CJUE, 2e ch., 14 février 2019, n° C-345/17

LA COUR (deuxième chambre),

1 La demande de décision préjudicielle porte sur l'interprétation de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO 1995, L 281, p. 31), et notamment de son article 9.

2 Cette demande a été présentée dans le cadre d'un litige opposant M. Sergejs Buivids à la Datu valsts inspekcija (Autorité nationale de la protection des données, Lettonie) au sujet d'un recours visant à déclarer illégale une décision de cette autorité, selon laquelle M. Buivids aurait violé la législation nationale en publiant sur le site Internet www.youtube.com une vidéo, filmée par lui-même, de la prise de sa déposition dans les locaux du commissariat de la police nationale dans le cadre d'une procédure d'infraction administrative.

Le cadre juridique

Le droit de l'Union

3 Avant son abrogation par le règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO 2016, L 119, p. 1), la directive 95/46 qui, selon son article 1er, avait pour objet la protection des libertés et des droits fondamentaux des personnes physiques, notamment du droit à la vie privée, à l'égard du traitement des données à caractère personnel, ainsi que l'élimination des obstacles à la libre circulation de ces données, énonçait, à ses considérants 2, 14, 15, 17, 27 et 37 :

" (2) considérant que les systèmes de traitement de données sont au service de l'homme ; qu'ils doivent, quelle que soit la nationalité ou la résidence des personnes physiques, respecter les libertés et droits fondamentaux de ces personnes, notamment la vie privée, et contribuer au progrès économique et social, au développement des échanges ainsi qu'au bien-être des individus ;

[...]

(14) considérant que, compte tenu de l'importance du développement en cours, dans le cadre de la société de l'information, des techniques pour capter, transmettre, manipuler, enregistrer, conserver ou communiquer les données constituées par des sons et des images, relatives aux personnes physiques, la présente directive est appelée à s'appliquer aux traitements portant sur ces données ;

(15) considérant que les traitements portant sur de telles données ne sont couverts par la présente directive que s'ils sont automatisés ou si les données sur lesquelles ils portent sont contenues ou sont destinées à être contenues dans un fichier structuré selon des critères spécifiques relatifs aux personnes, afin de permettre un accès aisé aux données à caractère personnel en cause ;

[...]

(17) considérant que, pour ce qui est des traitements de sons et d'images mis en œuvre à des fins de journalisme ou d'expression littéraire ou artistique, notamment dans le domaine audiovisuel, les principes de la directive s'appliquent d'une manière restreinte selon les dispositions prévues à l'article 9 ;

[...]

(27) considérant que la protection des personnes doit s'appliquer aussi bien au traitement de données automatisé qu'au traitement manuel ; que le champ de cette protection ne doit pas en effet dépendre des techniques utilisées, sauf à créer de graves risques de détournement ; que, toutefois, s'agissant du traitement manuel, la présente directive ne couvre que les fichiers et ne s'applique pas aux dossiers non structurés ;

[...]

(37) considérant que le traitement de données à caractère personnel à des fins de journalisme ou d'expression artistique ou littéraire, notamment dans le domaine audiovisuel, doit bénéficier de dérogations ou de limitations de certaines dispositions de la présente directive dans la mesure où elles sont nécessaires à la conciliation des droits fondamentaux de la personne avec la liberté d'expression, et notamment la liberté de recevoir ou de communiquer des informations, telle que garantie notamment à l'article 10 de la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales[, signée à Rome le 4 novembre 1950] ; qu'il incombe donc aux États membres, aux fins de la pondération entre les droits fondamentaux, de prévoir les dérogations et limitations nécessaires en ce qui concerne les mesures générales relatives à la légalité du traitement des données, [...] "

4 L'article 2 de la directive 95/46 disposait :

" Aux fins de la présente directive, on entend par :

a) "données à caractère personnel" : toute information concernant une personne physique identifiée ou identifiable (personne concernée) ; est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d'identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale ;

b) "traitement de données à caractère personnel" (traitement) : toute opération ou ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, ainsi que le verrouillage, l'effacement ou la destruction ;

[...]

d) "responsable du traitement" : la personne physique ou morale, l'autorité publique, le service ou tout autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement de données à caractère personnel ; lorsque les finalités et les moyens du traitement sont déterminés par des dispositions législatives ou réglementaires nationales ou [de l'Union], le responsable du traitement ou les critères spécifiques pour le désigner peuvent être fixés par le droit national ou [de l'Union] ;

[...] "

5 L'article 3 de cette directive, intitulé " Champ d'application ", prévoyait :

" 1. La présente directive s'applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu'au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier.

