La Cour de justice de l’Union européenne, le 12 janvier 2023, a précisé l’étendue du droit d’accès aux données à caractère personnel. Une personne physique a demandé à un prestataire de services postaux l’identité des destinataires auxquels ses informations personnelles avaient été transmises. Le responsable du traitement a refusé de fournir ces précisions, invoquant la possibilité d’indiquer uniquement des catégories de partenaires commerciaux. Les juridictions autrichiennes de première instance et d’appel saisies du litige ont rejeté le recours, jugeant que le choix incombait au responsable. La Cour suprême d’Autriche, par une décision du 18 février 2021, a formé un renvoi préjudiciel pour interpréter le règlement européen. Le litige porte sur l’obligation pour le responsable de communiquer l’identité concrète des destinataires plutôt que de simples catégories générales. La Cour affirme que le responsable doit fournir « l’identité même de ces destinataires », sous réserve d’impossibilité ou de demande excessive.
I. La consécration d’un droit à l’identification précise des destinataires
A. La primauté du choix de l’information par la personne concernée
L’article 15 du règlement général sur la protection des données instaure un « véritable droit d’accès » au profit des personnes physiques. Contrairement aux obligations d’information préalable, cette disposition permet d’exiger la communication des entités réelles ayant reçu des données à caractère personnel. Le juge souligne que les termes « destinataires ou catégories de destinataires » sont utilisés de manière successive sans établir de hiérarchie. La personne concernée peut donc librement solliciter l’identité spécifique des tiers plutôt que de se contenter de simples dénominations génériques. Cette interprétation garantit la transparence du traitement en fournissant à l’individu l’information la plus précise possible sur l’utilisation de ses données.
B. La garantie de l’exercice effectif des droits de rectification et d’effacement
L’accès à l’identité concrète des tiers est indispensable pour que la personne puisse « vérifier la licéité » du traitement effectué. Cette connaissance permet d’exercer utilement les droits de rectification, d’effacement ou de limitation prévus par les dispositions européennes en vigueur. En identifiant précisément les récepteurs, l’individu peut s’assurer que ses informations n’ont pas été transmises à des entités non autorisées par la loi. Ce droit d’accès constitue ainsi la pierre angulaire de la protection juridictionnelle contre les dommages résultant d’un traitement illicite des données. Cette protection accrue du citoyen européen trouve néanmoins son point d’équilibre dans des restrictions nécessaires au maintien d’une gestion administrative raisonnable.
II. L’aménagement de limites proportionnées à l’obligation de communication
A. L’exception d’impossibilité matérielle d’identification des tiers
Le droit à la protection des données n’est pas absolu et doit être mis en balance avec d’autres impératifs juridiques essentiels. Le responsable du traitement peut limiter sa communication aux seules catégories de destinataires s’il démontre l’impossibilité de désigner des entités précises. Cette situation se rencontre notamment lorsque les destinataires « ne sont pas encore connus » au moment de la formulation de la demande. Le principe de proportionnalité autorise alors une réponse moins détaillée afin de ne pas imposer une charge irréalisable au responsable du traitement. Au-delà de cette impossibilité matérielle, le responsable dispose d’un rempart juridique contre les sollicitations dévoyées de leur finalité protectrice.
B. Le tempérament fondé sur le caractère abusif de la demande d’accès
L’article 12 du règlement permet d’écarter les sollicitations qui revêtent un caractère « manifestement infondé ou excessif » pour le service concerné. Le responsable du traitement doit toutefois apporter la preuve de cet abus de droit pour justifier une restriction apportée à l’information. La juridiction nationale doit apprécier souverainement si la répétitivité ou l’absence de fondement de la requête autorise un refus de communication. Ce mécanisme de sauvegarde préserve l’équilibre entre les prérogatives individuelles et la viabilité opérationnelle des organismes gérant des volumes importants d’informations. L’obligation de fournir « l’identité même de ces destinataires » demeure la règle de principe au sein de l’espace juridique européen.
