La Cour de Justice, dans un arrêt du 12 janvier 2023 (aff. C-154-21) précise la portée du droit d’accès de toute personne  aux données à caractère personnel la concernant garanti par l’article 15, § 1 sous c) du RGPD.

Cette disposition permet à la personne concernée d’obtenir du responsable d’un traitement, lorsque les données sont traitées, un accès à ces données ainsi qu’aux « destinataires ou catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées, en particulier, les destinataires qui sont établis dans des pays tiers ou les organisations internationales ». Elle n’est pas dénuée d’ambiguïté, en ce qu’elle pourrait laisser penser que c’est au responsable du traitement de faire le choix de l’information qu’il transmet et notamment de décider s’il transmet une information sur les destinataires ou, de manière plus restreinte, seulement sur les catégories de destinataire.

C’est dans un sens favorable à la personne concernée que la Cour l’interprète, consacrant à son profit « un véritable droit d’accès (…) de sorte qu’[elle] doit disposer du choix d’obtenir soit les informations sur les destinataires spécifiques auxquels lesdites données ont été ou seront communiquées, lorsque cela est possible, soit celles concernant les catégories de destinataires » (point 36 de l’arrêt).

La Cour se fonde à la fois sur le contexte dans lequel s’inscrit la disposition, notamment le considérant 63 du règlement, qui prévoit en faveur de la personne concernée le droit de connaître l’identité des destinataires de ses données à caractère personnel (point 33),

– d’une part, sur le principe de transparence, visé à l’article 5 §1 sous a) du RGPD, qui implique pour la personne concernée la faculté de disposer d’informations sur la manière dont ses données sont traitées (point 35),

– d’autre part, et enfin sur l’une des finalités du droit d’accès, qui est de permettre de contrôler à la fois que les données transmises sont exactes, qu’elles sont traitées de manière licite et qu’elles ont été communiquées à des destinataires autorisés (point 37).

Toutefois, la Cour n’exclut pas que, dans certains cas, le responsable du traitement puisse ne communiquer qu’une information sur les catégories de destinataires, non seulement lorsque les demandes sont manifestement infondées ou excessives, mais également lorsque l’identification des destinataires est impossible.

Rédigé par