Arrêt de la Cour (première chambre) du 4 mai 2023.#F.F. contre Österreichische Datenschutzbehörde.#Renvoi préjudiciel – Protection des données à caractère personnel – Règlement (UE) 2016/679 – Droit d’accès de la personne concernée à ses données faisant l’objet d’un traitement – Article 15, paragraphe 3 – Fourniture d’une copie des données – Notion de “copie” – Notion d’“informations”.#Affaire C-487/21.

Affaire C‑487/21

F. F.

contre

Österreichische Datenschutzbehörde et CRIF GmbH

[(demande de décision préjudicielle, introduite par le Bundesverwaltungsgericht (Autriche)]

Arrêt de la Cour (première chambre) du 4 mai 2023

« Renvoi préjudiciel – Protection des données à caractère personnel – Règlement (UE) 2016/679 – Droit d’accès de la personne concernée à ses données faisant l’objet d’un traitement – Article 15, paragraphe 3 – Fourniture d’une copie des données – Notion de “copie” – Notion d’“informations” »

1. Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement 2016/679 – Droit d’accès de la personne concernée à ses données faisant l’objet d’un traitement – Fourniture d’une copie des données – Notion de copie – Remise à la personne concernée d’une reproduction fidèle et intelligible de ces données – Copie d’extraits de documents voire de documents entiers ou encore d’extraits de bases de données contenant, entre autres, lesdites données – Inclusion – Condition

   (Règlement du Parlement européen et du Conseil 2016/679, considérants 58 et 60 et art. 12, § 1, et 15, § 1 et 3, 1re phrase)

   (voir points 21, 28, 32, 36-45, disp.1)

2. Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement 2016/679 – Droit d’accès de la personne concernée à ses données faisant l’objet d’un traitement – Fourniture d’une copie des données – Notion d’informations – Données à caractère personnel devant être fournies sous la forme d’une copie par le responsable du traitement – Inclusion

   (Règlement du Parlement européen et du Conseil 2016/679, art. 15, § 3, 3e phrase)

   (voir points 48-53, disp.2)

Résumé

RGPD : le droit d’obtenir une « copie » des données à caractère personnel implique qu’il soit remis à la personne concernée une reproduction fidèle et intelligible de toutes ces données

Ce droit implique celui d’obtenir la copie d’extraits de documents voire de documents entiers ou encore d’extraits de bases de données qui contiennent lesdites données, si cela est indispensable pour permettre à la personne concernée d’exercer effectivement les droits qui lui sont conférés par ce règlement

CRIF est une agence de renseignements commerciaux qui fournit, sur demande de ses clients, des informations concernant la solvabilité de tiers. À cette fin, elle a procédé au traitement des données personnelles du requérant au principal, un particulier. Ce dernier a demandé à CRIF, sur le fondement du règlement général sur la protection des données ( 1 ), à avoir accès aux données à caractère personnel le concernant. En outre, il a sollicité la fourniture d’une copie des documents, à savoir les courriers électroniques et les extraits de bases de données, contenant, entre autres, ses données, « dans un format technique standard ».

En réponse à cette demande, CRIF a transmis au requérant au principal, sous forme synthétique, la liste de ses données à caractère personnel faisant l’objet d’un traitement. Estimant que CRIF aurait dû lui transmettre une copie de l’ensemble des documents contenant ses données, tels les courriers électroniques et les extraits de bases de données, le requérant au principal a introduit une réclamation auprès de l’Österreichische Datenschutzbehörde (autorité autrichienne de protection des données). Cette autorité a rejeté cette réclamation, en considérant que CRIF n’avait commis aucune violation du droit d’accès aux données à caractère personnel du requérant au principal.

Le Bundesverwaltungsgericht (tribunal administratif fédéral, Autriche), saisi du recours du requérant au principal contre la décision de rejet adoptée par cette autorité, s’interroge sur la portée de l’obligation prévue à l’article 15, paragraphe 3, première phrase, du RGPD de fournir à la personne concernée une « copie » de ses données à caractère personnel faisant l’objet d’un traitement. Cette juridiction se demande, en particulier, si cette obligation est satisfaite lorsque le responsable du traitement transmet les données à caractère personnel sous la forme d’un tableau synthétique ou si elle implique également de transmettre des extraits des documents voire des documents entiers, ainsi que des extraits de bases de données, dans lesquels ces données sont reproduites. La juridiction de renvoi demande, en outre, des précisions sur ce que recouvre précisément la notion d’« informations » figurant à l’article 15, paragraphe 3, troisième phrase, du RGPD ( 2 ).

Par son arrêt, la Cour apporte des précisions sur le contenu et l’étendue du droit d’accès de la personne concernée à ses données à caractère personnel faisant l’objet d’un traitement. À cet égard, elle considère que le droit d’obtenir de la part du responsable du traitement une « copie » des données à caractère personnel faisant l’objet d’un traitement en vertu de l’article 15, paragraphe 3, première phrase, du RGPD implique qu’il soit remis à la personne concernée une reproduction fidèle et intelligible de l’ensemble de ces données. Ce droit suppose celui d’obtenir la copie d’extraits de documents voire de documents entiers ou encore d’extraits de bases de données qui contiennent, entre autres, lesdites données, si la fourniture d’une telle copie est indispensable pour permettre à la personne concernée d’exercer effectivement les droits qui lui sont conférés par le RGPD, étant souligné qu’il doit être tenu compte, à cet égard, des droits et libertés d’autrui. Par ailleurs, la Cour précise que la notion d’« informations » visée à l’article 15, paragraphe 3, troisième phrase, du RGPD se rapporte exclusivement aux données à caractère personnel dont le responsable du traitement doit fournir une copie en application de la première phrase de ce paragraphe.

