Conclusions de l'avocat général Mme L. Medina, présentées le 8 octobre 2026.###

Édition provisoire

CONCLUSIONS DE L’AVOCATE GÉNÉRALE

M^ME LAILA MEDINA

présentées le 8 octobre 2026 (1)

Affaire C‑222/25

X

contre

Rahapesu Andmebüroo,

Partie intéréssée :

Andmekaitse Inspektsioon

[demande de décision préjudicielle formée par le Riigikohus (Cour Suprême, Estonie)]

[Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement (UE) 2016/679 – Article 2, paragraphe 2, sous d) – Directive (UE) 2016/680 – Article 1er, paragraphe 1 – Champ d’application – Notion d’« autorités compétentes » – Directive (UE) 2015/849 – Prévention de l’utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme – Cellules de renseignement financier (CRF) – Traitement des données à caractère personnel échangées dans le cadre de soupçons de blanchiment de capitaux – Droit d’accès de la personne concernée – Restrictions prévues par une mesure législative – Accès indirect par l’intermédiaire d’une autorité de contrôle]

I.      Introduction

1.        Le crime, les produits du crime et les flux financiers illicites n’ont pas de frontières. Au cours des dernières décennies, l’Union européenne a mis au point un cadre solide contre le blanchiment de capitaux, qui vise également à lutter contre le financement du terrorisme. Ce cadre est en constante évolution conformément aux efforts entrepris au niveau international dans ce domaine et, en particulier, aux recommandations du Groupe d’action financière (GAFI) (2) et aux instruments d’autres organismes internationaux actifs dans la lutte contre le blanchiment de capitaux et le financement du terrorisme (3). Le renseignement financier et le partage d’informations financières constituent la pierre angulaire de ces efforts. Les autorités nationales compétentes en matière de renseignement financier, les cellules de renseignement financier (CRF), sont un élément essentiel du cadre international et de l’Union européenne en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme (4).

2.        Dans le cadre de la mission principale des CRF consistant à collecter, à analyser et disséminer des renseignements financiers, les CRF traitent un grand nombre de données à caractère personnel. Malgré leurs pouvoirs significatifs et la quantité de données qu’elles traitent, le régime de protection des données qui leur est applicable n’est pas encore tout à fait clair. La présente affaire donne à la Cour l’occasion, pour la première fois, de revenir sur le statut juridique des CRF, le régime de protection des données qui leur est applicable et les conditions de limitation du droit d’accès des personnes concernées aux données à caractère personnel détenues par les CRF.

II.    Les faits, la procédure au principal et les questions préjudicielles

3.        X a présenté deux demandes distinctes d’informations, les 16 et 27 décembre 2019, au Rahapesu Andmebüroo (cellule de renseignement financier estonienne, ci-après le « RAB »), visant à savoir si des informations le concernant avaient été transmises à des établissements de crédit estoniens ou étrangers ou à des autorités étrangères, ou si des demandes de renseignement avaient été effectuées par ceux-ci.

4.        Le 20 décembre 2019 et le 6 janvier 2020, le RAB a rejeté ces deux demandes respectivement au motif que, conformément à l’article 60, paragraphe 1, du rahapesu ja terrorismi rahastamise tõkestamise seadus (loi sur la prévention du blanchiment de capitaux et du financement du terrorisme), du 26 octobre 2017 (RT I, 17.11.2017, 2 ; ci-après le « RahaPTS ») (5) et l’article 23, paragraphe 1, point 1, de l’avaliku teabe seadus (loi sur l’information publique), du 15 novembre 2000 (RT I 2000, 92, 597 ; ci-après l’« AvTS ») (6), il ne pouvait pas communiquer des données recueillies dans le cadre de l’accomplissement de ses missions ni d’informations sur l’existence ou un éventuel échange de telles données. En réponse à la demande ultérieure de X de préciser le motif de la restriction à l’accès, le RAB a réitéré que, sur la base de l’article 60, paragraphe 1, du RahaPTS, il ne pouvait ni confirmer l’existence des informations demandées ni les divulguer.

5.        Le Tallinna Halduskohus (tribunal administratif de Tallinn, Estonie), puis la Tallinna Ringkonnakohus (cour d’appel de Tallinn), Estonie), ont rejeté le recours introduit par X contre le rejet de ses demandes. Ces deux arrêts ont été annulés par la Riigikohus (Cour suprême, Estonie), qui, par un arrêt du 24 mars 2022, a ordonné au RAB de rendre une nouvelle décision sur les demandes de X.

6.        Dans cet arrêt, la Riigikohus (Cour suprême) a jugé que, en vertu de l’article 41 de la directive (UE) 2015/849 (7) et en l’absence de procédure pénale, le règlement (UE) 2016/679 (8) était applicable au droit d’accès de X à ses données.

7.        Elle a également jugé que l’article 60, paragraphe 1, du RahaPTS ne prévoyait pas, en tant que tel, une limitation des droits de la personne concernée, mais conférait au directeur du RAB le pouvoir de restreindre l’accès aux informations en déclarant que ces informations étaient destinées à un usage interne. Or, en l’espèce, une telle décision n’a pas été adoptée.

8.        Entre-temps, X a introduit auprès du RAB une troisième demande d’informations visant à déterminer si cette dernière avait ouvert un dossier de contrôle le concernant et si elle avait enquêté auprès des États-Unis d’Amérique, ce qui a de nouveau été rejeté par le RAB.

9.        X a introduit une réclamation administrative auprès de l’Andmekaitse Inspektsioon (inspection de la protection des données, Estonie, ci-après l’« AKI »), L’AKI a fait droit à la réclamation administrative et a ordonné au RAB de réexaminer la demande d’informations. Le 17 février 2022, le RAB a de nouveau rejeté la demande d’informations, à la suite de laquelle X a introduit une nouvelle réclamation administrative auprès de l’AKI.

10.      Par décision du 18 avril 2022, l’AKI a rendu une injonction ordonnant au RAB de fournir les informations demandées, indiquant que les droits de la personne concernée ne pouvaient pas être limités en vertu de l’article 60, paragraphe 1, du RahaPTS.

11.      Le directeur du RAB, en se fondant sur l’article 60, paragraphe 1, deuxième phrase, de la RahaPTS, a adopté, le 22 avril 2022, une décision limitant l’accès de X, en expliquant son obligation de préserver la confidentialité des informations contenues dans la base de données du RAB afin de protéger le système financier estonien.

12.      Le 13 mai 2022, le directeur du RAB a pris un arrêté instaurant une restriction d’accès rétroactive aux données enregistrées dans la base de données du RAB et déclarant que les données énumérées aux articles 8 à 17 du décret n^o 56 du ministre des Finances du 16 décembre 2020, Rahapesu Andmebüroo andmekogu põhimäärus (règlement d’exploitation de la base de données du RAB, ci-après le « règlement d’exploitation de la base de données du RAB ») (9), étaient des informations destinées exclusivement à un usage interne (ci-après l’« arrêté du directeur du RAB »).

13.      Le 19 mai 2022, le directeur du RAB a adopté une décision dans laquelle il a réitéré le refus de faire droit à la demande d’informations de X, en se référant à l’article 23, paragraphe 1, point 1, de l’AvTS et aux restrictions d’accès énoncées dans la décision du 22 avril 2022 et dans l’arrêté du directeur du RAB.

14.      X a formé un recours contre les décisions du 22 avril 2022 et du 19 mai 2022 ainsi que l’arrêté du directeur du RAB devant le Tallinna Halduskohus (tribunal administratif de Tallinn). Cette juridiction a fait droit à ce recours par arrêt du 19 décembre 2022. Elle a considéré que l’article 60, paragraphe 1, du RahaPTS était incompatible avec l’article 23 du RGPD. À cet égard, elle a relevé que l’article 60, paragraphe 1, du RahaPTS ne précisait pas quelles activités du RAB impliquaient le traitement de données à caractère personnel, ni les motifs pour lesquels la communication d’informations relatives au traitement de données à caractère personnel était refusée, ni la durée de la limitation. Elle a donc enjoint au RAB de statuer à nouveau sur les demandes d’informations de X.

15.      Le RAB a interjeté appel devant la Tallinna Ringkonnakohus (cour d’appel de Tallinn), lequel a été rejeté par arrêt du 10 avril 2024. Cette juridiction a confirmé le raisonnement de l’arrêt attaqué, en soulignant que l’article 60, paragraphe 1, de la RahaPTS n’était pas clair et précis et qu’il ne permettait pas aux personnes concernées de connaître la durée de la limitation. Elle a également considéré que les décisions en cause et l’arrêté du directeur du RAB contesté prévoyaient une limitation absolue et illimitée du droit d’accès qui n’était pas proportionnée.

16.      Le RAB a formé un pourvoi en cassation contre l’arrêt de la Tallinna Ringkonnakohus (cour d’appel de Tallinn) devant la Riigikohus (Cour suprême), qui est la juridiction de renvoi.

17.      Premièrement, la juridiction de renvoi demande à la Cour de préciser quel régime de protection des données s’applique aux données traitées par le RAB eu égard, d’une part, à l’article 41 de la directive 2015/849, qui prévoit que le traitement de données effectué au titre de cette directive est soumis au RGPD, et, d’autre part, au considérant 40 de la directive (UE) 2018/843 (10), qui énonce que celle-ci s’applique sans préjudice de la protection des données à caractère personnel traitées par les autorités compétentes conformément à la directive (UE) 2016/680 (11).

18.      La juridiction de renvoi précise que le fait que le RAB n’est pas une autorité d’enquête et ne mène pas de procédure pénale ne devrait pas nécessairement être déterminant pour la délimitation du champ d’application du RGPD et de la directive 2016/680, à la lumière de l’arrêt dans l’affaire La Quadrature du Net e.a. (Données à caractère personnel et lutte contre la contrefaçon) (12).

19.      Deuxièmement, la juridiction de renvoi demande si, sur le fondement de l’article 23, paragraphe 2, sous h), du RGPD ou de l’article 15, paragraphe 3, de la directive 2016/680, le RAB peut s’abstenir d’indiquer la base juridique justifiant un refus d’accès. À cet égard, elle relève l’absence, dans le RGPD, de tout mécanisme d’exercice indirect des droits de la personne concernée par l’intermédiaire de l’autorité de contrôle compétente équivalent à celui prévu à l’article 17, paragraphe 1, de la directive 2016/680.

20.      Troisièmement, la juridiction de renvoi souligne que, si une limitation des droits de la personne concernée par une mesure législative est autorisée indépendamment de la question de savoir si le RGPD ou la directive 2016/680 s’applique dans le cas concret, la mesure législative pertinente doit satisfaire aux exigences de clarté et de précision et son application doit être prévisible.

21.      La juridiction de renvoi relève que l’article 60, paragraphe 1, du RahaPTS ne précise pas expressément les conditions dans lesquelles le directeur du RAB peut prendre la décision de restreindre l’accès aux informations ni le champ d’application temporel ou matériel de la restriction d’accès. La limitation des droits de la personne concernée peut durer jusqu’à l’expiration des délais de conservation prévus à l’article 26 du règlement d’exploitation de la base de données du RAB (généralement 15 ans). Après ce délai, les personnes concernées ne seraient plus en mesure d’obtenir des informations sur les données les concernant, celles-ci étant supprimées.

22.      En outre, la finalité de la restriction d’accès prévue à l’article 60, paragraphe 1, deuxième phrase, du RahaPTS ne peut être déterminée qu’en interprétant cette disposition conjointement avec d’autres dispositions de la même loi ainsi qu’avec les actes juridiques relatifs à la prévention du blanchiment de capitaux et du financement du terrorisme.

23.      Enfin, la juridiction de renvoi demande si l’article 23 du RGPD et l’article 15 de la directive 2016/680 s’opposent à une réglementation nationale qui limite complètement l’exercice du droit d’accès aux données à caractère personnel jusqu’à leur suppression.

24.      Dans ces conditions, la Riigikohus (Cour suprême) a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :

« 1)      Faut-il interpréter l’article 2, paragraphe 2, sous d), du [RGPD], et les dispositions combinées de l’article 2, paragraphe 1, et de l’article 1^er de la [directive 2016/680], en ce sens qu’un éventuel traitement de données à caractère personnel par une [CRF] peut être un traitement de données à caractère personnel par une autorité compétente à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces, même si une [CRF] n’est pas une autorité d’enquête au sens du code de procédure pénale ?

