{"id":12047,"date":"2023-01-18T16:20:23","date_gmt":"2023-01-18T15:20:23","guid":{"rendered":"https:\/\/www.agilit.law\/?p=12047"},"modified":"2023-02-01T15:40:50","modified_gmt":"2023-02-01T14:40:50","slug":"cjue-personne-concernee-droit-acces-destinataires-donnees-personnelles","status":"publish","type":"post","link":"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/cjue-personne-concernee-droit-acces-destinataires-donnees-personnelles\/","title":{"rendered":"CJUE : la personne concern\u00e9e a le droit de conna\u00eetre l\u2019identit\u00e9 des destinataires de ses donn\u00e9es personnelles"},"content":{"rendered":"

Le 12 janvier 2023, la Cour de justice de l\u2019Union Europ\u00e9enne (ou CJUE) a rendu un arr\u00eat venant pr\u00e9ciser la port\u00e9e de l\u2019information due \u00e0 la personne exer\u00e7ant son droit d\u2019acc\u00e8s \u00e0 ses donn\u00e9es \u00e0 caract\u00e8re personnel que lui conf\u00e8re l\u2019article 15 du RGPD, en particulier s\u2019agissant de l\u2019information relative aux destinataires de ses donn\u00e9es.<\/em><\/p>\n

 <\/p>\n

*\u00a0 \u00a0 \u00a0 \u00a0 \u00a0 *<\/p>\n

*<\/p>\n

 <\/p>\n

Le 15 janvier 2019, l\u2019\u00d6sterreichische Post (la Poste autrichienne) a re\u00e7u, de la part d\u2019un utilisateur, une demande de droit d\u2019acc\u00e8s aux donn\u00e9es \u00e0 caract\u00e8re personnel le concernant et \u00e9tant actuellement conserv\u00e9es par l\u2019entit\u00e9 ou l\u2019ayant \u00e9t\u00e9 par le pass\u00e9, fond\u00e9e sur l\u2019article 15 du RGPD<\/a>.<\/p>\n

Il souhaitait \u00e9galement obtenir l\u2019identit\u00e9 des destinataires de ses donn\u00e9es en cas de communication de celles-ci \u00e0 des tiers, cette facult\u00e9 lui \u00e9tant offerte par l\u2019article 15, paragraphe 1, sous c) du RGPD.<\/p>\n

En r\u00e9ponse, l\u2019\u00d6sterreichische Post s\u2019est content\u00e9e de lui indiquer que l\u2019utilisation des donn\u00e9es \u00e9tait faite dans la mesure autoris\u00e9e par le droit au regard de son activit\u00e9, et qu\u2019elle proposait ces donn\u00e9es \u00e0 des partenaires commerciaux \u00e0 des fins de marketing. Le plaignant \u00e9tait renvoy\u00e9 \u00e0 un site internet pour obtenir davantage d\u2019informations, sans que l\u2019identit\u00e9 des destinataires concrets de ses donn\u00e9es ne lui soit fournie.<\/p>\n

Le plaignant a alors assign\u00e9 l\u2019\u00d6sterreichische Post devant les juridictions autrichiennes afin qu\u2019il lui soit fait injonction de lui fournir, notamment, l\u2019identit\u00e9 du ou des destinataires de ses donn\u00e9es \u00e0 caract\u00e8re personnel.<\/p>\n

Au cours de la proc\u00e9dure, l\u2019\u00d6sterreichische Post a inform\u00e9 le plaignant que ses donn\u00e9es \u00e0 caract\u00e8re personnel avaient \u00e9t\u00e9 trait\u00e9es \u00e0 des fins de marketing et transmises \u00e0 des clients, sans indiquer leur identit\u00e9 mais seulement leurs secteurs d\u2019activit\u00e9s (annonceurs, entreprises informatiques, \u00e9diteurs d\u2019adresses, associations\u2026).<\/p>\n

Le plaignant a \u00e9t\u00e9 d\u00e9bout\u00e9 de son recours par les juridictions de premi\u00e8re instance et d\u2019appel au motif que la formulation de l\u2019article 15, paragraphe 1, sous c) du RGPD qui se r\u00e9f\u00e8re aux \u00ab\u00a0destinataires ou aux cat\u00e9gories de destinataires\u00a0\u00bb des donn\u00e9es accorderait au responsable de traitement la possibilit\u00e9 d\u2019indiquer uniquement \u00e0 la personne concern\u00e9e les cat\u00e9gories de destinataires, sans avoir \u00e0 les d\u00e9signer nomm\u00e9ment.<\/p>\n

Le plaignant a alors introduit un pourvoi en r\u00e9vision aupr\u00e8s de la Cour supr\u00eame autrichienne.<\/p>\n

