VIE DES AFFAIRES – PROTECTION DES DONNÉES PERSONNELLES - 27.02.2023

RGPD : droit d’accès aux données personnelles

Le droit d’accès aux données personnelles inclut aussi le droit de connaître leurs destinataires.

Droit d’accès aux données à caractère personnel. En vertu du règlement européen sur la protection des données (RGPD), toute personne a le droit d’obtenir d’un responsable de traitement la confirmation que des données la concernant sont traitées, ou ne le sont pas. Dans l’affirmative, elle peut accéder à ces données et recevoir, en outre, certaines informations, notamment concernant les destinataires ou les catégories de destinataires auxquels ces données ont été, ou seront, communiquées (RGPD art. 15, 1-c) .

Illustration. Un ressortissant autrichien s’était adressé à l’opérateur national de la poste pour pouvoir accéder à ses données personnelles et, en cas de communication de ces données à des tiers, de connaître leur identité. Sa demande n’a pas abouti concernant l’identité des destinataires, car l’opérateur a fait valoir que les données étaient transmises à des partenaires commerciaux pour les besoins d’actions de marketing.

L’intéressé ayant contesté cette position auprès des juridictions autrichiennes, la Cour de justice de l’Union européenne (CJUE) a été saisie de la question de savoir comment interpréter les termes « destinataires ou catégories de destinataires ».

Question. Faut-il comprendre que le responsable du traitement a le libre choix de communiquer à la personne concernée soit l’identité de chaque destinataire, soit de simples informations relatives aux catégories de destinataires ?

Réponse. La CJUE a répondu qu’une telle option n’est pas ouverte à un opérateur : lorsque les données à caractère personnel d’une personne ont été ou sont communiquées à des destinataires, le responsable de traitement a l’obligation de fournir à cette personne qui le demande l’identité même de ces destinataires des données, sauf dans deux situations :

  • s’il est impossible d’identifier les éventuels destinataires ;
  • ou si la demande d’accès de la personne concernée est manifestement infondée ou excessive (hypothèse prévue par le RGPD art. 12, 5), auxquels cas le responsable de traitement peut indiquer à cette personne uniquement les catégories de destinataires en cause (CJUE 12‑1‑2023, aff. C-154/21) .

À noter. Le droit reconnu à la personne concernée de connaître les destinataires de ses données se trouve conforté par plusieurs dispositions du RGPD. Il est nécessaire à l’exercice d’autres droits, tels que le droit à la rectification des données (art. 16) , le droit à l’oubli (art. 17) , le droit à la limitation du traitement (art. 18) ou le droit d’opposition (art. 21) . Et, surtout, le responsable du traitement est tenu de notifier à chaque destinataire toute rectification de données, tout effacement ou toute limitation du traitement (art. 19) . À cette occasion, il doit fournir à la personne concernée qui en fait la demande « des informations sur ces destinataires ».

Le responsable d’un traitement doit communiquer à la personne concernée qui le demande l’identité des destinataires de ses données à caractère personnel, sauf s’il est impossible d’identifier les destinataires ou si la demande d’accès de la personne concernée est manifestement infondée ou excessive.

Contact

Éditions Francis Lefebvre | 42 Rue de Villiers, CS50002 | 92532 Levallois Perret Cedex

Tél. : 03 28 04 34 10 | Fax : 03 28 04 34 11

service.clients.pme@efl.fr | pme.efl.fr

SAS au capital de 241 608 € • Siren : 414 740 852
RCS Nanterre • N°TVA : FR 764 147 408 52 • APE : 5814 Z