Protection des données personnelles et régime d’enquête de l’OLAF

  • ParDaniel Mugerin
  • 0 Comment

Chargé d’enquêter sur toute activité susceptible de préjudicier aux intérêts financiers de l’Union, l’OLAF (Office européen de lutte antifraude) ne commet pas de faute susceptible d’engager la responsabilité extra-contractuelle de l’Union lorsqu’il recourt, dans l’exercice de ses prérogatives, à des moyens raisonnablement susceptibles d’être utilisés. Une violation du droit à la protection de ses données personnelles par une personne visée par l’enquête OLAF n’est pas caractérisée lorsque ce dernier a respecté les intérêts en cause, c’est-à-dire l’information du public sur ses enquêtes et le respect des droits de la défense, qui comprend la présomption d’innocence et l’obligation de confidentialité.

Telle est la solution qui se dégage de l’arrêt rendu le 04 mai 2022 par le Tribunal de l’Union européenne dans l’affaire OC contre Commission européenne (Tribunal, 9ème Chambre, 04 mai 2022, OC / Commission européenne, aff. T-384/20).

Les faits

La requérante, OC, universitaire au sein de l’Aristoteleio Panepistimio Thessalonikis (Université aristotélicienne de Thessalonique), chercheuse dans les domaines des applications dans la nanotechnologie, du stockage d’énergie et de la biomédecine, avait déposé auprès du Conseil européen de la recherche une proposition de recherche portant sur un projet intitulé « Étude du passage du micro au nano : fondements, simulations et applications théoriques et expérimentaux ».

L’Université avait été désignée comme institution d’accueil du projet. Un avenant à la convention initiale avait prévu le remplacement de la Commission européenne, comme co-contractante, par l’Agence exécutive du Conseil européen de la recherche (ERCEA).

La convention prévoyait un montant maximal de 1.128.400 € de subvention, accordé pour la réalisation du projet aux bénéficiaires suivants : l’université en tant que bénéficiaire principal, la requérante en tant que chercheuse principale responsable chargée de fixer les orientations scientifiques du projet et une autre institution de recherche située en Grèce, laquelle avait été remplacée, plus tard, par une autre institution de recherche située en Allemagne. Le projet, réalisé dans un laboratoire de l’université grecque dont le père de la requérante avait la direction, s’était achevé conformément à la convention.

Après un audit financier ex post de l’ERCEA, cette dernière avait conclu qu’une partie des dépenses de personnel était non éligible et avait décidé de réclamer à l’université le remboursement de la somme en cause, en émettant une note de débit à cette fin. L’université avait contesté le bien-fondé de cette note de débit devant le Tribunal.

À la suite de la réception des informations transmises par l’ERCEA, le directeur général de l’Office européen de lutte antifraude (OLAF) avait décidé d’ouvrir une enquête relative à d’éventuelles irrégularités ou à une éventuelle fraude dans le cadre de l’exécution du projet.

Dans son rapport final relatif à son enquête, l’OLAF avait exposé plusieurs constatations. Sur le fondement de ces constatations, il avait recommandé à l’ERCEA de prendre les mesures appropriées pour récupérer les sommes considérées comme indues auprès de l’université et avait transmis le rapport final aux autorités judiciaires grecques à ladite date, leur recommandant d’engager à l’encontre de la requérante, de son père et de certains membres du personnel de l’université les procédures pertinentes pour fraude ainsi que pour faux et usage de faux.

Dans la foulée, l’OLAF avait publié sur son site Internet le communiqué de presse no 13/2020, intitulé « Une enquête menée par l’OLAF révèle une fraude liée au financement de la recherche en Grèce » (OLAF investigation uncovers research funding fraud in Greece), qui faisait état de l’enquête susmentionnée.

Ce communiqué était rédigé de la façon qui suit :

« La protection du budget de l’Union prévu pour la recherche a toujours revêtu une importance particulière pour l’OLAF. Une fraude complexe impliquant une scientifique grecque et son réseau de chercheurs internationaux a été découverte par les enquêteurs de l’OLAF.