2)      Faut-il interpréter l’article 23, paragraphe 2, sous h), du RGPD et l’article 15, paragraphe 3, de la directive 2016/680 en ce sens qu’il est également possible de ne pas communiquer à la personne concernée, dans le cadre d’une procédure administrative ou judiciaire, l’acte sur la base duquel l’accès à ses données à caractère personnel lui a été refusé, afin d’éviter de confirmer ou d’infirmer le fait que ses données personnelles ont fait l’objet d’un traitement, lorsque la personne concernée ne sait pas si un tel traitement a eu lieu ou non, et est-il possible, dans un tel cas, de ne pas non plus communiquer à la personne concernée d’information sur la possibilité de recourir à la mesure prévue à l’article 17, paragraphe 1, de la directive 2016/680 ?

3)      L’article 15 de la directive 2016/680 ou l’article 23 du RGPD doivent-ils être interprétés en ce sens qu’ils ne font pas obstacle à une disposition nationale qui habilite le directeur d’une [CRF] à limiter les droits de la personne concernée, lorsque la finalité, les conditions, ainsi que la portée dans le temps et l’espace de cette limitation n’apparaissent qu’à la lecture de cette disposition en combinaison avec d’autres, y compris de rang inférieur ?

4)      Faut-il interpréter l’article 15 de la directive 2016/680 ou l’article 23 du RGPD en ce sens qu’ils ne font pas obstacle à une disposition nationale qui limite totalement l’exercice du droit prévu à l’article 14 de la directive 2016/680 ou à l’article 15 du RGPD, jusqu’à l’effacement des données, sans jamais permettre à la personne concernée d’y avoir accès ? »

25.      Des observations écrites ont été déposées par la requérante au principal, la République d’Estonie, le Royaume d’Espagne, la République de Finlande et la Commission européenne. La République d’Estonie, le Royaume d’Espagne, la République française, la République de Lettonie, le Grand-Duché de Luxembourg, le Royaume des Pays-Bas, la République de Finlande et la Commission ont participé à l’audience qui s’est tenue le 3 juin 2026 et ont répondu aux questions pour réponse orale posées par la Cour.

III. Analyse

A.      Première question (cadre de l’Union européenne en matière de protection des données applicable aux CRF)

26.      Par sa première question, la juridiction de renvoi demande, en substance, si l’article 2, paragraphe 2, sous d), du RGPD et l’article 2, paragraphe 1, de la directive 2016/680, lus en combinaison avec l’article 1^er, paragraphe 1, de celle-ci, doivent être interprétés en ce sens que le traitement de données à caractère personnel effectué par une CRF, telle que le RAB, peut être considéré comme étant effectué par une autorité compétente à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces, même si la CRF concernée n’est pas une autorité d’enquête au sens du code de procédure pénale national.

27.      Cette question vise à déterminer le cadre juridique de l’Union applicable en matière de protection des données à une CRF lorsqu’elle exerce les missions qui lui sont confiées dans le cadre du blanchiment de capitaux et du financement du terrorisme. Une telle détermination est particulièrement importante au regard des différences entre le RGPD et la directive 2016/680. Aux fins de la présente affaire, il importe de relever la différence dans la portée des limitations des droits de la personne concernée, le rôle de l’autorité de contrôle au titre de l’article 17 de la directive 2016/680 pour exercer indirectement les droits de la personne concernée (13), ainsi que les différences de régime applicable aux transferts de données vers des pays tiers ou à des organisations (14).

28.      La question centrale pour déterminer le cadre applicable en matière de protection des données est de savoir si le traitement des données par une CRF telle que le RAB doit être considéré comme un traitement par une « autorité compétente », au sens de la directive 2016/680. Si tel était le cas, le traitement de données par le RAB relèverait du champ d’application matériel de la directive 2016/680, conformément à l’article 2, paragraphe 1, et à l’article 1^er, paragraphe 1, de celle-ci. Pour analyser cette question, je donnerai tout d’abord un aperçu des critères de délimitation du champ d’application du RGPD et de la directive 2016/680. J’examinerai ensuite le statut, les missions et les fonctions des CRF, avant de conclure sur le cadre de protection des données qui s’applique aux CRF dans l’exercice de leurs missions essentielles dans le cadre de la lutte contre le blanchiment de capitaux et le financement du terrorisme.

1.      Délimitation du champ d’application du RGPD et de la directive 2016/680

29.      Le droit fondamental à la protection des données à caractère personnel est consacré à l’article 8 de la charte des droits fondamentaux de l’Union européenne (ci-après la « Charte ») et à l’article 16, paragraphe 1, TFUE. Le cadre de l’Union européenne en matière de protection des données repose sur trois piliers : le RGPD, la directive 2016/680 et le règlement (UE) 2018/1725 (15), qui est applicable aux institutions de l’Union.

30.      Comme le suggère son nom, le RGPD prévoit un régime général et horizontal de protection des données (16). L’article 2, paragraphe 2, du RGPD prévoit quatre exceptions au champ d’application de ce règlement, tel que défini à l’article 2, paragraphe 1, de celui-ci, qui doivent recevoir une interprétation stricte (17).

31.      En particulier, l’article 2, paragraphe 2, sous d), du RGPD exclut de son champ d’application le traitement de données à caractère personnel effectué par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre des menaces pour la sécurité publique et la prévention de telles menaces.

32.      Cette exception en matière répressive s’explique, ainsi qu’il résulte du considérant 19 du RGPD, par la circonstance que les traitements, à de telles fins et par les autorités compétentes, de données à caractère personnel sont régis par un acte spécifique de l’Union, à savoir la directive 2016/680, laquelle a été adoptée le même jour que le RGPD (18).

33.      Le champ d’application de la directive 2016/680, prévu à l’article 2, paragraphe 1, lu en combinaison avec l’article 1^er, paragraphe 1, de celle-ci, est déterminé en fonction de la personne ou de l’acteur qui effectue le traitement et des finalités du traitement (19). La personne effectuant l’opération doit être une « autorité compétente » au sens de l’article 3, point 7, de la directive 2016/680. Les finalités du traitement couvrent la prévention et la détection des infractions pénales, les enquêtes et les poursuites en la matière ou l’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces.

34.      Il ressort du considérant 10 de la directive 2016/680 que la notion d’« autorité compétente » doit être comprise en lien avec la protection des données à caractère personnel dans le domaine de la coopération judiciaire en matière pénale et de la coopération policière, compte tenu des aménagements qui peuvent s’avérer nécessaires, à cet égard, en raison de la nature spécifique de ces domaines (20).

35.      La notion d’« autorité compétente » est définie à l’article 3, point 7, du règlement 2016/680.

36.      L’article 3, point 7, de la directive 2016/680 prévoit deux catégories d’autorités compétentes. Au point a) de cette disposition, l’« autorité compétente » est définie comme « toute autorité publique compétente pour la prévention et la détection des infractions pénales, les enquêtes et les poursuites en la matière ou l’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces ». Cette définition couvre les autorités publiques, telles que les autorités judiciaires, la police ou d’autres autorités répressives (21).

37.      L’article 3, point 7, sous b), étend la définition de la notion d’« autorité compétente » à « tout autre organisme ou entité à qui le droit d’un État membre confie l’exercice de l’autorité publique et des prérogatives de puissance publique à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces ».

38.      La définition de l’autorité compétente doit être appliquée, par analogie, à l’article 2, paragraphe 2, sous d), du RGPD et à l’exception en matière répressive prévue par cette disposition (22). Le libellé de cette disposition met clairement en évidence que, pour que l’exception pertinente s’applique, les deux conditions relatives aux finalités du traitement et à l’auteur de ce traitement doivent être remplies simultanément (23).

39.      Ainsi, le fait que le traitement des données soit effectué à des fins répressives ne suffit pas, à lui seul, à exclure l’application du RGPD (24). Inversement, le fait qu’une autorité compétente traite des données ne suffit pas à les faire entrer dans le champ d’application de la directive 2016/680 si ce traitement est sans rapport avec la finalité répressive (25).

40.      La jurisprudence de la Cour fournit des exemples instructifs de délimitation du champ d’application des deux instruments juridiques. La Cour a considéré que, dans l’exercice d’une activité qui consiste à communiquer au public, dans un but de sécurité routière, des données à caractère personnel relatives aux points de pénalités imposés aux conducteurs de véhicules pour des infractions routières, l’entité lettone responsable (26) ne saurait être considérée comme une « autorité compétente », au sens de l’article 3, point 7, de la directive 2016/680. Une telle activité relève donc du champ d’application matériel du RGPD (27). La Cour a également jugé que, lorsque l’administration fiscale collecte des données auprès d’un opérateur économique aux fins de la perception de l’impôt et de la lutte contre la fraude fiscale, elle ne saurait être considérée comme une « autorité compétente », au sens de l’article 3, point 7, de la directive 2016/680 (28).

41.      En revanche, la Cour a considéré que le traitement des données des dossiers passagers (PNR) à des fins de prévention et de détection des infractions terroristes et des formes graves de criminalité, ainsi que d’enquêtes et de poursuites en la matière, effectué par une unité d’information passagers (UIP), autorité compétente pour la prévention et la détection des infractions terroristes et des formes graves de criminalité, ainsi que pour les enquêtes et les poursuites en la matière, établi par la directive (UE) 2016/681 (29), relève du champ d’application de la directive 2016/680 (30).

42.      La Cour a également jugé que la directive 2016/680 s’applique aux traitements de données effectués par la Haute Autorité pour la diffusion des œuvres et de la protection des droits sur Internet, une autorité française (ci-après la « Hadopi »), lorsque cette autorité adopte des mesures dans le cadre de la procédure dite de « réponse graduée », dans la mesure où ces mesures ont un caractère pré-pénal directement lié à la procédure judiciaire (31).

43.      Il ressort de cette jurisprudence que, s’agissant de la prévention de la criminalité, l’applicabilité de la directive 2016/680 ne dépend pas de la question de savoir si l’autorité publique concernée est une autorité d’enquête conformément au droit pénal national. Elle dépend des missions et fonctions spécifiques de l’autorité publique concernée dans la chaîne de prévention de la criminalité en vertu de l’acte juridique qui régit le traitement des données par cette autorité à des fins de prévention de la criminalité.

44.      À la lumière des considérations générales qui précèdent, j’examinerai à présent le statut, les missions et les fonctions des CRF dans le paysage juridique en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme, puis j’examinerai si elles remplissent les critères d’application de la directive 2016/680.

2.      Le statut, les missions et les fonctions des CRF dans le cadre juridique de l’Union européenne en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme

45.      L’obligation pour les États membres de mettre en place des CRF est énoncée à l’article 32, paragraphe 1, de la directive 2015/849 (également connue comme la quatrième directive anti-blanchiment).

46.      Toutefois, les CRF existaient depuis longtemps avant qu’elles ne soient formellement reconnues dans cette directive (32). La décision 2000/642/JAI du Conseil (33), adoptée dans le cadre de l’ancien « troisième pilier » relatif à la coopération policière et judiciaire en matière pénale (34), prévoyait, à son article 1^er, paragraphe 1, l’obligation pour les États membres de veiller à ce que « les CRF mises en place ou désignées pour recueillir les informations financières communiquées aux fins de la lutte contre le blanchiment de capitaux coopèrent conformément à leurs compétences nationales afin de réunir et d’analyser les informations pertinentes sur tout fait qui pourrait être l’indice d’un blanchiment de capitaux et d’enquêter au sein des CRF à ce sujet ». Conformément à l’article 3 de cette décision, les États membres devaient veiller à ce que « le statut interne des CRF, qu’il s’agisse d’autorités administratives, répressives ou judiciaires », n’affecte pas l’exécution des tâches qui leur incombent.

47.      Le statut des CRF varie d’un État membre à l’autre (35). Le modèle de CRF n’a pas été harmonisé, les États membres restant « entièrement responsables de la mise en place et du choix de la nature organisationnelle des CRF » (36).

48.      La directive 2015/849 prévoit toutefois une exigence essentielle qui s’applique indépendamment du statut de CRF choisi par chaque État membre. La CRF, conformément à l’article 32, paragraphe 3, de la directive 2015/849, doit être « indépendante et autonome sur le plan opérationnel », ce qui signifie qu’elle devrait avoir « l’autorité et la capacité nécessaires pour exercer librement ses fonctions, y compris la capacité de décider d’une manière autonome d’analyser, de demander et de disséminer des informations spécifiques ».

