Cour de justice de l’Union européenne
Même une première demande d’accès aux données personnelles peut être abusive
Même une première demande d’accès à des données personnelles peut être considérée comme « abusive », par exemple lorsque la demande vise à créer artificiellement les conditions permettant d’obtenir une indemnisation au titre du RGPD. C’est ce qu’a jugé la Cour de justice de l’Union européenne.
La Cour de justice de l’Union européenne (CJUE) a rendu, le 16 mars, un arrêt concernant le droit d’accès aux données personnelles et le droit de refuser cet accès. Cet arrêt répondait à une question préjudicielle posée par une juridiction allemande dans un litige opposant une entreprise d’optique à une personne qui avait demandé l’accès aux données personnelles traitées par cette entreprise.
Article 12 du RGPD
La question posée par la juridiction portait sur l’interprétation de l’article 12, paragraphe 5, du Règlement général sur la protection des données (RGPD), qui dispose ce qui suit :
« Les informations fournies au titre des articles 13 et 14 ainsi que toute communication (...) sont fournies à titre gratuit. Lorsque les demandes d’une personne concernée sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, le responsable du traitement peut soit : a) exiger le paiement de frais raisonnables tenant compte des coûts administratifs supportés pour fournir les informations ou procéder aux communications ou prendre les mesures demandées ; soit b) refuser de donner suite à la demande. Il incombe au responsable du traitement de démontrer le caractère manifestement infondé ou excessif de la demande. »
L’entreprise d’optique avait refusé la demande d’accès, estimant que la personne concernée avait abusé de son droit d’accès.
Pour justifier ce refus, l’entreprise s’appuyait sur des informations accessibles au public montrant que la personne concernée avait introduit plusieurs demandes d’accès et d’indemnisation auprès d’autres responsables du traitement.
La personne concernée n’a pas accepté ce refus et a réclamé des dommages et intérêts. La juridiction allemande a alors demandé à la Cour de justice dans quels cas une demande d’accès pouvait être qualifiée d’« excessive ». Une telle qualification est-elle possible dès la première demande ?
Une première demande peut aussi être excessive
Selon la Cour, une première demande d’accès à des données personnelles peut être considérée comme « excessive » au sens de l’article 12, paragraphe 5, du RGPD lorsque le responsable du traitement démontre, au regard de toutes les circonstances pertinentes du cas d’espèce, que la personne concernée n’a pas introduit cette demande pour prendre connaissance du traitement de ses données et en contrôler la licéité, mais pour commettre un abus, par exemple en créant artificiellement les conditions permettant d’obtenir une indemnisation.
Le fait que, selon des informations accessibles au public, la personne concernée ait introduit plusieurs demandes d’accès à ses données personnelles, suivies d’actions en indemnisation auprès de différents responsables du traitement, peut être pris en considération pour établir l’existence d’un tel abus intentionnel.