2. La présente directive ne s'applique pas au traitement de données à caractère personnel :

- mis en œuvre pour l'exercice d'activités qui ne relèvent pas du champ d'application du droit communautaire, telles que celles prévues aux titres V et VI du traité sur l'Union européenne [dans sa version antérieure à l'entrée en vigueur du traité de Lisbonne], et, en tout état de cause, aux traitements ayant pour objet la sécurité publique, la défense, la sûreté de l'État (y compris le bien-être économique de l'État lorsque ces traitements sont liés à des questions de sûreté de l'État) et les activités de l'État relatives à des domaines du droit pénal,

- effectué par une personne physique pour l'exercice d'activités exclusivement personnelles ou domestiques. "

6 L'article 7 de ladite directive était libellé comme suit :

" Les États membres prévoient que le traitement de données à caractère personnel ne peut être effectué que si :

[...]

f) il est nécessaire à la réalisation de l'intérêt légitime poursuivi par le responsable du traitement ou par le ou les tiers auxquels les données sont communiquées, à condition que ne prévalent pas l'intérêt ou les droits et libertés fondamentaux de la personne concernée, qui appellent une protection au titre de l'article 1er paragraphe 1. "

7 L'article 9 de la même directive disposait :

" Les États membres prévoient, pour les traitements de données à caractère personnel effectués aux seules fins de journalisme ou d'expression artistique ou littéraire, des exemptions et dérogations au présent chapitre, au chapitre IV et au chapitre VI dans la seule mesure où elles s'avèrent nécessaires pour concilier le droit à la vie privée avec les règles régissant la liberté d'expression. "

Le droit letton

8 Conformément à l'article 1er de la Fizisko personu datu aizsardzibas likums (loi relative à la protection des données à caractère personnel des personnes physiques), du 23 mars 2000 (Latvijas Vestnesis, 2000, no 123/124, ci-après la " loi relative à la protection des données "), l'objectif de celle-ci est de protéger les droits et libertés fondamentaux des personnes physiques, notamment leur vie privée, à l'égard du traitement des données à caractère personnel des personnes physiques.

9 Conformément à l'article 2, point 3, de la loi relative à la protection des données, on entend par " données à caractère personnel ", toute information concernant une personne physique identifiée ou identifiable.

10 Aux termes de l'article 2, point 4, de cette loi, on entend par " traitement de données à caractère personnel ", toute opération appliquée à des données à caractère personnel, telles que la collecte, l'enregistrement, la saisie, la conservation, l'adaptation, la modification, l'utilisation, le transfert, la transmission et la diffusion, le verrouillage ou l'effacement des données.

11 L'article 3, paragraphe 1, de la loi relative à la protection des données dispose que cette loi, compte tenu des exceptions prévues par ladite disposition, s'applique au traitement de tous les types de données à caractère personnel et à toute personne physique ou morale si :

- le responsable du traitement est enregistré en Lettonie ;

- le traitement des données se fait hors des frontières lettonnes, dans des territoires qui appartiennent à la République de Lettonie conformément à des accords internationaux ;

- le matériel utilisé pour le traitement des données à caractère personnel se trouve sur le territoire de la République de Lettonie, à l'exception des cas où le matériel est utilisé uniquement pour le transfert de données à caractère personnel par le territoire de la République de Lettonie.

12 L'article 3, paragraphe 3, de la même loi prévoit que celle-ci ne s'applique pas au traitement des données à caractère personnel que des personnes physiques effectuent à des fins personnelles ou domestiques et familiales.

13 Selon l'article 5 de la loi relative à la protection des données, les articles 7 à 9, 11 et 21 de celle-ci ne s'appliquent pas si les données à caractère personnel sont traitées à des fins de journalisme conformément à la Par presi un citiem masu informacijas lidzekliem likums (loi sur la presse et les autres médias), ou à des fins artistiques ou littéraires, sauf disposition légale contraire.

14 L'article 8, paragraphe 1, de la loi relative à la protection des données prévoit que lors de la collecte de données à caractère personnel auprès de la personne concernée, le responsable du traitement est tenu de lui fournir les informations suivantes, à moins que la personne concernée ne soit déjà en possession de ces informations :

- les nom et prénom, ainsi que l'adresse du responsable du traitement ;

- la finalité prévue pour le traitement des données à caractère personnel.

Le litige au principal et les questions préjudicielles

15 Alors qu'il se trouvait dans les locaux du commissariat de la police nationale, M. Buivids a filmé la prise de sa déposition dans le cadre d'une procédure d'infraction administrative.