49.      En outre, la diversité du statut juridique des CRF ne devrait pas entraver leur coopération (37) et l’efficacité de l’échange d’informations entre les autorités répressives ou les autorités de poursuite et les CRF (38).

50.      La mission principale d’une CRF (39), énoncée à l’article 32, paragraphe 1, de la directive 2015/849, consiste à « prévenir, [...] détecter et [...] combattre efficacement le blanchiment de capitaux et le financement du terrorisme ». À cette fin, conformément à l’article 32, paragraphe 3, de la directive 2015/849, la CRF est la cellule nationale centrale chargée de recevoir (40) et d’analyser les déclarations de transactions suspectes ainsi que d’autres informations pertinentes concernant le blanchiment de capitaux, les infractions sous-jacentes associées ou le financement du terrorisme. Elle est chargée également de disséminer les résultats de ses analyses aux autorités compétentes, ainsi que toute autre information pertinente, lorsqu’il existe des raisons de suspecter un blanchiment de capitaux, des infractions sous-jacentes associées ou un financement du terrorisme.

51.      Dans l’exercice de leur mission et de leurs fonctions, il découle de l’article 32, paragraphe 4, de la directive 2015/849 que chaque CRF dispose d’importants pouvoirs d’accès aux informations d’ordre répressif dont elle a besoin pour s’acquitter correctement de ses missions (41).

52.      Les CRF sont également habilitées, conformément à l’article 32, paragraphe 7, de la directive 2015/849, à « agir sans délai [...] lorsqu’une transaction est suspectée d’être liée au blanchiment de capitaux ou au financement du terrorisme, afin de suspendre ou de refuser l’exécution de cette transaction pour l’analyser, confirmer les soupçons et disséminer les résultats de l’analyse aux autorités compétentes ».

53.      Les missions, les fonctions et les pouvoirs des CRF démontrent l’importance de ces dernières dans la détection des infractions et la prévention de la criminalité en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme. Les CRF sont à la fois chargées de la mission de prévention et de lutte contre le blanchiment de capitaux et le financement du terrorisme, qui est une mission répressive, et sont en étroite coopération avec les autorités répressives compétentes (42).

54.      Les CRF ont un statut sui generis. Bien qu’elles opèrent dans le « domaine de la police plus large » (43), elles ne sont pas nécessairement intégrées dans la structure policière. Sans nier leur importance en ce qui concerne la garantie du bon fonctionnement du marché financier de l’Union (ce qui justifie le recours à l’article 114 TFUE pour l’adoption de la directive 2015/849), il convient de souligner que leur rôle spécifique dans l’échange d’informations financières, avec les autorités répressives et Europol, est défini dans un instrument de coopération policière fondé sur l’article 87, paragraphe 2, TFUE, à savoir la directive 2019/1153 (qui a remplacé la décision 2000/642, ancien instrument relevant du « troisième pilier »).

55.      La mission, les tâches et les pouvoirs essentiels des CRF indiquent que le régime de l’Union applicable au traitement des données par une CRF doit être celui qui est le plus approprié à des fins répressives. Je vais élaborer ce point ci-dessous.

3.      Cadre de protection des données applicable aux CRF

56.      Tous les gouvernements qui ont pris position sur la question du régime de protection des données de l’Union applicable aux CRF (44), dans leurs observations écrites ou lors de l’audience, ont considéré que les CRF, dans l’exercice de leur mission principale, sont des « autorités compétentes » au sens de la directive 2016/680. À cet égard, ils adoptent, en substance, une approche fonctionnelle pour l’interprétation de cette directive, qui se concentre sur les missions et les fonctions exercées par les CRF.

57.      Je suis d’accord que le traitement de données à caractère personnel par les CRF, dans l’exercice de leurs missions et fonctions essentielles, relève du champ d’application de la directive 2016/680.

58.      Comme je l’ai déjà expliqué, la mission principale des CRF concerne la détection et la prévention des infractions dans le domaine de la lutte contre le blanchiment de capitaux et le financement du terrorisme. L’article 83, paragraphe 1, TFUE inclut le terrorisme et le blanchiment de capitaux parmi les domaines de criminalité particulièrement grave revêtant une dimension transfrontière pour lesquels le législateur de l’Union peut établir des règles minimales relatives à la définition des infractions pénales et des sanctions (45). Dans l’exercice de cette mission, les CRF participent à la prévention et à la détection des infractions pénales concernées.

59.      Comme je l’ai déjà souligné ci-dessus, dans le cadre de leurs missions, les CRF ont des liens étroits avec les autorités répressives et Europol. Elles disséminent les résultats de leur analyse aux autorités répressives, répondent aux demandes d’informations de ces autorités et ont elles-mêmes également accès aux informations en matière répressive dont elles ont besoin.

60.      Les CRF sont placées entre, d’une part, les entités du secteur privé qui sont soumises à des obligations de déclaration en matière de lutte contre le blanchiment de capitaux, à savoir les entités assujetties et, d’autre part, les autorités répressives. Toutefois, leur rôle ne se réduit pas à la simple réception et à la transmission d’informations. La valeur ajoutée des CRF réside dans leur analyse des informations (46), qui est essentielle dans la chaîne de prévention de la criminalité. Compte tenu de leur rôle dans cette analyse et les canaux d’échange et de communication à leur disposition, les CRF sont, comme cela est décrit de manière pertinente dans la doctrine, les « pôles de renseignement financier » (47) de l’Union européenne et, en tant que telles, jouent un rôle central dans la structure de lutte contre le blanchiment de capitaux et le financement du terrorisme.

61.      Elles se trouvent à la frontière (48) entre, d’une part, la prévention et, d’autre part, les activités d’enquête et de poursuite exercées par les autorités répressives au sein du système national de lutte contre le blanchiment de capitaux et le financement du terrorisme. La mission principale d’une CRF, ainsi que le gouvernement letton l’a fait valoir lors de l’audience, se situe au stade initial de la procédure pénale. Dans le même ordre d’idées, le gouvernement luxembourgeois a relevé à juste titre que les CRF ont une fonction « pré-pénale » qui s’inscrit dans un « continuum fonctionnel en amont de la répression ».

62.      Eu égard à leur rôle dans la détection et la prévention pénales, certains gouvernements ayant participé à la procédure écrite et à l’audience ont fait l’analogie avec les considérations de la Cour dans l’arrêt dans l’affaire La Quadrature du Net e.a. (Données personnelles et lutte contre la contrefaçon) (49), en ce qui concerne l’autorité française Hadopi. Dans cette affaire, ainsi que je l’ai déjà relevé ci-dessus (50), la Cour a considéré que la Hadopi, une autorité administrative, compétente pour adopter des mesures à caractère « pré-pénal », devait être qualifiée d’« autorité compétente », au sens de l’article 3 de la directive 2016/680, impliquée dans la prévention et la détection des infractions pénales, à savoir la contravention de négligence caractérisée ou le délit de contrefaçon, et relève donc du champ d’application de cette directive conformément à son article 1^er (51). Tel a été le cas même si la Cour a constaté que, en vertu du droit national applicable, la Hadopi « ne dispos[ait] pas de pouvoirs décisionnels propres » (52).

63.      Si le traitement de données par une autorité administrative telle que la Hadopi relève du champ d’application de la directive 2016/680, la même conclusion devrait s’appliquer a fortiori à une CRF, autorité publique qui, indépendamment de son statut en vertu du droit national, est compétente pour prendre des décisions autonomes d’analyse, de demande et de dissémination d’informations en matière de renseignement financier et dispose de pouvoirs importants conférés par le droit de l’Union nécessaires à la détection et à la prévention de la criminalité dans le domaine de la lutte contre le blanchiment de capitaux et le financement du terrorisme.

64.      La plupart des gouvernements ont souligné, à juste titre selon moi, le caractère similaire des missions des CRF avec celles des UIP (53), que la Cour, dans l’arrêt Ligue des droits humains (54), a qualifié d’« autorités compétentes » relevant du champ d’application de la directive 2016/680. Les UIP ont obtenu une telle qualification en raison de leur compétence, découlant des articles 4 et 7 de la directive PNR, pour la prévention et la détection des infractions terroristes et des formes graves de criminalité, ainsi que pour les enquêtes et les poursuites en la matière. Ces UIP collectent des données auprès des transporteurs aériens, les traitent et transfèrent les données ou le résultat de leur traitement aux autorités compétentes. Elles sont également responsables de l’échange des données PNR et du résultat de ce traitement avec les UIP des autres États membres et avec Europol. Les UIP font clairement partie du domaine pénal et sont intégrées dans la chaîne de prévention et de détection des infractions.

65.      La fonction des CRF dans la chaîne de prévention de la criminalité est similaire à celle des UIP, étant donné qu’elles reçoivent également des informations, les analysent et les disséminent aux autorités répressives.

66.      La jurisprudence de la Cour permet donc de conclure que le traitement de données par les CRF aux fins de la prévention de la criminalité dans le domaine de la lutte contre le blanchiment de capitaux et le financement du terrorisme relève du champ d’application de la directive 2016/680.

67.      Les CRF remplissent également les conditions pour être qualifiées d’« autorité compétente » au sens de l’article 3, point 7, sous a), de la directive 2016/680. Comme indiqué ci-dessus (55), cette définition ne couvre pas uniquement les autorités judiciaires ou répressives « traditionnelles », mais elle s’étend à « toute autorité publique » (mise en italique par mes soins) qui est compétente en matière répressive.

68.      La qualification d’une CRF d’« autorité compétente » au sens de l’article 3, point 7, de la directive 2016/680 ne devrait pas dépendre de la structure organisationnelle choisie (autorités répressives, judiciaires, administratives ou hybrides), mais de la mission et des fonctions qui lui sont confiées et des pouvoirs exercés. Le fait qu’une CRF, telle que le RAB, ne soit pas une autorité de contrôle au sens du code de procédure pénale national n’est pas déterminant non plus (56).

69.      À supposer même qu’une CRF ne relève pas de l’article 3, point 7, sous a), de la directive 2016/680, comme l’a indiqué le gouvernement luxembourgeois, elle devrait être considérée comme relevant, en tout état de cause, de l’article 3, point 7, sous point b) de cette directive, qui s’applique à « tout autre organisme ou entité » ayant des missions répressives. Dans la mesure où, en vertu de l’article 3, point 7, sous b), de cette directive, une entité privée peut être qualifiée d’« autorité compétente » lorsqu’elle se voit confier par le droit d’un État membre l’exercice de pouvoirs répressifs, il devrait en être d’autant plus ainsi pour une CRF qui est une autorité publique dotée de pouvoirs importants dans le domaine de la lutte contre le blanchiment de capitaux et le financement du terrorisme.

70.      Il s’ensuit qu’une CRF doit être qualifiée d’« autorité compétente », au sens de l’article 3, point 7, de la directive 2016/680, lorsqu’elle exerce ses missions essentielles dans le domaine de la lutte contre le blanchiment de capitaux et le financement du terrorisme.

71.      Cela est sans préjudice de l’application du RGPD lorsque les CRF traitent des données, dans le cadre d’autres missions qui leur sont confiées par le droit d’un État membre, qui ne concernent pas l’une des activités prévues à l’article 1^er, paragraphe 1, de la directive 2016/680. Il découle de l’article 9, paragraphe 2, de cette directive que le RGPD devrait s’appliquer au traitement effectué à de telles autres fins. Le gouvernement estonien a fait valoir que le RAB dispose d’une compétence de contrôle à l’égard du secteur non financier et qu’il contrôle également l’exécution de certaines sanctions financières. Ainsi, lorsqu’une CRF traite des données à des fins qui ne sont pas liées à sa mission principale dans le domaine de la lutte contre le blanchiment de capitaux et le financement du terrorisme, un tel traitement relève du champ d’application du RGPD (57).

72.      Néanmoins, la Commission considère que les CRF ne sont pas des « autorités compétentes » au sens de la directive 2016/680, de sorte que le traitement des données par ces autorités relève du RGPD.

73.      À cet égard, elle estime que l’activité des CRF se limite au « prétraitement administratif » de toute information que celles-ci obtiennent. Seules les autorités compétentes auxquelles elles disséminent des informations peuvent tirer des conclusions sur le caractère pénal des activités en cause.

