[Brèves] RGPD : la CJUE précise le droit d’obtenir une « copie » des données à caractère personnel

► Le droit d’obtenir de la part du responsable du traitement une copie des données à caractère personnel faisant l’objet d’un traitement implique qu’il soit remis à la personne concernée une reproduction fidèle et intelligible de l’ensemble de ces données. Ce droit suppose celui d’obtenir la copie d’extraits de documents voire de documents entiers ou encore d’extraits de bases de données qui contiennent, entre autres, lesdites données, si la fourniture d’une telle copie est indispensable pour permettre à la personne concernée d’exercer effectivement les droits qui lui sont conférés par ce règlement, étant souligné qu’il doit être tenu compte, à cet égard, des droits et libertés d’autrui.

Faits et procédure. Une agence de renseignements commerciaux (CRIF) a procédé au traitement de données à caractère personnel. Une personne concernée par ce traitement (le requérant) a demandé à CRIF, sur le fondement du RGPD (Règlement n° 2016/679 du 27 avril 2016 N° Lexbase : L0189K8I) à avoir accès aux données à caractère personnel le concernant. En outre, il a sollicité la fourniture d’une copie des documents, à savoir les courriers électroniques et les extraits de bases de données, contenant, entre autres, ses données, « dans un format technique standard ». En réponse à cette demande, CRIF a transmis au requérant au principal, sous forme synthétique, la liste de ses données à caractère personnel faisant l’objet d’un traitement.

Estimant que CRIF aurait dû lui transmettre une copie de l’ensemble des documents contenant ses données, le requérant au principal a introduit une réclamation auprès de l’Österreichische Datenschutzbehörde (autorité autrichienne de protection des données).

C’est dans ces conditions que le juge autrichien a posé des questions préjudicielles à la CJUE, notamment sur la portée de l’obligation prévue à l’article 15 du RGPD de fournir à la personne concernée une « copie » de ses données à caractère personnel faisant l’objet d’un traitement.

Décision. La Cour vient donc apporter des précisions sur le contenu et l’étendue du droit d’accès de la personne concernée.

Après s’être livrée à une analyse textuelle de l’article 15 § 3 du RGPD, la Cour considère que celui-ci confère à la personne concernée le droit d’obtenir une reproduction fidèle de ses données à caractère personnel, entendues dans une acception large, qui font l’objet d’opérations devant être qualifiées de traitement effectué par le responsable de ce traitement.

Par ailleurs, la Cour précise que le terme « copie » ne se rapporte pas à un document en tant que tel, mais aux données à caractère personnel qu’il contient et qui doivent être complètes. La copie doit donc contenir toutes les données à caractère personnel faisant l’objet d’un traitement.

En outre, la CJUE retient que la copie des données à caractère personnel faisant l’objet d’un traitement, que le responsable du traitement doit fournir, doit présenter l’ensemble des caractéristiques permettant à la personne concernée d’exercer effectivement ses droits au titre du RGPD et doit, par conséquent, reproduire intégralement et fidèlement ces données.

La CJUE estime également qu’en cas de conflit entre, d’une part, l’exercice d’un droit d’accès plein et complet aux données à caractère personnel et, d’autre part, les droits ou libertés d’autrui, il y a lieu de mettre en balance les droits et libertés en question. Dans la mesure du possible, il convient de choisir des modalités de communication des données à caractère personnel qui ne portent pas atteinte aux droits ou libertés d’autrui, en tenant compte du fait que ces considérations ne doivent pas aboutir à refuser toute communication d’informations à la personne concernée.

Dans un second temps, la Cour se penche sur la question de savoir ce que recouvre la notion d’« informations » visée à l’article 15 § 3, troisième phrase, du RGPD. Elle retient ainsi que si cette disposition ne précise pas ce qu’il convient d’entendre par le terme « informations », il résulte de son contexte que les « informations » qu’elle vise correspondent nécessairement aux données à caractère personnel dont le responsable du traitement doit fournir une copie conformément à la première phrase de ce paragraphe.

© Reproduction interdite, sauf autorisation écrite préalable