- La CJUE constate que l’article 15, paragraphe 3 du RGPD ne crée pas un droit d’accès autonome, mais règle la forme de l’information déjà prévue au paragraphe 1.
- “Copie” fait référence aux données à caractère personnel contenues dans des documents ; des documents entiers ou des extraits ne sont requis que si le contexte est nécessaire à la compréhension (par exemple, données dérivées, champs de texte libre).
La Cour de justice des Communautés européennes (CJCE) a rendu son arrêt le 4 mai 2023 dans l’affaire C‑487/21, un arrêt dans l’affaire CRIF La décision a été prise à la suite d’une décision de l’autorité autrichienne de protection des données et sur présentation du tribunal administratif fédéral autrichien.
Le point de départ était l’article 15, paragraphe 3, du RGPD :
(3) Le responsable établit une Copie des données à caractère personnel faisant l’objet du traitement. Pour toutes les copies supplémentaires demandées par la personne concernée, le responsable du traitement peut exiger une rémunération raisonnable basée sur les coûts administratifs. Si la personne concernée fait sa demande par voie électronique de fournir les informations dans un format électronique courantsauf indication contraire.
La CJUE s’est demandé si cette disposition déterminait uniquement la forme de l’information ou si elle accordait un droit supplémentaire à l’information sur le contexte du traitement. La CJUE répond par la négative à cette question. De même, la notion de “copie” ne se réfère pas à des documents entiers, mais uniquement aux données personnelles qu’ils peuvent contenir.:
32 Par conséquent, l’article 15 du RGPD ne peut pas être interprété comme accordant, dans sa première phrase du paragraphe 3, un droit différent de celui prévu dans son paragraphe 1. Par ailleurs, comme la Commission européenne l’a souligné dans ses déclarations écrites, la notion de “données à caractère personnel” renvoie à la notion de “données à caractère personnel”. “copie” : non pas un document en tant que tel, mais les données à caractère personnel qu’il contient et qui doivent être complètes. La copie doit donc contenir toutes les données à caractère personnel qui font l’objet du traitement.
Cela ne signifie toutefois pas qu’un droit à la remise d’une copie de documents est exclu – si d’autres indications que Informations contextuelles sont nécessaires à la compréhension, ils sont également couverts par le droit d’accès :
41 En effet, afin de garantir que les informations ainsi fournies soient aisément compréhensibles, ainsi que l’exige l’article 12, paragraphe 1, du RGPD, lu en combinaison avec le considérant 58 de celui-ci, ainsi que l’a relevé M. l’avocat général aux points 57 et 58 de ses conclusions, la reproduction d’extraits de documents, voire de documents entiers, ou encore d’extraits de bases de données contenant, notamment, des données à caractère personnel faisant l’objet du traitement, peut s’avérer indispensable lorsque la contextualisation des données traitées est nécessaire pour garantir leur intelligibilité.
C’est particulièrement vrai lorsqu’il s’agit de données dérivées ou des indications en Champs de texte libre s’en va :
42 En particulier, lorsque des données à caractère personnel sont générées à partir d’autres données ou lorsqu’elles reposent sur des champs libres, c’est-à-dire une absence d’indication permettant d’obtenir des informations sur la personne concernée, le contexte dans lequel ces données font l’objet du traitement est indispensable pour que la personne concernée puisse obtenir des informations transparentes et une présentation compréhensible de ces données.