74.      Eu égard aux missions, aux fonctions et aux pouvoirs des CRF, qui ont déjà été abondamment expliqués, cette approche ne correspond pas, selon moi, au rôle central des CRF dans la chaîne de prévention de la criminalité. Les CRF, comme leur nom l’indique, sont de véritables pôles de renseignement ayant la capacité de prendre des décisions autonomes lorsqu’elles analysent les informations pertinentes. Le pouvoir dont disposent les CRF d’accéder aux informations d’ordre répressif dont elles ont besoin pour remplir correctement leurs missions (en vertu de l’article 32, paragraphe 4, de la directive 2015/849), d’échanger des informations entre elles, avec les autorités répressives et avec Europol, et le pouvoir de suspendre ou de refuser le consentement à une transaction indiquent clairement que leur rôle ne se limite pas à un simple prétraitement administratif.

75.      Le fait que les CRF soient placées au milieu de la chaîne de détection et de prévention de la criminalité et qu’elles disséminent des informations aux autorités compétentes ne fait pas obstacle à ce qu’elles soient qualifiées elles-mêmes d’« autorités compétentes ». En effet, une telle qualification ne dépend pas du positionnement exact de l’autorité dans la structure criminelle, mais de sa mission et de ses fonctions (58).

76.      L’argument le plus fort avancé par la Commission concerne le libellé de l’article 41, paragraphe 1, de la directive 2015/849, qui dispose que le traitement de données à caractère personnel au titre de cette directive est soumis au RGPD. La Commission observe que cette disposition est formulée en des termes larges de manière à couvrir toutes les opérations de traitement relevant de la directive 2015/849, y compris celles effectuées par les CRF.

77.      Toutefois, comme l’ont fait valoir presque tous les gouvernements ayant déposé des observations écrites et présents à l’audience (59), l’article 41, paragraphe 1, de la directive 2015/849 doit être compris sans préjudice de l’application de la directive 2016/680.

78.      Le législateur de l’Union a établi un ensemble complet de règles en matière de protection des données qui doivent être appliquées de manière cohérente dans tous les domaines du droit de l’Union. Le RGPD et la directive 2016/680 sont applicables chacunes dans leur champ d’application respectif. En d’autres termes, ainsi que le gouvernement espagnol l’a indiqué lors de l’audience, l’article 41, paragraphe 1, de la directive 2015/849 ne modifie pas les conditions du champ d’application respectif du RGPD et de la directive 2016/680.

79.      Cela est confirmé par le considérant 42 de la directive 2015/849, selon lequel celle-ci est sans préjudice de la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire en matière pénale, y compris la décision-cadre 2008/977/JAI du Conseil (60), qui a précédé la directive 2016/680. Il importe de rappeler que cette décision-cadre, abrogée par la directive 2016/680, avait une portée limitée dans le domaine de la justice et de la coopération policière, étant donné qu’elle ne couvrait que les traitements transfrontaliers.

80.      Ainsi que l’a fait valoir le gouvernement français lors de l’audience, il découle également du considérant 22 de la directive 2016/680 que le législateur de l’Union n’a pas cherché à modifier la règle de délimitation entre le RGPD et la directive 2016/680 dans le domaine de la lutte contre le blanchiment de capitaux et le financement du terrorisme. Ce considérant vise un certain nombre d’autorités publiques auxquelles des données à caractère personnel sont communiquées conformément à une obligation légale découlant de leurs fonctions officielles et précise que le traitement des données à caractère personnel par ces autorités publiques devrait être effectué dans le respect des règles applicables en matière de protection des données en fonction des finalités du traitement.

81.      La nécessité d’assurer la cohérence entre la directive 2015/849 et le cadre juridique existant de l’Union européenne en matière de protection des données est enfin confirmée par la directive 2024/1640 (sixième directive anti-blanchiment), qui abroge la directive 2015/849. La directive 2024/1640 ne contient plus de disposition explicite sur le régime de protection des données applicable. Bien que le considérant 122 de cette directive indique que le RGPD s’applique au traitement des données à caractère personnel effectué aux fins de ladite directive, ce même considérant fait également référence à l’application de la directive 2016/680.

82.      La Commission a exprimé la préoccupation que, si les CRF étaient considérées comme des « autorités compétentes », cela pourrait compromettre leur indépendance à l’égard des autorités compétentes auxquelles elles disséminent des informations.

83.      Je ne suis pas en mesure de partager les préoccupations de la Commission. Les CRF doivent être considérées comme des « autorités compétentes » aux fins de la détermination du régime de l’Union en matière de protection des données applicable. Cette détermination n’affecte pas leur indépendance opérationnelle ni leur autonomie, laquelle doit être assurée indépendamment de leur statut organisationnel, même lorsqu’elles sont situées dans la structure existante d’une autre autorité (61).

84.      Un dernier argument en faveur de l’application de la directive 2016/680 aux CRF, dans l’exercice de leurs missions et fonctions en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme, est la nécessité de préserver la possibilité d’un exercice indirect du droit d’accès des personnes concernées par l’intermédiaire de l’autorité de contrôle en vertu de l’article 17 de cette directive. Comme je l’expliquerai plus en détail dans le cadre de mon analyse de la quatrième question préjudicielle, le contrôle indirect par l’intermédiaire de l’autorité de contrôle constitue une garantie importante pour compenser la possibilité d’une limitation totale du droit d’accès au titre de l’article 15, paragraphe 1, de la directive 2016/680.

85.      Eu égard à ce qui précède, l’article 2, paragraphe 2, sous d), du RGPD et l’article 2, paragraphe 1, de la directive 2016/680, lus en combinaison avec l’article 1^er, paragraphe 1, de cette directive, doivent être interprétés en ce sens que le traitement de données à caractère personnel par une CRF, telle que le RAB, dans l’exercice de sa mission de prévention, de détection et de lutte contre le blanchiment de capitaux et le financement du terrorisme ainsi qu’au regard de ses fonctions et de ses pouvoirs dans ce domaine, doit être considéré comme étant effectué par une autorité compétente, au sens de l’article 3, point 7, de la directive 2016/680, même si la CRF concernée n’est pas une autorité d’enquête au sens du code de procédure pénale national. Le traitement de telles données relève, dès lors, du champ d’application de la directive 2016/680.

86.      Compte tenu de la réponse que je propose à la Cour de donner à la première question posée, j’analyserai les autres questions relatives aux limitations du droit d’accès de la personne concernée sur la base des dispositions pertinentes de la directive 2016/680, sans prendre en compte le RGPD.

B.      Quatrième question

87.      Par sa quatrième question, qu’il convient d’examiner en second lieu, la juridiction de renvoi demande, en substance, si l’article 15 de la directive 2016/680 doit être interprété en ce sens qu’il s’oppose à une disposition nationale qui limite totalement l’exercice du droit d’accès de la personne concernée à ses données à caractère personnel détenues par une CRF, jusqu’à l’effacement de ces données, sans jamais permettre à la personne concernée d’y avoir accès.

88.      L’article 15, paragraphe 1, de la directive 2016/680 autorise le législateur national, eu égard à la spécificité des finalités pour lesquelles le traitement de données relevant de cette directive est effectué (dont l’attention est notamment soulignée au considérant 10 de celle-ci), à adopter des mesures législatives limitant le droit d’accès de la personne concernée sous certaines conditions. Le droit d’accès peut être limité « entièrement ou partiellement [...] dès lors et aussi longtemps qu’une telle limitation partielle ou complète constitue une mesure nécessaire et proportionnée dans une société démocratique, en tenant dûment compte des droits fondamentaux et des intérêts légitimes de la personne physique », pour garantir un certain nombre d’objectifs d’intérêt général, énumérés de manière exhaustive aux points a) à e) de cette disposition. Ces objectifs comprennent la nécessité d’« éviter de gêner des enquêtes, des recherches ou des procédures officielles ou judiciaires » et d’« éviter de nuire à la prévention ou à la détection d’infractions pénales, aux enquêtes ou aux poursuites en la matière [...] ».

89.      Conformément à l’article 15, paragraphe 2, de la directive 2016/680, les États membres sont habilités à adopter des mesures législatives afin de déterminer des catégories de traitements de données susceptibles de relever, dans leur intégralité ou en partie, de ces finalités.

90.      L’article 41, paragraphe 4, de la directive 2015/849 prévoit une obligation spécifique pour les États membres de restreindre le droit d’accès des personnes concernées « [e]n application de l’interdiction de divulgation prévue à l’article 39, paragraphe 1 ». Aux termes de la première disposition, en application de cette interdiction, les États membres doivent adopter des dispositions législatives restreignant, « partiellement ou totalement », le droit d’accès de la personne concernée, dans les conditions prévues à cette disposition. Ces conditions sont, en substance, les mêmes que celles prévues à l’article 15, paragraphe 1, de la directive 2016/680. Elles font référence à la nécessité et à la proportionnalité de la restriction partielle ou totale et à la nécessité de garantir les objectifs énoncés à l’article 41, paragraphe 4, de la directive 2015/849 (62).

91.      L’interdiction de divulgation à laquelle se réfère la phrase introductive de l’article 41, paragraphe 4, de la directive 2015/849 concerne les entités assujetties auxquelles il est interdit de divulguer (« tipping-off » selon les termes [de la version en langue anglaise] de la recommandation 21 du GAFI), le fait que des informations sur des transactions suspectes sont, seront ou ont été transmises à une CRF conformément à l’article 33 de cette directive (63).

92.      La référence à l’interdiction de divulgation semble indiquer que l’article 41, paragraphe 4, de la directive 2015/849 régit spécifiquement les limitations du droit d’accès des personnes concernées en ce qui concerne les informations détenues par les entités assujetties et le fait que ces informations sont, seront ou ont été transmises à une CRF (ou à un organisme d’autorégulation). Toutefois, en ce qui concerne le droit d’accès aux données détenues par une CRF, il convient de rappeler que ces autorités reçoivent des informations non seulement des entités assujetties, mais également d’autres sources (les autorités nationales et étrangères compétentes, les CRF des différents États membres et Europol), avec lesquelles elles échangent aussi des informations. Les CRF elles élaborent également des renseignements financiers (64). À la suite de l’adoption de la directive 2016/680 et compte tenu de la formulation large des demandes d’accès de la personne concernée dans l’affaire au principal, il apparaît plus approprié d’examiner les limitations du droit d’accès au regard de l’article 15 de cette directive. Cette disposition a un champ d’application large et est susceptible de s’appliquer à l’ensemble des données et des informations détenues par les CRF (65).

93.      Il ressort de l’article 15, paragraphe 1, de la directive 2016/680 que la limitation du droit d’accès que les États membres sont en droit de prévoir peut être « complète ». Toutefois, une telle limitation complète (ou partielle) doit respecter le principe de proportionnalité. Aux termes de cette disposition, la mesure législative limitant entièrement ou partiellement le droit d’accès de la personne concernée peut être adoptée « dès lors et aussi longtemps qu’une telle limitation partielle ou complète constitue une mesure nécessaire et proportionnée dans une société démocratique, en tenant dûment compte des droits fondamentaux et des intérêts légitimes de la personne physique concernée ». Toute limitation doit donc être limitée dans sa portée et dans le temps à ce qui est nécessaire et proportionné (66).

94.      À cet égard, il convient de rappeler que le droit d’accès à ses données à caractère personnel est consacré à l’article 8, paragraphe 2, de la Charte. Ce droit n’est pas absolu, mais doit être pris en considération par rapport à sa fonction dans la société.

95.      En effet, ainsi qu’il ressort de l’article 52, paragraphe 1, de la Charte, celle-ci admet des limitations à l’exercice de ce droit, pour autant que ces limitations soient prévues par la loi, qu’elles respectent le contenu essentiel dudit droit et que, dans le respect du principe de proportionnalité, elles soient nécessaires et répondent effectivement à des objectifs d’intérêt général reconnus par l’Union ou au besoin de protection des droits et des libertés d’autrui (67).

96.      Dans le cadre de la directive 2015/849, la confidentialité totale des informations constitue une condition préalable indispensable à l’efficacité du système de la lutte contre le blanchiment de capitaux et le financement du terrorisme mis en place par cette directive (68). Il ressort également du considérant 46 de ladite directive que l’accès de la personne concernée aux informations liées à une déclaration de transaction suspecte nuirait gravement à l’efficacité de la lutte contre le blanchiment de capitaux et le financement du terrorisme. Les informations sont et doivent rester confidentielles tout au long de la chaîne des principaux acteurs de ce système : les entités assujetties qui font l’objet d’une interdiction de divulgation ; les CRF, qui recueillent et analysent des informations confidentielles ; et les autorités répressives.

