- L’identité des collaborateurs de la banque qui consultent les données des clients n’est pas considérée comme une donnée à caractère personnel du client et ne peut donc pas être exigée via l’article 15 du RGPD.
- Les collaborateurs internes de la banque ne sont pas considérés comme des “destinataires” au sens de l’article 4, point 9, du RGPD ; en cas de soupçon d’accès abusif, la DPO ou l’autorité de surveillance sont compétentes.
Dans le cadre d’une demande d’accès, le client d’une banque finlandaise avait notamment demandé à savoir quels employés de la banque avaient eu accès à ses données au cours d’une période donnée. La banque a refusé à juste titre de fournir ces informations, comme l’a souligné l’avocat général de la CJCE dans ses conclusions. Conclusions dans l’affaire Rs. C‑579/21 de l’entreprise.
D’une part, les Noms de ces employés aucun le client données personnelles concernées:
55. comme je l’expliquerai plus en détail ci-dessous, ce qui est important dans la présente affaire, c’est que l’identité des employés qui ont consulté les données de J. M. ne constitue pas des “données à caractère personnel” de J. M.
D’autre part, les Les employés de la banque ne sont pas des “bénéficiairesLes données à caractère personnel ne sont pas des données à caractère personnel au sens de l’article 15, paragraphe 1, point c), du RGPD. Selon l’article 4, point 9, du RGPD, les “destinataires” sont les organismes “auxquels des données à caractère personnel sont divulguées”, qu’il s’agisse ou non d’un tiers […]”. On pourrait déduire de la dernière demi-phrase que les employés de l’entité qui communique les données sont également des “destinataires”. Selon l’avocat général, cela doit être rejeté, ne serait-ce que parce que les employés sont “habilités à traiter les données à caractère personnel sous la responsabilité directe du responsable du traitement ou du sous-traitant”, raison pour laquelle ils ne sont pas des “tiers” au sens de l’article 4, point 10, du RGPD :
Je suis donc d’avis que le la notion de destinataire n’inclut pas les personnes employées par une personne moraleLes responsables du traitement des données sont des personnes qui consultent les données à caractère personnel d’un client en utilisant le système de traitement des données de la personne morale et pour le compte de ses organes directeurs. Si ces employés agissent sous la responsabilité directe du responsable du traitement, ils ne deviennent pas pour autant des “destinataires” des données.
Le résultat est convaincant. On ne peut toutefois rien déduire de la définition du “tiers” à l’article 4, point 10, si le point 9 précise en même temps que les “tiers” ne sont pas les seuls destinataires. Quoi qu’il en soit – sous réserve d’un traitement arbitraire par un collaborateur, qui ferait de celui-ci un responsable à part entière, la personne concernée ne peut pas demander des informations sur les communications faites à ses propres employés. S’il doute de la légalité des règles d’accès, il ne peut s’adresser qu’au DPO du responsable du traitement ou à l’autorité de contrôle :
Dans un tel cas, la personne concernée […] peut s’adresser au délégué à la protection des données (article 38, paragraphe 4, du RGPD) ou introduire une réclamation auprès de l’autorité de contrôle (article 15, paragraphe 1, point f), et article 77 du RGPD). Elle n’a toutefois pas le droit d’obtenir directement des informations sur les données à caractère personnel (l’identité) d’un employé qui est placé sous l’autorité du responsable du traitement ou du sous-traitant et qui agit en principe conformément à ses instructions.
La remarque finale et claire de l’avocat général à la CJCE n’est pas injustifiée :
À mon avis, il serait il ne serait pas souhaitable que la Cour de justice exerce des fonctions quasi-législatives et modifie le RGPDLa Commission a décidé d’introduire une nouvelle obligation d’information qui se superpose à l’obligation prévue à l’article 15, paragraphe 1. Ce serait le cas si le responsable du traitement était tenu de communiquer à la personne concernée non seulement l’identité du destinataire auquel les données ont été divulguées, mais aussi l’identité de tout employé ou de toute personne appartenant au cercle interne de l’entreprise qui a eu légitimement accès aux données.