78), ou lorsqu’elles concernent un enfant, ainsi que le prévoit expressément l’article 6, paragraphe 1, sous f), du RGPD (79). De même, le traitement de données sur de longues périodes est également susceptible de requérir une vigilance particulière de la part du responsable du traitement, étant donné que l’écoulement du temps est parfaitement susceptible d’affecter à la fois les intérêts du responsable du traitement à traiter les données et l’incidence du traitement de ces données sur les droits et les intérêts des personnes concernées (80).

89.      Dans le même temps, l’existence de garanties appropriées contre l’accès et le traitement illicites, afin de garantir l’intégrité et la confidentialité des données, est également susceptible d’être pertinente dans ce contexte (81).

90.      Ainsi que cela a été exposé ci-dessus, il appartient à la juridiction de renvoi de procéder, à la lumière des critères ci-dessus énoncés, à la mise en balance des intérêts concurrents et de trouver un équilibre entre ces derniers. En l’espèce, les éléments suivants méritent, à mon sens, de faire l’objet d’une attention particulière.

91.      D’une part, il est vrai que le traitement comporte une catégorie particulière de données qui, de surcroît, impliquent fréquemment des enfants. De même, il est clair que le traitement porte atteinte à différents droits fondamentaux des personnes concernées.

92.      Premièrement, le traitement de données à caractère personnel qui portent sur des éléments fondamentalement intimes, telles que la date et le lieu de naissance, les liens familiaux et les convictions religieuses, constitue une ingérence dans la vie privée de la personne concernée. En outre, dès lors que ces données sont susceptibles d’être traitées sans le consentement de la personne et qu’il ne s’agit pas d’un événement ponctuel ou occasionnel, mais que ce traitement peut potentiellement se produire à plusieurs reprises au cours de sa vie, il affecte manifestement son droit à l’autodétermination en ce qui concerne l’utilisation de telles données. Par conséquent, il y a indéniablement ingérence dans le droit de la personne concernée au respect de sa vie privée et familiale (article 7 de la Charte) ainsi que dans son droit à la protection de ses données à caractère personnel (article 8 de la Charte).

93.      Deuxièmement, lorsqu’une personne a été baptisée pendant l’enfance et n’a donc pas consenti au traitement de ses données, un tel traitement est effectué que la personne concernée considère ou non faire partie de la communauté religieuse en cause. Ainsi que l’a constaté la Cour EDH, « le droit de manifester sa religion ou ses convictions comporte également un aspect négatif, à savoir le droit pour l’individu de ne pas être obligé de manifester sa religion ou ses convictions et de ne pas être obligé d’agir en sorte qu’on puisse tirer comme conclusion qu’il a – ou n’a pas – de telles convictions » (82). Ainsi, le traitement des données porte également atteinte à la liberté de pensée, de conscience et de religion (article 10 de la Charte) de la personne concernée.

94.      D’autre part, j’ai, néanmoins, exposé les raisons pour lesquelles le responsable du traitement effectuait le traitement de données en question aux fins d’un intérêt légitime également protégé par l’article 10 de la Charte.

95.      En outre, tant que l’on peut considérer que la personne concernée fait partie de la communauté religieuse en cause, un certain nombre d’éléments semblent indiquer l’absence, a priori, de toute ingérence négative significative dans les droits fondamentaux de cette personne.

96.      Tout d’abord, il semble raisonnable de considérer qu’une personne qui a été baptisée s’attend, en principe, à ce que ses données à caractère personnel soient conservées sur le registre des baptêmes, à tout le moins, tant que cette personne considère être membre de cette communauté religieuse. Ensuite, l’étendue du traitement, eu égard à la quantité de données traitées (c’est-à-dire les données pertinentes aux fins de l’identification de la personne baptisée), de même qu’au nombre et au type d’opérations effectuées (principalement la conservation des données, ainsi que l’accès à celles-ci lorsque cela est nécessaire), est relativement limitée. Le nombre de personnes ayant accès à ces informations est également limité et des garanties sont en place afin de prévenir tout accès non autorisé.

97.      En outre, y compris lorsque les données concernent un enfant, la décision de voir ses données à caractère personnel traitées à la suite du baptême est, vraisemblablement, prise en connaissance de cause par les parents ou les tuteurs légaux de cet enfant et constitue l’expression de leur droit de veiller à ce que leurs enfants soient éduqués conformément à leurs convictions religieuses et philosophiques (83).

98.      Dernier point, mais non des moindres, la conservation des données à caractère personnel des personnes baptisées est vraisemblablement également effectuée dans l’intérêt de ces personnes, qui sont susceptibles d’être tenues de fournir la preuve du baptême au cas où ils souhaiteraient recevoir d’autres sacrements (tels que la confirmation ou le mariage religieux).

99.      À la lumière de ce qui précède, et sous réserve de vérification par la juridiction de renvoi, il semble que le traitement, par l’Église, des données à caractère personnel de l’auteur de la réclamation ait pu, avant que celui-ci s’y soit formellement opposé, être considéré comme étant conforme à l’article 6, paragraphe 1, sous f), du RGPD. Si tel était effectivement le cas, cela signifierait que l’auteur de la réclamation ne pouvait pas demander l’effacement de ses données à caractère personnel sur le fondement de l’article 17, paragraphe 1, sous d), du RGPD avant que l’évêché de Gand ait été informé de son opposition au traitement de ses données.

100. Le point de savoir si l’auteur de la réclamation peut demander l’effacement en s’opposant au traitement doit être examiné à l’aune de l’article 17, paragraphe 1, sous c), du RGPD. Cette disposition renvoie à l’article 21, paragraphe 1, de ce règlement.

2.      La personne concernée s’oppose au traitement des données

101. L’article 21, paragraphe 1, du RGPD prévoit que la personne concernée a le droit de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des données à caractère personnel la concernant fondé sur l’article 6, paragraphe 1, sous f), de ce règlement, ainsi que cela est le cas en l’espèce. Néanmoins, cette disposition autorise le responsable du traitement à poursuivre le traitement des données, notamment s’il « démontre qu’il existe des motifs légitimes et impérieux [...] qui prévalent sur les intérêts et les droits et libertés de la personne concernée ».

102. Ainsi que cela est indiqué ci-dessus, l’article 21, paragraphe 1, du RGPD pose un critère relativement strict, auquel le responsable du traitement doit satisfaire afin de justifier le traitement de données à caractère personnel, nonobstant l’opposition exprimée par la personne concernée à cet égard. Cette disposition ne permet au responsable du traitement de ne pas tenir compte de l’opposition que lorsqu’il démontre qu’il existe des motifs impérieux justifiant le traitement, la charge de la preuve à cet égard incombant au responsable du traitement. En effet, la règle par défaut est que, en présence d’une opposition, le responsable du traitement est tenu mettre fin au traitement (« [l]e responsable du traitement ne traite plus les données à caractère personnel, à moins [...] » (84)).

103. À ce stade, il peut être utile d’examiner la signification du terme « impérieux ». Le RGPD n’en prévoit aucune définition. Le libellé de la disposition en cause ne permet pas non plus d’identifier tout à fait clairement le terme auquel se rapporte précisément cet adjectif. Il pourrait viser les « motifs légitimes » : les motifs invoqués par le responsable du traitement devraient alors non seulement être « légitimes », mais également essentiels ou vitaux pour l’activité du responsable du traitement (85). Cet adjectif pourrait toutefois également se rapporter à la nécessité impérieuse, pour le responsable du traitement, de traiter les données. Bien que l’article 21, paragraphe 2, du RGPD ne vise pas explicitement la condition de nécessité, celle-ci demeure un élément essentiel de l’analyse (86). Enfin, cet adjectif pourrait également se limiter à refléter le poids important qu’il y a lieu d’accorder aux droits et aux intérêts de la personne concernée lors de leur mise en balance avec ceux du responsable du traitement (87).

104. À mon sens, les trois points de vue exposés ci-dessus sont corrects : le terme « impérieux » imprègne l’appréciation des trois conditions. Ce terme, de même que les formulations équivalentes employées dans les autres versions linguistiques du règlement (88), est clair en ce qu’il implique que les motifs autorisant le responsable du traitement à passer outre la volonté claire de la personne concernée doivent être vraisemblables et solides.

105. Ainsi que l’indique le CEPD dans ses lignes directrices 1/2024, ce terme implique que le responsable du traitement est tenu de respecter une condition plus exigeante que celle applicable en vertu de l’article 17, paragraphe 1, sous d), du RGPD (89). Cette interprétation est expressément confirmée par la jurisprudence. La Cour a jugé que, en présence d’une opposition au titre de l’article 21, paragraphe 1, du RGPD, ce n’est qu’à titre « exceptionnel » qu’une juridiction nationale peut constater l’existence de motifs légitimes impérieux susceptibles de justifier le traitement en cause (90).

106. En effet, si le critère prévu à l’article 17, paragraphe 1, sous c), du RGPD n’était pas plus strict que celui énoncé à l’article 17, paragraphe 1, sous d), de ce règlement, cela signifierait que la personne concernée ne serait jamais en mesure de s’opposer à un traitement valablement fondé sur l’article 6, paragraphe 1, sous f), dudit règlement (91). L’article 21, paragraphe 1, du RGPD serait en partie privé de son effet utile et cette situation remettrait en cause la conclusion de la Cour, selon laquelle le droit d’opposition suppose l’existence d’un traitement licite (92).

107. Ce critère particulièrement strict reflète le principe fondamental qui est au cœur même du corpus réglementaire que forme le RGPD : le traitement des données à caractère personnel est interdit à moins qu’il soit expressément autorisé. L’article 6, paragraphe 1, de ce règlement est clair à cet égard : « [l]e traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie : [...] » (93). Ainsi que la Cour l’a jugé à plusieurs reprises, ces conditions doivent faire l’objet d’une interprétation restrictive (94).

108. Ainsi qu’il ressort du considérant 7 du RGPD, l’idée sous-jacente est que « [l] es personnes physiques doivent avoir le contrôle de leurs propres données à caractère personnel ». L’article 21 du RGPD est une expression directe de ce principe (95). Dans ce contexte, il va de soi que le traitement des données à caractère personnel d’une personne qui non seulement n’a jamais consenti au traitement, mais s’y est expressément opposée, appelle une justification particulière. Cette approche est conforme à l’objectif principal du RGPD, qui est de garantir un niveau élevé de protection des libertés et des droits fondamentaux des personnes physiques, en particulier de leur droit au respect de leur vie privée et à la protection de leurs données à caractère personnel, tels qu’ils sont consacrés aux articles 7 et 8 de la Charte et à l’article 16, paragraphe 1, TFUE (96).

109. Si tel est effectivement le cas, il est alors justifié de considérer que l’adjectif « impérieux » revêt une importance particulière dans les trois étapes de l’appréciation juridique à laquelle la juridiction de renvoi est tenue de se livrer : l’évaluation de l’intérêt invoqué par le responsable du traitement, l’appréciation de la nécessité du traitement, et la mise en balance des droits et intérêts concurrents en présence.

110. À la lumière de ce qui précède, la question de savoir si l’auteur de la réclamation peut, en l’espèce, s’opposer avec succès au traitement de ses données à caractère personnel sur le fondement de l’article 17, paragraphe 1, sous c), du RGPD appelle un examen minutieux, qui est, à mon sens, infiniment plus complexe que celui effectué ci-dessus s’agissant de la licéité du traitement en question.

a)      Des motifs légitimes impérieux

111. Premièrement, en ce qui concerne la condition exigeant du responsable du traitement qu’il démontre l’existence de « motifs légitimes impérieux » aux fins du traitement, je partage la position du CEPD, selon lequel les motifs invoqués pour ce traitement « doivent être essentiels pour le responsable du traitement (ou pour le tiers dans l’intérêt légitime duquel les données sont traitées) pour pouvoir être considérés comme impérieux » (97).

112. En d’autres termes, le simple fait que l’intérêt poursuivi par le responsable en effectuant ce traitement soit licite n’est pas suffisant. Selon moi, cet intérêt doit être considéré comme étant digne d’une protection particulière en vertu du droit de l’Union ou du droit national, et la poursuite de cet intérêt doit être directement liée à l’une des fonctions essentielles du responsable du traitement.