97.      Tous les gouvernements ayant présenté des observations écrites ont soutenu lors de l’audience que l’exigence de confidentialité est une caractéristique intrinsèque du système de lutte contre le blanchiment de capitaux et le financement du terrorisme et essentielle à la coopération des CRF. Ces gouvernements ont souligné le caractère sensible des informations détenues par les CRF, selon lesquelles la simple connaissance du traitement des données risquerait de compromettre l’analyse et les enquêtes en cours et de permettre aux suspects de dissimuler l’origine des fonds.

98.      Une restriction totale du droit d’accès aux informations détenues par les CRF dans le cadre de leur mission principale semble donc nécessaire et appropriée pour atteindre les objectifs en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme.

99.      Cela étant dit, il convient de rappeler que, selon une jurisprudence constante, la proportionnalité des mesures dont résulte une ingérence dans les droits garantis à l’article 8 de la Charte requiert le respect des exigences d’aptitude et de nécessité ainsi que de l’exigence du caractère proportionné de ces mesures par rapport à l’objectif poursuivi (69). Plus spécifiquement, les dérogations à la protection des données à caractère personnel et les limitations de celle‑ci s’opèrent dans les limites du strict nécessaire (70).

100. Plus précisément, selon la jurisprudence de la Cour, toute réglementation engendrant une ingérence dans le droit à la protection des données à caractère personnel doit, conformément au principe de proportionnalité, prévoir des règles claires et précises régissant la portée et l’application de la mesure en cause et imposant des exigences minimales, de telle sorte que les personnes dont les données à caractère personnel font l’objet d’un traitement disposent de garanties suffisantes, permettant de protéger efficacement ces données contre les risques d’abus, ainsi que contre tout accès et toute utilisation illicite de ces données (71). Cette réglementation doit être légalement contraignante en droit interne et, en particulier, indiquer en quelles circonstances et sous quelles conditions une mesure prévoyant le traitement de telles données peut être prise, garantissant ainsi que l’ingérence soit limitée au strict nécessaire, de sorte à ne pas compromettre un objectif d’intérêt général (72).

101. Il découle de cette jurisprudence qu’une limitation absolue et inconditionnelle du droit d’accès aux informations détenues par la CRF, dans laquelle aucune circonstance, aucune condition ni aucune garantie n’est permise pour cette limitation, constitue une ingérence injustifiée dans le droit à la protection des données qui n’est pas compatible avec l’article 15, paragraphe 1, de la directive 2016/680. En l’absence de conditions ou de critères légalement prévus, il n’est possible ni pour l’autorité de contrôle ni pour la juridiction compétente exerçant le contrôle juridictionnel de la décision du responsable du traitement d’examiner la légalité de la limitation imposée.

102. Il convient également d’observer que, en application de l’article 15, paragraphe 4, de la directive 2016/680, le responsable du traitement doit documenter les motifs de fait ou de droit sur lesquels est fondée la décision de refus d’accès ainsi que mettre ces informations à la disposition des autorités de contrôle. L’obligation du responsable du traitement de documenter le refus garantit la responsabilité du responsable du traitement devant l’autorité de contrôle et permet un contrôle juridictionnel effectif (73). En d’autres termes, la possibilité pour le responsable du traitement de refuser l’accès à la personne concernée ne donne pas carte blanche au responsable du traitement (en l’espèce, à la CRF).

103. Les exigences de nécessité et de proportionnalité, qui découlent de l’article 52, paragraphe 1, de la Charte, doivent également être respectées lorsque les États membres déterminent, conformément à l’article 15, paragraphe 2, de la directive 2016/680, les catégories de traitement pour lesquelles des limitations s’appliquent en vertu de l’article 15, paragraphe 1, de cette directive.

104. S’agissant de la réglementation nationale en cause au principal, la juridiction de renvoi a indiqué qu’elle prévoit une limitation absolue du droit d’accès de tous les individus en toutes circonstances et jusqu’à la destruction des données. En effet, l’arrêté du directeur du RAB, qui restreint l’accès à toutes les données de la base de données du RAB, ne semble pas énoncer de règles précises régissant la portée et l’application de la limitation d’accès et n’impose pas non plus d’exigences minimales pour prévenir les risques d’abus et garantir que la CRF applique les limitations pertinentes dans les limites du strict nécessaire. Ainsi que la Commission l’a relevé en substance dans ses observations écrites, la nécessité et la proportionnalité de la limitation du droit doivent être garanties sur la base de critères généraux permettant d’apprécier chaque demande d’accès individuelle.

105. Le gouvernement estonien a indiqué lors de l’audience que le cadre juridique national n’établit pas de limitation absolue ou catégorique. Il a fait valoir que le directeur du RAB dispose d’un pouvoir discrétionnaire pour évaluer et statuer sur chaque demande d’accès. Il a confirmé que ce pouvoir est exercé, par exemple, lorsqu’une personne sait déjà qu’une enquête est en cours ou lorsque le RAB décide de geler les fonds de cette personne.

106. Il appartient à la juridiction de renvoi, compétente pour interpréter son droit national, de vérifier s’il existe, dans le cadre juridique national, des éléments garantissant que la limitation du droit d’accès ne s’applique que dans la mesure où elle est strictement nécessaire pour ne pas compromettre l’objectif d’intérêt général pour lequel la limitation de l’accès est prévue et qu’elle n’est pas arbitraire.

107. Cela étant, ainsi que la Commission l’a relevé à juste titre lors de l’audience, même si l’on considérait que le directeur du RAB dispose d’une marge d’appréciation, les éléments ou critères définissant l’étendue de cette marge d’appréciation doivent être prévus par la mesure nationale pertinente. Or, ces éléments ne ressortent pas de la présentation de la réglementation nationale pertinente.

108. Par conséquent, si le droit national peut prévoir une restriction totale de l’accès aux données détenues par la CRF, il doit néanmoins définir des règles claires et précises régissant la portée et les conditions d’application de la mesure législative en cause et imposant des exigences minimales, de sorte que les personnes dont les données à caractère personnel sont traitées bénéficient de garanties suffisantes quant à la protection effective de ces données contre les risques d’abus ainsi que contre tout accès ou toute utilisation illicites de celles-ci par les CRF ou par toute autre autorité compétente dans le cadre du dispositif de lutte contre le blanchiment de capitaux et le financement du terrorisme (74).

109. En outre, toute limitation totale de l’accès imposée à la personne concernée doit être contrebalancée par le mécanisme prévu à l’article 17 de la directive 2016/680. Cette disposition prévoit l’exercice indirect des droits de la personne concernée par l’autorité de contrôle. Cet exercice indirect s’applique, notamment, dans la situation visée à l’article 15, paragraphe 3, de cette directive, dont le libellé permet au responsable du traitement de ne pas informer la personne concernée du refus ou de la limitation de l’accès ainsi que des motifs de ce refus ou de la limitation, lorsque la communication de ces informations serait susceptible de compromettre l’un des objectifs d’intérêt général énoncés à l’article 15, paragraphe 1, de ladite directive. Conformément à l’article 17, paragraphe 3, lorsque l’autorité de contrôle exerce le droit d’accès au nom de la personne concernée, elle doit au moins l’informer du fait qu’elle a procédé à toutes les vérifications nécessaires ou à un examen.

110. La jurisprudence de la Cour souligne l’importance de l’exercice indirect des droits de la personne concernée afin d’assurer l’existence d’un équilibre approprié entre l’intérêt public justifiant la limitation du droit d’accès et les droits fondamentaux de la personne concernée à la protection des données et à un contrôle juridictionnel effectif au titre de l’article 47 de la Charte. Dans l’arrêt dans l’affaire Ligue des droits humains (Vérification du traitement des données par l’autorité de contrôle), la Cour a jugé que, ainsi que le considérant 48 de la directive 2016/680 le fait ressortir, l’exercice indirect des droits de la personne concernée par l’intermédiaire de l’autorité de contrôle compétente doit être considéré comme étant nécessaire à la protection de ces droits, leur exercice direct auprès du responsable du traitement s’avérant difficile ou même impossible (75).

111. S’agissant du rôle précis de l’autorité de contrôle dans l’exercice indirect de ces droits, la Cour a jugé qu’une telle autorité doit engager avec le responsable du traitement un dialogue confidentiel et, à l’issue de ce dialogue, décider quelles sont les informations nécessaires à l’exercice, par la personne concernée, de son droit à un recours juridictionnel effectif (76).

112. En outre, il ressort de la jurisprudence de la Cour que, dans le cadre du contrôle juridictionnel de l’application correcte de l’article 17 de la directive 2016/680 par l’autorité de contrôle, il incombe aux États membres de prévoir des règles permettant au juge compétent de prendre connaissance de l’ensemble des motifs et des éléments de preuve y afférents sur lesquels l’autorité de contrôle a fondé, dans ce cadre, la vérification de la licéité du traitement de données en cause ainsi que les conclusions qu’elle en a tirées (77). Les informations qui ont été mises à la disposition de l’autorité de contrôle par le responsable du traitement concernant les motifs sur lesquels il fonde sa décision doivent également être mises à la disposition de la juridiction saisie d’un recours contre l’autorité de contrôle (78).

113. Lors de l’audience, le gouvernement estonien a fait valoir que l’autorité nationale de contrôle est compétente pour vérifier la licéité du traitement des données par le RAB. Il appartient à la juridiction de renvoi de vérifier que le droit national garantit la bonne application de l’article 17 de la directive 2016/680.

114. Compte tenu de tout ce qui précède, l’article 15 de la directive 2016/680 doit être interprété en ce sens qu’il s’oppose à une disposition nationale qui limite totalement l’exercice du droit d’accès de la personne concernée à ses données à caractère personnel détenues par une CRF, jusqu’à l’effacement de ces données, sans jamais permettre à la personne concernée d’y avoir accès, dans la mesure où la mesure nationale pertinente ne semble pas prévoir de règles claires et précises régissant la portée et l’application de la mesure en cause et imposant des exigences minimales, de sorte que les personnes dont les données à caractère personnel sont traitées disposent de garanties suffisantes que ces données seront effectivement protégées contre les risques d’abus, ainsi que contre tout accès ou toute utilisation illicites de ces données par la CRF concernée.

C.      Deuxième question

115. Selon une jurisprudence constante, dans le cadre de la procédure de coopération entre les juridictions nationales et la Cour instituée à l’article 267 TFUE, il appartient à celle-ci de donner au juge national une réponse utile qui lui permette de trancher le litige dont il est saisi. Dans cette optique, il incombe, le cas échéant, à la Cour de reformuler les questions qui lui sont soumises (79).

116. Dans la présente affaire, par la première partie de sa deuxième question, la juridiction de renvoi demande si l’article 15, paragraphe 3, de la directive 2016/680 permet à une CRF de ne pas communiquer à la personne concernée l’acte sur la base duquel a été opposé un refus de donner accès aux données à caractère personnel de la personne concernée, afin d’éviter de confirmer ou d’infirmer le fait que ces données ont fait l’objet d’un traitement.

117. Dans ses observations écrites, la Commission a considéré que la deuxième question était irrecevable. Elle a indiqué que la décision de refus d’accès du RAB dans l’affaire au principal faisait explicitement référence au fondement juridique du refus, à savoir l’article 60, paragraphe 1, de la RahaPTS et l’article 23, paragraphe 1, point 1, de l’AvTS.

118. Lors de l’audience, le gouvernement estonien a soutenu que la question était recevable, tandis que le gouvernement néerlandais a soutenu qu’il était inexact de suggérer que la divulgation d’un motif de limitation est susceptible de révéler le fait que des données à caractère personnel ont été traitées. En tout état de cause, la limitation du droit d’accès permettrait de limiter l’information sur le point de savoir si des données sont ou non traitées.

119. À la lumière des explications contenues dans la décision de renvoi, qui se réfère, de manière générale, à la « base juridique » de la limitation, mais également aux motifs « de fait et de droit » de la décision affectant les personnes concernées, la première partie de la deuxième question peut être comprise comme visant à savoir si une CRF peut refuser de communiquer les motifs du refus.

120. Partant, en application de la jurisprudence rappelée au point 115 des présentes conclusions, il y a lieu de considérer que, par sa deuxième question, la juridiction de renvoi demande, en substance, si l’article 15, paragraphe 3, de la directive 2016/680 doit être interprété en ce sens qu’il permet à une CRF de ne pas communiquer les motifs du refus ou de la limitation, afin d’éviter de confirmer ou d’infirmer le fait que ses données personnelles ont fait l’objet d’un traitement, et, dans une telle situation, si les personnes concernées peuvent se voir refuser des informations quant à leur possibilité d’exercer leur droit d’accès par l’intermédiaire de l’autorité de contrôle en vertu de l’article 17, paragraphe 1, de la directive 2016/680.

