Le responsable du traitement est une société qui fournissait à sa clientèle des informations concernant la solvabilité de tiers. La personne concernée a demandé au responsable du traitement de lui fournir une copie de ses données faisant l’objet d’un traitement. Le responsable du traitement a répondu en soumettant un résumé avec la liste de ces données à caractère personnel.
Dans le cadre d’une plainte déposée auprès de l’autorité autrichienne de protection des données, la personne concernée a considéré que cela n’était suffisant. Toutefois, l’autorité de contrôle a estimé que le responsable du traitement n’avait pas enfreint le RGPD.
La personne concernée a fait appel de la décision de l’autorité de protection des données et le tribunal a renvoyé l’affaire devant la CJUE.
Selon la CJUE (C-487/21 F.F. v DSB), la question préjudicielle portait sur la portée du droit à une copie des données à caractère personnel faisant l’objet d’un traitement en vertu de l’art. 15 par. 3 RGPD
Selon la CJUE, le RGPD ne contient aucune définition du terme « copie ». Toutefois, ce mot, dans son sens habituel, indique une « reproduction ou transcription fidèle d’un original » par opposition à une « description purement générale » des données.
La véritable question était toutefois de savoir si l’art. 15 par. 3 RGPD couvre les « extraits de documents, voire des documents entiers ou des extraits de bases de données ». La copie ne se réfère pas au document en tant que tel mais aux données personnelles faisant l’objet du traitement, qui doit être complet.
La Cour a souligné que le droit à la copie – qui n’était pas prévu à l’origine par la directive sur la protection des données – vise à permettre à la personne concernée de protéger ses droits et intérêts en vertu du RGPD. La protection des droits des personnes concernées étant la raison d’être du droit à une copie (et plus généralement du principe de transparence), une copie des données faisant l’objet d’un traitement doit reproduire les données « intégralement et fidèlement », de manière à permettre à la personne concernée d’exercer ses droits.
En conclusion, le droit à une copie en vertu de l’art. 15 par. 3 RGPD implique que la personne concernée reçoive une reproduction fidèle et intelligible de toutes ses données à caractère personnel. Cela peut inclure, dans la mesure où cela est nécessaire pour protéger les droits et intérêts de la personne concernée, des copies d’extraits de documents, de documents entiers ou d’extraits de bases de données.
Comme le relève le site gdprhub.eu, il s’agit d’une définition fonctionnelle de la notion de « copie », laquelle peut donc varier en fonction de ce qui est nécessaire à l’exercice des droits de la personne concernée.
Présentation : https://gdprhub.eu/index.php?title=CJEU_-_C-487%2F21_-_F.F._v_DSB&mtc=today
Me Philippe Ehrenström, avocat, LLM, CAS, Genève et Onnens (VD)
Le droit du travail et de la protection des données en Suisse 