113. Il me semble difficile d’établir une distinction claire entre les intérêts qui peuvent donner lieu à des « motifs impérieux et légitimes » et ceux dont tel n’est pas le cas. En effet, ces intérêts ne sauraient être appréciés de manière abstraite ; ils ne peuvent l’être que sur un plan plus concret et spécifique, au regard des circonstances propres à chaque espèce. Cela étant dit, j’ajouterai que, par exemple, les intérêts qui ont trait à la protection de la dignité humaine, de la santé humaine ou de l’environnement sont, selon moi, plus susceptibles de répondre au critère que la poursuite d’un simple intérêt commercial (98). Encore une fois, tous les intérêts liés au commerce ou de nature économique ne sont pas égaux : par exemple, l’intérêt consistant à honorer un contrat existant semble plus digne de protection que l’intérêt consistant à mettre en place une stratégie efficace de mise sur le marché (99). En outre, la poursuite d’objectifs commerciaux constituant la raison d’être même de certaines entités, la limitation de la capacité de ces dernières à traiter des données est parfois susceptible de porter atteinte à leurs activités fondamentales.

114. En l’espèce, ainsi que cela a déjà été exposé, le responsable du traitement fait valoir que le traitement des données à caractère personnel concernées est nécessaire afin de garantir la bonne administration des sacrements. Il s’agit là d’un intérêt intrinsèquement lié à l’exercice du forum externum de la liberté de religion ainsi qu’à la nécessité de garantir l’autonomie fonctionnelle des communautés religieuses. Ces droits et intérêts revêtent une grande importance, tant dans l’ordre juridique de l’Union que dans celui des États membres. En outre, il y a un lien évident entre la mission spirituelle de l’Église et la bonne administration des sacrements.

115. Dès lors, l’intérêt invoqué par l’évêché de Gand peut, en principe, être considéré comme étant « impérieux » au sens de l’article 21, paragraphe 1, du RGPD.

b)      La nécessité du traitement des données

116. J’en viens à présent à la condition tenant à la nécessité de ce traitement afin de poursuivre l’objectif déclaré. Je relève, à titre liminaire, que les motifs invoqués pour le traitement peuvent difficilement être considérés comme « impérieux », à moins de vérifier rigoureusement que la condition tenant à ce que le traitement soit propre à atteindre son objectif et qu’il soit proportionné à ce dernier est remplie. Ainsi que le relève à juste titre le CEPD, « le fait de démontrer que le traitement est simplement bénéfique ou avantageux pour le responsable du traitement ne remplit pas nécessairement [ce] critère » (100). A fortiori, une préférence subjective du responsable du traitement ne saurait être équivalente à une nécessité impérieuse d’effectuer une opération de traitement de données (101).

117. J’estime que le point essentiel à cet égard est celui de déterminer si, pour le responsable du traitement, le fait de perdre la capacité à traiter les données à caractère personnel en cause compromettrait gravement la capacité de celui-ci à accomplir sa mission telle qu’elle est définie dans ses statuts. Dans un cas tel que celui de l’espèce, il s’agirait de déterminer si le fait de priver l’évêché de Gand de sa capacité à conserver et à extraire les données à caractère personnel de l’auteur de la réclamation entraverait sérieusement sa mission spirituelle.

118. Il y a lieu d’admettre que l’appréciation présente une certaine complexité.

119. D’une part, c’est raisonnablement que, compte tenu de l’importance que les sacrements – en particulier le baptême – revêtent au regard du dogme catholique, l’Église considère qu’il est important que ses registres demeurent aussi intacts et intègres que possible. Du point de vue de l’Église, il semble logique que, si l’on considère que le baptême est un sacrement reçu « une fois dans une vie » et qu’il est une porte ouverte à futurs sacrements, les données à caractère personnel d’une personne qui a été baptisée ne soient pas effacées, y compris lorsque cette personne a l’intention de rompre ses liens avec l’Église. Sauf erreur de ma part, selon la doctrine de l’Église catholique romaine, les effets du baptême sont permanents. Sous cet angle, il est sans doute plus précis d’ajouter simplement, dans le registre des baptêmes, les informations témoignant de l’intention de cette personne de ne plus faire partie de l’Église.

120. Dans ce contexte, il peut être utile de souligner que, aux termes de l’article 9, paragraphe 2, sous d), du RGPD, il est expressément admis qu’un organisme poursuivant une finalité philosophique ou religieuse est susceptible de devoir traiter les données personnelles des membres, qu’ils soient actuels ou anciens, dudit organisme.

121. D’autre part, cependant, un certain nombre de facteurs semblent indiquer que la perte de la capacité à traiter les données à caractère personnel de l’auteur de la réclamation n’entraverait probablement pas sévèrement la capacité de l’évêché de Gand à accomplir sa mission spirituelle.

122. En premier lieu, il est tout à fait possible que l’auteur de la réclamation souhaite, à l’avenir, réintégrer l’Église et, dans ce contexte, recevoir d’autres sacrements, bien que cela soit peu probable, compte tenu de l’âge auquel l’auteur de la réclamation a exercé ses droits au titre du RGPD et des motifs invoqués à l’appui de sa demande d’effacement de ses données à caractère personnel (102). En tout état de cause, aux termes du considérant 64 du RGPD, « un responsable du traitement ne devrait pas conserver des données à caractère personnel à la seule fin d’être en mesure de réagir à d’éventuelles demandes » (103).

123. En deuxième lieu, les circonstances dans lesquelles il pourrait y avoir un risque réel qu’une personne telle que l’auteur de la réclamation soit baptisée deux fois ne sont pas tout à fait claires. Invité, lors de l’audience, à clarifier ses arguments, l’évêché de Gand n’a pas été en mesure de fournir des exemples concrets de situations dans lesquelles un tel risque serait à la fois plausible et susceptible de se produire.

124. On pourrait soutenir qu’il y a deux cas de figure dans lesquels l’effacement des données à caractère personnel d’une personne concernée pourrait donner lieu à une insécurité juridique, conduisant à ce qu’une personne soit potentiellement baptisée deux fois. Premièrement, une personne est susceptible de souhaiter réintégrer l’Église et, à cette fin, de demander à être baptisée une deuxième fois ou, deuxièmement, une personne est susceptible de souhaiter réintégrer l’Église, et les ministres de celle-ci, n’ayant pas connaissance de son premier baptême, sont susceptibles d’exiger que la personne concernée soit à nouveau baptisée.

125. Dans le premier cas de figure, il me semble que, compte tenu de l’absence de fichier centralisé, rien ne saurait empêcher une personne ayant déjà été baptisée de l’être une seconde fois, dans une autre paroisse, s’il s’agit bien là de sa volonté (104). En effet, il suffirait à cette personne de choisir une paroisse dans laquelle les ministres du culte n’ont connaissance ni de la date ni du lieu auxquels cette personne a déjà reçu le sacrement du baptême. En effet, en l’absence de coopération de la personne concernée ou d’informations émanant d’autres personnes ayant connaissance de la situation, il n’est pas aisé de répondre à la question de savoir si une personne a déjà été baptisée. C’est ce que semble confirmer l’analyse détaillée de ce point effectuée par la GBA dans la décision attaquée (105).

126. C’est toutefois à la juridiction de renvoi qu’il incombe de vérifier si la conservation des données relatives au baptême d’une personne telle que l’auteur de la réclamation est effectivement ou non de nature à atteindre l’objectif poursuivi dans le premier cas de figure.

127. Dans le second cas de figure, dans lequel on demande à une personne souhaitant réintégrer l’Église d’apporter la preuve de son premier baptême, par exemple en vue de se marier religieusement, cette personne serait sans doute en mesure de produire divers éléments de preuve à cet égard. Le code de droit canonique prévoit diverses dispositions en la matière (106). À défaut, la personne pourrait probablement démontrer qu’elle a été baptisée en produisant la correspondance échangée avec la paroisse concernée, sur la base de laquelle ses données à caractère personnel ont été effacées du registre des baptêmes (107).

128. À la lumière de ce qui précède, la juridiction de renvoi devra également vérifier si, ainsi que le soutient l’auteur de la réclamation, la conservation du registre des baptêmes sous une forme totalement intacte va au-delà de ce qui est nécessaire afin de démontrer que le baptême a été administré à une personne en particulier.

129. Enfin, il y a un autre élément dont la juridiction de renvoi pourra souhaiter tenir compte afin de se prononcer sur la « nécessité » du traitement. Ainsi que l’a confirmé l’évêché de Gand, dans certaines circonstances, le code de droit canonique autorise, à titre exceptionnel, à administrer le baptême potentiellement deux fois à une même personne. On peut citer, à titre d’exemple, le « baptême sous condition », « [s]’il y a doute qu’une personne ait été baptisée ou que le baptême lui ait été administré validement » (108).

c)      La mise en balance des intérêts

130. Enfin, l’appréciation qu’il incombe à la juridiction de renvoi d’effectuer lors de la mise en balance des différents droits et intérêts en présence semble, elle aussi, relativement complexe. Ainsi que je l’ai exposé ci-dessus, tout la difficulté réside en la manière dont il convient de mettre en balance deux ensembles d’intérêts et de droits concurrents qui, dans l’ordre juridique de l’Union, sont tous deux considérés comme particulièrement dignes de protection : d’une part, le droit de l’auteur de la réclamation au respect de sa vie privée et familiale, son droit à la protection de ses données à caractère personnel et sa liberté de pensée, de conscience et de religion, et, d’autre part, l’autonomie de l’Église et la liberté de pensée, de conscience et de religion de celle-ci.

131. Avant d’examiner de manière plus approfondie la mise en balance de ces droits et intérêts au titre de l’article 21, paragraphe 1, du RGPD, je précise, d’emblée, que, à mon sens, aucun de ces intérêts ne devrait systématiquement prévaloir sur les autres. Une telle approche rendrait illusoire la protection des droits et des intérêts de la personne concernée ou de la communauté religieuse (109).

132. En conséquence, je ne saurais souscrire à la position adoptée sur ce point par certaines parties ayant présenté des observations, par exemple, la Commission. En substance, ces parties n’accordent que peu de considération, voire aucune, aux droits et aux intérêts des personnes concernées, en faisant valoir que, quelle que soit la situation spécifique dans laquelle se trouvent ces personnes, le résultat de la mise en balance des intérêts en présence doit être favorable aux droits et aux intérêts du responsable du traitement.

133. Or, ce n’est manifestement pas ce que prévoit l’article 21, paragraphe 1, du RGPD. Il convient de souligner ce qui suit : le résultat de la mise en balance de ces intérêts ne saurait être déterminé a priori, simplement en procédant à une interprétation abstraite des règles pertinentes du droit primaire et du droit dérivé de l’Union. L’article 21, paragraphe 1, du RGPD exige que l’autorité ou la juridiction compétente examine les circonstances propres à chaque cas. Le libellé de la disposition est clair à cet égard (le droit d’opposition s’exerce « pour des raisons tenant à sa situation particulière ») et c’est ce que confirme la jurisprudence de la Cour (110).

134. Ainsi que l’indique le CEPD, « l’existence de motifs légitimes impérieux doit être évaluée au cas par cas et être rattachée à une opposition spécifique » (111). Je partage cette position. Les motifs invoqués par la personne concernée à l’appui de son opposition au traitement peuvent être relativement révélateurs quant à l’incidence éventuelle qu’un refus du responsable du traitement pourrait avoir sur la personne concernée. Une juridiction nationale peut, par exemple, tirer certaines conclusions d’une opposition non étayée, mal motivée ou fondée sur des arguments fantaisistes. En revanche, une opposition fondée sur la situation spécifique de la personne concernée et étayée par de sérieux motifs d’ordre moral requiert une évaluation plus approfondie.

135. Par ailleurs, le libellé de l’article 21, paragraphe 1, du RGPD témoigne également de la volonté claire du législateur de l’Union d’accorder une protection renforcée aux droits et aux intérêts des personnes concernées lorsqu’elles s’opposent au traitement de leurs données à caractère personnel. Là encore, c’est ce que confirme la jurisprudence de la Cour (112).

136. Les points ci-dessus évoqués ayant été clarifiés, j’examinerai à présent certains éléments dont la juridiction de renvoi pourra souhaiter tenir compte dans son appréciation au titre de l’article 21, paragraphe 1, du RGPD.