121. En vertu de l’article 15, paragraphe 3, de la directive 2016/680, lorsqu’une limitation du droit d’accès de la personne concernée s’applique (80), le responsable du traitement informe cette dernière par écrit, dans les meilleurs délais, de tout refus ou de toute limitation d’accès ainsi que des motifs du refus ou de la limitation. De telles informations peuvent toutefois ne pas être communiquées dans le cas où cette disposition risque de compromettre un objectif d’intérêt général (comme le prévoit l’article 15, paragraphe 1, de cette directive) (81).

122. Il découle de cette disposition que, sous réserve des conditions qui y sont énoncées, une CRF est autorisée à fournir une réponse telle que « ni confirmer ni infirmer », en omettant des informations sur le point de savoir si un traitement a été effectué.

123. Toutefois, il découle de l’article 15, paragraphe 3, de la directive 2016/680 que le responsable du traitement est tenu, dans un tel cas, d’informer la personne concernée des possibilités d’introduire une réclamation auprès d’une autorité de contrôle ou de former un recours juridictionnel. Le responsable du traitement est également tenu, conformément à l’article 17, paragraphe 2, de la directive 2016/680, d’informer la personne concernée de la possibilité qu’elle a d’exercer ses droits par l’intermédiaire de l’autorité de contrôle en application de l’article 17, paragraphe 1, de cette directive. Aucune exemption n’est prévue pour la fourniture de ces informations.

124. Cela est dû à l’importance primordiale du droit d’accès indirect par l’intermédiaire de l’autorité de contrôle. Ainsi qu’il a déjà été relevé ci-dessus dans le cadre de l’analyse de la quatrième question (82), l’existence de ce droit compense le refus opposé par le responsable du traitement de fournir toute information relative au traitement des données. Lorsque l’exercice direct du droit d’accès est difficile ou impossible, la personne concernée doit toujours être informée de la possibilité d’exercer indirectement ses droits. En outre, une CRF n’est pas dispensée de l’obligation de documenter les motifs sur lesquels repose la décision de refus d’accès et de mettre ces informations à la disposition des autorités de contrôle, conformément à l’article 15, paragraphe 4, de la directive 2016/680 (83).

125. Eu égard à ce qui précède, l’article 15, paragraphe 3, de la directive 2016/680 doit être interprété en ce sens qu’il permet à une CRF de ne pas communiquer les motifs du refus ou de la limitation, afin d’éviter de confirmer ou d’infirmer le fait que des données à caractère personnel relatives à la personne concernée ont fait l’objet d’un traitement. Toutefois, dans une telle situation, les personnes concernées doivent toujours être informées de la possibilité qu’elles ont d’exercer leur droit d’accès par l’intermédiaire de l’autorité de contrôle en application de l’article 17, paragraphe 1, de la directive 2016/680.

D.      Troisième question

126. Par sa troisième question, la juridiction de renvoi demande, en substance, si l’article 15, paragraphe 1, de la directive 2016/680 doit être interprété en ce sens qu’il s’oppose à une réglementation nationale qui, par une disposition générale, confère au directeur d’une CRF le pouvoir de limiter les droits des personnes concernées, lorsque la compréhension de la finalité, des conditions et de la portée de cette limitation exige la lecture combinée d’autres dispositions, y compris de dispositions de rang inférieur.

127. Il résulte de l’article 15, paragraphe 1, de la directive 2016/680 que toute limitation du droit d’accès des personnes concernées requiert l’adoption par les États membres d’une mesure législative.

128. Il ressort du considérant 33 de cette directive que la référence à une mesure législative ne signifie pas nécessairement que l’adoption d’un acte législatif par un parlement est exigée. Cependant, cette mesure législative doit être claire et précise et son application prévisible pour les justiciables, conformément à la jurisprudence de la Cour et de la Cour européenne des droits de l’homme. Ce considérant indique également que le droit des États membres qui réglemente le traitement des données à caractère personnel devrait préciser au minimum les objectifs, les données à caractère personnel qui feront l’objet d’un traitement, les finalités du traitement et les procédures pour garantir l’intégrité et la confidentialité des données à caractère personnel et les procédures prévues pour la destruction de celles-ci, fournissant ainsi des garanties suffisantes vis-à-vis des risques d’utilisation abusive et d’arbitraire.

129. Dans sa jurisprudence, la Cour a inféré de l’article 8, paragraphe 2, de la Charte, qui ne fait lui-même que refléter, en la concrétisant, l’exigence posée à l’article 52 de la Charte selon laquelle toute limitation de l’exercice de droits fondamentaux reconnus par celle-ci doit notamment être prévue par la loi, que toute base juridique qui permet l’ingérence dans le droit à la protection des données à caractère personnel doit définir elle-même la portée de la limitation à l’exercice de ce droit qu’elle est susceptible d’engendrer (84).

130. En outre, la Cour a jugé, s’agissant de l’exigence posée à l’article 52 de la Charte, que toute ingérence dans le droit à la protection des données à caractère personnel doit être réalisée dans le respect du principe de proportionnalité, ce qui requiert que toute réglementation engendrant une telle ingérence énonce des règles claires et précises régissant la portée et l’application de la mesure en cause et imposant des exigences minimales, de telle sorte que les personnes dont les données à caractère personnel font l’objet d’un traitement disposent de garanties suffisantes, permettant de protéger efficacement ces données contre les risques d’abus, ainsi que contre tout accès et toute utilisation illicite de ces données (85).

131. Il ressort de la jurisprudence de la Cour, qui fait référence à la jurisprudence établie de la Cour européenne des droits de l’homme (ci‑après la « Cour EDH »), que l’expression « fondement prévu par la loi », employée à l’article 8, paragraphe 2, de la Charte, doit être entendue dans son acception matérielle et non formelle (86). De plus, il ressort de la jurisprudence de la Cour EDH que l’acception du terme « loi » dans l’expression « prévue par la loi », visée à l’article 8, paragraphe 2, de la CEDH, implique que ce terme ne se limite pas aux textes législatifs, mais englobe aussi les dispositions juridiques de rang inférieur (87). Elle fait référence au texte en vigueur, tel que les juridictions compétentes l’ont interprété (88).

132. Dès lors, l’exigence énoncée à l’article 15, paragraphe 1, de la directive 2016/680, selon laquelle toute limitation doit être fondée sur des mesures législatives, doit être entendue de manière large de manière à être satisfaite non pas seulement lorsqu’il existe un seul acte législatif régissant tous les aspects de la limitation de l’accès à une certaine catégorie de données, telles que les données détenues par le RAB. La notion de « mesures législatives » est susceptible de couvrir un ensemble de dispositions législatives, y compris des dispositions de rang inférieur, telles qu’interprétées par les juridictions compétentes.

133. Il en est ainsi, toutefois, à condition que les mesures législatives pertinentes permettent une compréhension claire et précise de l’étendue de la limitation qu’elles imposent et que l’application de telles mesures soit prévisible pour les justiciables. L’application d’une mesure adoptée au titre de la directive 2016/680 est prévisible pour les justiciables lorsqu’ils peuvent identifier les circonstances et les conditions dans lesquelles la portée des droits que leur confère cette directive est susceptible de faire l’objet d’une limitation (89).

134. Dans l’affaire au principal, plusieurs actes législatifs prévoient des dispositions pertinentes pour l’exercice du droit d’accès. L’article 60, paragraphe 1, du RahaPTS autorise le directeur du RAB à restreindre l’accès aux données contenues dans la base de données du RAB et à les qualifier d’informations à usage interne. L’arrêté du RAB du 13 mai 2022 prévoit une limitation de l’accès aux données de la base de données du RAB en déclarant que ces données sont destinées à un usage interne. L’article 23, paragraphe 1, point 1, de l’AvTS autorise la limitation de l’accès aux données lorsque le demandeur n’a pas le droit d’y accéder.

135. Ces dispositions semblent être formulées en des termes très généraux sans permettre aux personnes concernées d’identifier dans quelles conditions et dans quelles circonstances une limitation est autorisée et les garanties assurant que les données traitées seront effectivement protégées contre les risques d’abus, ainsi que contre tout accès ou utilisation illicites à ces données (90).

136. Certes, la réglementation interne du RAB contient certaines informations pertinentes pour le traitement des données, à savoir elle spécifie le responsable du traitement des données (le RAB), le type de données introduites dans la base de données (91), la classification de la sécurité des données (92) et la durée de conservation des données concernant une personne figurant dans la base de données (93).

137. Toutefois, ces éléments concernent plus généralement le traitement des données par le RAB sans référence spécifique aux conditions et aux circonstances de la limitation du droit d’accès et aux garanties contre le risque d’abus.

138. Lors de l’audience, le gouvernement estonien a précisé que le directeur du RAB dispose d’un pouvoir discrétionnaire pour décider de donner accès ou non aux données contenues dans la base de données du RAB et qu’il existe des circonstances dans lesquelles cet accès peut être accordé. Toutefois, comme cela a déjà été souligné ci-dessus (94), le cadre législatif pertinent ne semble pas encadrer ce pouvoir d’appréciation ni prévoir des conditions claires et précises pour limiter le droit d’accès. Cela corrobore la conclusion selon laquelle les mesures législatives nationales pertinentes n’apparaissent pas conformes aux normes d’une règle claire et précise dont l’application est prévisible pour la personne concernée cherchant à exercer son droit d’accès, ce qu’il appartient toutefois à la juridiction nationale d’apprécier.

139. Compte tenu de ce qui précède, l’article 15, paragraphe 1, de la directive 2016/680 doit être interprété en ce sens qu’il ne s’oppose pas à une réglementation nationale qui, par une disposition générale, confère au directeur d’une CRF le pouvoir de limiter les droits des personnes concernées, au seul motif que la compréhension de la finalité, des conditions et de la portée de cette limitation exige la lecture combinée d’autres dispositions, y compris de dispositions de rang inférieur. Toutefois, cette même disposition s’oppose à une telle réglementation nationale dans la mesure où la réglementation nationale pertinente ne semble pas énoncer de règles claires et précises régissant la portée et les conditions d’application de la limitation du droit d’accès, de telle sorte que les personnes dont les données à caractère personnel font l’objet d’un traitement disposent de garanties suffisantes que les données traitées seront efficacement protégées contre les risques d’abus, ainsi que contre tout accès et toute utilisation illicites de ces données.

IV.    Conclusion

140. Eu égard aux considérations qui précèdent, je propose à la Cour de répondre aux questions préjudicielles posées par le Riigikohus (Cour Suprême, Estonie) de la manière suivante :

1)       L’article 2, paragraphe 2, sous d), du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) et l’article 2, paragraphe 1, de la directive (UE) 2016/680 du Parlement européen et du Conseil, du 27 avril 2016, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977, lus en combinaison avec l’article 1^er, paragraphe 1, de cette directive,

doivent être interprétés en ce sens que le traitement de données à caractère personnel par une CRF, telle que le RAB, dans l’exercice de sa mission de prévention, de détection et de lutte contre le blanchiment de capitaux et le financement du terrorisme ainsi qu’au regard de ses fonctions et de ses pouvoirs dans ce domaine, doit être considéré comme étant effectué par une autorité compétente, au sens de l’article 3, point 7, de la directive 2016/680, même si la CRF concernée n’est pas une autorité d’enquête au sens du code de procédure pénale national. Le traitement de telles données relève, dès lors, du champ d’application de la directive 2016/680.

2)       L’article 15 de la directive 2016/680

doit être interprété en ce sens qu’il s’oppose à une disposition nationale qui limite totalement l’exercice du droit d’accès de la personne concernée à ses données à caractère personnel détenues par une CRF, jusqu’à l’effacement de ces données, sans jamais permettre à la personne concernée d’y avoir accès, dans la mesure où la mesure nationale pertinente ne semble pas prévoir de règles claires et précises régissant la portée et l’application de la mesure en cause et imposant des exigences minimales, de sorte que les personnes dont les données à caractère personnel sont traitées disposent de garanties suffisantes que ces données seront effectivement protégées contre les risques d’abus, ainsi que contre tout accès ou toute utilisation illicites de ces données par la CRF concernée.