La juridiction, consid\u00e9rant que la formulation de l\u2019article 15 du RGPD ne permet pas de d\u00e9terminer si cette disposition accorde \u00e0 la personne concern\u00e9e un droit d\u2019acc\u00e8s aux informations portant sur les destinataires concrets de ses donn\u00e9es, ou s\u2019il conf\u00e8re au responsable du traitement un choix discr\u00e9tionnaire quant aux informations qu\u2019il fournit dans le cadre d\u2019une demande d\u2019acc\u00e8s, a d\u00e9cid\u00e9 de poser \u00e0 la Cour de justice de l\u2019Union Europ\u00e9enne (ou CJUE) la question pr\u00e9judicielle<\/strong> suivante\u00a0:<\/p>\n

\u00ab\u00a0L\u2019article 15, paragraphe 1, sous c), du [RGPD] doit-il \u00eatre interpr\u00e9t\u00e9 en ce sens que le droit d\u2019acc\u00e8s est limit\u00e9 \u00e0 l\u2019information sur les cat\u00e9gories de destinataires si les destinataires concrets ne sont pas encore connus lorsque les communications sont envisag\u00e9es, mais qu\u2019il doit imp\u00e9rativement s\u2019\u00e9tendre \u00e9galement \u00e0 l\u2019information sur les destinataires de ces informations lorsque des donn\u00e9es ont d\u00e9j\u00e0 \u00e9t\u00e9 communiqu\u00e9es ?\u00a0<\/em>\u00bb<\/p>\n

 <\/p>\n

 <\/p>\n

1. L’interpr\u00e9tation de l’article 15, paragraphe 1, sous c) du RGPD par la CJUE<\/strong><\/h2>\n

La CJUE<\/a> commence par \u00e9noncer les informations pouvant \u00eatre obtenues par la personne concern\u00e9e de la part du responsable du traitement\u00a0:<\/p>\n

– la confirmation que des donn\u00e9es \u00e0 caract\u00e8re personnel la concernant sont trait\u00e9es, ou qu\u2019elles ne le sont pas\u00a0;<\/p>\n

– lorsque de telles donn\u00e9es font l\u2019objet d\u2019un traitement, l\u2019acc\u00e8s auxdites donn\u00e9es\u00a0;<\/p>\n

– ainsi qu\u2019un certain nombre d\u2019informations sur les caract\u00e9ristiques du traitement et notamment les informations portant sur les destinataires ou les cat\u00e9gories de destinataires auxquels les donn\u00e9es \u00e0 caract\u00e8re personnel ont \u00e9t\u00e9 ou seront communiqu\u00e9es.<\/p>\n

Elle constate que le libell\u00e9 de cet article ne permet pas de caract\u00e9riser, de mani\u00e8re univoque, un droit d\u2019information de la personne concern\u00e9e portant sur l\u2019identit\u00e9 concr\u00e8te des destinataires de ses donn\u00e9es.<\/p>\n

Toutefois, la CJUE rel\u00e8ve que le RGPD accorde \u00e0 la personne concern\u00e9e le droit de conna\u00eetre et d\u2019obtenir communication de l\u2019identit\u00e9 des destinataires de ses donn\u00e9es \u00e0 caract\u00e8re personnel. Les juges rel\u00e8vent \u00e9galement que le RGPD ne pr\u00e9voit pas que ce droit puisse \u00eatre limit\u00e9 \u00e0 leurs seules cat\u00e9gories.<\/p>\n

En outre, tout traitement de donn\u00e9es \u00e0 caract\u00e8re personnel doit \u00eatre conforme aux principes \u00e9nonc\u00e9s \u00e0 l\u2019article 5 du RGPD, au nombre desquels figure le principe de transparence qui implique que la personne doit disposer d\u2019informations ais\u00e9ment accessibles et compr\u00e9hensibles sur la mani\u00e8re dont ses donn\u00e9es sont trait\u00e9es.<\/p>\n

La Cour lie \u00e9galement l\u2019information sur les destinataires des donn\u00e9es fournie au titre du droit d\u2019acc\u00e8s aux droits \u00e0 l\u2019effacement, \u00e0 la rectification et \u00e0 la limitation du traitement. Elle consid\u00e8re, en effet, que la garantie de leur effet utile d\u00e9pend du droit de la personne concern\u00e9e \u00e0 \u00eatre inform\u00e9e de l\u2019identit\u00e9 des destinataires concrets de ses donn\u00e9es. Les juges europ\u00e9ens constatent, en ce sens, que l\u2019article 19 du RGPD impose au responsable du traitement de fournir \u00e0 la personne concern\u00e9e des informations sur les destinataires de ses donn\u00e9es si elle en fait la demande dans le cadre de l\u2019exercice de son droit de rectification, ou \u00e0 l\u2019effacement.<\/p>\n

Face \u00e0 l\u2019importance de ces informations, la CJUE consid\u00e8re qu\u2019elles doivent \u00eatre les plus exactes possibles lorsqu\u2019elles sont fournies au titre du droit d\u2019acc\u00e8s.<\/p>\n