137. D’une part, la juridiction de renvoi devra tenir compte de l’incidence que l’effacement des données à caractère personnel de l’auteur de la réclamation est susceptible d’avoir sur l’intérêt poursuivi par le responsable du traitement, c’est-à-dire celui de veiller à la bonne administration des sacrements. Cet intérêt consiste, en premier lieu, en l’exercice, par les membres de l’Église, de leur droit « de manifester [leur] religion ou [leur] conviction [...] collectivement, [...], par le culte, l’enseignement, les pratiques et l’accomplissement des rites », ainsi que le prévoit l’article 9 de la CEDH. Cet intérêt est également une expression de l’autonomie de l’Église, conçue comme une association religieuse jouissant du droit à l’auto-organisation aux termes des dispositions combinées des articles 10 et 12 de la Charte et de l’article 17, paragraphe 1, TFUE. Ces dispositions protègent la vie interne des associations religieuses de toute ingérence arbitraire de l’État (113). Il s’agit essentiellement d’évaluer la mesure dans laquelle l’arrêt du traitement des données et l’effacement des données à caractère personnel en question sont susceptibles d’entraver gravement les activités ci-dessus mentionnées.

138. D’autre part, la juridiction de renvoi devra examiner le degré de l’ingérence que le traitement continu des données à caractère personnel est susceptible de constituer dans la jouissance, par l’auteur de la réclamation, de ses droits fondamentaux.

139. Certes, ainsi que je l’ai exposé ci-dessus, l’étendue du traitement, à la fois sous l’angle de la quantité de données traitées et sous celui du nombre et du type d’opérations effectuées, est relativement limitée, de même que le groupe de personnes autorisées à traiter ces données. Toutefois, il ne s’ensuit pas nécessairement que le traitement ne saurait avoir qu’une incidence limitée sur la jouissance, par la personne concernée, de ses droits fondamentaux. En réalité, un certain nombre d’éléments indiquent, en l’espèce, que le degré d’ingérence est relativement élevé.

140. En premier lieu, la juridiction de renvoi devra examiner si une personne qui entend rompre tout lien avec une communauté religieuse peut néanmoins raisonnablement s’attendre à ce que cette communauté continue à conserver ses données à caractère personnel pendant toute la durée de sa vie ainsi que, éventuellement, au-delà.

141. En deuxième lieu, le fait que l’auteur de la réclamation n’a jamais consenti au traitement au moment auquel ses données ont été inscrites pour la première fois dans le registre, puisqu’il a été baptisé alors qu’il était enfant, est également susceptible d’avoir un certain poids. Ainsi que je l’ai expliqué ci-dessus, le traitement des données de l’enfant découle d’une décision adoptée par ses parents ou par ses tuteurs légaux, qui constitue l’exercice de leur droit de veiller à ce que leurs enfants soient éduqués conformément à leurs convictions religieuses et philosophiques.

142. On peut néanmoins douter de ce que l’autorité parentale s’étende à des décisions religieuses qui créent un effet de « verrouillage » permanent et irréversible pour l’enfant. En effet, la décision des parents de faire baptiser leur enfant donnerait de facto à la communauté religieuse une capacité étendue à traiter les données pour toute la durée de la vie de cet enfant. Y compris devenue adulte, cette personne ne serait jamais en mesure de retirer le consentement (implicitement ou explicitement) donné par ses parents au traitement de ses données (114), nonobstant le caractère sensible de ces données, qui révèlent ses convictions religieuses (115).

143. Mes doutes sur ce point sont renforcés par le considérant 65 du RGPD, selon lequel « [le droit de la personne concernée d’obtenir que ses données à caractère personnel soient effacées et ne soient plus traitées] est pertinent, en particulier, lorsque la personne concernée a donné son consentement à l’époque où elle était enfant et n’était pas pleinement consciente des risques inhérents au traitement, et qu’elle souhaite par la suite supprimer ces données à caractère personnel, en particulier sur l’internet. La personne concernée devrait pouvoir exercer ce droit nonobstant le fait qu’elle n’est plus un enfant ». On pourrait alors soutenir qu’un tel principe devrait a fortiori s’appliquer dans les cas où l’enfant, que ce soit au moment du baptême ou même ultérieurement, n’a jamais donné son consentement au traitement de ses données à caractère personnel (116).

144. En troisième lieu et surtout, l’appréciation de l’incidence réelle que le traitement ultérieur est susceptible d’avoir sur l’intégrité et sur le bien-être psychologiques (voire, dans certains cas, physiques) de la personne concernée constitue un autre facteur de la plus haute importance.

145. À cet égard, la Commission a estimé, lors de l’audience, que l’incidence du traitement sur les personnes concernées serait nécessairement minime, d’autant plus que les données en question n’étaient pas rendues publiques par l’Église.

146. Je ne partage pas cette position.

147. Tout d’abord, j’estime que la Commission n’est pas en mesure d’apprécier, en toute connaissance de cause, l’incidence réelle que le refus de mettre un terme au traitement des données et d’effacer ces dernières est susceptible d’avoir sur une personne donnée exerçant les droits que lui confère le RGPD. Les situations sont susceptibles d’être considérablement différentes, et c’est naturellement à la juridiction de renvoi qu’il incombe de procéder à cette appréciation, à la lumière de l’ensemble des circonstances de fait et de droit pertinentes.

148. Par ailleurs, cet argument semble reposer sur un malentendu. Dans un cas tel que celui de l’espèce, l’éventuel préjudice que le refus du responsable du traitement est susceptible de causer aux personnes concernées (par exemple, sous la forme d’une détresse émotionnelle) ne découle pas du fait que d’autres personnes puissent considérer qu’elles appartiennent à une communauté religieuse à laquelle elles ne sont pas associées. Le préjudice allégué semble être d’une autre nature.

149. Il convient de rappeler que la liberté de pensée, de conscience et de religion, consacrée à l’article 10 de la Charte, inclut également la « liberté de changer de religion ou de conviction » (117). Une telle liberté couvre celle d’avoir ou non des convictions religieuses et de pratiquer ou non une religion, et doit, en conséquence, être considérée comme un « bien précieux pour les athées, les agnostiques, les sceptiques ou les indifférents » (118). En effet, l’article 10 de la Charte prévoit, avant tout, un droit à l’autodétermination, qui revêt une importance cruciale pour l’identité de la personne, son intégrité morale, le maintien de ses relations sociales ainsi que la stabilité et la sécurité de sa position au sein de la société (119).

150. Par conséquent, on ne saurait exclure que certaines personnes concernées puissent subir une détresse émotionnelle du fait qu’une communauté religieuse, à laquelle elles appartenaient par le passé, décide de traiter leurs données à caractère personnel de manière perpétuelle, en invoquant des principes doctrinaux quant au caractère permanent et indissoluble du baptême. C’est le droit des personnes concernées à l’autodétermination qui subit des effets négatifs du fait du traitement, et non simplement, ainsi que l’a laissé entendre la Commission, l’image publique de ces personnes ou la façon dont elles sont perçues en société.

151. En outre, on ne saurait exclure que, dans certaines circonstances, l’incidence réelle que le refus du responsable du traitement est susceptible d’avoir sur la personne concernée dépasse le cadre décrit, ce qui entraînerait une ingérence importante dans un autre droit fondamental de la personne concernée : celui au respect de l’intégrité physique et mentale, consacré à l’article 3, paragraphe 1, de la Charte.

152. L’argument, avancé par certaines parties ayant présenté des observations, selon lequel une personne ayant subi des événements traumatisants dans ses interactions avec d’autres membres d’une communauté religieuse est susceptible de souffrir de graves troubles psychologiques (voire, dans des cas extrêmes, physiques (120)) du fait qu’elle sait que cette communauté continue à conserver ses données à caractère personnel parce qu’elle considère que leur lien est durable, présente une certaine force. En psychologie légale, l’idée selon laquelle certaines victimes peuvent avoir besoin de trouver une manière spécifique de « tourner la page » de leurs expériences passées est largement débattue (121). En conséquence, dans certains cas, il peut vraisemblablement être important, pour la personne concernée, sur le plan psychologique, d’avoir la certitude que tous les liens avec son ancienne communauté religieuse ont définitivement été rompus ou, en d’autres termes, que cette communauté a donné suite à sa demande d’oubli.

153. Par conséquent, j’estime que l’article 17, paragraphe 1, sous c), et l’article 21, paragraphe 1, du RGPD, lus à la lumière des articles 3, 7, 8 et 10 de la Charte ainsi que de l’article 17, paragraphe 1, TFUE, doivent être interprétés en ce sens qu’une personne concernée qui a été baptisée en tant que mineure et qui, en tant qu’adulte, souhaite se distancier de la communauté religieuse en cause a, en principe, le droit d’obtenir l’effacement de ses données à caractère personnel du registre des baptêmes lorsque le responsable du traitement ne démontre pas l’existence de motifs légitimes impérieux justifiant le traitement qui prévalent sur les intérêts, les droits et les libertés de la personne concernée.

154. C’est à la juridiction nationale qu’il revient d’apprécier si le responsable du traitement s’est ou non acquitté de sa charge, au regard des circonstances propres de la situation spécifique dont elle est saisie, en tenant compte, notamment, des motifs qui ont conduit la personne concernée à demander l’effacement de ses données à caractère personnel, ainsi que de l’incidence éventuelle que le refus du responsable du traitement d’effacer ces données est susceptible d’avoir sur l’intégrité de la personne concernée.

C.      Le traitement ultérieur à des fins archivistiques dans l’intérêt public et à des fins de recherche historique

155. Dans l’hypothèse où la juridiction de renvoi parviendrait à la conclusion selon laquelle, en l’occurrence, le responsable du traitement n’a pas été en mesure de démontrer l’existence de motifs légitimes impérieux de nature de prévaloir sur les intérêts, les droits et les libertés de la personne concernée, il reste à cette juridiction à effectuer une dernière étape dans le cadre de l’analyse juridique.

156. En effet, pour justifier le traitement, l’évêché de Gand invoque également l’article 17, paragraphe 3, sous d), du RGPD, selon lequel le droit à l’effacement ne s’applique pas dans la mesure où le traitement est nécessaire « à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques conformément à l’article 89, paragraphe 1, dans la mesure où le droit [à l’effacement] est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs dudit traitement ».

157. En outre, aux termes de l’article 89, paragraphe 1, du RGPD, « [l]e traitement à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique, ou à des fins statistiques est soumis, conformément au présent règlement, à des garanties appropriées pour les droits et libertés de la personne concernée. Ces garanties garantissent la mise en place de mesures techniques et organisationnelles, en particulier pour assurer le respect du principe de minimisation des données [...] ».

158. En l’espèce, l’évêché de Gand invoque deux motifs, parmi ceux visés à l’article 17, paragraphe 3, et à l’article 89, paragraphe 1, du RGPD, et soutient que le traitement des données à caractère personnel de l’auteur de la réclamation est nécessaire à des fins archivistiques dans l’intérêt public et à des fins de recherche historique.

159. Avant d’examiner si ces dispositions sont applicables dans le cadre de l’affaire au principal, je formulerai quelques brèves remarques concernant la notion de « traitement ultérieur » au sens du RGPD.

160. Dans ce contexte, je rappelle que l’article 5, paragraphe 1, sous b), du RGPD prévoit que les données à caractère personnel doivent, en principe, être « collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités (“limitation des finalités”) ». On peut difficilement contester le fait que les données à caractère personnel des personnes qui font l’objet du baptême sont collectées dans un objectif spécifique : veiller à la bonne administration des sacrements.

161. Néanmoins, il ne semble pas nécessaire, en l’espèce, de vérifier si la condition de limitation des finalités est remplie, puisque l’article 5, paragraphe 1, sous b), du RGPD ajoute que « [l]e traitement ultérieur à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques n’est pas considéré, conformément à l’article 89, paragraphe 1, comme incompatible avec les finalités initiales » (122). La seule exigence que prévoit le RGPD est celle selon laquelle, avant de procéder à ce traitement ultérieur, « le responsable du traitement a évalué s’il est possible d’atteindre ces finalités grâce à un traitement de données qui ne permettent pas ou plus d’identifier les personnes concernées » (considérant 156). Il s’agit là d’un élément qu’il appartient à la juridiction de renvoi de vérifier.

162. Il s’ensuit que, y compris lorsqu’elles sont collectées dans un autre objectif, l’évêché de Gand pourrait être en mesure de poursuivre le traitement des données à caractère personnel de l’auteur de la réclamation, nonobstant l’opposition formée par ce dernier, si le traitement ultérieur est effectué dans le respect des exigences de l’article 89, paragraphe 1, et, à l’évidence, de l’article 17, paragraphe 3, du RGPD (123).