3)       L’article 15, paragraphe 3, de la directive 2016/680

doit être interprété en ce sens qu’il permet à une CRF de ne pas communiquer les motifs du refus ou de la limitation, afin d’éviter de confirmer ou d’infirmer le fait que des données à caractère personnel relatives à la personne concernée ont fait l’objet d’un traitement. Toutefois, dans une telle situation, les personnes concernées doivent toujours être informées de la possibilité qu’elles ont d’exercer leur droit d’accès par l’intermédiaire de l’autorité de contrôle en application de l’article 17, paragraphe 1, de la directive 2016/680.

4)       L’article 15, paragraphe 1, de la directive 2016/680

doit être interprété en ce sens qu’il ne s’oppose pas à une réglementation nationale qui, par une disposition générale, confère au directeur d’une CRF le pouvoir de limiter les droits des personnes concernées, au seul motif que la compréhension de la finalité, des conditions et de la portée de cette limitation exige la lecture combinée d’autres dispositions, y compris de dispositions de rang inférieur. Toutefois, cette même disposition s’oppose à une telle réglementation nationale dans la mesure où la réglementation nationale pertinente ne semble pas énoncer de règles claires et précises régissant la portée et les conditions d’application de la limitation du droit d’accès, de telle sorte que les personnes dont les données à caractère personnel font l’objet d’un traitement disposent de garanties suffisantes que les données traitées seront efficacement protégées contre les risques d’abus, ainsi que contre tout accès et toute utilisation illicites de ces données.

---

1      Langue originale : l’anglais.

---

2      Le GAFI est une organisation intergouvernementale qui établit des normes et élabore et promeut des politiques de lutte contre le blanchiment de capitaux et le financement du terrorisme.

---

3      Voir considérant 4 du règlement (UE) 2024/1624 du Parlement européen et du Conseil, du 31 mai 2024, relatif à la prévention de l’utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme (JO L, 2024/1624) ; Mitsilegas, V. et Vavoula, N., « The evolving EU anti-money laundering regime : Challenges for fundamental rights and the rule of law », Maastricht Journal of European and Comparative Law, Vol. 23, 2^e éd., 2016, p. 261 à 293.

---

4      Voir préambule de la charte du groupe Egmont des cellules de renseignement financier, approuvée en juillet 2013 par les directeurs des cellules de renseignement financier du groupe Egmont.

---

5      Aux termes de cette disposition : « L’accès aux informations contenues dans la base de données de la cellule de renseignement financier et le droit de les soumettre à un traitement sont réservés exclusivement aux fonctionnaires et employés de la cellule de renseignement financier. Sur la base de cette loi, le directeur de la cellule de renseignement financier peut instaurer une limitation d’accès aux informations en déclarant qu’elles sont destinées à un usage interne. [...] ».

---

6      Aux termes de cette disposition : « Le détenteur d’informations refuse de donner suite à une demande d’information si : 1) les restrictions d’accès s’appliquent aux informations demandées et le demandeur n’a pas le droit d’accéder aux informations demandées ; [...] ».

---

7      Directive du Parlement européen et du Conseil du 20 mai 2015 relative à la prévention de l’utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme, modifiant le règlement (UE) n^o 648/2012 du Parlement européen et du Conseil et abrogeant la directive 2005/60/CE du Parlement européen et du Conseil et la directive 2006/70/CE de la Commission (JO 2015, L 141, p. 73).

---

8      Règlement du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (JO 2016, L 119, p. 1).

---

9      RT I, 18.12.2020, 38.

---

10      Directive du Parlement européen et du Conseil du 30 mai 2018 modifiant la directive (UE) 2015/849 ainsi que les directives 2009/138/CE et 2013/36/UE (JO 2018, L 156, p. 43).

---

11      Directive du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision‑cadre 2008/977/JAI du Conseil (JO 2016, L 119, p. 89).

---

12      Arrêt du 30 avril 2024 (C‑470/21, EU:C:2024:370, point 158).

---

13      Le RGPD comporte une clause horizontale à l’article 23, tandis qu’en vertu de la directive 2016/680, chaque droit peut être limité sur une base individuelle. En particulier, en ce qui concerne le droit d’accès de la personne concernée, l’article 15 de la directive 2016/680 permet expressément aux États membres d’adopter des mesures législatives limitant « entièrement ou partiellement » ce droit et d’adopter des mesures législatives afin de déterminer des « catégories de traitement » susceptibles de relever « dans leur intégralité ou en partie » des différentes catégories de motifs de limitation. La doctrine observe à juste titre que même si les droits des personnes concernées, y compris le droit d’accès, peuvent également être limités en vertu du RGPD, il existe davantage de possibilités de limitations au titre de la directive 2016/680, ce qui rend plus probable qu’une personne demandant l’accès à des données auprès d’une autorité répressive reçoive un type de réponse « ni confirmé ni refusé », voir Mouzakiti, F., « Cooperation between Financial Intelligence Units in the European Union : Stuck in the middle between the General Data Protection Regulation and the Police Data Protection Directive », 2020, vol. 11, 3^e éd., New Journal of European Criminal Law, p. 351 à 374, p. 366.

---

14      Les décisions d’adéquation de la Commission au titre de l’article 46 du RGPD déterminant si un pays tiers offre un niveau de protection adéquat ne s’appliquent pas aux échanges de données au titre de la directive 2016/680 pour lesquels il doit y avoir une décision d’adéquation distincte au titre de l’article 36 de cette dernière. En l’absence d’une telle décision, les transferts peuvent avoir lieu sous réserve de garanties appropriées, conformément à l’article 37 de la directive 2016/680.

---

15      Règlement du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) n^o 45/2001 et la décision n^o 1247/2002/CE (JO 2018, L 295, p. 39).

---

16      Voir considérant 10 du RGPD.

---

17      Arrêt du 24 février 2022, Valsts ieņēmumu dienests (Traitement des données personnelles à des fins fiscales) (C‑175/20, EU:C:2022:124, point 40).

---

18      Arrêt du 24 février 2022, Valsts ieņēmumu dienests (Traitement des données personnelles à des fins fiscales) (C‑175/20, EU:C:2022:124, point 42 et jurisprudence citée).

---

19      Voir Vogiatzoglou, P., « Scope » in Kosta, E. et Boehm, F. (éd.), The EU Law Enforcement Directive (LED), Oxford University Press, Oxford, 2024, p. 67 à 77, spéc. p. 74.

---

20      Arrêt du 24 février 2022, Valsts ieņēmumu dienests (Traitement des données personnelles à des fins fiscales) (C‑175/20, EU:C:2022:124, point 43 et jurisprudence citée).

---

21      Voir considérant 11 de la directive 2016/680.

---

22      Arrêt du 24 février 2022, Valsts ieņēmumu dienests (Traitement des données personnelles à des fins fiscales) (C‑175/20, EU:C:2022:124, point 42 et jurisprudence citée).

---

23      Voir, à cet égard, arrêt du 21 juin 2022, Ligue des droits humains (C‑817/19, EU:C:2022:491, point 67). Voir Brewczyńska, M., « A critical reflection on the material scope of the application of the Law Enforcement Directive and its boundaries with the General Data Protection Regulation » dans Kosta, E., e.a. (éd.), Research handbook on EU data protection law, Edward Elgar, Cheltenham, 2022, p. 91 à 114, spéc. p. 104.

---

24      Il ressort de l’article 23, paragraphe 1, sous d) et h), du RGPD que les traitements de données à caractère personnel effectués par des particuliers à des fins répressives visées à l’article 2, paragraphe 2, sous d), de ce règlement relèvent du champ d’application de celui-ci, voir arrêt du 21 juin 2022, Ligue des droits humains (C‑817/19, EU:C:2022:491, point 68 et jurisprudence citée).

---

25      Ainsi qu’il découle des considérants 11 et 12 de la directive 2016/680, le RGPD s’applique au traitement de données à caractère personnel qui serait effectué par une « autorité compétente », au sens de l’article 3, point 7, de cette directive, mais à d’autres fins non répressives. Arrêt du 24 février 2022, Valsts ieņēmumu dienests (Traitement des données personnelles à des fins fiscales) (C‑175/20, EU:C:2022:124, point 43 et jurisprudence citée).

---

26      Le Ceļu satiksmes drošības direkcija (direction de la sécurité routière, Lettonie).

---

27      Arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité) (C‑439/19, EU:C:2021:504, point 72).

---

28      Arrêt du 24 février 2022, Valsts ieņēmumu dienests (Traitement des données personnelles à des fins fiscales) (C‑175/20, EU:C:2022:124, point 44).

---

29      Directive du Parlement européen et du Conseil du 27 avril 2016 relative à l’utilisation des données des dossiers passagers (PNR) pour la prévention et la détection des infractions terroristes et des formes graves de criminalité, ainsi que pour les enquêtes et les poursuites en la matière (JO 2016, L 119, p. 132 ; ci-après la « directive PNR »).

---

30      Arrêt du 21 juin 2022, Ligue des droits humains (C‑817/19, EU:C:2022:491, point 80).

---

31      Arrêt du 30 avril 2024, La Quadrature du Net e.a. (Données personnelles et lutte contre la contrefaçon) (C‑470/21, EU:C:2024:370, points 158 et 159).

---

32      Pour un aperçu de l’histoire des CRF dans le domaine de la lutte contre le blanchiment de capitaux, voir Parlement européen : Service de recherche du Parlement européen et Scherrer, A., Lutte contre les infractions fiscales – Coopération entre cellules de renseignement financier, Évaluation Ex-post de l’impact, mars 2017, p. 8 (ci-après l’« étude du Parlement européen de 2017 ») ; Mitsilegas, V., « New forms of transnational policing : The emergence of financial intelligence units in the European Union and the challenges for human rights : Part 1 », Journal of Money Laundering Control, vol. 3, 2^e éd., 1999, p. 147. La coopération des unités spécialisées en matière de renseignement financier s’est matérialisée lors du premier « groupe Egmont » en 1995. En 2003, le GAFI a adopté une série révisée de 40 recommandations qui comprenaient formellement une recommandation relative à la création et au fonctionnement des CRF. Les recommandations du GAFI de 2012, mises à jour en juin 2026, contiennent une recommandation sur les CRF (recommandation n^o 29).

---

33      Décision du Conseil du 17 octobre 2000 relative aux modalités de coopération entre les cellules de renseignement financier des États membres en ce qui concerne l’échange d’informations (JO 2000, L 271, p. 4).

---

34      Ancien article 34, paragraphe 2, sous c), TUE.

---

35      Voir Fonds monétaire international, Les cellules de renseignements financiers, tour d’horizon, 2004 (disponible à l’adresse suivante : https://www.elibrary.imf.org/display/book/9781589063624/9781589063624.xml), p. 9. L’étude du Parlement européen de 2017 fait référence, aux pages 13 et 14, à un rapport de 2016 élaboré par la plateforme des CRF de l’Union, dans lequel il est fait référence à trois modèles de CRF, à savoir administratives, répressives (ou judiciaires) et hybrides. Les modèles de CRF auxquels ce rapport a fait référence sont répartis comme suit : douze CRF de l’Union sont de nature administrative, placées au sein, par exemple, du ministère des Finances, du ministère de la Justice ou du ministère de l’Intérieur, ou intégrées à la Banque centrale ou à une autorité de contrôle, citant la Belgique, la Bulgarie, la République tchèque, l’Espagne, la France, la Croatie, l’Italie, la Lettonie, Malte, la Pologne, la Roumanie et la Slovénie ; onze CRF de l’Union sont organisées selon un modèle répressif (police et/ou justice), citant l’Autriche, l’Estonie, la Finlande, l’Allemagne, l’Irlande, la Lituanie, le Portugal, la Slovaquie, la Suède, le Luxembourg et le Royaume-Uni ; cinq CRF se sont définies comme étant de nature hybride du fait de la combinaison d’éléments policiers et administratifs, citant le Danemark, la Grèce, Chypre, la Hongrie et les Pays-Bas. Sur les raisons de la conception des CRF, voir Masciandaro, D., et Volpicella, A., « Designing financial supervision : The puzzling case of the FIUs against money laundering », Journal of Financial Regulation, Vol. 2, 1^re éd., 2016, p. 79 à 113.

---

36      Voir considérant 14 directive (UE) 2019/1153 du Parlement européen et du Conseil, du 20 juin 2019, fixant les règles facilitant l’utilisation d’informations financières et d’une autre nature aux fins de la prévention ou de la détection de certaines infractions pénales, ou des enquêtes ou des poursuites en la matière, et abrogeant la décision 2000/642/JAI du Conseil (JO 2019, L 186, p. 122).