L’affaire porte sur une subvention d’un montant d’environ 1,1 million € accordée par l’[ERCEA] à une université grecque. Ces fonds étaient destinés au financement d’un projet de recherche mené sous la responsabilité d’une jeune scientifique prometteuse, dont le père travaillait dans l’université en question. Le projet comportait un réseau de plus de 40 chercheurs du monde entier placé sous la direction de la scientifique grecque.

L’OLAF a commencé à avoir des soupçons lorsqu’il a découvert la façon dont les chercheurs internationaux étaient prétendument payés. Des chèques étaient émis aux noms de chercheurs individuels, mais étaient ensuite déposés sur des comptes bancaires à titulaires multiples. Les soupçons se sont multipliés lorsqu’il est apparu que les chèques étaient déposés sur les comptes bancaires par la scientifique en chef.

L’équipe des enquêteurs de l’OLAF a alors décidé de procéder à un contrôle sur place dans l’université en question. En dépit des tentatives de la chercheuse principale de faire obstruction à l’enquête, grâce à l’aide des autorités répressives nationales grecques, qui ont donné accès aux comptes bancaires, et grâce aux investigations criminalistiques numériques de l’OLAF lui-même, l’OLAF a pu reconstituer la véritable histoire qui se cachait derrière la fraude.

Des preuves concrètes ont été trouvées, qui démontrent que la scientifique principale avait ouvert les comptes bancaires utilisés pour le « paiement » des chercheurs internationaux et s’était constituée cotitulaire de ces comptes afin d’avoir accès aux fonds. L’OLAF a suivi les pistes financières et a réussi à prouver que des sommes importantes avaient été retirées en espèces par la scientifique ou avaient été transférées sur son compte personnel. L’OLAF a pris contact avec certains chercheurs qui étaient supposés avoir participé au projet de recherche. Aucun d’entre eux ne savait que son nom était lié au projet, ni n’avait connaissance des comptes bancaires ouverts en leurs noms ou du moindre paiement en leur faveur.

Le directeur général de l’OLAF […] a déclaré :

“Cette enquête montre une fois encore l’importance que revêt la possibilité d’avoir accès aux dossiers bancaires pour lutter avec succès contre la fraude. La taille et la portée du réseau des chercheurs apparemment impliqués dans ce projet a véritablement représenté un défi pour les enquêteurs de l’OLAF. Leur capacité à accéder aux comptes ouverts pour le prétendu paiement des chercheurs du monde entier et à les vérifier a été d’une importance vitale pour découvrir la tentative de fraude aux dépens du budget de l’Union – en effet, cela aurait pu avoir des conséquences néfastes pour la réputation des chercheurs de bonne foi dont les noms ont été exploités dans le cadre de la tentative de fraude.”

L’enquête a été achevée en novembre de l’année dernière, avec des recommandations invitant, d’une part, l’ERCEA à récupérer environ 190.000 € (soit la part de la subvention de 1,1 million € prétendument versée aux chercheurs internationaux) et, d’autre part, les autorités nationales à engager des procédures judiciaires contre les personnes impliquées. »

L’universitaire avait introduit un recours devant le Tribunal de l’Union sur le fondement de l’article 268 TFUE. Elle demandait au juge européen de condamner la Commission européenne à réparer le préjudice allégué par elle en conséquence de la publication du communiqué de presse susmentionné. Elle faisait valoir que ce communiqué procédait d’un traitement illégal de ses données personnelles et qu’il avait véhiculé de fausses informations à son sujet. Par conséquent, le recours de la requérante n’avait pas pour objet de voir le juge statuer sur l’enquête de l’OLAF.

Elle soutenait qu’en publiant le communiqué de presse no 13/2020, l’OLAF avait enfreint de manière flagrante les obligations qui lui incombaient en vertu, premièrement, du règlement (UE) 2018/1725 du Parlement européen et du Conseil, du 23 octobre 2018, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (JO 2018, L 295, p. 39), et, deuxièmement, du règlement no 883/2013 ainsi, troisièmement, que les droits et les principes fondamentaux consacrés par le droit primaire de l’Union européenne.