163. À la lumière du libellé de ces dispositions, trois conditions principales doivent être remplies pour que le traitement en cause relève du champ d’application de celles-ci. Le traitement doit, premièrement, être effectué à des fins archivistiques dans l’intérêt public ou à des fins de recherche historique, deuxièmement, être nécessaire pour atteindre les objectifs poursuivis, dans la mesure où l’effacement des données à caractère personnel de l’auteur de la réclamation serait « susceptible de rendre impossible ou de compromettre gravement » la réalisation de ces objectifs et, troisièmement, respecter les garanties prévues par le droit de l’Union et par le droit national pour protéger les droits et libertés des personnes concernées.

164. À cet égard, j’estime que, dans la mesure où l’examen de ces conditions nécessite de procéder à des appréciations factuelles ainsi qu’à l’interprétation de dispositions de droit national, c’est à la juridiction de renvoi qu’incombe cette tâche. Néanmoins, il me semble important de fournir à cette juridiction quelques indications en la matière.

a)      Les finalités archivistiques dans l’intérêt public et la recherche historique

165. Le premier point qu’il convient d’examiner est celui de savoir si le traitement en cause est effectué non seulement aux fins de la poursuite des intérêts propres de l’Église, mais également à des fins archivistiques dans l’intérêt public ou à des fins de recherche historique.

166. Je commencerai par examiner la notion de « fins archivistiques dans l’intérêt général ». Il me semble utile de souligner d’emblée l’importance que revêtent les archives dans notre société. Ainsi que l’a souligné la Cour EDH, elles « constituent une partie essentielle et irremplaçable du patrimoine culturel permettant de préserver la pérennité de la mémoire de l’humanité » (124).

167. Cela étant dit, seules les archives conservées « dans l’intérêt public » relèvent du champ d’application de l’article 89 du RGPD. Cette notion est expliquée au considérant 158 du RGPD, qui vise « [l]es autorités publiques ou les organismes publics ou privés qui conservent des archives dans l’intérêt public [et sont] des services qui, en vertu du droit de l’Union ou du droit d’un État membre, ont l’obligation légale de collecter, de conserver, d’évaluer, d’organiser, de décrire, de communiquer, de mettre en valeur, de diffuser des archives qui sont à conserver à titre définitif dans l’intérêt public général et d’y donner accès ».

168. À la lumière de cette définition, je partage la position du Groupe des archives européennes (125), selon laquelle, en vertu du RGPD, ce n’est pas la nature des archives qui importe, mais, en réalité, la mission de l’organisme qui exerce l’activité d’archivage (126). Qu’il ait un caractère public ou privé, cet organisme doit, du moins en ce qui concerne l’activité d’archivage, agir dans l’intérêt public. En effet, le considérant 158 du RGPD indique que les organismes en question « devraient être des services ». Le terme « services » (qui est uniformément employé dans les différentes versions linguistiques du règlement) traduit l’idée que, dans ce domaine, l’organisme doit accomplir une tâche utile à la société dans son ensemble. En d’autres termes, le traitement de données requis à des fins archivistiques ne peut être justifié que lorsque ce traitement a – exclusivement ou du moins en partie (127) – un caractère désintéressé par nature et visant à concourir à la réalisation d’un intérêt supérieur.

169. En effet, l’organisme doit être légalement tenu de conserver des relevés des informations ou des documents qui contiennent les données à caractère personnel en question (128). La base juridique d’une telle obligation peut se trouver dans le droit de l’Union ou dans le droit national (129). La notion de « droit national » doit être interprétée de manière large. Ainsi qu’il ressort du considérant 41 du RGPD, cela « ne signifie pas nécessairement que l’adoption d’un acte législatif par un parlement est exigée ». Dans le même temps, toutefois, cette base juridique « devrait être claire et précise et son application devrait être prévisible pour les justiciables ». J’estime que tout acte qui est l’expression de l’autorité publique et a été publié ou rendu facilement accessible au public par tout autre moyen est suffisant.

170. Il convient de souligner, dans ce contexte, que les États membres disposent d’un large pouvoir d’appréciation pour confier à des entités privées la tâche d’archiver certaines informations ou certains documents dans l’intérêt public ainsi que, par conséquent, pour identifier les archives qui « sont à conserver à titre définitif dans l’intérêt public général » au sens du considérant 158 du RGPD. Il en va a fortiori ainsi en ce qui concerne les communautés religieuses (130), à la lumière du principe de neutralité consacré à l’article 17, paragraphe 1, TFUE.

171. La condition tenant au fait d’exercer de telles activités dans l’intérêt public se reflète également dans la référence très détaillée, au considérant 158 du RGPD, aux activités spécifiques que l’organisme effectuant l’archivage a vocation à effectuer : « collecter, conserver, évaluer, organiser, décrire, communiquer, mettre en valeur, diffuser des archives et y donner accès ». À l’évidence, je ne pense pas qu’il y ait lieu d’interpréter ce libellé en ce sens que l’organisme en question est tenu d’accomplir chacune de ces tâches. J’estime qu’une telle liste vise simplement à refléter les tâches qui sont généralement exécutées par les archivistes.

172. Néanmoins, il me paraît difficile de concevoir une activité d’archivage dans l’intérêt public qui n’implique pas un quelconque accès aux archives, que ce soit pour les autorités publiques ou le grand public, de manière continue ou à un stade ultérieur. Par définition, il ne saurait y avoir d’« archivage dans l’intérêt public » si les archives d’une entité privée ne sont accessibles qu’aux personnes faisant partie de l’entité en question.

173. Enfin, il convient de souligner que le point de savoir si le traitement de données à caractère personnel par des associations religieuses est effectué pour des motifs d’intérêt public appelle une appréciation au cas par cas. Aux termes du considérant 55 du RGPD, « le traitement de données à caractère personnel par des autorités publiques aux fins de réaliser les objectifs, prévus par le droit constitutionnel ou le droit international public, d’associations à caractère religieux officiellement reconnues est effectué pour des motifs d’intérêt public » (131). Il s’ensuit, a contrario, qu’une présomption semblable ne s’applique pas au traitement effectué par les associations religieuses elles-mêmes.

174. En l’absence de dispositions pertinentes de droit de l’Union en la matière, il appartient, dès lors, à la juridiction de renvoi d’examiner si, en vertu du droit national, l’évêché de Gand est tenu de tenir des registres des personnes qui ont été baptisées et, le cas échéant, s’il effectue ou non cette tâche dans l’intérêt général.

175. Ensuite, il convient d’examiner la notion de « recherche historique ». Premièrement, il convient d’interpréter le terme « recherche » de manière large, en ce sens qu’il couvre le processus systématique de collecte, d’analyse et d’interprétation des informations afin de contribuer au progrès des connaissances théoriques ou appliquées dans le domaine des sciences humaines, qu’il s’agisse de recherche financée par le secteur public ou par le secteur privé (132). Étant donné que l’expression « dans l’intérêt public » n’apparaît que dans le contexte de l’« archivage », il s’ensuit que les recherches effectuées (exclusivement ou principalement) dans l’intérêt propre du responsable du traitement sont également susceptibles de relever du champ d’application de l’article 89 du RGPD (133). Cette interprétation est conforme à l’article 179, paragraphe 1, TFUE, aux termes duquel « [l]’Union a pour objectif de renforcer ses bases scientifiques et technologiques, par la réalisation d’un espace européen de la recherche dans lequel les chercheurs, les connaissances scientifiques et les technologies circulent librement, et de favoriser le développement de sa compétitivité, y compris celle de son industrie, ainsi que de promouvoir les actions de recherche jugées nécessaires au titre d’autres chapitres des traités ».

176. Le terme « historique » renvoie, de toute évidence, à des événements, à des personnes ou à des phénomènes qui ont existé ou se sont produits dans le passé. Ainsi que l’indique le considérant 160 du RGPD, la recherche historique inclut la recherche à des fins généalogiques (134). Cela étant dit, je me demande si la notion d’« histoire » est susceptible d’être interprétée d’une manière qui irait jusqu’à englober la consultation et l’étude de l’intégralité des événements qui se sont produits dans un passé lointain ou récent. Si tel est le cas, tout responsable du traitement ou presque serait susceptible d’invoquer une justification fondée sur des recherches historiques en ce qui concerne tout ensemble volumineux de données à caractère personnel ou presque, indépendamment de la question de savoir quel serait, en définitive, le bénéficiaire de cette recherche (135). Il convient donc de prévenir le risque qui consisterait à ce que les règles du RGPD puissent être aisément contournées.

177. À mon sens, les références à la « recherche », qu’elle soit scientifique ou historique, figurant dans le RGPD, visent principalement des activités exercées par des organismes universitaires ou de recherche ou qui, en définitive, sont susceptibles de bénéficier à la société dans son ensemble, y compris lorsqu’elles sont réalisées par des entités commerciales (136). J’estime en particulier que le terme « historique » se rapporte à l’« histoire » entendue comme une science humaine dont l’étude peut contribuer au progrès des connaissances humaines. En revanche, je me demande si des recherches (scientifiques ou historiques) réalisées ou contrôlées par des entreprises commerciales – ce qui pourrait conduire à un accès préférentiel aux résultats des recherches – devraient ou non relever du champ d’application des dispositions du RGPD relatives à la recherche (137).

178. Cela étant dit, il semblerait que, eu égard aux différences entre les législations nationales des États membres en la matière, le législateur de l’Union ait choisi de ne pas traiter ces questions – à tout le moins, pour l’instant – et de laisser aux législateurs nationaux ou, en définitive, aux juridictions nationales, le soin de les trancher (138). En tout état de cause, on ne peut pas déterminer clairement, à ce stade, si ces incertitudes quant à l’interprétation seraient susceptibles d’être, de quelque manière que ce soit, pertinentes aux fins de la procédure au principal. En effet, l’évêché de Gand a confirmé, lors de l’audience, qu’il ne procédait pas lui-même à des recherches historiques mais, tout au plus, qu’il conservait et mettait à disposition certaines données susceptibles, à un certain moment, d’être utilisées par des chercheurs externes. Si tel est le cas, ce qu’il appartient à la juridiction de renvoi de vérifier, la finalité du traitement sur laquelle se fonde l’évêché de Gand relève, à mon sens, de l’archivage. Autrement, une interprétation trop large de la notion de « recherche » brouillerait la distinction entre les deux motifs relatifs aux « fins archivistiques dans l’intérêt public » et à la « recherche scientifique ou historique » (139). Une telle approche serait contraire au libellé de l’article 89, paragraphes 2 et 3, du RGPD, qui attache des conséquences juridiques différentes à ces motifs.

b)      La nécessité du traitement de données

179. L’article 17, paragraphe 3, sous d), du RGPD exclut le droit à l’effacement lorsque le traitement est nécessaire à des fins archivistiques dans l’intérêt public ou à des fins de recherche historique, « dans la mesure où [ce droit] est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs dudit traitement ».

180. À la lumière du libellé de cette disposition, j’estime que la juridiction de renvoi doit examiner si l’effacement des données à caractère personnel de l’auteur de la réclamation du registre des baptêmes serait susceptible d’avoir une incidence négative significative sur les activités d’archivage dans l’intérêt public ou sur la recherche historique à laquelle l’évêché de Gand est susceptible de se livrer.

181. Premièrement, s’agissant des activités d’archivage, la juridiction de renvoi doit examiner si l’effacement de certaines données à caractère personnel des personnes concernées figurant dans les registres de baptême risquerait d’altérer la nature de ces ensembles de données, qui implique qu’il y a lieu de les conserver « à titre définitif dans l’intérêt public général ». En particulier, il est essentiel de déterminer si la valeur culturelle, sociale ou historique que le législateur national attache à ces registres serait sérieusement compromise du fait de l’effacement. Plus précisément, la juridiction de renvoi doit vérifier si la valeur de ces registres repose sur leur intégrité absolue ou si, au contraire, une intervention ex post (limitée et ciblée) affectant les données à caractère personnel figurant dans ces registres ne diminuerait pas sensiblement leur valeur. Ainsi que l’a indiqué la Cour EDH, « le rôle d’une archive étant de pérenniser l’information publiée licitement à un moment donné, elle doit, en règle générale, rester authentique, fiable et intègre » (140). Toutefois, ainsi que cette juridiction l’a précisé, il n’en va ainsi que par principe, ce principe étant susceptible, dans des cas spécifiques, de s’avérer inapplicable et certaines exceptions pouvant être justifiées (141).

