L’obligation de transmission de l’identité exacte du tiers dans le cadre de la communication des données numériques
(CJUE, 12 janvier 2023, C-154/21)
Cet arrêt porte sur un renvoi préjudiciel en interprétation de l’article 15 paragraphe 1 sous c) du Règlement général sur la protection des données (RGPD) dans le cadre d’un litige opposant le requérant RW à la poste Autrichienne (Österreichische Post) au sujet d’une demande d’accès à des données à caractère personnel en vertu de l’article précédemment cité.
Le 15 janvier 2019, RW, se fondant sur l’article 15 du RGPD, demanda à Österreichische Post l’accès aux données à caractère personnel le concernant conservées ou ayant été conservées dans le passé par celle-ci, et en cas de communication, l’identité des tiers auxquels ont été transmis ses données personnelles. Or, la poste Autrichienne, concernant l’identité des destinataires, n’a transmis que la catégorie de ces derniers et non pas leur identité précise.
La juridiction de première instance a débouté RW de sa demande, considérant que l’article 15 paragraphe 1 sous c) du RGPD accordait au responsable du traitement des données la possibilité d’indiquer seulement à la personne concernée les catégories des destinataires, sans devoir désigner nommément les destinataires concrets. Il a, dès lors, introduit un pourvoi devant la Cour Suprême d’Autriche. Cette dernière décida de surseoir à statuer afin de demander à la CJUE si cet article devait être interprété en ce sens que le droit d’accès de la personne concernée aux données à caractère personnel la concernant impliquait une obligation pour le responsable du traitement de fournir à cette personne l’identité concrète de ces destinataires.
La CJUE conclut que lorsque des données à caractère personnel ont été ou vont être communiquées à des destinataires, le responsable du traitement est obligé de fournir l’identité précise de ces destinataires à la personne concernée qui en a formulé la demande.
Toutefois, la Cour pose deux limites à cette obligation. D’une part, dans la situation où il n’est pas possible, ou pas encore possible, d’identifier le destinataire, alors le responsable de traitement est autorisé à ne transmettre que la catégorie du destinataire en question. D’autre part, le responsable de traitement peut échapper à cette obligation s’il est considéré que la demande de l’individu est manifestement infondée ou excessive. Il revient dans ce cas au responsable de traitement d’en apporter la preuve.
M1 DEDH