Le droit applicable

L’affaire jugée le 04 mai 2022 mettait en œuvre les dispositions :

  • et les droits et les principes fondamentaux consacrés par le droit primaire de l’Union européenne (en l’espèce, l’article 41 de la Charte des droits fondamentaux de l’Union européenne sur le droit à une bonne administration, d’une part, et le principe de proportionnalité, d’autre part).

De plus, l’article 268 TFUE prévoit :

« La Cour de justice de l’Union européenne est compétente pour connaître des litiges relatifs à la réparation des dommages visés à l’article 340, deuxième et troisième alinéas. »

L’article 340 TFUE dispose :

« La responsabilité contractuelle de l’Union est régie par la loi applicable au contrat en cause.

En matière de responsabilité non contractuelle, l’Union doit réparer, conformément aux principes généraux communs aux droits des États membres, les dommages causés par ses institutions ou par ses agents dans l’exercice de leurs fonctions.

Par dérogation au deuxième alinéa, la Banque centrale européenne doit réparer, conformément aux principes généraux communs aux droits des États membres, les dommages causés par elle-même ou par ses agents dans l’exercice de leurs fonctions.

La responsabilité personnelle des agents envers l’Union est réglée dans les dispositions fixant leur statut ou le régime qui leur est applicable. »

A propos de ce dernier article, le Tribunal a, d’emblée, rappelé qu’une jurisprudence constante selon laquelle l’engagement de la responsabilité extra-contractuelle de l’Union et la mise en œuvre du droit à la réparation du préjudice subi dépendent de la réunion d’un ensemble de conditions, à savoir l’illégalité du comportement reproché aux institutions de l’Union, la réalité du dommage et l’existence d’un lien de causalité entre ce comportement et le préjudice invoqué (Cf. l’arrêt en date du 09 septembre 2008, FIAMM e.a. / Conseil et Commission, aff. C-120/06 P et C-121/06 P, EU:C:2008:476, point 106 et jurisprudence citée).

Par conséquent, dès lors que l’une de ces trois conditions n’est pas remplie, le recours doit être rejeté dans son ensemble sans qu’il soit nécessaire d’examiner les autres conditions de la responsabilité non contractuelle de l’Union (Cf. l’arrêt en date du 14 octobre 1999, Atlanta / Communauté européenne, aff. C-104/97 P, EU:C:1999:498, point 65 et jurisprudence citée). Par ailleurs, le juge de l’Union n’est pas tenu d’examiner lesdites conditions dans un ordre déterminé (Cf. l’arrêt en date du 18 mars 2010, Trubowest Handel et Makarov / Conseil et Commission, aff. C-419/08 P, EU:C:2010:147, point 42).

La jurisprudence exige que soit établie une violation suffisamment caractérisée d’une règle de droit ayant pour objet de conférer des droits aux particuliers (Cf. l’arrêt en date du 04 juillet 2000, Bergaderm et Goupil/Commission, C‑352/98 P, EU:C:2000:361, point 42 ; voir, également, l’arrêt du 19 avril 2007, Holcim (Deutschland) / Commission, aff. C-282/05 P, EU:C:2007:226, point 47 et jurisprudence citée).

Pour ce qui est de l’exigence selon laquelle la violation doit être suffisamment caractérisée, le critère décisif permettant de considérer qu’elle est remplie est celui de la méconnaissance manifeste et grave, par l’institution ou l’organe de l’Union concerné, des limites qui s’imposent à son pouvoir d’appréciation, les éléments à prendre en considération à cet égard étant, notamment, le degré de clarté et de précision de la règle violée ainsi que l’étendue de la marge d’appréciation que la règle enfreinte laisse à l’autorité de l’Union. Lorsque cette institution ou cet organe ne dispose que d’une marge d’appréciation considérablement réduite, voire inexistante, la simple infraction au droit de l’Union peut suffire pour établir l’existence d’une violation suffisamment caractérisée (Cf. l’arrêt en date du 10 décembre 2002, Commission / Camar et Tico, aff. C-312/00 P, EU:C:2002:736, point 54 ; voir, également, l’arrêt en date du 06 juin 2019, Dalli / Commission, aff. T-399/17, non publié, EU:T:2019:384, point 49 et jurisprudence citée).