182. À cet égard, l’argument avancé par l’évêché de Gand, selon lequel les registres constituent des artefacts historiques, dont l’intégrité ne saurait en aucun cas être compromise par une modification des données qui y figurent, n’est pas entièrement convaincant. En effet, les inscriptions figurant dans ces registres sont mises à jour au moyen d’informations supplémentaires relatives aux événements pertinents susceptibles de se produire tout au long de la vie des personnes qui y sont enregistrées : par exemple, l’administration de sacrements supplémentaires ou, comme c’est le cas en l’espèce, la volonté d’une personne de se distancier de l’Église.

183. S’agissant, deuxièmement, de la recherche à des fins historiques, à supposer que l’Église exerce une telle activité (142), la juridiction de renvoi doit concentrer son appréciation sur la valeur réelle ou éventuelle de ces registres en tant que source d’information à ces fins. Ainsi que je l’ai mentionné au point 4 des présentes conclusions, les auteurs des traités ont inclus le patrimoine religieux de l’Europe parmi les sources d’inspiration qui ont façonné bon nombre des valeurs fondamentales et des droits fondamentaux d’aujourd’hui. En conséquence, des registres contenant des informations relatives à l’appartenance aux communautés religieuses sont susceptibles de présenter un intérêt dans le cadre de recherches historiques.

184. Afin de déterminer si un registre tel que celui en cause est susceptible de relever du champ d’application de la présente exception, la juridiction de renvoi doit notamment examiner, premièrement, le type de recherches aux fins desquelles les registres sont potentiellement pertinents (par exemple, généalogiques ou sociologiques), deuxièmement, les ensembles de données, parmi ceux qui y figurent, susceptibles d’être utiles à de telles recherches et, troisièmement, la question de savoir si ces mêmes données pourraient être collectées auprès d’autres sources fiables (par exemple, des registres de l’état civil).

185. À mon sens, le principe de minimisation des données doit, là encore, être le principe directeur principal en l’espèce. J’estime qu’il est particulièrement pertinent de déterminer s’il est nécessaire, pour les chercheurs historiques, de connaître l’identité exacte de chaque personne inscrite dans le registre des baptêmes ou si, au contraire, les données à caractère personnel de ces personnes pourraient leur être tout aussi utiles présentées sous une forme agrégée et/ou anonymisée.

186. Dans l’un ou l’autre cas, la condition que le responsable du traitement doit remplir pour pouvoir se prévaloir de l’article 89 du RGPD n’est pas celle d’une nécessité absolue (sine qua non), étant donné qu’il suffit qu’il y ait une simple entrave à la réalisation des finalités spécifiques du traitement des données à caractère personnel. Néanmoins, l’entrave doit être d’une certaine ampleur et d’une certaine importance, la disposition ci-dessus visée exigeant une entrave sérieuse. Je considère que cela signifie que la réalisation des objectifs poursuivis par les activités d’archivage ou de recherche menées par le responsable du traitement doit être rendue soit impossible, soit considérablement plus incertaine ou difficile.

c)      Le respect des garanties prévues par le droit de l’Union et par le droit national

187. L’article 89, paragraphe 1, du RGPD prévoit également que le traitement de données à caractère personnel à des fins archivistiques dans l’intérêt public ou à des fins de recherche historique « est soumis, conformément au présent règlement, à des garanties appropriées pour les droits et libertés de la personne concernée » (143).

188. Il n’y a ni liste expresse de mesures susceptibles de constituer des « garanties » au sens de l’article 89, paragraphe 1, du RGPD ni définition précise de ces garanties. Cette disposition se borne à faire référence à des « mesures techniques et organisationnelles » (144). Cela signifie qu’un large éventail de mesures, qu’elles dépendent de solutions technologiques ou soient fondées sur des politiques et des processus administratifs, sont susceptibles d’être pertinentes. Le dénominateur commun est l’objectif visant à garantir que le traitement est effectué conformément aux règles applicables, en assurant une protection adéquate des droits et libertés des personnes concernées.

189. En particulier, ainsi qu’il ressort du libellé même de l’article 89, paragraphe 1, du RGPD, l’objectif premier de ces mesures doit être d’assurer le respect du principe de minimisation des données : les données à caractère personnel doivent être traitées, d’un point de vue tant quantitatif que substantiel (145), de la manière la moins étendue possible et uniquement pour autant qu’elles sont nécessaires afin d’atteindre les objectifs poursuivis par les activités d’archivage et de recherche historique (146).

190. C’est la raison pour laquelle l’article 89, paragraphe 1, du RGPD fait référence à des formes de pseudonymisation et d’anonymisation parmi les mesures qui devraient être envisagées et, dans la mesure du possible, mise en place de manière prioritaire (147). Cette disposition indique, en effet, que « chaque fois que ces finalités peuvent être atteintes par un traitement ultérieur ne permettant pas ou plus l’identification des personnes concernées, il convient de procéder de cette manière » (148).

191. Il apparaît que, en vertu du RGPD, jusqu’à quatre ensembles de garanties sont susceptibles d’être applicables dans une situation donnée. Il s’agit, premièrement, des garanties que les dispositions du RGPD peuvent imposer aux responsables du traitement ou aux sous-traitants de mettre en œuvre (149). Deuxièmement, la Commission peut, par l’exercice des pouvoirs délégués et d’exécution conférés par le législateur de l’Union, établir certaines garanties (150). Troisièmement, les États membres peuvent ou doivent fournir certaines garanties en vertu du droit national (151). Enfin, quatrièmement, certaines garanties peuvent découler des décisions adoptées par l’autorité de contrôle indépendante compétente, en application de ses pouvoirs d’adopter des mesures correctrices, d’autoriser et d’émettre des avis consultatifs (152). À cet égard, il y a lieu de rappeler que, en vertu de l’article 91, paragraphe 2, du RGPD, « [l]es églises et les associations religieuses qui appliquent un ensemble complet de règles [relatives à la protection des personnes physiques en ce qui concerne le traitement de données à caractère personnel] sont soumises au contrôle d’une autorité de contrôle indépendante qui peut être spécifique, pour autant qu’elle remplisse les conditions fixées [aux dispositions applicables du RGPD] » (153).

192. Il convient également de souligner que, parmi les garanties prévues par la législation de l’Union ou des États membres, certaines peuvent accorder aux responsables du traitement eux-mêmes une certaine marge d’appréciation quant au choix des mesures à mettre en œuvre ou quant à la manière dont il convient de mettre ces mesures en œuvre. Dans ce contexte, l’autoévaluation des responsables du traitement est souvent déterminante. Il appartient avant tout à ceux-ci de procéder à une première appréciation de la situation, afin d’identifier les garanties susceptibles d’être « appropriées » eu égard aux circonstances. Ils doivent s’acquitter de cette tâche en tenant compte, notamment, des catégories spécifiques de traitement effectué, du degré d’ingérence dans les droits et intérêts de la personne concernée et des risques encourus.

193. Il ressort très clairement du libellé de l’article 89, paragraphe 1, du RGPD que le respect des garanties pertinentes est une condition de la licéité du traitement de données à caractère personnel à des fins archivistiques et de recherche historique. Il appartient, dès lors, à la juridiction de renvoi, premièrement, d’identifier les garanties qui étaient applicables en ce qui concerne le traitement effectué par l’évêché de Gand, deuxièmement, de déterminer si ces garanties étaient « appropriées » eu égard aux circonstances et, troisièmement, de répondre à la question de savoir si l’évêché de Gand a respecté ces garanties.

194. Pour conclure sur ce point, j’estime que l’article 17, paragraphe 3, et l’article 89 du RGPD doivent être interprétés en ce sens que, bien qu’une personne concernée puisse, en principe, exercer le droit d’opposition énoncé à l’article 21, paragraphe 1, du RGPD, le responsable du traitement peut justifier le traitement ultérieur des données à caractère personnel en question s’il démontre que ce traitement est effectué à des fins archivistiques dans l’intérêt public ou à des fins de recherche historique susceptibles de contribuer au progrès des connaissances humaines, à condition que des garanties appropriées soient en place et respectées et que le principe de minimisation des données soit observé.

D.      La notion d’« effacement »

195. Enfin, par sa cinquième question, la juridiction de renvoi demande à la Cour de préciser la notion d’« effacement » au sens de l’article 17 du RGPD. En particulier, la juridiction de renvoi se demande si la simple annotation dans la marge du registre des baptêmes indiquant qu’une personne a quitté l’Église ainsi que le fait de biffer les données à caractère personnel en cause tout en leur conservant un caractère lisible satisfait au droit à l’effacement d’une personne concernée.

196. L’argument avancé par l’évêché de Gand, selon lequel une telle annotation devrait être considérée comme étant équivalente à un effacement matériel des données à caractère personnel pertinentes, n’est pas convaincant.

197. La signification du terme « effacement » (ainsi que des termes équivalents employés dans les autres versions linguistiques du RGPD) dans le langage courant est claire : suppression, retrait, destruction. Or, l’annotation faite par l’évêché de Gand constitue, tout au plus, une rectification des données.

198. Cependant, le droit de rectification et le droit à l’effacement constituent deux droits distincts aux termes de l’économie du RGPD. Ces deux droits poursuivent également des finalités différentes, qui sont énoncées, respectivement, aux articles 16 et 17 du RGPD. Le droit de rectification vise avant tout à garantir l’exactitude, l’exhaustivité et le caractère à jour des données à caractère personnel d’une personne concernée. En revanche, ainsi que l’indique clairement l’intitulé de l’article 17 du RGPD, le droit à l’effacement vise à garantir que la personne concernée puisse disposer d’un droit à l’« oubli » par le responsable du traitement. À cette fin, les données à caractère personnel conservées par le responsable du traitement devraient être supprimées afin de ne plus pouvoir faire l’objet d’un traitement (154).

199. Toutefois, cet objectif n’est pas atteint dans une situation telle que celle en cause au principal. En effet, ainsi que l’auteur de la réclamation l’a relevé à juste titre lors de l’audience, l’annotation faite par l’évêché de Gand dans le registre des baptêmes a accru le traitement des données : de nouvelles données à caractère personnel ont été ajoutées au registre et continuent à être conservées dans ce dernier (155).

200. Certes, dans certaines situations, le responsable du traitement peut être en mesure – ou disposer de l’autorisation de la personne concernée à cet égard – de choisir la ligne de conduite la plus appropriée entre rectification ou effacement, lorsque certaines données à caractère personnel conservées s’avèrent inexactes ou ne sont pas strictement nécessaires (156). Toutefois, force est de constater qu’il n’en va pas de même lorsqu’une personne concernée a expressément demandé l’effacement de ses données à caractère personnel et que les conditions énoncées dans le RGPD aux fins de l’exercice de ce droit sont pleinement remplies. Une interprétation différente des dispositions en question priverait en grande partie l’article 21, paragraphe 1, du RGPD de son effet utile.

201. Les arguments qu’avance l’évêché de Gand pour soutenir la position contraire ne sont pas convaincants.

202. En premier lieu, j’estime que l’argument relatif à une prétendue falsification historique n’est pas convaincant. La collecte initiale de données à caractère personnel est presque toujours déclenchée par une action de la personne concernée. La logique qui sous-tend l’argument de l’évêché de Gand impliquerait que tout effacement de données à caractère personnel ou presque entraînerait la falsification d’un événement survenu dans le passé. Il ne saurait en être ainsi.

203. Par exemple, un fournisseur de services recevant une demande visant à retirer de sa base de données certaines données à caractère personnel de l’un de ses clients ne saurait répondre qu’un tel acte équivaut à présenter de manière erronée certaines transactions commerciales intervenues dans le passé. La jurisprudence de la Cour comporte plusieurs exemples concrets, dans lesquels les faits en cause ayant trait aux données à caractère personnel de la personne concernée dont l’effacement avait été demandé n’étaient pas contestés (157).

204. Ce raisonnement est transposable en l’espèce. Le droit à l’effacement ne permet pas aux personnes concernées de demander le retrait, du registre des baptêmes, de toute trace de leur baptême. Ce droit leur permet uniquement de demander la suppression de leurs données à caractère personnel. : toute autre information relative au baptême d’une personne qui est intervenu en un lieu et à un moment précis peut légalement être conservée dans le registre des baptêmes.

