CJUE C‑199/24: la dérogation « journalisme » n’écarte pas le RGPD

Fait vérifiable — Le 9 juillet 2026, la CJUE (C‑199/24, Legal Newsdesk Sweden) juge que la simple mise en ligne, contre paiement, de décisions pénales ne relève pas « en principe » d’une finalité journalistique au sens de l’article 85 RGPD. Conséquence: les droits et voies de recours du RGPD restent ouverts (art. 77–79, 82).

L’affaire

En Suède, une société exploitait un service payant de recherche de personnes ayant fait l’objet de procédures pénales et de consultation des décisions de condamnation. Une personne condamnée en 2011 a demandé l’effacement; l’opérateur a invoqué la liberté d’expression nationale pour écarter le RGPD et renvoyer aux seules actions en diffamation.

Saisie à titre préjudiciel, la CJUE précise deux points clés:

• Les États membres doivent concilier, par la loi, protection des données et liberté d’expression (art. 85 RGPD) et ne peuvent pas exclure généralement le RGPD pour des traitements qui n’entrent pas dans les fins journalistiques, académiques, artistiques ou littéraires.
• La republication brute et monétisée de décisions pénales n’est « en principe » pas journalistique: il faut un objectif d’information du public conforme à une éthique, une politique éditoriale et une vérification des faits. À défaut, les droits et recours RGPD (art. 77–79, 82) demeurent.

Le raisonnement juridique

1) Cadre RGPD — Article 85

L’article 85(1)–(2) RGPD impose des exemptions nécessaires et proportionnées pour concilier les droits en cause, à interprétation stricte. La CJUE écarte toute clause d’exclusion générale du RGPD. Réf. CNPD (chapitre IX): page officielle.

2) Délimitation des « fins journalistiques »

Approche fonctionnelle et exigeante: finalité d’information du public, règles éthiques, politique éditoriale, vérification des faits. Ni le caractère payant ni l’hébergement en ligne n’excluent par principe le journalisme; en l’espèce, l’absence de travail éditorial vérifié est déterminante. Voir EUR‑Lex (rubrique « concept of processing for journalistic purposes »): résumé.

3) Droits et voies de recours RGPD

Les voies RGPD doivent rester disponibles si l’art. 85 ne s’applique pas: plainte à l’autorité (art. 77), recours juridictionnels (art. 78–79), réparation (art. 82). Voir communiqué CJUE, points 25–31: CP 100/26.

4) Cohérence avec la doctrine EDPB

Le CEPD admet une lecture large des « fins journalistiques » mais conditionnée, sans effacer les principes RGPD si l’activité n’est pas authentiquement journalistique. Voir Lignes directrices 5/2019 (droit à l’oubli, moteurs de recherche): document (fr). Côté Luxembourg, la CNPD rappelle les considérants (dont le considérant 153): page officielle.

Ce que ça change concrètement

• Dirigeants au Luxembourg (médias, bases documentaires, legaltech, « background-check » B2B, agrégateurs): revendiquer « l’exception presse » ne suffit pas. Sans politique éditoriale, vérification des faits ni traitement journalistique, attendez‑vous à l’application pleine du RGPD (information art. 13/14, base légale art. 6, limitation de conservation art. 5(1)(e), droits art. 15–22). Pour cadrer votre gouvernance, envisagez un accompagnement par un DPO externalisé.
• Les personnes peuvent exercer leurs droits RGPD, saisir la CNPD (art. 77) et les juridictions (art. 79), voire demander réparation (art. 82). Une politique interne ne peut pas opposer une fin de non‑recevoir.
• Les plateformes d’archives/annuaires judiciaires doivent justifier leur base légale (souvent intérêt légitime art. 6(1)(f)) avec un test de mise en balance robuste, assorti de garanties (minimisation, contextualisation, mises à jour, déréférencement). À défaut, l’effacement (art. 17) ou la limitation (art. 18) peuvent s’imposer. Pour approfondir l’application du RGPD et de l’article 85, référez‑vous au texte officiel.
• Acteurs frontaliers (BE/FR/DE): attention aux divergences nationales de l’art. 85. L’arrêt encadre ces marges: pas d’exclusion générale; seulement des exemptions nécessaires et proportionnées. Voir aussi la section « journalisme » de la LIL (France) et, pour le contexte luxembourgeois, nos repères sur la conformité RGPD au Luxembourg.

Pièges fréquents

1. Invoquer l’« exception presse » sans éléments éditoriaux tangibles (charte, circuits de validation, vérification des faits, responsabilité éditoriale). Cf. CJUE C‑199/24.
2. Oublier l’information des personnes (art. 13/14) et la traçabilité des demandes (délais: un mois, art. 12(3)).
3. Confondre « données publiques » et « données libres de réutilisation ». La republication massive n’efface pas les obligations RGPD. Voir principes: EDPB – Basic principles.
4. Absence de test d’intérêt légitime (LIA) et de mesures d’atténuation: finalité précise, nécessité, mise en balance, minimisation, contextualisation, mises à jour, déréférencement, durées de conservation probantes.
5. Renvoyer l’utilisateur vers la seule « diffamation ». La CJUE l’écarte: les voies de recours RGPD (plainte, recours, réparation) doivent rester accessibles si l’art. 85 ne s’applique pas. Voir communiqué CJUE.

Sources officielles

• CJUE — Communiqué de presse n° 100/26 (9 juillet 2026): cp260100en.pdf
• EUR‑Lex — Résumé et texte de l’arrêt C‑199/24: Résumé et Texte
• RGPD — Article 85 (traitement et liberté d’expression): Texte consolidé
• CNPD (LU) — RGPD Chapitre IX: page; Considérants: page
• EDPB — Lignes directrices 5/2019 (droit à l’oubli): document
• CNIL — Cadre national (journalisme, LIL): page

En synthèse, l’arrêt C‑199/24 ferme la porte aux régimes nationaux qui neutraliseraient le RGPD derrière une étiquette « presse » trop large. Les organisations qui republient des informations sensibles ou judiciaires doivent soit documenter une véritable logique éditoriale sous l’article 85, soit appliquer pleinement le RGPD.

Article d'expertise Luxgap. Pour un cadrage personnalise sur ce sujet, contactez-nous ou configurez votre devis en ligne.