16 M. Buivids a publié la vidéo ainsi filmée (ci-après la " vidéo en cause "), qui montrait des membres de la police et leur activité dans le commissariat, sur le site Internet www.youtube.com. Ce dernier est un site qui permet aux utilisateurs de publier, de regarder et de partager des vidéos.

17 À la suite de cette publication, l'Autorité nationale de la protection des données a considéré, dans une décision du 30 août 2013, que M. Buivids avait violé l'article 8, paragraphe 1, de la loi relative à la protection des données, au motif qu'il n'avait pas donné aux membres de la police, en leur qualité de personnes concernées, les informations visées à cette disposition portant sur la finalité du traitement des données à caractère personnel les concernant. M. Buivids n'aurait pas non plus communiqué à l'Autorité nationale de la protection des données les informations relatives à la finalité de l'enregistrement de la vidéo en cause et de sa publication sur un site Internet, qui attesteraient de ce que l'objectif poursuivi était conforme à la loi relative à la protection des données. L'Autorité nationale de la protection des données a dès lors demandé à M. Buivids de faire en sorte que cette vidéo soit supprimée du site Internet www.youtube.com et d'autres sites Internet.

18 M. Buivids a saisi l'administrativa rajona tiesa (tribunal administratif de district, Lettonie) d'une demande visant à déclarer illégale cette décision de l'Autorité nationale de la protection des données et à obtenir réparation du préjudice qu'il estimait avoir subi. M. Buivids a indiqué dans sa demande que, par la publication de la vidéo en cause, il avait tenté d'attirer l'attention de la société sur une action de la police qu'il considérait comme illégale. Ladite juridiction a rejeté cette demande.

19 Par arrêt du 11 novembre 2015, l'Administrativa apgabaltiesa (Cour administrative régionale, Lettonie) a rejeté le recours formé par M. Buivids contre la décision de l'administrativa rajona tiesa (tribunal administratif de district).

20 L'Administrativa apgabaltiesa (Cour administrative régionale) a fondé sa décision sur le fait que, sur la vidéo en cause, il était possible de voir le commissariat de police, plusieurs membres de la police dans l'exercice de leurs fonctions, d'entendre la conversation enregistrée avec des membres de la police pendant l'exécution d'actes de nature procédurale, ainsi que d'entendre les voix de membres de la police, de M. Buivids et de son compagnon.

21 Par ailleurs, il ne serait pas possible de déterminer si le droit de M. Buivids à la liberté d'expression ou le droit d'autres personnes au respect de la vie privée doit primer, dès lors que M. Buivids n'aurait pas indiqué quelle était la finalité de la publication de la vidéo en cause. De même, cette vidéo ne montrerait pas de faits d'actualité présentant un intérêt pour la société ni d'agissement malhonnête de la part de membres de la police. Comme M. Buivids n'aurait pas enregistré la vidéo en cause à des fins de journalisme, au sens de la loi sur la presse et les autres médias, ni à des fins littéraires ou artistiques, l'article 5 de la loi relative à la protection des données ne serait pas applicable.

22 L'Administrativa apgabaltiesa (Cour administrative régionale) en a conclu que, en filmant les membres de la police dans l'exercice de leurs fonctions sans leur communiquer les informations relatives à la finalité du traitement de leurs données à caractère personnel, M. Buivids avait violé l'article 8, paragraphe 1, de la loi relative à la protection des données.

23 M. Buivids a saisi la juridiction de renvoi, l'Augstaka tiesa (Cour suprême, Lettonie), d'un pourvoi en cassation contre l'arrêt de l'Administrativa apgabaltiesa (Cour administrative régionale), en invoquant son droit à la liberté d'expression.

24 M. Buivids a notamment fait valoir que la vidéo en cause montrait des fonctionnaires de la police nationale, c'est-à-dire des personnes publiques dans un lieu accessible au public, qui ne relèveraient pas, à ce titre, du champ d'application personnel de la loi relative à la protection des données.

25 La juridiction de renvoi émet des doutes, d'une part, sur la question de savoir si le fait de filmer, dans un commissariat de police, des membres de la police dans l'exercice de leurs fonctions et le fait de publier la vidéo ainsi enregistrée sur Internet relèvent du champ d'application de la directive 95/46. À cet égard, si elle est d'avis que le comportement de M. Buivids ne relève pas des exceptions au champ d'application de cette directive, telles que visées à l'article 3, paragraphe 2, de celle-ci, elle souligne toutefois qu'il est question en l'occurrence d'un enregistrement qui n'a eu lieu qu'une seule fois et que M. Buivids a filmé des membres de la police dans l'exercice de leurs fonctions publiques, à savoir lorsqu'ils représentaient le pouvoir public. Or, se référant au point 95 des conclusions de l'avocat général Bobek dans l'affaire Rigas satiksme (C 13/16, EU:C:2017:43), la juridiction de renvoi relève que la principale préoccupation qui justifie le fait que les données à caractère personnel soient protégées est le risque lié au traitement de celles-ci à grande échelle.