205. À cet égard, le principe de minimisation des données devrait à nouveau jouer un rôle essentiel en vue de déterminer, en particulier, les données qui devraient être effectivement effacées et celles qui peuvent être conservées dans les registres. Invité, lors de l’audience, à présenter son point de vue sur cette question, l’auteur de la réclamation a semblé disposé à envisager que l’effacement des données soit limité à ses nom et prénom ainsi qu’à sa date de naissance. Selon l’auteur de la réclamation, toute autre information, qu’elle relève ou non de la définition des « données à caractère personnel » au sens de l’article 4, paragraphe 1, du RGPD, pourrait être conservée dans le registre. L’auteur de la réclamation a également précisé dès le départ qu’il ne s’opposait pas à des mesures telles que l’anonymisation et la pseudonymisation.

206. Je considère que ce qui importe réellement dans ce type de situation, c’est que l’effacement des données à caractère personnel garantisse que la personne baptisée ne soit plus ni identifiée ni, à tout le moins, aisément identifiable.

207. En deuxième lieu, les personnes concernées n’ont pas le droit, que ce soit en vertu du RGPD ou de toute autre disposition du droit de l’Union, de demander au responsable du traitement de traiter leur baptême comme s’il n’avait jamais eu lieu ou était dépourvu de toute valeur. Il s’agit là de points de doctrine dans lesquels, en vertu de l’article 17, paragraphe 1, TFUE, l’Union ne s’aurait s’ingérer (158). Au risque d’énoncer une évidence, je relève que, parmi les mesures adoptées par l’évêché de Gand pour assurer le respect des règles énoncées dans le RGPD, aucune ne saurait être interprétée comme ayant une quelconque incidence sur les principes théologiques de l’Église.

208. En troisième et dernier lieu, je ne trouve, dans l’argumentation de l’évêché de Gand, aucun fondement permettant de considérer que la suppression de données figurant dans le registre des baptêmes porterait irrémédiablement atteinte aux droits et aux intérêts de l’Église ou à ceux d’autres personnes dont le baptême est également inscrit dans le même registre.

209. L’auteur de la réclamation a convenu du fait que, pour supprimer ses données à caractère personnel, il ne serait pas nécessaire de retirer physiquement celles-ci du livre, par exemple, en découpant des pages ou certaines parties de ces dernières. En effet, il devrait être possible de procéder de manière à rendre illisibles les données à caractère personnel en question, tout en laissant intacte toute autre donnée inscrite sur les mêmes pages du livre. On peut soutenir que l’utilisation d’éléments tels que des autocollants opaques, qui couvriraient simplement les données à caractère personnel, suffirait à garantir le respect de l’article 17, paragraphe 1, du RGPD (159). Il appartient, en tout état de cause, au responsable du traitement de trouver des méthodes d’effacement adéquates ; les difficultés inhérentes à l’identification de ces méthodes ne sauraient dispenser le responsable du traitement de respecter les règles pertinentes du RGPD (160).

210. Ainsi, je conclus, sur ce point, que le simple fait de porter une annotation, en marge du registre des baptêmes, indiquant qu’une personne concernée a quitté une communauté religieuse, ainsi que celui de biffer des données à caractère personnel pertinentes tout en leur conservant un caractère lisible, ne constituent pas un « effacement » au sens du RGPD.

211. Le fait que le registre des baptêmes ne soit pas un registre numérique, mais un support matériel unique sous la forme d’un livre, avec des pages recto verso, sur lesquelles figurent également des données d’autres personnes concernées, et qu’il constitue une représentation unique de faits historiques qui ne sont enregistrés nulle part ailleurs, ne remet pas en cause les considérations qui précèdent.

V.      Conclusion

212. En conclusion, je propose à la Cour de répondre aux questions préjudicielles posées par le hof van beroep te Brussel (cour d’appel de Bruxelles, Belgique) de la manière suivante :

L’article 17, paragraphe 1, sous c), et paragraphe 3, l’article 21, paragraphe 1, et l’article 89 du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), lus à la lumière des articles 3, 7, 8 et 10 de la Charte des droits fondamentaux de l’Union européenne et de l’article 17, paragraphe 1, TFUE, doivent être interprétés en ce sens que :

–        une personne concernée qui a été baptisée en tant que mineure et qui, en tant que majeure, souhaite se dissocier de la communauté religieuse en cause dispose, en principe, du droit d’obtenir l’effacement de ses données à caractère personnel du registre des baptêmes lorsque le responsable du traitement ne démontre pas l’existence de motifs légitimes et impérieux justifiant le traitement qui prévalent sur les intérêts, les droits et les libertés de la personne concernée. C’est à la juridiction nationale qu’il revient d’apprécier si le responsable du traitement s’est ou non acquitté de sa charge, au regard des circonstances propres à la situation individuelle dont elle est saisie, en tenant compte, notamment, des motifs qui ont conduit la personne concernée à demander l’effacement de ses données à caractère personnel ainsi que de l’incidence éventuelle que le refus du responsable du traitement d’effacer ces données est susceptible d’avoir sur l’intégrité de la personne concernée ;

–        le traitement ultérieur des données à caractère personnel en question est licite lorsque le responsable du traitement démontre que le traitement est effectué à des fins archivistiques dans l’intérêt public ou à des fins de recherche historique susceptibles de contribuer au progrès des connaissances humaines, à condition que des garanties appropriées soient en place et respectées et que le principe de minimisation des données soit observé ;

–        le simple fait de porter une annotation, dans la marge du registre des baptêmes, indiquant qu’une personne concernée a quitté une communauté religieuse, ainsi que celui de biffer les données à caractère personnel pertinentes tout en leur conservant un caractère lisible, ne constituent pas un « effacement » aux fins du règlement 2016/679 ;

–        le fait que le registre des baptêmes ne soit pas un registre numérique, mais un support matériel unique sous la forme d’un livre, avec des pages recto verso, sur lesquelles figurent également des données d’autres personnes concernées, et qui constitue une représentation unique de faits historiques qui ne sont enregistrés nulle part ailleurs, ne remet pas en cause les considérations qui précèdent.

---

1      Langue originale : l'anglais.

---

2      Matthieu 22:21.

---

3      Dans l’ordre juridique de l’Union, voir, en premier lieu, article 20 de la charte des droits fondamentaux de l’Union européenne (ci-après la « Charte »), intitulé « Egalité en droit ».

---

4      Voir Cour européenne des droits de l’homme (ci-après la « Cour EDH »), 1^er juillet 2014, S.A.S. c. France (CE:ECHR:2014:0701JUD004383511, § 125).

---

5      Voir, à cet égard, Cour EDH, 9 juillet 2013, Sindicatul « Păstorul Cel Bun » c. Roumanie (CE:ECHR:2013:0709JUD000233009, § 138). En doctrine, voir également McCrea, R., « Justifiable caution – The approach of the Court of Justice to religion in the context of rapid change », dans Gašperin Wischhoff, J. et Stadtbäumer, T. (éd.), In Good Faith – Freedom of Religion under Article 10 of the EU Charter, Verfassungsbooks, Berlin, 2026, pp. 23 à 33, et p. 28.

---

6      Voir également article 17, paragraphe 3, TFUE : « [r]econnaissant leur identité et leur contribution spécifique, l’Union maintient un dialogue ouvert, transparent et régulier avec [les églises et les associations ou communautés religieuses dans les États membres] ». Mise en exergue par mes soins.

---

7      Voir, dans le même sens, article 9 de la Convention européenne des droits de l’homme (ci-après la « CEDH »), et article 18 de la déclaration universelle des droits de l’homme adoptée par l’Assemblée générale des Nations unies.

---

8      Voir, notamment, article 19, paragraphe 1, TFUE et article 21 de la Charte. Voir également conclusions de l’avocat général Emiliou dans l’affaire Freikirche der Siebenten-Tags-Adventisten in Deutschland (C‑372/21, EU:C:2022:540, point 21).

---

9      Voir, à cet égard, arrêt du 17 avril 2018, Egenberger (C‑414/16, ci-après l’« arrêt rendu dans l’affaire Egenberger », EU:C:2018:257, point 58).

---

10      Voir, en ce sens, arrêt rendu dans l’affaire Egenberger (point 50), et arrêt du 10 juillet 2018, Jehovan todistajat (C‑25/17, ci-après l’« arrêt rendu dans l’affaire Jehovan todistajat », EU:C:2018:551, point 74). Voir également, par analogie, Cour EDH, 13 décembre 2001, Eglise métropolitaine de Bessarabie et autres c. Moldova (CE:ECHR:2001:1213JUD004570199, § 118).

---

11      Voir, de manière générale, conclusions de l’avocat général Tanchev dans l’affaire Egenberger (C‑414/16, EU:C:2017:851, points 88 et 93), et de l’avocat général Bobek dans l’affaire Cresco Investigation (C‑193/17, EU:C:2018:614, point 26).

---

12      Voir, à cet égard, conclusions de l’avocat général Emiliou dans l’affaire Freikirche der Siebenten-Tags-Adventisten in Deutschland (C‑372/21, EU:C:2022:540, point 22).

---

13      Voir, notamment, arrêt rendu dans l’affaire Egenberger ; arrêt du 17 mars 2026, Katholische Schwangerschaftsberatung (C‑258/24, EU:C:2026:211), ainsi que mes conclusions dans l’affaire Katholische Schwangerschaftsberatung (C‑258/24, EU:C:2025:555).

---

14      Voir, par exemple, arrêt du 6 novembre 2018, Scuola Elementare Maria Montessori/Commission, Commission/Scuola Elementare Maria Montessori et Commission/Ferracci (C‑622/16 P à C‑624/16 P, EU:C:2018:873).

---

15      Voir, en particulier, arrêt du 23 avril 1986, Les Verts/Parlement (294/83, EU:C:1986:166, point 23).

---

16      Je reformule ici une déclaration de l’ancien président des États-Unis Theodore Roosevelt dans son troisième message annuel adressé au Congrès en 1903.

---

17      Règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données, ci-après le « RGPD », JO 2016, L 119, p. 1).

---

18      Ci-après également « l’Eglise catholique » ou simplement « l’Eglise ».

---

19      Il sera également fait référence à JM en tant que « l’auteur de la réclamation ».

---

20      Il peut être intéressant de relever que les arguments fondés sur la notion de « fichier » aux fins du RGPD ont déjà été débattus devant certaines juridictions nationales statuant dans des affaires semblables à celle en cause en l’espèce. Voir, en ce sens, Cour de justice de l’Union européenne, note de recherche de la Direction de la Recherche et de la Documentation, « Traitement des données à caractère personnel dans les registres des baptêmes de l’Eglise catholique romaine », 26/007, juin 2026 (ci-après la « note de recherche de la DRD »), pp. 12 à 17, et p. 47.

---

21      Voir, notamment, arrêt rendu dans l’affaire Jehovan todistajat, point 53.

---

22      Voir conclusions de l’avocat général Szpunar dans l’affaire Darashev (C‑312/24, EU:C:2025:671, point 58).

---

23      Voir, à nouveau, quinzième considérant du RGPD.

---

24      Voir, en ce sens, arrêt du 7 mars 2024, Endemol Shine Finland (C‑740/22, EU:C:2024:216, point 37 et jurisprudence citée).

---

25      Ibidem.

---

26      L’ancienne bibliothèque d’Alexandrie, en Egypte (fondée au début du troisième siècle avant JC) était, à notre connaissance, le premier centre de recherche au monde. Son ancien catalogue, connu sous le nom de Pinakes, avait été compilé par Callimaque de Cyrène et présentait la collection de la bibliothèque, composée de pas moins de 500 000 rouleaux de papyrus. Il est largement considéré comme étant l’un des plus anciens fichiers au monde. Les Pinakes étaient principalement fondées sur des catégories par genres et, au sein de ces catégories, les auteurs figuraient par ordre alphabétique.

---

27      Sur ce point, voir, mutatis mutandis, conclusions de l’avocat général Mengozzi dans l’affaire Jehovan todistajat (C‑25/17, EU:C:2018:57, point 57).

---

28      Directive du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO 1995, L 281, p. 31). Voir quinzième considérant de cette directive, qui comportait une référence au « fichier structuré selon des critères spécifiques relatifs aux personnes ». Mise en exergue par mes soins.

---

29      Voir arrêt rendu dans l’affaire Jehovan todistajat, en particulier point 74.

---

30      Voir, notamment, article 9, paragraphe 2, sous d), et article 91 du RGPD. Voir également considérant 165 de ce règlement.

---

31      Ces opérations sont considérées comme étant des formes de « traitement » au sens de l’article 4, paragraphe 2, du RGPD.

