I) Nouvelle décision de la CJUE précisant comment répondre à une demande de fourniture d’une copie des données à caractère personnel.

Dans un arrêt du 4 mai 2023, la CJUE a précisé quelle est l’étendue de la copie des données personnelles qui doit être communiquée aux personnes concernées qui en font la demande. En l’espèce, une agence de renseignements commerciaux fournit des informations concernant la solvabilité de tiers sur demande de ses clients.

La personne concernée soupçonnait cette société de fournir à ses clients des informations inexactes la concernant, elle en tant que gérant et sa société. Pour cette raison ce gérant a adressé à cette agence la demande suivante :

• Un accès aux données à caractère personnel le concernant
• Une copie des documents (notamment des courriels et extraits de bases de données) qui inclue ses données dans un format technique standard.

La société avait refusé de faire droit à sa demande entièrement. Elle ne lui fournit qu’une liste sommaire de toutes les données personnelles le concernant et qui faisaient l’objet d’un traitement. Cette liste incluait : nom, courriel, numéro de téléphone, date de naissance, adresse postale, etc. sans préciser le contexte du traitement des données. Il s’agissait uniquement d’une description des données traitées.

II) La définition de la notion de “copie des données personnelles”.

Dans cette affaire, le requérant considérait que son droit d’accès avait une étendue très large et devait lui permettre d’accéder à l’ensemble des documents qui contenaient ses données personnelles. L’autorité nationale avait refusé sa demande et ensuite la Cour Fédérale administrative a formulé la question préjudicielle suivante devant la CJUE :

• Le droit à recevoir une copie des données à caractère personnel se limite à recevoir un sommaire ou résumé des données traitées ou plutôt une reproduction fidèle de l’original ?
• Est-ce que les personnes concernées ont le droit de recevoir également une copie de l’intégralité des documents ou d’un extrait d’une base de données dans lequel les données sont traitées ?

Pour répondre à la première question, la CJUE considère que même si le RGPD ne prévoit pas une définition précise du terme “copie”, la définition usuelle de ce terme doit être acceptée. Ainsi, une copie devrait être la reproduction ou la transcription fidèle d’un original. Elle ne saurait être une description générale, un sommaire ou une liste des catégories de données à caractère personnel. La cour tranche en faveur des personnes concernées en estimant qu’elles ont un droit à recevoir une copie littérale des données originelles. Une description de ces données n’est pas une copie au sens du RGPD.

Pour répondre à la seconde question, la cour considère que les termes “information” et données à caractère personnel ne se limitent pas aux données collectées et sauvegardées. Ces deux termes englobent toute l’information qui résulte du traitement des données, en l’espèce les renseignements commerciaux ou de solvabilité. C’est une interprétation souple de la notion très large de données à caractère personnel qui émane du RGPD.

III) L’étendue du droit d’accès.

Uniquement lorsque les personnes concernées ont un accès très large aux données personnelles, elles sont en mesure de vérifier si elles sont traitées d’une manière appropriée. Ceci veut dire que ces personnes doivent être informées à propos du contexte et les extraits de bases de données ou de documents où leurs données sont mentionnées.

Ce droit d’accès permet aux personnes concernées d’exercer leurs autres droits reconnus par le RGPD comme le droit à l’oubli ou le droit de rectification.

La Cour rappelle que :

“Le principe de traitement loyal et transparent exige que la personne concernée soit informée de l’existence de l’opération de traitement et de ses finalités”.

Il est nécessaire pour le responsable du traitement des données de les informer aussi à propos du contexte et des circonstances spécifiques du traitement des données.

Ceci est indispensable dans des cas où les données sont générées à partir d’autres données (ex. Rapport de solvabilité).

Toutefois, il peut y avoir des cas exceptionnels où le responsable du traitement pourrait refuser la communication de ce contenu complémentaire. Ces exceptions sont limitées aux cas où le responsable pourrait démontrer que la communication ou le partage de certaines informations complémentaires porterait une atteinte disproportionnée aux droits fondamentaux d’autrui, notamment de sa société.

Dans cette affaire, le requérant avait besoin de recevoir plus qu’une simple liste des données traitées par le responsable afin de comprendre l’étendue de l’information sur sa solvabilité qui était communiquée aux tiers, clients du responsable du traitement des données. Pour connaître les informations le concernant qui étaient traitées l’agence, celle-ci devait rectifier et lui envoyer tous les extraits de documents qui faisaient mention de ses données à caractère personnel.

Les sociétés qui reçoivent des demandes de fourniture d’une copie des données à caractère personnel doivent au cas par cas tenter de fournir le plus grand nombre d’informations relatives au traitement de ces données.