La Cour de justice de l’Union européenne estime que le droit d’obtenir une « copie » des données à caractère personnel implique qu’il soit remis à la personne concernée une reproduction fidèle et intelligible de toutes ces données.
Par un arrêt en date du 4 mai 2023, la Cour de justice de l’Union européenne (CJUE) a clarifié les notions de « copie » et d’ « informations » de l’article 15 du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données dit RGPD).
En l’espèce, le litige oppose la partie requérante à l’autorité autrichienne de protection des données qui a refusé d’imposer à une agence de renseignements commerciaux l’obligation de transmettre une copie de l’ensemble des documents contenant les données du requérant, tels les courriers électroniques et les extraits de bases de données, ce dernier ayant uniquement reçu la liste sous forme synthétique de ses données à caractère personnel faisant l’objet d’un traitement.
Par suite, le tribunal administratif fédéral saisi du litige a décidé de surseoir à statuer afin de poser à la Cour quatre questions préjudicielles.
La notion de « copie » au sens du RGPD
Les trois premières questions portent sur la notion de « copie » au sens de l’article 15, paragraphe 3, première phrase du RGPD prévoyant que « Le responsable du traitement fournit une copie des données à caractère personnel faisant l'objet d'un traitement ».
Il est demandé à la Cour ce que recouvre une telle notion, à savoir une photocopie, un fac-similé, une copie électronique d’une donnée, un transcript ou encore un duplicata.
À cette question s’ajoute celle de savoir l’étendue du droit d’accès de la personne à ses données à caractère personnel faisant l’objet d’un traitement. Plus précisément, la question posée était de savoir si cette disposition emporte uniquement un droit à la reproduction fidèle à l’original des données à caractère personnel faisant l’objet d’une obligation de communication en vertu de cette même disposition, ou si elle consacre plus largement pour la personne concernée un droit général à la remise d’une copie de l’intégralité des documents dans lesquels les données à caractère personnel de la personne concernée sont traitées.
Enfin, dans le cas où la notion de « copie » serait interprétée restrictivement, le tribunal s’interroge sur les cas particuliers dans lesquels il serait nécessaire de fournir à la personne concernée des passages de textes ou des documents entiers.
La Cour affirme sur ces points que la notion de « copie » doit être interprétée en ce sens que « le droit d’obtenir de la part du responsable du traitement une copie des données à caractère personnel faisant l’objet d’un traitement implique qu’il soit remis à la personne concernée une reproduction fidèle et intelligible de l’ensemble de ces données. ». Elle ajoute que ce droit implique celui d’obtenir « la copie d’extraits de documents voire de documents entiers ou encore d’extraits de bases de données qui contiennent, entre autres, lesdites données » si cela s’avère indispensable pour « permettre à la personne concernée d’exercer effectivement les droits qui lui sont conférés par ce règlement »
Ce faisant, la CJUE estime que le terme de « copie » ne se rapporte pas au document en tant que tel mais à sa substance, c’est-à-dire aux données à caractère personnel. Dès lors, un simple listage général de données à caractère personnel faisant l’objet d’un traitement est incompatible avec l’obligation découlant de l’article 15, paragraphe 3 du RGPD.
La notion d’ « informations » au sens du RGPD
La quatrième question préjudicielle posée par le tribunal saisi du litige porte sur l’interprétation de la notion d’ « informations », à savoir si celle-ci s’entend comme désignant uniquement des données à caractère personnel faisant l’objet d’un traitement.
La Cour affirme sur ce point qu’une telle notion, au sens de l’article 15, paragraphe 3, troisième phrase, doit être entendue comme se rapportant exclusivement aux données à caractère personnel.