Appréciation de la Cour

Dans un premier temps, la Cour procède à une interprétation littérale, systématique et téléologique de l’article 15, paragraphe 3, première phrase, du RGPD, lequel prévoit le droit de la personne concernée d’obtenir une copie de ses données à caractère personnel faisant l’objet d’un traitement.

S’agissant du libellé de l’article 15, paragraphe 3, première phrase, du RGPD, la Cour relève que, si cette disposition ne contient pas de définition de la notion de « copie », il convient de tenir compte du sens habituel de ce terme, lequel désigne la reproduction ou la transcription fidèle d’un original, de sorte qu’une description purement générale des données faisant l’objet d’un traitement ou un renvoi à des catégories de données à caractère personnel ne correspondrait pas à cette définition. En outre, il ressort des termes de cette disposition que l’obligation de communication se rattache aux données à caractère personnel faisant l’objet du traitement en cause. Après s’être livrée à une analyse textuelle de ladite disposition, la Cour considère que celle-ci confère à la personne concernée le droit d’obtenir une reproduction fidèle de ses données à caractère personnel, entendues dans une acception large, qui font l’objet d’opérations devant être qualifiées de traitement effectué par le responsable de ce traitement.

En ce qui concerne le contexte dans lequel s’insère l’article 15, paragraphe 3, première phrase, du RGPD, la Cour relève que l’article 15 du RGPD définit, à son paragraphe 1, l’objet et le champ d’application du droit d’accès reconnu à la personne concernée. L’article 15, paragraphe 3, du RGPD précise les modalités pratiques d’exécution de l’obligation qui incombe au responsable du traitement, en spécifiant notamment dans sa première phrase la forme sous laquelle ce responsable doit fournir les données à caractère personnel faisant l’objet d’un traitement, à savoir sous la forme d’une « copie ». Par conséquent, l’article 15 du RGPD ne saurait être interprété comme consacrant, à son paragraphe 3, première phrase, un droit distinct de celui prévu à son paragraphe 1. Par ailleurs, la Cour précise que le terme « copie » ne se rapporte pas à un document en tant que tel, mais aux données à caractère personnel qu’il contient et qui doivent être complètes. La copie doit donc contenir toutes les données à caractère personnel faisant l’objet d’un traitement.

Pour ce qui est des objectifs poursuivis par l’article 15 du RGPD, la Cour relève que le droit d’accès prévu par cet article doit permettre à la personne concernée de s’assurer que les données à caractère personnel la concernant sont exactes et qu’elles sont traitées de manière licite.

En outre, selon la Cour, il ressort du RGPD ( 3 ) que le responsable du traitement est tenu de prendre des mesures appropriées pour fournir à la personne concernée toute information visée, d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, et que les informations doivent être fournies par écrit ou par d’autres moyens, y compris, lorsque c’est approprié, par voie électronique, à moins que la personne concernée ne demande qu’elles soient fournies oralement. Il en résulte que la copie des données à caractère personnel faisant l’objet d’un traitement, que le responsable du traitement doit fournir, doit présenter l’ensemble des caractéristiques permettant à la personne concernée d’exercer effectivement ses droits au titre du RGPD et doit, par conséquent, reproduire intégralement et fidèlement ces données.

Ainsi, afin de garantir que les informations ainsi fournies soient faciles à comprendre, la reproduction d’extraits de documents voire de documents entiers ou encore d’extraits de bases de données qui contiennent, entre autres, les données à caractère personnel faisant l’objet d’un traitement peut s’avérer indispensable. En particulier, lorsque des données à caractère personnel sont générées à partir d’autres données ou lorsque de telles données résultent de champs libres, à savoir une absence d’indication révélant une information sur la personne concernée, le contexte dans lequel ces données font l’objet d’un traitement est un élément indispensable pour permettre à la personne concernée de disposer d’un accès transparent et d’une présentation intelligible de ces données.

En cas de conflit entre, d’une part, l’exercice d’un droit d’accès plein et complet aux données à caractère personnel et, d’autre part, les droits ou libertés d’autrui, la Cour estime qu’il y a lieu de mettre en balance les droits et libertés en question. Dans la mesure du possible, il convient de choisir des modalités de communication des données à caractère personnel qui ne portent pas atteinte aux droits ou libertés d’autrui, en tenant compte du fait que ces considérations ne doivent pas aboutir à refuser toute communication d’informations à la personne concernée.

Dans un second temps, la Cour se penche sur la question de savoir ce que recouvre la notion d’« informations » visée à l’article 15, paragraphe 3, troisième phrase, du RGPD. Si cette disposition ne précise pas ce qu’il convient d’entendre par le terme « informations », il résulte de son contexte que les « informations » qu’elle vise correspondent nécessairement aux données à caractère personnel dont le responsable du traitement doit fournir une copie conformément à la première phrase de ce paragraphe.

( 1 ) Article 15 du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, ci-après le « RGPD »).

( 2 ) En vertu de l’article 15, paragraphe 3, troisième phrase du RGPD, lorsque la personne concernée présente sa demande par voie électronique, les informations sont fournies sous une forme électronique d’usage courant, à moins que la personne concernée ne demande qu’il en soit autrement.

( 3 ) Et plus précisément des considérants 58 et 60 et de l’article 12, paragraphe 1, de ce règlement.