26 D'autre part, la juridiction de renvoi s'interroge sur l'interprétation de la notion de " aux seules fins de journalisme ", figurant à l'article 9 de la directive 95/46, ainsi que sur la question de savoir si cette notion est susceptible de recouvrir des faits tels que ceux reprochés à M. Buivids.

27 Dans ces conditions, l'Augstaka tiesa (Cour suprême) a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :

1) Les actions telles que celles en cause dans la présente affaire (filmer des membres de la police dans un commissariat de police pendant l'exécution d'actes de nature procédurale et publier la vidéo ainsi enregistrée sur le site Internet www.youtube.com) relèvent-elles du champ d'application de la directive 95/46 ?

2) Convient-il d'interpréter la directive 95/46 en ce sens que les actions susmentionnées peuvent être considérées comme un traitement de données à caractère personnel aux fins de journalisme, au sens de l'article 9 de la directive [95/46] ? "

Sur les questions préjudicielles

Sur la première question

28 Par sa première question, la juridiction de renvoi demande, en substance, si l'article 3 de la directive 95/46 doit être interprété en ce sens que relèvent du champ d'application de cette directive l'enregistrement vidéo de membres de la police au sein d'un commissariat, lors d'une prise de déposition, et la publication de la vidéo ainsi enregistrée sur un site Internet de vidéos sur lequel les utilisateurs peuvent envoyer, regarder et partager celles-ci.

29 Il convient de rappeler que, conformément à l'article 3, paragraphe 1, de ladite directive, celle-ci s'applique " au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu'au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier ".

30 La notion de " données à caractère personnel ", au sens de cette disposition, englobe, conformément à la définition figurant à l'article 2, sous a), de la même directive, " toute information concernant une personne physique identifiée ou identifiable ". Est réputée identifiable " une personne qui peut être identifiée, directement ou indirectement, notamment par référence [...] à un ou plusieurs éléments spécifiques, propres à son identité physique ".

31 Selon la jurisprudence de la Cour, l'image d'une personne enregistrée par une caméra constitue une " donnée à caractère personnel ", au sens de l'article 2, sous a), de la directive 95/46, dans la mesure où elle permet d'identifier la personne concernée (voir, en ce sens, arrêt du 11 décembre 2014, Ryneš, C 212/13, EU:C:2014:2428, point 22).

32 En l'occurrence, il ressort de la décision de renvoi qu'il est possible de voir et d'entendre les membres de la police sur la vidéo en cause, de telle sorte qu'il y a lieu de considérer que les images des personnes ainsi enregistrées constituent autant de données à caractère personnel, au sens de l'article 2, sous a), de la directive 95/46.

33 S'agissant de la notion de " traitement de données à caractère personnel ", l'article 2, sous b), de la directive 95/46 la définit comme étant " toute opération ou [tout] ensemble d'opérations [...] appliquées à des données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, ainsi que le verrouillage, l'effacement ou la destruction ".

34 Dans le cadre d'un système de vidéo-surveillance, la Cour a déjà jugé qu'un enregistrement vidéo des personnes stocké dans un dispositif d'enregistrement continu, à savoir le disque dur de ce système, constitue, conformément à l'article 2, sous b), et à l'article 3, paragraphe 1, de la directive 95/46, un traitement de données à caractère personnel automatisé (voir, en ce sens, arrêt du 11 décembre 2014, Ryneš, C 212/13, EU:C:2014:2428, points 23 et 25).

35 Lors de l'audience devant la Cour, M. Buivids a affirmé qu'il a utilisé une caméra photo numérique pour enregistrer la vidéo en cause. Il s'agit d'un enregistrement vidéo des personnes stocké dans un dispositif d'enregistrement continu, à savoir la mémoire de ladite caméra. Ainsi, un tel enregistrement constitue un traitement de données à caractère personnel automatisé, au sens de l'article 3, paragraphe 1, de cette directive.

36 À cet égard, le fait qu'un tel enregistrement n'a eu lieu qu'une seule fois est sans incidence sur la question de savoir si cette opération relève du champ d'application de la directive 95/46. En effet, ainsi qu'il ressort du libellé de l'article 2, sous b), de cette directive, lu en combinaison avec l'article 3, paragraphe 1, de celle-ci, ladite directive s'applique à " toute opération " qui constitue un traitement de données à caractère personnel, au sens de ces dispositions.