---

32      Voir article 99, paragraphe 2, du RGPD.

---

33      Décision attaquée, points 57 à 68.

---

34      Voir, en ce sens, arrêt du 4 octobre 2024, Agentsia po vpisvaniyata (C‑200/23, EU:C:2024:827, point 93).

---

35      Voir arrêt du 9 janvier 2025, Mousse (C‑394/23, ci-après l’« arrêt rendu dans l’affaire Mousse », EU:C:2025:2, point 67). Voir également arrêt du 4 octobre 2024, Agentsia po vpisvaniyata (C‑200/23, EU:C:2024:827, point 93), et considérant 69 du RGPD.

---

36      De manière générale, sur ce point, avec des références à la jurisprudence, Tridimas, T., « Wreaking the wrongs : Balancing rights and the public interest the EU way », Columbia Journal of European Law, vol. 29.2, 2023, pp. 185 à 213, en particulier pp. 192 à 194.

---

37      Voir, notamment, article 5, paragraphe 2, article 7, article 24, paragraphe 1, et considérants 42, 69 et 74 du RGPD.

---

38      En effet, dans son avis 06/2014 sur la notion d’intérêt légitime poursuivi par le responsable du traitement des données au sens de l’article 7 de la directive 95/46/CE, adopté le 9 avril 2014, le Groupe de travail « article 29 » sur la protection des données a fait référence à cet exercice en tant que critère de mise en balance appliqué « a priori » (voir p. 45).

---

39      Ibidem.

---

40      Voir, à cet égard, arrêt du 13 mai 2014, Google Spain et Google (C‑131/12, ci‑après l’« arrêt rendu dans l’affaire Google Spain et Google », EU:C:2014:317, point 76). Voir également considérant 69 du RGPD.

---

41      Mise en exergue par mes soins.

---

42      De même, voir lignes directrices 1/2024 du comité européen de la protection des données (ci-après le « CEPD ») relatives au traitement des données à caractère personnel sur la base de l’article 6, paragraphe 1, point f), du RGPD (version 1.0), adoptées le 8 octobre 2024 (ci-après les « lignes directrices 1/2024 »), point 72.

---

43      Mise en exergue par mes soins.

---

44      Voir points 74 à 76 de l’arrêt rendu dans l’affaire Google Spain et Google. Cette affaire concernait le prédécesseur du RGPD, à savoir la directive 95/46. Bien que les dispositions pertinentes de la directive 95/46 et celles du RGPD ne coïncident pas entièrement, les considérations de la Cour dans cet arrêt semblent être pleinement pertinentes s’agissant des dispositions actuellement en vigueur.

---

45      La comparaison des différentes versions linguistiques du RGPD permet de confirmer ce constat. Voir, par exemple, la version linguistique allemande (« legt [...] Widerspruch [...] ein » et « wurden [...] verarbeitet »), la version linguistique anglaise (« objects » et « have been […] processed »), la version linguistique néerlandaise (« maakt [...] bezwaar » et « zijn »), la version linguistique italienne (« si oppone » et « sono stati trattati »), la version linguistique lettonne (« iebilst » et « ir apstrādāti »), la version linguistique portugaise (« opõe-se » et « foram tratados ») et la version linguistique roumaine (« se opune » et « au fost prelucrate ») du RGPD.

---

46      Voir arrêt rendu dans l’affaire Mousse, point 48.

---

47      Voir arrêt du 8 décembre 2022, Google (Déréférencement d’un contenu prétendument inexact) (C‑460/20, EU:C:2022:962, point 75).

---

48      Voir, en ce sens, arrêt rendu dans l’affaire Mousse, point 50 et jurisprudence citée.

---

49      Voir, en ce sens, arrêt du 4 octobre 2024, Koninklijke Nederlandse Lawn Tennisbond (C‑621/22, ci-après l’« arrêt rendu dans l’affaire Koninklijke Nederlandse Lawn Tennisbond », EU:C:2024:858, points 46 et 49). Voir également conclusions de l’avocat général Bobek dans l’affaire Rīgas satiksme (C‑13/16, EU:C:2017:43, points 67 et 68).

---

50      Voir, en ce sens, arrêt du 12 septembre 2024, HTB Neunte Immobilien Portfolio et Ökorenta Neue Energien Ökostabil IV (C‑17/22 et C‑18/22, EU:C:2024:738, point 55 et jurisprudence citée).

---

51      Voir, en ce sens, arrêt du 4 septembre 2025, Quirin Privatbank (C‑655/23, EU:C:2025:655, point 39 et jurisprudence citée).

---

52      Voir, en particulier, point 189 des présentes conclusions.

---

53      Voir l’arrêt rendu dans l’affaire Mousse, point 25 et jurisprudence citée.

---

54      Voir, en ce sens, arrêt du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social) (C‑252/21, ci-après l’ « arrêt rendu dans l’affaire Meta Platforms e.a. », EU:C:2023:537, point 94).

---

55      Voir l’arrêt rendu dans l’affaire Mousse, points 27 et 56 et jurisprudence citée.

---

56      Voir, notamment, arrêt du 7 décembre 2023, SCHUFA Holding (Libération de reliquat de dette) (C‑26/22 et C‑64/22, EU:C:2023:958, point 78).

---

57      Voir l’arrêt rendu dans l’affaire Mousse, point 45 et jurisprudence citée.

---

58      Voir, notamment, l’arrêt rendu dans l’affaire Mousse, point 46 et jurisprudence citée. Voir également arrêt du 12 septembre 2024, HTB Neunte Immobilien Portfolio et Ökorenta Neue Energien Ökostabil IV (C‑17/22 et C‑18/22, EU:C:2024:738, points 56 et 57) et, avec d’autres références à la jurisprudence, conclusions de l’avocat général Bobek dans l’affaire Fashion ID (C‑40/17, EU:C:2018:1039, point 122).

---

59      Voir point 17 desdites lignes directrices.

---

60      Voir, en ce qui concerne le premier critère, l’arrêt rendu dans l’affaire Koninklijke Nederlandse Lawn Tennisbond, points 40 et 49 ; en ce qui concerne le deuxième critère, voir, par analogie, conclusions de l’avocat général Sharpston dans les affaires jointes Volker und Markus Schecke et Eifert (C‑92/09 et C‑93/09, EU:C:2010:353, points 104, 105, 118 et 121), et, en ce qui concerne le troisième critère, voir arrêt du 11 décembre 2019, Asociația de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2019:1064, point 44).

---

61      Canon 849.

---

62      Voir, en ce sens, arrêts du 29 mai 2018, Liga van Moskeeën en Islamitische Organisaties Provincie Antwerpen e.a. (C‑426/16, EU:C:2018:335, points 42 à 45), et du 17 décembre 2020, Centraal Israëlitisch Consistorie van België e.a. (C‑336/19, EU:C:2020:1031, points 44 et 52).

---

63      Voir, par analogie, Cour EDH, 7 juillet 2011, Bayatyan c. Arménie (CE:ECHR:2011:0707JUD002345903, § 120).

---

64      Voir arrêt rendu dans l’affaire Mousse, points 24 et 48 et jurisprudence citée.

---

65      Ibidem, point 49 et jurisprudence citée.

---

66      Voir, à cet égard, conclusions de l’avocat général Bobek dans l’affaire Rīgas satiksme (C‑13/16, EU:C:2017:43, point 71). Sur ce point, de manière générale et avec d’autres références à la jurisprudence, voir Dalla Corte, L., « On proportionality in the data protection jurisprudence of the CJEU », International Data Privacy Law, vol. 12, Issue 4, 2022, pp. 259 à 275.

---

67      Voir arrêt rendu dans l’affaire Mousse, points 48 et 63.

---

68      Voir point 127 des présentes conclusions.

---

69      En ce qui concerne des applications plus sévères ou plus nuancées de la condition de nécessité en fonction des circonstances spécifiques à chaque cas, voir, de manière générale, Sartori, G., « Article 6 Commentary : Lawfulness of processing », dans Spiecker, I. et al. (éd.), General Data Protection Regulation : Article-by-Article Commentary, Nomos – Beck – Hart, New York, 2023, p. 318.

---

70      Considérant 47 du RGPD, mise en exergue par mes soins. Voir, également, arrêt rendu dans l’affaire Koninklijke Nederlandse Lawn Tennisbond, points 55 et 56. De même, la Cour EDH considère également qu’il importe, dans certaines situations spécifiques, de déterminer si les personnes sont susceptibles d’avoir « une espérance légitime de protection de leur vie privée ». Voir, par exemple, Cour EDH, 6 février 2012, Von Hannover c. Allemagne (no 2) (CE:ECHR:2012:0207JUD004066008, § 88).

---

71      Voir, notamment, arrêt rendu dans l’affaire Meta Platforms e.a., point 116.

---

72      Voir, en ce sens, arrêt rendu dans l’affaire Google Spain et Google, points 96 et 99.

---

73      Voir, par analogie, arrêt rendu dans l’affaire Mousse, point 60, comportant une référence au considérant 75 du RGPD.

---

74      Voir, notamment, arrêt rendu dans l’affaire Meta Platforms e.a. (point 118), et arrêt du 4 octobre 2024, Agentsia po vpisvaniyata (C‑200/23, EU:C:2024:827, points 151, 155 et 156). Voir également lignes directrices 1/2024, point 46.

---

75      Voir, par exemple, arrêt rendu dans l’affaire Google Spain et Google, point 87, et arrêt du 5 juin 2023, Commission/Pologne (Indépendance et vie privée des juges) (C‑204/21, EU:C:2023:442, point 374).

---

76      Voir, en particulier, arrêt du 24 novembre 2011, Asociación Nacional de Establecimientos Financieros de Crédito (C‑468/10 et C‑469/10, EU:C:2011:777, point 44).

---

77      Ainsi que cela est souligné, par exemple, dans Kamara, I., De Hert, P. « Understanding the balancing act behind the legitimate interest of the controller ground : A pragmatic approach », dans Selinger, E., et al. (éd.), The Cambridge Handbook of Consumer Privacy, Cambridge University Press, 2018, pp. 332 et 333.

---

78      Voir également, à cet égard, considérants 51 et 52 du RGPD.

---

79      En ce qui concerne la protection spécifique qu’il convient d’accorder aux enfants, voir également considérant 38 du RGPD ainsi que l’arrêt rendu dans l’affaire Meta Platforms e.a. (point 111).

---

80      Voir, par analogie, arrêt rendu dans l’affaire Google Spain et Google (points 93 à 95 et point 98), et arrêt du 9 mars 2017, Manni (C‑398/15, EU:C:2017:197, point 64). De même, Cour EDH, 6 juin 2006, Segerstedt-Wiberg et autres c. Suède (CE:ECHR:2006:0606JUD006233200, § 90). Voir également considérant 39 du RGPD.

---

81      Voir, notamment, article 5, paragraphe 1, sous f), article 6, paragraphe 4, sous e), et article 9, paragraphe 2, sous d), du RGPD.

---

82      Voir, par exemple, Cour EDH, 25 juin 2020, Stavropoulos et autres c. Grèce (CE:ECHR:2020:0625JUD005248418, § 44).

---

83      Voir article 14, paragraphe 3, de la Charte et, par analogie, article 2 du Protocole no 1 de la CEDH. Voir également article 8, paragraphe 1, et considérant 38 du RGPD.

---

84      Mise en exergue par mes soins.

---

85      En ce sens, voir, par exemple, lignes directrices 1/2024, point 73.

---

86      Voir, en ce sens, arrêt du 8 décembre 2022, Google (Déréférencement d’un contenu prétendument inexact) (C‑460/20, EU:C:2022:962, points 7, 34, 35 et 71).

---

87      Voir, en ce sens, Zanfir-Fortuna, G., « Comment to Article 21 », dans Kuner, C., et al (éd.), The EU General Data Protection Regulation : A Commentary, Oxford University Press, Oxford, 2020, p. 517.

---

88      Tels que, par exemple, en langue tchèque (« závažné »), en langue allemande (« zwingende »), en langue grecque (« επιτακτικούς »), en langue anglaise (« compelling »), en langue italienne (« cogenti »), en langue lettone (« pārliecinošiem »), en langue hongroise (« erejű »), en langue néerlandaise (« dwingende ») et en langue finnoise (« huomattavan tärkeä »).

---

89      Point 73 des lignes directrices 1/2024.

---

90      Voir arrêt du 7 décembre 2023, SCHUFA Holding (Libération de reliquat de dette) (C‑26/22 et C‑64/22, EU:C:2023:958, points 112 et 113).

