L’analyse de la jurisprudence montre que la Cour a considéré comme relevant de la notion de « données à caractère personnel », au sens de l’article 4, point 1, du RGPD, une variété de types d’informations concernant une personne physique identifiée ou identifiable. Outre celles que la Commission a définies dans ses observations comme des « données usuelles », à savoir les indications relatives à l’identité des personnes telles que le prénom et le nom, la date de naissance, la nationalité, le sexe, l’ethnie, la religion et la langue parlée par une personne identifiable par son nom, la Cour a considéré comme relevant de la notion de données à caractère personnel d’autres types d’informations telles que, par exemple, des informations concernant un véhicule automobile mis en vente, ainsi que le numéro de téléphone du vendeur de ce véhicule, ou les données figurant dans un registre du temps de travail qui concernent, pour chaque travailleur, les périodes de travail journalières ainsi que les périodes de repos, l’image d’une personne enregistrée par une caméra si et dans la mesure où elle permet d’identifier la personne concernée, les réponses écrites fournies par un candidat à un examen professionnel et les annotations de l’examinateur relatives aux réponses du candidat, ou encore les informations relatives aux points de pénalité, qui se rapportent à une personne physique identifiée.

 L’acception large de la notion de données à caractère personnel, résultant de la définition figurant à l’article 4, point 1, du RGPD, qui est admise par la jurisprudence et est liée à l’objectif poursuivi par le RGPD d’assurer un niveau élevé de protection des personnes physiques à l’égard du traitement des données à caractère personnel, implique que cette notion, et donc le droit d’accéder à ces données et d’en obtenir une copie, ne se limite pas exclusivement aux données éventuellement acquises, conservées et traitées par une personne responsable du traitement, mais inclue également les données complémentaires éventuellement générées par cette personne à la suite du traitement, si elles font également l’objet du traitement.

Dès lors, si de nouvelles informations, résultant de ce traitement, qui concernent une personne identifiée ou identifiable et qui peuvent être qualifiées de données à caractère personnel au sens de l’article 4, point 1, du RGPD, sont générées à la suite du traitement d’une série de données à caractère personnel, le droit d’accès aux données à caractère personnel et le droit d’en obtenir une copie, prévus à l’article 15, paragraphe 1 et paragraphe 3, première phrase, respectivement, du RGPD, doit, inclure également les données ainsi générées si ces données font elles-mêmes l’objet d’un traitement. En effet, le droit d’accéder aux données et d’en obtenir une copie couvre toutes les données à caractère personnel de la personne concernée qui font l’objet d’un traitement.

(CJUE, Conclusions de l’avocat général Pitruzzella dans l’affaire FF (C‑487/21, EU:C:2022:1000), N 36-38)

Me Philippe Ehrenström, avocat, LLM, CAS, Genève et Onnens (VD)