RGPD : Droits d’accès aux données à caractère personnel. La Cour de Justice clarifie les termes "copie" et "information".

L'article 15, § 3, du RGPD prévoit que, à la demande de la personne concernée, le responsable du traitement doit fournir une copie des données à caractère personnel faisant l'objet d’un traitement et, si la demande est faite par voie électronique, fournir les informations sous une forme électronique d’usage courant. La CJUE précise que le droit d'obtenir une "copie" des données à caractère personnel implique qu'une reproduction fidèle et intelligible de toutes ces données doit être fournie à la personne concernée et que la notion d’"informations" se rapporte exclusivement aux données à caractère personnel dont une copie doit être fournie.

En vertu de l'article 15, § 1, du RGPD, toute personne concernée a le droit d'accéder aux données à caractère personnel la concernant qui font l'objet d'un traitement. Le §3 prévoit que, à la demande de la personne concernée, le responsable du traitement doit fournir une copie des données à caractère personnel faisant l'objet du traitement et, si la demande est faite par voie électronique, fournir les informations dans un format électronique d’usage courant. Dans son arrêt du 4 mai 2023, la Cour clarifie les notions de "copie" et d'"informations".

La CJUE a apporté ces clarifications en réponse à des questions préjudicielles posées par le tribunal administratif fédéral d’Autriche dans une affaire où une agence de renseignements commerciaux avait envoyé les données à caractère personnel qu'elle avait traitées uniquement sous forme synthétique à une personne concernée qui avait exercé son droit d'accès. Le demandeur avait ensuite déposé une plainte auprès de l'autorité autrichienne de protection des données, en faisant valoir que l’agence de renseignements commerciaux aurait dû fournir une copie de l’ensemble des documents contenant ses données.

Dans son arrêt, la CJUE précise le contenu et l’étendue du droit d'accès de la personne concernée aux données à caractère personnel la concernant qui font l'objet d'un traitement. La Cour relève que le terme "copie" ne se réfère pas à un document en tant que tel, mais aux données à caractère personnel qu'il contient, et qui doivent être complètes. Selon la Cour, il découle du RGPD que le responsable du traitement doit fournir à la personne concernée toute information visée d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, et que les informations doivent être fournies par écrit ou par d’autres moyens, y compris, lorsque c’est approprié, par voie électronique, à moins que la personne concernée ne demande qu’elles soient fournies oralement. La copie doit donc présenter toutes les caractéristiques nécessaires pour permettre à la personne concernée d'exercer effectivement les droits qui lui sont conférés par le RGPD. Cette copie doit donc reproduire intégralement et fidèlement les données.

Pour que les informations fournies soient compréhensibles, il peut donc être indispensable de reproduire des extraits de documents, voire des documents entiers ou des extraits de bases de données qui contiennent, entre autres, les données à caractère personnel faisant l'objet du traitement. En particulier, lorsque des données à caractère personnel sont générées à partir d’autres données ou lorsque de telles données résultent de champs libres, le contexte dans lequel ces données font l’objet d’un traitement est un élément indispensable pour permettre à la personne concernée de disposer d’un accès transparent et d’une présentation intelligible de ces données.

La CJUE précise néanmoins que le droit d'accès ne porte pas atteinte aux droits et libertés d'autrui. En cas de conflit entre, d’une part, l’exercice d’un droit d'accès plein et complet aux données à caractère personnel, et, d’autre part, les droits ou libertés d'autrui, les droits en question sont mis en balance. Dans la mesure du possible, il convient de choisir des modalités de communication des données à caractère personnel qui ne portent pas atteinte aux droits ou libertés d'autrui, sans aboutir à refuser toute communication d’informations à la personne concernée.

En outre, la CJUE se penche sur la question de savoir ce qu'il faut entendre par le terme "informations" au sens de l'article 15, § 3, du RGPD. La Cour précise que cette notion se réfère uniquement aux données à caractère personnel dont une copie doit être fournie.

Point d'attention

Suite à l'arrêt de la Cour de justice, le responsable du traitement qui, sur la base du droit d'accès, doit fournir à la personne concernée une copie des données à caractère personnel traitées, devra toujours trouver un juste équilibre entre : 

• l'obligation de transmettre une reproduction fidèle et intelligible de toutes les données à caractère personnel traitées, ce pour quoi il peut être indispensable dans certains cas de reproduire des documents complets ; et les
• les droits ou libertés d'autrui.