Arguments des parties

L’universitaire, requérante, soutenait que l’OLAF avait communiqué des informations qui se rapportaient « à une personne physique identifiable », c’est-à-dire à une « personne physique qui peut être identifiée, directement ou indirectement », selon les termes de l’article 3, point 1, du règlement 2018/1725. Elle indiquait que le terme « indirectement » désigne, notamment, une information qui ne permet pas à elle seule d’identifier la personne concernée, mais qui, lue en combinaison avec d’autres informations, permet d’identifier cette personne, en particulier en recourant à une recherche à l’aide de moteurs disponibles sur internet, éventualité à laquelle – selon elle – l’OLAF aurait dû raisonnablement s’attendre.

Plus précisément, la requérante affirmait qu’un lecteur du communiqué de presse no 13/2020, en faisant usage des données dudit communiqué sur le site Internet de l’ERCEA, pouvait sans difficulté aucune l’identifier puisque, parmi les 70 projets répertoriés sur ce site ayant la Grèce comme pays de l’institution d’accueil, seuls trois portaient sur un financement d’environ 1,1 million d’euros et étaient dirigés par des femmes et qu’une recherche par le biais d’un moteur de recherche sur Internet permettait de l’identifier parmi les autres femmes, notamment parce que son père travaillait dans l’université hôte du projet.

Pour démontrer la facilité avec laquelle il était possible de l’identifier, la requérante se référait tout particulièrement aux articles de deux journalistes. Il s’agissait, premièrement, de l’article d’un journaliste d’investigation allemand, très spécialisé, qui aurait déterminé son identité sur le seul fondement des informations du communiqué de presse no 13/2020, qu’il aurait utilisées pour ses recherches sur le site de l’ERCEA et sur Internet, et, deuxièmement, de l’article d’une journaliste grecque, rédigé sur un ton hypothétique et conditionnel, qui aurait usé de méthodes similaires et qui n’aurait demandé confirmation de l’identité à l’OLAF que pour des motifs purement déontologiques.

La Commission, défenderesse, réfutait les arguments de la requérante et soutenait, en substance, que le communiqué de presse no 13/2020 ne permettait pas d’identifier la requérante à l’aune de l’article 3, point 1, du règlement 2018/1725.

Elle relevait que « la possibilité de déterminer si une personne physique est identifiable, au sens de l’article 3, point 1, du règlement 2018/1725, devrait être appréciée à la lumière du considérant 16 de ce règlement, qui tend à rechercher un juste équilibre entre le droit à la protection des données à caractère personnel pour les personnes physiques concernées et la possibilité pour les institutions et les organes de l’Union d’exécuter leurs missions sans se voir imposer au titre du traitement de ces données une charge excessive, puisque l’identification se limite aux moyens raisonnablement susceptibles d’être mis en œuvre, et non à tous les moyens existants, évitant par ce biais l’identification d’une personne physique à l’aide d’éléments trop éloignés et difficilement accessibles, dont l’emploi ne peut être raisonnablement envisagé par les institutions de l’Union. »

Solution

Le Tribunal a rejeté la requête et a fait droit aux arguments de la Commission.

