Dans un arrêt du 12 janvier 2023, la Cour de justice de l’Union européenne (ci-après, la « CJUE »), s’est exprimée quant à l’interprétation de l’article 15 du Règlement général sur la protection des données (ci-après, le « RGPD »).

 

Cet arrêt fait suite à une question préjudicielle de la Cour suprême d’Autriche relative à l’interprétation de l’article 15 du RGPD notamment sur le fait savoir si le responsable du traitement était libre quant au choix de communiquer l’identité exacte des destinataires des données personnelles aux personnes concernées.

 

L’exercice du droit d’accès

 

En vertu de l’article 15 du RGPD, toute personne a le droit de demander au responsable du traitement, l’accès à ses données personnelles. Les personnes peuvent ainsi recevoir des informations liées à leur traitement tel que : la finalité, la durée de conservation des données, le transfert des données hors Union européenne.

 

Ce droit d’accès fait partie des droits consacrés par le RGPD. Sa violation peut être lourdement sanctionnée par la Commission nationale de l'informatique et des libertés (ci-après, la « Cnil ») conformément à l’article 83 du RGPD. Cet article a été mobilisé par la Cnil à plusieurs reprises, notamment à l’encontre de Free pour « manquement à l’obligation de respecter le droit d’accès des données personnelles de ses utilisateurs ».

 

Une question préjudicielle relative à l’interprétation de l’article 15 du RGPD

 

En l’espèce, le 15 janvier 2019, sur le fondement de l’article 15 du RGPD, RW a demandé à l’Österreichische Post, l’accès aux données à caractère personnel le concernant et, en cas de communication des données à des tiers, l’identité de ces destinataires.

 

Cependant, l’Österreichische Post a simplement indiqué « qu’elle utilise des données, dans la mesure autorisée par le droit, dans le cadre de son activité d’éditeur d’annuaires téléphoniques et qu’elle propose ces données à caractère personnel à des partenaires commerciaux à des fins de marketing ».

 

RW n’a alors pas reçu l’identité des destinataires des données et assigna l’Österreichische Post devant les juridictions autrichiennes.

 

Le litige a été porté jusque devant la Cour suprême de l’Autriche, puis une question préjudicielle a été posée, sur l’interprétation de l’article 15, paragraphe 1, sous c), du RGPD, cette disposition ne permettrait pas de savoir si elle accorde à la personne concernée « le droit d’avoir accès aux informations relatives aux destinataires concrets des données communiquées ou si le responsable du traitement dispose d’un choix discrétionnaire quant à la manière dont il entend donner suite à une demande d’accès à l’information sur les destinataires ».

 

L’interprétation de la CJUE

 

Au cours de sa démonstration, la CJUE aborda plusieurs éléments avant de rendre sa solution. En premier lieu, elle se réfère à l’arrêt du 15 mars 2022, Autorité des marchés financiers, C‑302/20, EU:C:2022:190, point 63, qui, en matière d’interprétation d’une disposition du droit de l’Union, amène la CJUE à « tenir compte non seulement de ses termes, mais également du contexte dans lequel elle s’inscrit ainsi que des objectifs et de la finalité que poursuit l’acte dont elle fait partie ».

 

Elle relève ensuite que les termes « destinataires » et « catégories de destinataires » qui figurent dans l’article 15 du RGPD, sont utilisés successivement, mais « sans qu’il soit possible de déduire un ordre de priorité entre l’un et l’autre ».

 

La CJUE précise ensuite que le libellé de l’article 15, paragraphe 1, sous c), du RGPD ne permet pas « de déterminer, de manière univoque, si la personne concernée aurait le droit d’être informée, lorsque les données à caractère personnel la concernant ont été ou seront communiquées, de l’identité concrète des destinataires de celles-ci ».

 

La Cour estime ensuite que tout traitement de données à caractère personnel doit être conforme aux principes énoncés à l’article 5 du RGPD. Ce qui amène, eu égard au principe de transparence, à ce que les informations soient aisément accessibles et compréhensibles pour la personne physique.

 

Selon la Cour, l’article 15 du RGPD prévoit « un véritable droit d’accès » en faveur de la personne concernée. La personne subissant un traitement doit alors disposer du choix d’obtenir, « soit les informations sur les destinataires spécifiques auxquels lesdites données ont été ou seront communiquées, lorsque cela est possible, soit celles concernant les catégories de destinataires ».

 

La Cour rappelle ensuite que l’exercice du droit d’accès doit permettre à la personne concernée de « vérifier que les données la concernant sont exactes et traitées de manière licite ».

 

La solution de la CJUE

 

Conformément à la lettre et à l’esprit de l’article 15 du RGPD, la CJUE finit par considérer que pour garantir l’effet utile des droits de la personne concernée, dans le cas où ses données à caractère personnel ont déjà été ou seront communiquées, elle doit disposer d’un droit à être informée de l’identité des destinataires concrets.

 

Nonobstant, la Cour considère que, même si la protection des données personnelles est un droit fondamental,  elle n’en demeure pas moins absolue. Le droit des personnes concernées doit en effet être mis en balance avec d’autres droits fondamentaux, comme l’a réaffirmé l’arrêt du 16 juillet 2020, Facebook Ireland et Schrems au point 172. Par cela, la Cour apporte deux nuances :

 

• « Il peut être admis que, dans des circonstances spécifiques, il ne soit pas possible de fournir des informations sur des destinataires concrets ». De ce fait, le droit d’accès peut être « limité à l’information sur les catégories de destinataires s’il est impossible de communiquer l’identité des destinataires concrets, en particulier lorsque ceux-ci ne sont pas encore connus ».

 

• De plus, le responsable du traitement peut refuser de donner suite aux demandes de la personne concernée si celles-ci sont manifestement infondées ou excessives.

​

​