- En vertu de l’article 15, paragraphe 1, point c) du RGPD, la CJUE exige en principe la mention des destinataires concrets des données à caractère personnel, et pas seulement des catégories de destinataires.
- La personne concernée a le droit de choisir de demander des destinataires spécifiques ou, à défaut, de demander uniquement des catégories de destinataires.
- Une limitation à des catégories n’est autorisée qu’à titre exceptionnel, lorsque l’identité de destinataires concrets ne peut effectivement pas être communiquée.
La CJCE a jugé dans Arrêt C‑154/21 du 12 janvier 2023 dans l’affaire Österreichische Post décider que le responsable, lorsqu’il fournit des informations conformément à l’article 15 du RGPD de mentionner les différents destinataires et pas seulement des catégories de destinataires a.
En réponse à une demande d’information, la Poste avait notamment indiqué que les données de la personne concernée avaient été transmises à des clients parmi lesquels figuraient des entreprises de publicité dans le domaine de la vente par correspondance et du commerce stationnaire, des entreprises informatiques (etc.) ; les noms des destinataires n’étaient pas mentionnés. Le tribunal de première instance et la cour d’appel avaient rejeté le recours suivant au motif que l’article 15, paragraphe 1, point c), du RGPD laissait au responsable du traitement le choix de n’indiquer que les catégories ou les destinataires individuels. La Cour suprême (OGH) avait posé cette question à la CJUE.
La CJCE justifie son opinion comme suit :
- Après Considérant 63 la personne concernée doit pouvoir savoir, entre autres, “qui sont les destinataires des données à caractère personnel”.
- L’avocat général avait estimé que l’article 15 du RGPD dans ses conclusions l’obligation d’information selon l’art. 13 f. RGPD par rapport à l’obligation d’informationDans le cas du droit d’accès, il s’agit d’un droit de la personne concernée, ce qui “présuppose logiquement” que le choix (destinataire vs. catégories) incombe à la personne concernée (une petitio principii : l’étendue du droit est en discussion et n’est pas la prémisse) :
En tout état de cause, il convient également de constater, conformément aux observations de la juridiction de renvoi, que la structure de l’article 15, paragraphe 1, du RGPD plaide, selon moi, en faveur d’une interprétation de la disposition en question, selon laquelle il incombe à la personne concernée (et donc, contrairement aux constatations des deux juridictions de fait, pas au responsable du traitement en l’espèce)Le RGPD impose au responsable du traitement de choisir entre les deux options qu’il prévoit. Contrairement à d’autres dispositions du RGPD, telles que les articles 13 et 14(7), qui sont structurées de manière à prévoir une obligation d’information de la part du responsable du traitement, la disposition en question prévoit un droit d’accès effectif en faveur de la personne concernée. L’exercice de ce droit d’accès par la personne concernée suppose logiquement que le titulaire de ce droit se voie offrir le choixLe responsable du traitement peut demander au responsable du traitement s’il souhaite obtenir des informations concernant, dans la mesure du possible, les destinataires spécifiques auxquels les données ont été ou seront divulguées ou, à défaut, s’il se contente de demander des informations sur les catégories de destinataires.
- Le droit d’accès ne devrait pas seulement permettre de vérifier l’exactitude des données, mais également de Admissibilité du traitementLa Commission est responsable de la mise en œuvre de la présente directive, et notamment de sa publication.
- Le site l’efficacité pratique des droits des personnes concernées présuppose que l’identité des destinataires concrets soit communiquée à la personne concernée.
- Article 19, paragraphe 2 du RGPD prévoit que le responsable du traitement doit communiquer à des destinataires la rectification ou l’effacement ou une limitation du traitement et, sur demande, “informer la personne concernée sur ces destinataires”.
La CJCE formule le résultat comme suit :
En conséquence, on peut supposer que les InformationsLes informations fournies à la personne concernée en vertu de l’art. 15, par. 1, let. Le droit d’accès prévu par le RGPD est accordé à la personne concernée, doivent être aussi précises que possible. En particulier, ce droit d’accès comprend la possibilité pour la personne concernée d’obtenir du responsable du traitement obtenir des informations sur des destinataires spécifiquesLa personne concernée peut choisir de ne demander que des informations sur les catégories de destinataires auxquelles les données ont été ou seront divulguées.
La CJCE laisse tout de même une porte de sortie étroite, car la protection des données
doit être considéré au regard de sa fonction sociale et mis en balance avec d’autres droits fondamentaux, dans le respect du principe de proportionnalité.
Par conséquent, il est concevable que, dans certaines circonstances, il ne soit pas possible de fournir des informations sur des destinataires concrets. Par conséquent, le droit d’accès peut être limité aux informations relatives aux catégories de destinataires lorsqu’il n’est pas possible deLes États membres sont tenus de communiquer l’identité des destinataires concrets, en particulier lorsque ceux-ci ne sont pas encore connus.