Il a motivé sa décision en retenant les points qui suivent :

  • selon lui, il y a lieu de relever que, en citant ses recommandations, l’OLAF a veillé à garder dans le communiqué de presse no 13/2020 une formulation neutre et impartiale, qui ne révèle pas trop de détails, en conformité avec sa mission d’investigation visant à rechercher et à constater des faits à titre préliminaire et provisoire. Il remarque, à cet égard, que l’OLAF ne s’est pas prononcé sur la culpabilité ou l’innocence de la requérante. De plus, la formulation du communiqué évite, en ce qui concerne les recommandations, de préciser les autorités, la nature (civile, administrative ou pénale) des procédures préconisées ou encore les personnes à l’encontre desquelles l’ouverture de ces procédures a été recommandée ;
  • en ce qui concerne la référence faite par la requérante à l’arrêt en date du 12 septembre 2007, Nikolaou / Commission (aff. T-259/03, non publié, EU:T:2007:254), il convient de rappeler qu’il ressort de cet arrêt que la conséquence nécessaire du caractère préliminaire, voire informel à certains égards, des enquêtes effectuées par l’OLAF est que les conclusions de celui-ci doivent rester confidentielles, sauf dans la mesure où elles donnent lieu ensuite à d’autres procédures dans le cadre desquelles les personnes concernées ont la possibilité de se défendre, et donc de prouver, le cas échéant, leur innocence (Cf. l’arrêt en date du 12 septembre 2007, Nikolaou/Commission, T‑259/03, non publié, EU:T:2007:254, point 315). Or les conclusions du rapport final de l’OLAF, mentionnées dans le communiqué de presse no 13/2020, ont donné lieu à une procédure pleinement contradictoire devant les autorités judiciaires nationales, puisque ces dernières ont, le 25 février 2020, c’est-à-dire préalablement à la date de publication de ce communiqué, convoqué la requérante dans le cadre de l’examen préliminaire effectué par le juge de police compétent ;
  • s’agissant de la possibilité d’utiliser les identifiants figurant dans le communiqué de presse no 13/2020 sur le site Internet de l’ERCEA, tel que paramétré à la date d’introduction du recours, le Tribunal a retenu qu’il est constant que ce site référence l’ensemble des projets subventionnés. Cependant, il a précisé que, pour trouver un projet en particulier, le moteur de recherche dudit site propose quatre filtres à l’utilisateur. Parmi ces quatre filtres, un seul aurait été utilisable par un lecteur dudit communiqué, puisque la seule information qui pouvait être utilisée était le pays d’accueil du projet. À ce stade, il était possible d’identifier, avec le filtre « pays d’accueil », environ 70 projets dont les institutions d’accueil étaient situées en Grèce. Toutefois, le Tribunal rappelle que le fait d’avoir une liste de 70 projets obtenue à la suite d’une recherche par pays n’était pas suffisant pour identifier la requérante, ce que d’ailleurs celle-ci ne prétendait pas. Néanmoins, la requérante alléguait le fait qu’à partir de cette première recherche par pays, il était facilement et rapidement possible d’identifier les projets dont le scientifique responsable était une femme, l’institution d’accueil une université et le montant du financement environ 1,1 million € et que, avec ces caractéristiques, il n’y avait qu’elle et son projet qui correspondaient. Le Tribunal a rejeté cet argument en considérant qu’il n’était étayé par aucun élément, précisant encore que la requérante n’avait pas démontré que, sur le site Internet de l’ERCEA, il y avait des filtres qui permettaient de faire une recherche par genre, par institution d’accueil ou par montant du financement. Or, sans de tels filtres, la recherche de ces caractéristiques, parmi les quelque 70 projets, constituait nécessairement un emploi de temps et de moyens qui ne sauraient être considérés comme mineurs ou insignifiants.

Items : Responsabilité non contractuelle – Enquête de l’OLAF – Communiqué de presse – Traitement de données à caractère personnel – Présomption d’innocence – Confidentialité des enquêtes de l’OLAF – Droit à une bonne administration – Proportionnalité – Violation suffisamment caractérisée d’une règle de droit conférant des droits aux particuliers – Protection des données personnelles

Posté dans : Droit européen

Commentaires

Pas de réponse à “Protection des données personnelles et régime d’enquête de l’OLAF”

Pas encore de commentaires

Laisser un commentaire