---

91      En ce sens, Zanfir-Fortuna, G., notes de bas de page no 87, op. cit., p. 517.

---

92      Voir point 54 des présentes conclusions.

---

93      Mise en exergue par mes soins.

---

94      Voir point 65 des présentes conclusions.

---

95      En doctrine, voir Zanfir-Fortuna, G., note de bas de page 87, op. cit.: « the right to object is another manifestation of the “control centric” nature of the EU data protection legal framework ». [Le droit d’opposition constitue une autre illustration de l’approche fondée sur le contrôle qui caractérise le cadre juridique de l’Union européenne en matière de protection des données] [traduction libre] (p. 509).

---

96      Voir, notamment, arrêt rendu dans l’affaire Mousse (point 21), avec référence à l’article 1er ainsi qu’au premier et au dixième considérant du RGPD.

---

97      Voir point 103 des présentes conclusions.

---

98      En ce qui concerne la poursuite d’un intérêt purement économique, voir, par exemple, arrêt rendu dans l’affaire Google Spain et Google, points 81, 97 et 99.

---

99      Voir, par exemple, considérants 44 et 70 ainsi qu’article 6, paragraphe 1, sous b), et article 21, paragraphe 3, du RGPD.

---

100      Lignes directrices 1/2024, point 73.

---

101      Voir, par analogie, conclusions de l’avocat général Jääskinen dans l’affaire Google Spain et Google (C‑131/12, EU:C:2013:424, point 108).

---

102      Voir, de manière semblable, décision attaquée, point 138.

---

103      Mise en exergue par mes soins.

---

104      Dans ce contexte, on peut se demander quelle est la probabilité qu’un tel scénario se produise. Il serait surprenant qu’une personne qui souhaite réintégrer l’Église considère qu’un deuxième baptême est essentiel alors qu’elle est informée que, aux yeux de l’Église, cela est non seulement inutile, mais également (en principe) exclu.

---

105      Voir décision attaquée, points 119 et 120.

---

106      Voir, en particulier, canon 842, paragraphe 1, et canon 876.

---

107      Ainsi que je l’expliquerai aux points 204 à 206 des présentes conclusions, afin de se conformer aux articles 17 et 21 du RGPD, il n’est nullement nécessaire de supprimer du registre toute information relative à l’administration du baptême à la personne concernée qui demande l’effacement de ses données. Il suffit de supprimer les données les plus sensibles permettant d’identifier la personne concernée.

---

108      Voir canon 869. Pour une autre situation, voir également canon 870.

---

109      Voir, par analogie, arrêt du 4 octobre 2024, Agentsia po vpisvaniyata (C‑200/23, EU:C:2024:827, point 114), ainsi que mes conclusions dans l’affaire Agentsia po vpisvaniyata (C‑200/23, EU:C:2024:445, point 56).

---

110      Voir jurisprudence citée au point 58 des présentes conclusions.

---

111      Lignes directrices 1/2024, point 73. Mise en exergue par mes soins.

---

112      Voir jurisprudence citée au point 105 des présentes conclusions.

---

113      Voir, par analogie, Cour EDH, 26 octobre 2000, Hasan et Tchaouch c. Bulgarie (CE:ECHR:2000:1026JUD003098596, § 62).

---

114      A cet égard, il me paraît intéressant de rappeler que, conformément à l’article 7, paragraphe 3, du RGPD, « [l]a personne concernée a[it] le droit de retirer son consentement à tout moment. [...] Il est aussi simple de retirer que de donner son consentement ».

---

115      Voir, en ce sens, arrêt du 5 juin 2023, Commission/Pologne (Indépendance et vie privée des juges) (C‑204/21, EU:C:2023:442, points 341 et 375).

---

116      En effet, l’article 12, paragraphe 1, de la Convention internationale relative aux droits de l’enfant (adoptée par l’Assemblée générale des Nations Unies le 20 novembre 1989), dispose que « [l]es États parties garantissent à l’enfant qui est capable de discernement le droit d’exprimer librement son opinion sur toute question l’intéressant, les opinions de l’enfant étant dûment prises en considération eu égard à son âge et à son degré de maturité ».

---

117      Sur ce point, avec des références à la jurisprudence, voir mes conclusions dans l’affaire Katholische Schwangerschaftsberatung (C‑258/24, EU:C:2025:555, points 39 et suiv.).

---

118      Voir, en ce sens, Cour EDH, 1er juillet 2014, S.A.S. c. France (CE:ECHR:2014:0701JUD004383511, § 124 et jurisprudence citée). La Cour s’est également expressément référée à ce courant jurisprudentiel dans sa jurisprudence : voir, récemment, arrêt du 13 octobre 2022, S.C.R.L. (Vêtement à connotation religieuse) (C‑344/20, EU:C:2022:774, point 35).

---

119      Je m’inspire ici des conclusions de la Cour s’agissant du respect du droit à la vie privée et familiale consacré à l’article 7 de la Charte, qui comportent une référence à la jurisprudence de la Cour EDH. Voir arrêt du 18 décembre 2025, Slagelse Almennyttige Boligselskab, Afdeling Schackenborgvænge (C‑417/23, EU:C:2025:1017, point 171). En doctrine, avec un accent sur la liberté de religion en tant que droit à l’autodétermination, voir Wischhoff, J. G. et Stadtbäumer, T., note de bas de page no 5, op. cit., p. 13.

---

120      Par exemple, les victimes d’abus sont susceptibles de devoir recourir à une aide médicale ou psychologique, y compris, dans certains cas, à l’hospitalisation, afin de surmonter certains traumas.

---

121      Voir, avec d’autres références, Bandes, S.A., et al. (éd.), Research Handbook on Law and Emotion, Edward Elgar, 2021.

---

122      Mise en exergue par mes soins. Voir également considérant 50 du RGPD.

---

123      Par souci d’exhaustivité, j’ajoute que, conformément à l’article 9, paragraphe 2, sous j), du RGPD, l’interdiction générale de traiter des données à caractère personnel révélant, notamment des convictions religieuses ou philosophiques, ne s’applique pas lorsque « le traitement est nécessaire à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, conformément à l’article 89, paragraphe 1, sur la base du droit de l’Union ou du droit d’un État membre ». Il en va ainsi à la condition que ce traitement soit « proportionné à l’objectif poursuivi, respecter l’essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée » [article 9, paragraphe 2, sous g), de ce règlement]. Cependant, je ne pense pas que l’évêché de Gand ait besoin de se prévaloir de cette disposition, étant donné que, ainsi que je l’ai expliqué aux points 66 et 67 des présentes conclusions, le traitement de données sensibles qu’il effectue est potentiellement fondé sur l’article 9, paragraphe 2, sous d), dudit règlement.

---

124      Cour EDH, 4 juillet 2023, Hurbain c. Belgique (CE:ECHR:2023:0704JUD005729216, § 182).

---

125      Groupe officiel d’experts de la Commission créé en 2006.

---

126      Groupe des archives européennes, Orientations sur la protection des données pour les services d’archives – Lignes directrices du GAE sur la mise en œuvre du règlement général sur la protection des données dans le secteur des archives, 2018, p. 10.

---

127      Voir article 89, paragraphe 4, du RGPD.

---

128      Ce constat découle non seulement du considérant 158 du RGPD, mais également, en l’espèce, de l’article 9, paragraphe 2, sous j), de ce règlement.

---

129      Pour des exemples de législations nationales sur ce point, voir la note de recherche de la DRD, en particulier pp. 28 à 47.

---

130      Ces considérations s’appliquent lorsque les associations religieuses sont considérées, aux termes du droit national, comme des entités privées. Naturellement, la situation est différente lorsqu’elles sont des entités publiques en vertu du droit national.

---

131      Mise en exergue par mes soins.

---

132      Voir, par analogie, considérant 159 du RGPD.

---

133      Voir Svanberg, C. W., Commentary to Article 89, dans Kunner, C., et al. (éd.), op. cit., note de bas de page 87, p. 1246.

---

134      Il y a lieu de souligner que, en tout état de cause, les dispositions du RGPD ne s’appliquent pas aux données à caractère personnel des personnes décédées, bien que les États membres puissent prévoir des règles à cet égard. Voir considérants 27, 158 et 160 du RGPD.

---

135      On pourrait penser, par exemple, aux plateformes digitales qui conservent des données détaillées en ce qui concerne les achats en ligne effectués par certains particuliers ou l’historique de recherche de ces derniers, en vue d’améliorer leurs logiciels.

---

136      Dans ce contexte, voir, par exemple, considérant 113 du RGPD, qui suggère que « les attentes légitimes de la société en matière de progrès des connaissances » sont un élément qu’il « y a lieu de prendre en considération » dans le cadre de l’examen de la portée des exceptions prévues en ce qui concerne la recherche à des fins scientifiques ou historiques.

---

137      J’emprunte ici certaines formulations au considérant 12 de la directive (UE) 2019/790 du Parlement européen et du Conseil, du 17 avril 2019, sur le droit d’auteur et les droits voisins dans le marché unique numérique et modifiant les directives 96/9/CE et 2001/29/CE (JO 2019, L 130, p. 92).

---

138      Voir CEPD, Study on the secondary use of personal data in the context of scientific research – Final Report, octobre 2020.

---

139      La connexion entre les deux activités est mise en exergue au considérant 157 du RGPD.

---

140      Cour EDH, 4 juillet 2023, Hurbain c. Belgique (CE:ECHR:2023:0704JUD005729216, § 184). Mise en exergue par mes soins.

---

141      Voir, en ce sens, ibidem, §§ 185, 186 et §§ 255 à 257.

---

142      Par exemple, des recherches en vue de mieux comprendre les évolutions sociétales au sein des communautés religieuses, effectuées dans un objectif acceptable, sur le plan légal et éthique, pour la société concernée.

---

143      Mise en exergue par mes soins.

---

144      Voir, par exemple, les mesures visées aux considérants 78, 83, 84, 98 et 100 du RGPD.

---

145      Conclusions de l’avocat général Szpunar dans l’affaire Mousse (C‑394/23, EU:C:2024:610, point 32).

---

146      CEPD, Study on the appropriate safeguards under Article 89(1) GDPR for the processing of personal data for scientific research – Final Report, August 2021, p. 9.

---

147      Sur ce point, voir également considérants 26, 28 et 29 du RGPD.

---

148      Mise en exergue par mes soins.

---

149      Voir, par exemple, article 24, paragraphe 1, article 25, paragraphe 1, et article 32, paragraphe 1, du RGPD.

---

150      Voir considérant 156 et articles 92 et 93 du RGPD.

---

151      Voir, en particulier, considérant 156 et article 89, paragraphes 2 et 3, du RGPD.

---

152      Voir, notamment, article 58 du RGPD.

---

153      Pour certains exemples de législations nationales des États membres en la matière, voir la note de recherche de la DRD, p. 22 à 28.

---

154      A ces fins, voir, par exemple, considérant 65 et article 5, paragraphe 1, sous d), du RGPD.

---

155      Voir, également, décision attaquée, point 138.

---

156      Voir, par exemple, considérant 39 du RGPD : « [i]l y a lieu de prendre toutes les mesures raisonnables afin de garantir que les données à caractère personnel qui sont inexactes sont rectifiées ou supprimées ».

---

157      Voir, par exemple, arrêt rendu dans l’affaire Google Spain et Google (points 92 à 94) et, par analogie, arrêt du 30 janvier 2024, Direktor na Glavna direktsia « Natsionalna politsia » pri MVR – Sofia (C‑118/22, EU:C:2024:97, point 60).

---

158      Voir, par analogie, Commission EDH, 6 février 1967, X. c. Islande (CE:ECHR:1967:0206DEC000252565).

---

159      En outre, dans certaines situations, on pourrait également avoir recours à des autocollants opaques amovibles (le cas échéant, en combinaison avec des scellés ou cachets permettant de détecter toute altération), conformément au principe de minimisation des données. Tel pourrait, par exemple, être le cas lorsque les communautés religieuses ne sont pas autorisées, en vertu du droit national, à apporter des modifications permanentes aux registres, au motif que ceux-ci doivent être remis aux autorités publiques à des fins archivistiques dans l’intérêt public ou à des fins de recherche historique. Le recours à de tels autocollants et, le cas échéant, à des scellés ou cachets permettant de détecter toute altération garantirait que seules les autorités publiques ou les chercheurs puissent avoir, en temps utile, accès aux données à caractère personnel concernées.

---

160      Voir, en ce sens, considérants 74 et 78, et article 24, paragraphe 1, du RGPD.