37 En outre, la Cour a jugé que l'opération consistant à faire figurer des données à caractère personnel sur une page Internet est également à considérer comme un tel traitement (voir, en ce sens, arrêts du 6 novembre 2003, Lindqvist, C 101/01, EU:C:2003:596, point 25, ainsi que du 13 mai 2014, Google Spain et Google, C 131/12, EU:C:2014:317, point 26).

38 À cet égard, la Cour a, par ailleurs, précisé que faire apparaître des informations sur une page Internet implique de réaliser une opération de chargement de cette page sur un serveur ainsi que les opérations nécessaires pour rendre cette page accessible aux personnes qui se sont connectées à Internet. Ces opérations sont effectuées, au moins en partie, de manière automatisée (voir, en ce sens, arrêt du 6 novembre 2003, Lindqvist, C 101/01, EU:C:2003:596, point 26).

39 Ainsi, il convient de considérer que le fait de publier sur un site Internet de vidéos sur lequel les utilisateurs peuvent envoyer, regarder et partager celles-ci un enregistrement vidéo, telle la vidéo en cause, sur lequel figurent des données à caractère personnel, constitue un traitement automatisé en tout ou en partie de ces données, au sens de l'article 2, sous b), et de l'article 3, paragraphe 1, de la directive 95/46.

40 Par ailleurs, conformément à l'article 3, paragraphe 2, de la directive 95/46, cette dernière ne s'applique pas à deux types de traitements de données à caractère personnel. Il s'agit, d'une part, de ceux réalisés pour l'exercice d'activités qui ne relèvent pas du champ d'application du droit communautaire, telles que celles prévues aux titres V et VI du traité sur l'Union européenne dans sa version antérieure à l'entrée en vigueur du traité de Lisbonne, et, en tout état de cause, des traitements ayant pour objet la sécurité publique, la défense, la sûreté de l'État et les activités de l'État relatives à des domaines du droit pénal. Ladite disposition exclut, d'autre part, les traitements de données à caractère personnel effectués par une personne physique pour l'exercice d'activités exclusivement personnelles ou domestiques.

41 En tant qu'elles rendent inapplicables le régime de protection des données à caractère personnel prévu par la directive 95/46 et s'écartent ainsi de l'objectif sous-jacent à celle-ci, consistant à assurer la protection des libertés et des droits fondamentaux des personnes physiques à l'égard du traitement des données à caractère personnel, tels que le droit au respect de la vie privée et familiale ainsi que le droit à la protection des données à caractère personnel, garantis par les articles 7 et 8 de la charte des droits fondamentaux de l'Union européenne (ci-après la " Charte "), les exceptions prévues à l'article 3, paragraphe 2, de cette directive doivent faire l'objet d'une interprétation stricte (voir, en ce sens, arrêts du 27 septembre 2017, Puškár, C 73/16, EU:C:2017:725, point 38, et du 10 juillet 2018, Jehovan todistajat, C 25/17, EU:C:2018:551, point 37).

42 En ce qui concerne l'affaire au principal, il ressort des éléments soumis à la Cour que, d'une part, l'enregistrement et la publication de la vidéo en cause ne sauraient être regardés comme un traitement de données à caractère personnel réalisé dans l'exercice d'activités qui ne relèvent pas du champ d'application du droit communautaire, ni comme un traitement ayant pour objet la sécurité publique, la défense, la sûreté de l'État ou les activités de l'État dans le domaine du droit pénal, au sens de l'article 3, paragraphe 2, premier tiret, de la directive 95/46. À cet égard, la Cour a déjà jugé que les activités mentionnées à titre d'exemples par ladite disposition sont, dans tous les cas, des activités propres aux États ou aux autorités étatiques, étrangères aux domaines d'activité des particuliers (voir, en ce sens, arrêt du 27 septembre 2017, Puškár, C 73/16, EU:C:2017:725, point 36 et jurisprudence citée).

43 D'autre part, dans la mesure où M. Buivids a publié, sans restriction d'accès, la vidéo en cause sur un site Internet de vidéos sur lequel les utilisateurs peuvent envoyer, regarder et partager celles-ci, rendant ainsi accessibles des données à caractère personnel à un nombre indéfini de personnes, le traitement de données à caractère personnel en cause au principal ne s'inscrit pas dans le cadre de l'exercice d'activités exclusivement personnelles ou domestiques (voir, par analogie, arrêts du 6 novembre 2003, Lindqvist, C 101/01, EU:C:2003:596, point 47 ; du 16 décembre 2008, Satakunnan Markkinapörssi et Satamedia, C 73/07, EU:C:2008:727, point 44 ; du 11 décembre 2014, Ryneš, C 212/13, EU:C:2014:2428, points 31 et 33, ainsi que du 10 juillet 2018, Jehovan todistajat, C 25/17, EU:C:2018:551, point 42).

