Quels sont le contenu et l’étendue du droit, reconnu à la personne concernée qui obtient l’accès à ses données à caractère personnel faisant l’objet d’un traitement, de recevoir une copie de ces données, comme le prévoit l’article 15, paragraphe 3 RGPD? Quelle est la signification du terme « copie » et comment s’articule ce droit à recevoir une copie des données à caractère personnel faisant l’objet d’un traitement avec le droit d’accès qui est prévu au paragraphe 1 du même article ?

Telles sont, en substance, les questions principales qui se posent dans le cadre d’un renvoi préjudiciel introduit par le Bunsdesverwaltungsgericht (Cour administrative fédérale, Autriche) portant sur l’interprétation de l’article 15, paragraphe 3, du RGPD [i.e. « [l]e responsable du traitement fournit une copie des données à caractère personnel faisant l’objet d’un traitement ».]

La présente affaire donne donc à la CJUE l’occasion d’interpréter pour la première fois les dispositions de l’article 15, paragraphe 3, du RGPD et de clarifier les modalités d’exercice du droit d’accès à ses données à caractère personnel faisant l’objet d’un traitement tel qu’il est prévu à l’article 15 du RGPD.

L’article 15, par. 3, première phrase, du RGPD doit donc être interprété en ce sens que :

–        la notion de « copie » visée à cette disposition doit être comprise comme une reproduction fidèle, sous une forme intelligible, des données à caractère personnel demandées par la personne concernée, dans un format matérialisé et permanent, qui permet à la personne concernée d’exercer de manière effective le droit d’accès à ses données à caractère personnel, en prenant pleinement connaissance de l’ensemble de ses données à caractère personnel qui font l’objet d’un traitement, y compris les données supplémentaires éventuellement générées à la suite du traitement, si elles font également l’objet d’un traitement, afin de lui permettre de vérifier l’exactitude de ces données et la licéité de leur traitement, pour qu’elle puisse, le cas échéant, exercer les autres droits que lui confère le RGPD. La forme exacte que prendra la copie doit être déterminée en fonction des particularités de chaque cas d’espèce et, notamment, du type de données à caractère personnel auxquelles l’accès est demandé et des exigences de la personne concernée ;

–        cette disposition ne confère pas à la personne concernée un droit général à obtenir une copie partielle ou intégrale du document contenant les données à caractère personnel de cette personne ou, lorsque les données à caractère personnel sont traitées dans une base de données, un extrait de cette base de données ;

–        cette disposition n’exclut cependant pas qu’il se puisse que des parties de documents, ou des documents entiers ou des extraits de bases de données doivent être fournis à la personne concernée si cela est nécessaire pour garantir le caractère pleinement intelligible des données à caractère personnel faisant l’objet d’un traitement auxquelles l’accès est demandé. 

Par ailleurs la notion d’ʺinformationsʺ visée à l’article 15, paragraphe 3, troisième phrase RGPD, doit être interprétée en ce sens qu’elle vise exclusivement la ʺcopie des données à caractère personnel faisant l’objet d’un traitementʺ figurant à la première phrase de ce même paragraphe.

(CJUE, Conclusions de l’avocat général Pitruzzella dans l’affaire FF (C‑487/21, EU:C:2022:1000 ; https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:62021CC0487)

Me Philippe Ehrenström, avocat, LLM, CAS, Genève et Onnens (VD)