Quels sont les faits ?

Un particulier, dont les données à caractère personnel ont été traitées par une agence de renseignements commerciaux, formule une demande d’accès aux données le concernant. L’agence répond en transmettant sous forme synthétique une liste sur laquelle figure les données à caractère personnel du particulier. Ce dernier saisit par la suite l’autorité autrichienne de protection des données parce qu’il estime que l’agence aurait dû lui transmettre une copie de l’ensemble des documents contenant ses données, tels les courriers électroniques et les extraits de bases de données.

L’autorité autrichienne de protection des données a rejeté cette réclamation et l’affaire a été renvoyée devant le tribunal administratif fédéral autrichien. Dans le cadre de ce contentieux, la juridiction de renvoi a posé des questions préjudicielles à la Cour de justice de l’Union européenne (ci-après « CJUE », ou « la Cour »).

Quelles interrogations en matière de droit d’accès ?

La CJUE devait notamment se pencher sur la portée de l’article 15, paragraphe 3 du RGPD qui consacre l’obligation de fournir à la personne concernée une copie de ses données à caractère personnel faisant l’objet d’un traitement. La transmission d’un tableau synthétique suffit-elle ? Faut-il transmettre des documents ?

Compte tenu de l’absence de définition de la notion de « copie » au sein du RGPD, la CJUE saisit l’opportunité de préciser les implications d’une réponse effective à une demande d’accès et les conditions d’exercice de ce droit.

En substance, la Cour de justice de l’Union européenne retient une interprétation littérale, conforme au sens habituel du terme. Ainsi, la notion de « copie » doit être entendue comme une « reproduction ou transcription fidèle d’un original ».

Dans ce contexte, une description purement générale des données faisant l’objet d’un traitement ou un renvoi à des catégories de données à caractère personnel ne correspond pas à la « copie » visée par le RGPD. En revanche, la notion de « copie » ne désigne pas nécessairement un document mais les données complètes faisant l’objet d’un traitement.

De plus, la Cour précise que l’article 15 ne consacre pas deux droits distincts. La première phrase du paragraphe 3 de l’article 15 (relatif à la fourniture d’une copie des données à caractère personnel faisant l’objet d’un traitement) ne consacre pas un droit différent du droit posé au paragraphe 1 (relatif au droit d’obtenir la confirmation que des données à caractère personnel concernant la personne sont traitées ou non, et l’accès auxdites données). Si le paragraphe 1 définit l’objet et le champ d’application du droit d’accès de la personne concernée, le paragraphe 3 ne fait que préciser les modalités pratiques de l’exécution de cette obligation qui pèse sur le responsable du traitement.

Cette prise de position de la CJUE s’explique par la volonté d’assurer un exercice effectif du droit d’accès par les personnes concernées. En effet, conformément au considérant 58 et à l’article 12 du RGPD (relatif à la transparence des informations et des communications, et aux modalités de l’exercice des droits de la personne concernée), la reproduction fournie au particulier doit, en plus d’être intégrale et fidèle, aisément accessible, facile à comprendre et formulée en des termes clairs et simples.

Que retenir de cette décision ?

La réponse à une demande de droit d’accès peut conduire à la communication d’extraits de documents, ou encore de documents à leur intégralité.

La Cour rappelle aussi qu’une mise en balance des intérêts peut s’imposer en cas de conflit entre l’exercice du droit d’accès plein et complet face aux droits et libertés des entités responsables des traitements.

Cette décision s’inscrit ainsi dans la lignée des positions prises de la CJUE sur l’étendue du droit d’accès. 

Vous accompagner dans le développement de vos projets, former vos équipes : nous mettons nos expertises à votre service !