44 En outre, le fait de procéder à un enregistrement vidéo de membres de la police dans le cadre de l'exercice de leurs fonctions n'est pas de nature à exclure un tel type de traitement de données à caractère personnel du champ d'application de la directive 95/46.

45 En effet, ainsi que l'a relevé Mme l'avocate générale au point 29 de ses conclusions, cette directive ne prévoit aucune exception qui exclurait du champ d'application de ladite directive les traitements de données à caractère personnel concernant des fonctionnaires.

46 Par ailleurs, il ressort de la jurisprudence de la Cour que la circonstance qu'une information s'inscrit dans le contexte d'une activité professionnelle n'est pas de nature à lui ôter sa qualification de " donnée à caractère personnel " (voir, en ce sens, arrêt du 16 juillet 2015, ClientEarth et PAN Europe/EFSA, C 615/13 P, EU:C:2015:489, point 30 et jurisprudence citée).

47 Eu égard à ce qui précède, il y a lieu de répondre à la première question que l'article 3 de la directive 95/46 doit être interprété en ce sens que relèvent du champ d'application de cette directive l'enregistrement vidéo de membres de la police dans un commissariat, lors d'une prise de déposition, et la publication de la vidéo ainsi enregistrée sur un site Internet de vidéos sur lequel les utilisateurs peuvent envoyer, regarder et partager celles-ci.

Sur la seconde question

48 Par sa seconde question, la juridiction de renvoi demande, en substance, si l'article 9 de la directive 95/46 doit être interprété en ce sens que des circonstances de fait telles que celles de l'affaire au principal, à savoir l'enregistrement vidéo de membres de la police dans un commissariat, lors d'une prise de déposition, et la publication de la vidéo ainsi enregistrée sur un site Internet de vidéos sur lequel les utilisateurs peuvent envoyer, regarder et partager celles-ci, constituent un traitement de données à caractère personnel aux fins de journalisme, au sens de cette disposition.

49 Il y a lieu de relever, à titre liminaire, que, selon une jurisprudence constante de la Cour, les dispositions d'une directive doivent être interprétées au regard de l'objectif qu'elle poursuit et du système qu'elle institue (arrêt du 16 décembre 2008, Satakunnan Markkinapörssi et Satamedia, C 73/07, EU:C:2008:727, point 51 et jurisprudence citée).

50 À cet égard, il ressort de l'article 1er de la directive 95/46 que celle-ci tend à ce que les États membres, tout en permettant la libre circulation des données à caractère personnel, assurent la protection des libertés et des droits fondamentaux des personnes physiques, notamment de leur vie privée, à l'égard du traitement desdites données. Cet objectif ne saurait, cependant, être poursuivi sans tenir compte du fait que lesdits droits fondamentaux sont à concilier, dans une certaine mesure, avec le droit fondamental de la liberté d'expression. Le considérant 37 de cette directive précise que l'article 9 de celle-ci poursuit l'objectif de concilier deux droits fondamentaux, à savoir, d'une part, la protection de la vie privée et, d'autre part, la liberté d'expression. Cette tâche incombe aux États membres (voir, en ce sens, arrêt du 16 décembre 2008, Satakunnan Markkinapörssi et Satamedia, C 73/07, EU:C:2008:727, points 52 à 54).

51 La Cour a déjà jugé que, afin de tenir compte de l'importance que détient la liberté d'expression dans toute société démocratique, il convient d'interpréter les notions y afférentes, dont celle de journalisme, de manière large (voir, en ce sens, arrêt du 16 décembre 2008, Satakunnan Markkinapörssi et Satamedia, C 73/07, EU:C:2008:727, point 56).

52 Ainsi, il ressort des travaux préparatoires de la directive 95/46 que les exemptions et les dérogations prévues à l'article 9 de cette directive s'appliquent non seulement aux entreprises de média, mais également à toute personne exerçant des activités de journalisme (voir, en ce sens, arrêt du 16 décembre 2008, Satakunnan Markkinapörssi et Satamedia, C 73/07, EU:C:2008:727, point 58).

53 Il ressort de la jurisprudence de la Cour que les " activités de journalisme " sont celles qui ont pour finalité la divulgation au public d'informations, d'opinions ou d'idées, sous quelque moyen de transmission que ce soit (voir, en ce sens, arrêt du 16 décembre 2008, Satakunnan Markkinapörssi et Satamedia, C 73/07, EU:C:2008:727, point 61).