Cela implique que la personne concern\u00e9e puisse avoir le choix dans ses demandes au responsable de traitement. Elle peut ainsi lui demander des informations sur les destinataires sp\u00e9cifiques de ses donn\u00e9es ou, alternativement, ne demander que des pr\u00e9cisions sur les cat\u00e9gories de destinataires.<\/p>\n

Les juges europ\u00e9ens ach\u00e8vent leur analyse en constatant que le droit de la personne concern\u00e9e d\u2019obtenir des informations sur le destinataire concret de ses donn\u00e9es rejoint l\u2019un des objectifs fondateurs du RGPD\u00a0: assurer un niveau \u00e9lev\u00e9 de protection des personnes physiques au sein de l\u2019Union.<\/strong><\/p>\n

La CJUE pose cependant deux limites \u00e0 la communication \u00e0 la personne concern\u00e9e d\u2019informations sur l\u2019identit\u00e9 des destinataires de ses donn\u00e9es \u00e0 caract\u00e8re personnel.<\/p>\n

Ainsi, le droit d\u2019acc\u00e8s pourra \u00eatre limit\u00e9 \u00e0 l\u2019information sur les cat\u00e9gories de destinataires\u00a0:<\/p>\n

– s\u2019il s\u2019av\u00e8re impossible de communiquer l\u2019identit\u00e9 des destinataires concrets, en particulier s\u2019ils ne sont pas encore connus, ou\u00a0;<\/p>\n

– si les demandes de la personne concern\u00e9e sont manifestement infond\u00e9es ou excessives, au sens de l\u2019article 12, paragraphe 5 du RGPD. Dans ce cas, les juges pr\u00e9cisent qu\u2019il incombera au responsable de traitement de d\u00e9montrer le caract\u00e8re manifestement infond\u00e9 ou excessif des demandes.<\/p>\n

 <\/p>\n

 <\/p>\n

2. La r\u00e9ponse de la CJUE \u00e0 la question pr\u00e9judicielle<\/strong><\/h2>\n

La Cour r\u00e9pond \u00e0 la question pr\u00e9judicielle pos\u00e9e par la Cour supr\u00eame autrichienne dans ces termes\u00a0:<\/p>\n

\u00ab\u00a0Le droit d\u2019acc\u00e8s de la personne concern\u00e9e aux donn\u00e9es \u00e0 caract\u00e8re personnel la concernant, pr\u00e9vu par cette disposition, implique, lorsque ces donn\u00e9es ont \u00e9t\u00e9 ou seront communiqu\u00e9es \u00e0 des destinataires, l\u2019obligation pour le responsable du traitement de fournir \u00e0 cette personne l\u2019identit\u00e9 m\u00eame de ces destinataires,<\/strong> \u00e0 moins qu\u2019il ne soit impossible d\u2019identifier ces destinataires ou que ledit responsable du traitement ne d\u00e9montre que les demandes d\u2019acc\u00e8s de la personne concern\u00e9e sont manifestement infond\u00e9es ou excessives, au sens de l\u2019article 12, paragraphe 5, du r\u00e8glement 2016\/679, auxquels cas celui-ci peut indiquer \u00e0 cette personne uniquement les cat\u00e9gories de destinataires en cause<\/em>\u00a0\u00bb.<\/p>\n

 <\/p>\n

 <\/p>\n

Ce qu’il faut retenir :<\/strong><\/p>\n

Le droit d\u2019acc\u00e8s conf\u00e9r\u00e9 \u00e0 la personne concern\u00e9e par l\u2019article 15, paragraphe 1, sous c) du RGPD doit \u00eatre interpr\u00e9t\u00e9 comme mettant \u00e0 la charge du responsable de traitement une obligation de lui communiquer l\u2019identit\u00e9 des destinataires de ses donn\u00e9es \u00e0 caract\u00e8re personnel.<\/p>\n

La communication pourra se limiter aux seules cat\u00e9gories de destinataires si le responsable de traitement est confront\u00e9 \u00e0 une impossibilit\u00e9 de communiquer leur identit\u00e9, ou si les demandes de la personne concern\u00e9e s\u2019av\u00e8rent \u00eatre manifestement excessives ou mal fond\u00e9es.<\/p>\n

Les situations dans lesquelles l\u2019identit\u00e9 des destinataires peut ne pas \u00eatre fournie \u00e0 la personne concern\u00e9e sont donc limit\u00e9es et strictement encadr\u00e9es.<\/p>\n

Le responsable de traitement devra motiver le refus de communication de l\u2019identit\u00e9 des destinataires, en d\u00e9montrant le caract\u00e8re manifestement<\/u> mal fond\u00e9 ou excessif des demandes de la personne concern\u00e9e.<\/p>\n

En outre, lorsqu\u2019il est en pratique impossible d\u2019identifier les destinataires des donn\u00e9es, la r\u00e9ponse apport\u00e9e \u00e0 la personne concern\u00e9e devrait en apporter la preuve au titre d\u2019une bonne pratique du responsable de traitement.<\/p>\n

 <\/p>\n

Cette d\u00e9cision est l’occasion de rappeler que :<\/strong><\/p>\n