La CJUE, dans l’affaire C-487/21, Österreichische Datenschutzbehörde et CRIF, a défini ce que sont, en droit du RGPD, les notions d’information et de copie. La Cour a précisé à cette occasion que le droit d’obtenir une « copie » des données à caractère personnel implique qu’il soit remis à la personne concernée une reproduction fidèle et intelligible de toutes ces données.
Ce droit implique celui d’obtenir la copie d’extraits de documents, voire de documents entiers, ou encore d’extraits de bases de données qui contiennent lesdites données, si cela est indispensable pour permettre à la personne concernée d’exercer effectivement les droits qui lui sont conférés par le RGPD.
CRIF est une agence de renseignements commerciaux qui fournit, sur demande de ses clients, des informations concernant la solvabilité de tiers. À cette fin, elle a procédé au traitement de ses données à caractère personnel du requérant au principal, un particulier. Ce dernier a demandé à CRIF, sur le fondement du règlement général sur la protection des données (RGPD), à avoir accès aux données à caractère personnel le concernant. En outre, il a sollicité la fourniture d’une copie des documents, à savoir les courriers électroniques et les extraits de bases de données, contenant, entre autres, ses données, « dans un format technique standard ».
En réponse à cette demande, CRIF a transmis au requérant au principal, sous forme synthétique, la liste de ses données à caractère personnel faisant l’objet d’un traitement. Estimant que CRIF aurait dû lui transmettre une copie de l’ensemble des documents contenant ses données, tels les courriers électroniques et les extraits de bases de données, le requérant au principal a introduit une réclamation auprès de l’Österreichische Datenschutzbehörde (autorité autrichienne de protection des données). Il en a résulté un litige pour lequel une question préjudicielle a été posée par le Bundesverwaltungsgericht (tribunal administratif fédéral, Autriche).
La CJUE a, à cette occasion, procédé à une interprétation littérale, systématique et téléologique de l’article 15, paragraphe 3, première phrase, du RGPD, lequel prévoit le droit de la personne concernée d’obtenir une copie de ses données à caractère personnel faisant l’objet d’un traitement.
La notion de copie n’y est pas définie, maie la CJUE estime qu’il convient de tenir compte du sens habituel de ce terme, lequel désigne la reproduction ou la transcription fidèle d’un original, de sorte qu’une description purement générale des données faisant l’objet d’un traitement ou un renvoi à des catégories de données à caractère personnel ne correspondrait pas à cette définition.
En outre, il ressort des termes de cette disposition que l’obligation de communication se rattache aux données à caractère personnel faisant l’objet du traitement en cause : la Cour en déduit un droit à obtenir une reproduction fidèle de ses données à caractère personnel, entendues dans une acception large, qui font l’objet d’opérations devant être qualifiées de traitement effectué par le responsable de ce traitement.
A l’article 15 du RGPD, a-t-on deux droits distincts (celui du paragraphe 3 et celui du paragraphe 1 ?) ? Non répond la CJUE : le paragraphe 1 définit l’objet et le champ d’application du droit d’accès reconnu à la personne concernée… avec des modalités pratiques prévues par le paragraphe 3 : par conséquent, précise la Cour, l’article 15 du RGPD ne saurait être interprété comme consacrant, à son paragraphe 3, première phrase, un droit distinct de celui prévu à son paragraphe 1.
Par ailleurs, la Cour précise que le terme « copie » ne se rapporte pas à un document en tant que tel, mais aux données à caractère personnel qu’il contient et qui doivent être complètes. La copie doit donc contenir toutes les données à caractère personnel faisant l’objet d’un traitement.
Ainsi, afin de garantir que les informations ainsi fournies soient faciles à comprendre, la reproduction d’extraits de documents, voire de documents entiers, ou encore d’extraits de bases de données qui contiennent, entre autres, les données à caractère personnel faisant l’objet d’un traitement peut s’avérer indispensable. En particulier, lorsque des données à caractère personnel sont générées à partir d’autres données ou lorsque de telles données résultent de champs libres, à savoir une absence d’indication révélant une information sur la personne concernée, le contexte dans lequel ces données font l’objet d’un traitement est un élément indispensable pour permettre à la personne concernée de disposer d’un accès transparent et d’une présentation intelligible de ces données.
En cas de conflit entre, d’une part, l’exercice d’un droit d’accès plein et complet aux données à caractère personnel et, d’autre part, les droits ou libertés d’autrui, la Cour estime qu’il y a lieu de mettre en balance les droits et libertés en question. Dans la mesure du possible, il convient de choisir des modalités de communication des données à caractère personnel qui ne portent pas atteinte aux droits ou libertés d’autrui, en tenant compte du fait que ces considérations ne doivent pas aboutir à refuser toute communication d’informations à la personne concernée.
Dans un second temps, la Cour se penche sur la question de savoir ce que recouvre la notion d’« informations » visée à l’article 15, paragraphe 3, troisième phrase, du RGPD. Si cette disposition ne précise pas ce qu’il convient d’entendre par le terme « informations », il résulte de son contexte que les « informations » qu’elle vise correspondent nécessairement aux données à caractère personnel dont le responsable du traitement doit fournir une copie conformément à la première phrase de ce paragraphe.
Donc :
- la notion de « copie » porte sur « le droit d’obtenir de la part du responsable du traitement une copie des données à caractère personnel faisant l’objet d’un traitement implique qu’il soit remis à la personne concernée une reproduction fidèle et intelligible de l’ensemble de ces données » (y compris le droit d’avoir « copie d’extraits de documents voire de documents entiers ou encore d’extraits de bases de données qui contiennent, entre autres, lesdites données » dans le cas où cela s’impose pour « permettre à la personne concernée d’exercer effectivement les droits qui lui sont conférés par ce règlement »).
- ce droit ne porte pas sur le contenant, mais sur le contenu (pas tant la communication du document que de sa substance, à savoir les données à caractère personnel.
- la notion d’ « informations » en ce domaine se rapporte uniquement aux données à caractère personnel.
Source :
Vous devez être connecté pour poster un commentaire.