En vertu du règlement européen sur la protection des données (RGPD), toute personne a le droit d’obtenir d’un responsable de traitement la confirmation que des données la concernant sont traitées, ou ne le sont pas. Dans l’affirmative, elle peut accéder à ces données et recevoir, en outre, certaines informations. Au nombre de celles-ci figurent les destinataires ou catégories de destinataires auxquels les données en question ont été, ou seront, communiquées (art. 15, 1-c).
Un ressortissant autrichien s’était adressé à l’opérateur national de la poste afin de pouvoir accéder à ses données personnelles et, en cas de communication de ces données à des tiers, de pouvoir connaître leur identité. Sa demande n’a pas abouti sur le second point. L’opérateur s’est borné à faire valoir que les données étaient transmises à des partenaires commerciaux pour les besoins d’actions de marketing.
L’intéressé ayant contesté cette position auprès des juridictions autrichiennes, la Cour de justice de l’Union européenne (CJUE) fut saisie de la question de savoir comment interpréter les termes « destinataires ou catégories de destinataires ». Fallait-il comprendre que le responsable du traitement a le libre choix de communiquer à la personne concernée soit l’identité de chaque destinataire, soit de simples informations relatives aux catégories de destinataires ?
La Cour répond qu’une telle option n’est pas ouverte à un opérateur. Celui-ci a l’obligation de fournir à la personne qui le demande l’identité même des destinataires de données.
Toutefois, la CJUE assortit de deux exceptions l’obligation ainsi énoncée : elle ne s’impose pas s’il est impossible d’identifier les éventuels destinataires ou encore si la demande est manifestement infondée ou excessive, hypothèse que prévoit le RGPD (art. 12, 5).
A noter :
Le droit reconnu à la personne concernée de connaître les destinataires de ses données se trouve conforté par plusieurs dispositions du RGPD. Il est nécessaire à l’exercice d’autres droits, tels que le droit à la rectification des données (art. 16), le droit à l’oubli (art. 17), le droit à la limitation du traitement (art. 18) ou le droit d’opposition (art. 21). Et surtout, le responsable du traitement est tenu de notifier à chaque destinataire toute rectification de données, tout effacement ou toute limitation du traitement (art. 19). A cette occasion, il doit fournir à la personne concernée, qui en fait la demande, « des informations sur ces destinataires ».
Documents et liens associés
CJUE 12-1-2023 aff. 154/21, RW c/ Ôsterreichische Post AG
Retrouvez toute l'actualité en matière de droit des sociétés, droit commercial et de la concurrence dans Navis Droit des Affaires !
Pas encore abonné ? Nous vous offrons un accès au fonds documentaire Navis Droit des Affaires pendant 10 jours.
