La personne concernée par un traitement de ses données personnelles a le droit d’obtenir l’accès auxdites données, le responsable du traitement lui fournissant une copie des données personnelles faisant l’objet d’un traitement (RGPD art. 15).
En vue d’introduire une réclamation ou une action en justice à l'encontre d’une banque croate, des clients de celle-ci lui demandent la fourniture d’une copie des documents les concernant contenant leurs données personnelles, notamment les contrats de prêt, plans de remboursement, documents portant sur l’évolution des taux d’intérêt ainsi que des relevés de compte. La banque rejette leurs demandes et l'autorité de protection des données croate la condamne au paiement d'une amende.
La CJUE est saisie par un juge croate de deux questions préjudicielles.
1° La première porte sur l’interprétation de la notion de copie : le droit d’accès implique-t-il pour la personne concernée d’obtenir une copie intégrale des documents contenant ses données à caractère personnel ou seulement une copie desdites données en tant que telles, comme le soutenait la banque, qui faisait valoir que le droit d’accès aux données est reconnu dans le seul but de vérifier la licéité du traitement de ces données ?
La CJUE juge à cet égard que le droit, pour la personne concernée, d’obtenir une copie de ses données à caractère personnel et faisant l’objet d’un traitement implique qu’il lui soit remis une copie intégrale des documents qui contiennent lesdites données si la fourniture d’une telle copie est nécessaire pour permettre à la personne concernée d’en vérifier l’exactitude et l’exhaustivité ainsi que pour garantir leur intelligibilité.
2° La seconde question est relative à la nécessité ou non pour la personne concernée d’invoquer un motif spécifique pour justifier la demande d’accès auprès du responsable du traitement. Notamment, la fourniture d’une copie des données s’impose-t-elle au responsable du traitement même lorsque cette demande de communication est motivée par un but étranger à la prise de connaissance du traitement et à la vérification de sa licéité ?
La CJUE y répond par l'affirmative, jugeant que la personne concernée n’a pas à justifier d’un motif spécifique auprès du responsable du traitement et que le RGPD ne fait pas dépendre l’étendue du droit d’accès du motif de ce traitement.
A noter :
1° L’article 15, 3 du RGPD prévoit la possibilité pour la personne concernée d’avoir accès aux données à caractère personnel qui sont traitées par le responsable du traitement. Cette disposition lui permet d’obtenir une reproduction fidèle des données la concernant. La CJUE a déjà jugé que la copie que doit fournir le responsable du traitement doit contenir toutes les données à caractère personnel faisant l’objet d’un traitement (CJUE 26-10-2023 aff. 307/22 : copies du dossier médical). En l’espèce, elle rappelle que la copie doit présenter l’ensemble des caractéristiques permettant à la personne concernée d’exercer effectivement ses droits au titre du RGPD et doit, par conséquent, reproduire intégralement et fidèlement ces données. En particulier, afin de garantir que les informations fournies par le responsable du traitement soient faciles à comprendre (RGPD art. 12, 1° ; considérant 58), la reproduction d’extraits de documents, voire de documents entiers, qui contiennent entre autres les données à caractère personnel faisant l’objet d’un traitement peut se révéler indispensable lorsque la contextualisation des données traitées est nécessaire pour en assurer l’intelligibilité.
Cette décision de la CJUE est dans la ligne de sa jurisprudence sur l’interprétation du droit d’accès de la personne concernée.
2° La CJUE constate que le libellé de l’article 15, 1 et 3 du RGPD ne conditionne pas la fourniture d’une copie des données à caractère personnel à l’invocation par la personne concernée auprès du responsable du traitement d’un motif visant à justifier sa demande d’accès à ces données, la circonstance que le traitement des données à caractère personnel réponde à une obligation légale étant également sans incidence sur l’étendue du droit d’accès. En l’espèce, le responsable du traitement a donc l’obligation de fournir à la personne concernée qui en fait la demande une copie intégrale des données la concernant dans le but d’introduire une action en réclamation ou en justice.
Documents et liens associés :