54 S'il revient à la juridiction de renvoi de vérifier si, en l'occurrence, le traitement de données à caractère personnel auquel M. Buivids s'est livré répond à cette finalité, il n'en demeure pas moins que la Cour peut fournir à cette juridiction les éléments d'interprétation nécessaires à l'appréciation qui lui incombe.

55 Ainsi, au regard de la jurisprudence de la Cour citée aux points 52 et 53 du présent arrêt, la circonstance que M. Buivids ne soit pas un journaliste de profession n'apparaît pas de nature à exclure que l'enregistrement de la vidéo en cause ainsi que la publication de celle-ci sur un site Internet de vidéos sur lequel les utilisateurs peuvent envoyer, regarder et partager celles-ci puissent relever de cette disposition.

56 En particulier, le fait, pour M. Buivids, d'avoir mis en ligne cet enregistrement sur un tel site Internet, en l'occurrence le site www.youtube.com, ne saurait, en soi, ôter à ce traitement de données à caractère personnel la qualité d'avoir été effectué " aux seules fins de journalisme ", au sens de l'article 9 de la directive 95/46.

57 En effet, il y a lieu de tenir compte de l'évolution et de la multiplication des moyens de communication et de diffusion d'informations. Ainsi, la Cour a déjà jugé que le support au moyen duquel les données traitées sont transmises, classique tel que le papier ou les ondes hertziennes, ou électronique tel que l'Internet, n'est pas déterminant pour apprécier s'il s'agit d'une activité " aux seules fins de journalisme " (voir, en ce sens, arrêt du 16 décembre 2008, Satakunnan Markkinapörssi et Satamedia, C 73/07, EU:C:2008:727, point 60).

58 Cela étant, ainsi que l'a relevé en substance Mme l'avocate générale au point 55 de ses conclusions, il ne saurait être considéré que toute information publiée sur Internet, portant sur des données à caractère personnel, relève de la notion d'" activités de journalisme " et bénéficie à ce titre des exemptions et des dérogations prévues à l'article 9 de la directive 95/46.

59 En l'occurrence, il revient à la juridiction de renvoi de vérifier s'il ressort de la vidéo en cause que l'enregistrement et la publication de ladite vidéo avaient pour seule finalité la divulgation au public d'informations, d'opinions ou d'idées (voir, en ce sens, arrêt du 16 décembre 2008, Satakunnan Markkinapörssi et Satamedia, C 73/07, EU:C:2008:727, point 62).

60 À cette fin, la juridiction de renvoi pourra notamment prendre en considération le fait que, selon M. Buivids, la vidéo en cause a été publiée sur un site Internet afin d'attirer l'attention de la société sur les pratiques prétendument irrégulières de la police qui se seraient déroulées lors de sa prise de déposition.

61 Il convient, toutefois, de préciser que la constatation de telles pratiques irrégulières ne constitue pas une condition pour l'applicabilité de l'article 9 de la directive 95/46.

62 En revanche, s'il s'avère que l'enregistrement et la publication de cette vidéo n'avaient pas pour seule finalité la divulgation au public d'informations, d'opinions ou d'idées, il ne pourra être considéré que le traitement des données à caractère personnel en cause au principal a été effectué aux " seules fins de journalisme ".

63 En outre, il convient de rappeler que les exemptions et les dérogations prévues à l'article 9 de la directive 95/46 ne doivent être appliquées que dans la seule mesure où elles s'avèrent nécessaires pour concilier deux droits fondamentaux, à savoir le droit à la protection de la vie privée et celui à la liberté d'expression (voir, en ce sens, arrêt du 16 décembre 2008, Satakunnan Markkinapörssi et Satamedia, C 73/07, EU:C:2008:727, point 55).

64 Ainsi, pour obtenir une pondération équilibrée entre ces deux droits fondamentaux, la protection du droit fondamental à la vie privée exige que les dérogations et limitations de la protection des données prévues aux chapitres II, IV et VI de la directive 95/46 s'opèrent dans les limites du strict nécessaire (voir, en ce sens, arrêt du 16 décembre 2008, Satakunnan Markkinapörssi et Satamedia, C 73/07, EU:C:2008:727, point 56).