---

37      Voir article 52 de la directive 2015/849, aux termes duquel les CRF coopèrent dans la plus grande mesure possible, « quel que soit leur statut ».

---

38      Voir considérant 14 de la directive 2019/1153. Cette directive, adoptée en vertu de l’article 87, paragraphe 2, TFUE, relatif à la coopération policière (et qui a abrogé la décision 2000/642), visait à renforcer l’échange d’informations financières avec les autorités compétentes désignées, la sécurité juridique et l’efficacité opérationnelle. L’article 1^er, paragraphe 2, sous a), de ladite directive précise qu’elle est sans préjudice de la directive 2015/849 et des dispositions y afférentes du droit national, « notamment [du] statut organisationnel conféré aux CRF par le droit national, ainsi que [de] leur indépendance et leur autonomie opérationnelles ».

---

39      Selon les États membres, les CRF peuvent se voir confier d’autres missions et fonctions pour autant qu’elles n’interfèrent pas avec leur mission principale. Le gouvernement estonien a fait valoir que le RAB a également un rôle de contrôle. Toutefois, l’affaire au principal porte sur le droit d’accès des données détenues par une CRF dans l’exercice de sa mission et de ses fonctions essentielles.

---

40      Elle reçoit des informations des entités assujetties auxquelles s’applique la directive 2015/849, conformément à l’article 2, paragraphe 1, de celle-ci. Les entités assujetties sont tenues d’informer les CRF, y compris en établissant un rapport sur toute transaction suspecte, conformément à l’article 33 de cette directive.

---

41      À cette fin, chaque État membre doit veiller, conformément à l’article 8 de la directive 2019/1153, à ce que ses autorités compétentes désignées soient tenues de donner suite, en temps utile, aux demandes d’informations en matière répressive présentées par la CRF, au cas par cas, lorsque ces informations sont nécessaires pour prévenir, détecter et combattre le blanchiment de capitaux, les infractions sous-jacentes associées et le financement du terrorisme.

---

42      Cela étant, même lorsque les CRF sont situées au sein de la structure de la police ou d’une juridiction, elles doivent rester indépendantes et distinctes sur le plan opérationnel. Voir article 19, paragraphe 4, de la directive (UE) 2024/1640 du Parlement européen et du Conseil, du 31 mai 2024, relative aux mécanismes à mettre en place par les États membres pour prévenir l’utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme, modifiant la directive (UE) 2019/1937, et modifiant et abrogeant la directive 2015/849 (JO L, 2024/1640) (la sixième directive anti-blanchiment, à laquelle les États membres doivent se conformer avant le 10 juillet 2027).

---

43      Mouzakiti, F., note de bas de page 13, op. cit., p. 373, qui décrit les CRF comme de « nouvelles institutions de police ».

---

44      Le Royaume des Pays-Bas, dans ses observations orales, s’est abstenu de prendre position sur la question du cadre juridique en matière de protection des données applicable aux CRF.

---

45      Sur cette base, la directive (UE) 2018/1673 du Parlement européen et du Conseil, du 23 octobre 2018, visant à lutter contre le blanchiment de capitaux au moyen du droit pénal (JO 2018, L 284, p. 22) définit les exigences relatives à la criminalisation du blanchiment de capitaux.

---

46      Cela est également souligné par le Conseil de l’Europe : comité d’experts sur l’évaluation des mesures de lutte contre le blanchiment de capitaux et le financement du terrorisme (Moneyval) dans la présentation des fonctions des CRF (disponible à l’adresse suivante : https://www.coe.int/fr/web/moneyval/implementation/fiu). Selon l’association Transparency International, lorsqu’elles analysent des informations, les CRF « connectent des fragments qu’aucune banque ou autorité ne peut voir seule » [traduction libre] (voir https://www.transparency.org/en/news/financial-intelligence-units-powerful-tools-against-corruption).

---

47      Mouzakiti, F., « Cooperation between Financial Intelligence Units in the European Union : Stuck in the middle between the General Data Protection Regulation and the Police Data Protection Directive », note de bas de page 13, op. cit., p. 353.

---

48      Voir Sénat français, « Rapport fait au nom de la commission d’enquête aux fins d’évaluer les outils de la lutte contre la délinquance financière, la criminalité organisée et le contournement des sanctions internationales, en France et en Europe, et de proposer des mesures face aux nouveaux défis », Vol. I, 18 juin 2005, p. 197, soulignant que la CRF française (Tracfin) se situe « à la frontière entre les volets préventif et répressif ».

---

49      Arrêt du 30 avril 2024 (C‑470/21, EU:C:2024:370).

---

50      Point 42 des présentes conclusions.

---

51      Arrêt du 30 avril 2024, La Quadrature du Net e.a. (Données personnelles et lutte contre la contrefaçon) (C‑470/21, EU:C:2024:370, point 158).

---

52      Arrêt du 30 avril 2024, La Quadrature du Net e.a. (Données personnelles et lutte contre la contrefaçon) (C‑470/21, EU:C:2024:370, point 158).

---

53      Voir point 41 des présentes conclusions.

---

54      Arrêt du 21 juin 2022 (C‑817/19, EU:C:2022:491, points 79 et 80).

---

55      Voir point 36 des présentes conclusions.

---

56      Voir point 43 des présentes conclusions.

---

57      Par souci d’exhaustivité, j’indique que, ainsi qu’il découle du considérant 14 de la directive 2016/680, celle-ci ne s’applique pas au traitement de données effectué dans le cadre d’une activité ne relevant pas du champ d’application du droit de l’Union, en particulier les activités relatives à la sécurité nationale.

---

58      Cela est corroboré par l’arrêt du 21 juin 2022, Ligue des droits humains (C‑817/19, EU:C:2022:491), dans lequel la Cour a jugé que les UIP doivent être qualifiées d’« autorités compétentes » au sens de la directive 2016/680. Une telle qualification n’a pas été exclue par le fait que les UIP transfèrent des données PNR ou le résultat d’un traitement aux autorités compétentes.

---

59      Tous, à l’exclusion du gouvernement néerlandais, qui n’a pas pris position sur cette question.

---

60      Décision-cadre du Conseil du 27 novembre 2008 relative à la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire en matière pénale (JO 2008, L 350, p. 60).

---

61      Voir article 19, paragraphe 4, second alinéa, de la directive 2024/1640.

---

62      À savoir permettre à l’entité assujettie ou à l’autorité nationale compétente d’accomplir ses tâches comme il convient et éviter de faire obstacle aux demandes de renseignements, analyses, enquêtes ou procédures à caractère officiel ou judiciaire, menées aux fins de cette directive et ne pas compromettre la prévention et la détection des cas de blanchiment de capitaux ou de financement du terrorisme ni les enquêtes en la matière. L’existence d’une telle restriction sectorielle spécifique du droit d’accès de la personne concernée en ce qui concerne l’interdiction de divulgation peut s’expliquer par le fait que la directive 2015/849 est antérieure à l’adoption de l’instrument de protection des données de l’Union à des fins répressives, à savoir la directive 2016/680. La directive 2024/1640, qui, comme indiqué ci-dessus (point 81 des présentes conclusions), abroge la directive 2015/849, ne contient plus cette disposition relative à la restriction du droit d’accès.

---

63      Soit à un organisme d’autorégulation de la profession selon les conditions énoncées à l’article 34 de la directive 2015/849.

---

64      Voir point 60 des présentes conclusions.

---

65      Dans l’hypothèse où la Cour considérerait que l’article 41, paragraphe 4, de la directive 2015/849 est applicable à l’égard de l’ensemble des données détenues par les CRF, mon analyse relative à la quatrième question demeure pertinente dans la mesure où cette disposition reflète, en substance, les principales conditions de limitation du droit d’accès prévues à l’article 15, paragraphe 1, de la directive 2016/680.

---

66      Voir Dimitrova, D., « Limitations to the right of access » dans Kosta, E., et Boehm, F. (éd.), note de bas de page 19, op.cit., p. 288.

---

67      Arrêt du 6 octobre 2020, Privacy International (C‑623/17, EU:C:2020:790, point 64).

---

68      Voir article 38, paragraphe 2, et article 42 de la directive 2015/849 et article 61, paragraphe 3, troisième alinéa, troisième phrase, de cette directive.

---

69      Arrêt du 22 novembre 2022, Luxembourg Business Registers (C‑37/20 et C‑601/20, EU:C:2022:912, point 63).

---

70      Arrêt du 22 novembre 2022, Luxembourg Business Registers (C‑37/20 et C‑601/20, EU:C:2022:912, point 64).

---

71      Arrêt du 18 juin 2026, NTH Haustechnik (C‑484/24, EU:C:2026:496, point 72 et jurisprudence citée).

---

72      Arrêt du 6 octobre 2020, Privacy International (C‑623/17, EU:C:2020:790, point 68 et jurisprudence citée).

---

73      Voir Dimitrova, D., note de bas de page 66, op. cit., p. 292, qui souligne que l’obligation de documentation vise à garantir que les restrictions ne seront pas imposées de manière aléatoire.

---

74      Ces garanties devraient être sans préjudice des garanties prévues par le droit pénal national dans le cas où la personne concernée est formellement accusée d’une infraction pénale.

---

75      Arrêt du 16 novembre 2023, Ligue des droits humains (Vérification du traitement des données par l’autorité de contrôle) (C‑333/22, EU:C:2023:874, point 44).

---

76      Arrêt du 16 novembre 2023, Ligue des droits humains (Vérification du traitement des données par l’autorité de contrôle) (C‑333/22, EU:C:2023:874, point 66).

---

77      Arrêt du 16 novembre 2023, Ligue des droits humains (Vérification du traitement des données par l’autorité de contrôle) (C‑333/22, EU:C:2023:874, point 69 et jurisprudence citée).

---

78      Arrêt du 16 novembre 2023, Ligue des droits humains (Vérification du traitement des données par l’autorité de contrôle) (C‑333/22, EU:C:2023:874, point 70).

---

79      Arrêt du 16 juillet 2026, AEDT et État du Grand-Duché de Luxembourg (C‑158/25, EU:C:2026:591, point 21).

---

80      Voir points 88 et suivants des présentes conclusions.

---

81      Arrêt du 16 novembre 2023, Ligue des droits humains (Vérification du traitement des données par l’autorité de contrôle) (C‑333/22, EU:C:2023:874, point 42).

---

82      Voir point 109 des présentes conclusions.

---

83      Voir point 102 des présentes conclusions.

---

84      Arrêt du 18 juin 2026, NTH Haustechnik (C‑484/24, EU:C:2026:496, point 71 et jurisprudence citée).

---

85      Arrêt du 18 juin 2026, NTH Haustechnik (C‑484/24, EU:C:2026:496, point 72 et jurisprudence citée).

---

86      Arrêt du 18 juin 2026, NTH Haustechnik (C‑484/24, EU:C:2026:496, point 74 et jurisprudence citée).

---

87      Cour EDH, 23 janvier 2025, H.W. c. France (CE:ECHR:2025:0123JUD001380521, § 65 et jurisprudence citée).

---

88      Voir, à cet égard, arrêt du 18 juin 2026, NTH Haustechnik (C‑484/24, EU:C:2026:496, point 75), citant à cet égard l’arrêt de la Cour EDH du 23 janvier 2025, H.W. c. France (CE:ECHR:2025:0123JUD001380521, § 65 et jurisprudence citée).

---

89      Voir, à cet égard, arrêt du 24 février 2022, Valsts ieņēmumu dienests (Traitement des données personnelles à des fins fiscales) (C‑175/20, EU:C:2022:124, point 56).

---

90      Voir points 100 et suivants des présentes conclusions.

---

91      Articles 8 à 17 du règlement d’exploitation de la base de données du RAB.

---

92      Le niveau de sécurité des données traitées est désigné comme « élevé » à l’article 5, paragraphe 2, du règlement d’exploitation de la base de données du RAB.

---

93      L’article 26, paragraphe 1, du règlement d’exploitation de la base de données du RAB précise que les données de la base de données et les documents inscrits dans la base de données concernant une personne y sont conservés pendant quinze ans après la clôture de la notification ou du dossier concerné. Les données relatives à une personne, les liens de la personne avec d’autres données et les documents relatifs à la personne sont supprimés de la base de données de manière à garantir l’intégrité des données relatives aux personnes, aux signalements et aux fichiers.

---

94      Voir point 107 des présentes conclusions.