- L’article 15 du RGPD s’applique, en termes de procédure, aux demandes d’information introduites après l’entrée en vigueur du règlement.
- Les données de journalisation (logs) peuvent également être des données à caractère personnel et tomber sous le coup du droit d’accès.
- Pas de droit général à la mention de l’identité des travailleurs ; mention uniquement si elle est indispensable à l’exercice des droits de la personne concernée.
- En cas de divulgation, il convient de procéder à une pesée des intérêts et de fournir les informations avec le plus de ménagement possible ; restrictions nationales possibles selon l’art. 23.
La CJCE s’est prononcée en Arrêt du 22 juin 2023 dans l’aff. C‑579/21 s’est penchée sur l’étendue du droit d’accès, suite à une saisine du tribunal administratif de l’Est de la Finlande. Un ancien employé de la banque, qui était également client de la banque, avait demandé des informations sur les employés de la banque qui avaient eu accès à ses données après la fin de son contrat de travail.
La question s’est d’abord posée de savoir l’applicabilité dans le temps du droit d’accèsLa Cour a rejeté la demande d’accès à l’information parce qu’elle concernait l’accès à des données avant l’entrée en vigueur du RGPD. Selon la CJUE, le fait que la demande d’accès ait été introduite après l’entrée en vigueur du RGPD est toutefois déterminant :
32 […] les règles de procédure sont généralement considérées comme s’appliquant dès leur entrée en vigueur, tandis que les règles de fond sont généralement interprétées comme ne s’appliquant aux situations juridiques nées et définitivement acquises avant leur entrée en vigueur que s’il ressort clairement de leur libellé, de leur objectif ou de leur structure qu’un tel effet doit leur être attribué […].
35 Il s’ensuit […] que l’article 15, paragraphe 1, du RGPD confère aux personnes concernées un droit procédural de demander des informations sur le traitement de leurs données à caractère personnel. En tant que règle de procédure, cette disposition s’applique aux demandes d’informations présentées […] à compter de la date d’application du présent règlement..
En principe, les données relatives à l’accès aux données personnelles sont également personnelles :
45 Par conséquent, la définition large de la notion de “données à caractère personnel” couvre non seulement les données collectées et stockées par le responsable du traitement, mais également toutes les informations relatives à une personne identifiée ou identifiable résultant d’un traitement de données à caractère personnel (voir en ce sens l’arrêt du 4 mai 2023, Autorité autrichienne de protection des données et CRIF(voir l’affaire C‑487/21, EU:C:2023:369, point 26).
En outre, il existe en principe un droit à l’information sur les destinataires concrets et individuels des données personnelles, comme la Cour de justice de l’Union européenne l’a établi dans l’arrêt du 26 novembre 2008. Jugement dans l’affaire Österreichische Post avait constaté. Comme certains sont des collaborateurs du responsable mais pas des destinatairesSi le nom de l’entreprise est mentionné dans la liste, il n’est pas possible d’en déduire un droit à sa mention.
Néanmoins, les Données de protocole (logs) éventuellement des données personnelles. La CJCE indique que ces données sont en l’occurrence des listes d’activités de traitement. Cela est difficilement compréhensible ; la CJCE se réfère aux explications de l’avocat général dans ses conclusions, qui n’avait pas dit cela. En tout état de cause, la constatation suivante de la CJCE est correcte :
Dans la mesure où ces registres des activités de traitement aucune information concernant une personne physique identifiée ou identifiable […], ils permettent seulement au responsable du traitement de remplir ses obligations vis-à-vis de l’autorité de contrôle qui demande leur mise à disposition.
Cela ne signifie pas pour autant que le droit de citer des informations contenues dans les registres de traitement est exclu. Il dépend de deux points :
- Premièrement, un droit à Divulgation de documents et pas seulement des données personnelles, dans la mesure où ces documents sont nécessaires à la compréhension des données personnelles en tant qu’informations contextuelles (CJCE dans l’affaire CRIF (C‑487/21)).
- Deuxièmement, le droit d’accès sert à permettre à la personne concernée de Contrôle de la légalité du traitement. Il peut s’agir, comme dans le cas présent, de vérifier, en cas d’accès par d’autres collaborateurs, que ces accès ont été effectués “effectivement sous l’autorité du responsable du traitement et conformément à ses instructions” (article 29 du RGPD).
Cela entraînerait toutefois la communication de données personnelles de ces collaborateurs qui accèdent au site. Cela n’exclut pas le droit d’accès, mais il est Pesée des intérêts et les renseignements doivent être donnés avec le plus grand soin.
La CJCE parvient donc à la réponse suivante :
[…] informations, qui concernent des consultations de données à caractère personnel relatives à une personne et qui portent sur le moment et les finalités de ces opérations(2) Le droit d’accès à ces informations constitue une information que ladite personne est en droit d’exiger du responsable en vertu de cette disposition. En revanche, cette disposition ne prévoit pas un tel droit en ce qui concerne les informations relatives à l’identité des employés de ce responsable qui ont effectué ces opérations sous son contrôle et conformément à ses instructions, sauf si ces informations sont indispensables pour permettre à la personne concernée deLes États membres veillent à ce que les travailleurs détachés soient autorisés à exercer effectivement les droits qui leur sont conférés par le présent règlement, à condition que les droits et libertés de ces travailleurs soient respectés.
La CJUE retient en outre – suite à une question préjudicielle correspondante – que ces considérations s’appliquent également aux banques, du moins tant que le législateur national n’a pas prévu de limitation du droit d’accès (conformément à l’article 23 du RGPD).