65 Il y a lieu de rappeler que l'article 7 de la Charte, relatif au droit au respect de la vie privée et familiale, contient des droits correspondant à ceux garantis par l'article 8, paragraphe 1, de la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales, signée à Rome le 4 novembre 1950 (ci-après la " CEDH "), et qu'il convient donc, conformément à l'article 52, paragraphe 3, de la Charte, de donner audit article 7 le même sens et la même portée que ceux conférés à l'article 8, paragraphe 1, de la CEDH, tel qu'interprété par la jurisprudence de la Cour européenne des droits de l'homme (arrêt du 17 décembre 2015, WebMindLicenses, C 419/14, EU:C:2015:832, point 70). Il en va de même pour ce qui est de l'article 11 de la Charte et de l'article 10 de la CEDH (voir, en ce sens, arrêt du 4 mai 2016, Philip Morris Brands e.a., C 547/14, EU:C:2016:325, point 147).

66 À cet égard, il ressort de cette jurisprudence que, aux fins d'effectuer la mise en balance entre le droit au respect de la vie privée et le droit à la liberté d'expression, la Cour européenne des droits de l'homme a développé une série de critères pertinents qui doivent être pris en considération, notamment la contribution à un débat d'intérêt général, la notoriété de la personne visée, l'objet du reportage, le comportement antérieur de la personne concernée, le contenu, la forme et les répercussions de la publication, le mode et les circonstances dans lesquelles les informations ont été obtenues ainsi que leur véracité (voir, en ce sens, Cour EDH, 27 juin 2017, Satakunnan Markkinapörssi Oy et Satamedia Oy c. Finlande, CE:ECHR:2017:0627JUD000093113, § 165). De même, doit être prise en considération la possibilité pour le responsable du traitement d'adopter des mesures permettant d'atténuer l'ampleur de l'ingérence dans le droit à la vie privée.

67 En l'occurrence, il ressort du dossier soumis à la Cour qu'il ne saurait être exclu que l'enregistrement et la publication de la vidéo en cause, qui ont eu lieu sans que les personnes concernées aient été informées de cet enregistrement et de ses finalités, constituent une ingérence dans le droit fondamental au respect de la vie privée de ces personnes, à savoir des membres de la police qui figurent sur cette vidéo.

68 S'il s'avère que l'enregistrement et la publication de la vidéo en cause avaient pour seule finalité la divulgation au public d'informations, d'opinions ou d'idées, il appartient à la juridiction de renvoi d'apprécier si les exemptions et les dérogations prévues à l'article 9 de la directive 95/46 s'avèrent nécessaires pour concilier le droit à la vie privée avec les règles régissant la liberté d'expression, et si ces exemptions et dérogations s'opèrent dans les limites du strict nécessaire.

69 Eu égard aux considérations qui précèdent, il y a lieu de répondre à la seconde question que l'article 9 de la directive 95/46 doit être interprété en ce sens que des circonstances de fait telles que celles de l'affaire au principal, à savoir l'enregistrement vidéo de membres de la police dans un commissariat, lors d'une prise de déposition, et la publication de la vidéo ainsi enregistrée sur un site Internet de vidéos sur lequel les utilisateurs peuvent envoyer, regarder et partager celles-ci, peuvent constituer un traitement de données à caractère personnel aux seules fins de journalisme, au sens de cette disposition, pour autant qu'il ressorte de ladite vidéo que ledit enregistrement et ladite publication ont pour seule finalité la divulgation au public d'informations, d'opinions ou d'idées, ce qu'il incombe à la juridiction de renvoi de vérifier.

Sur les dépens

70 La procédure revêtant, à l'égard des parties au principal, le caractère d'un incident soulevé devant la juridiction de renvoi, il appartient à celle-ci de statuer sur les dépens. Les frais exposés pour soumettre des observations à la Cour, autres que ceux desdites parties, ne peuvent faire l'objet d'un remboursement.

Par ces motifs, la Cour (deuxième chambre) dit pour droit :

1) L'article 3 de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, doit être interprété en ce sens que relèvent du champ d'application de cette directive l'enregistrement vidéo de membres de la police dans un commissariat, lors d'une prise de déposition, et la publication de la vidéo ainsi enregistrée sur un site Internet de vidéos sur lequel les utilisateurs peuvent envoyer, regarder et partager celles-ci.

2) L'article 9 de la directive 95/46 doit être interprété en ce sens que des circonstances de fait telles que celles de l'affaire au principal, à savoir l'enregistrement vidéo de membres de la police dans un commissariat, lors d'une prise de déposition, et la publication de la vidéo ainsi enregistrée sur un site Internet de vidéos sur lequel les utilisateurs peuvent envoyer, regarder et partager celles-ci, peuvent constituer un traitement de données à caractère personnel aux seules fins de journalisme, au sens de cette disposition, pour autant qu'il ressorte de ladite vidéo que ledit enregistrement et ladite publication ont pour seule finalité la divulgation au public d'informations, d'opinions ou d'idées, ce qu'il incombe à la juridiction de renvoi de vérifier.