Utilisation des données personnelles
Toute personne a-t-elle le droit de savoir précisément à qui ses données personnelles ont été communiquées ?
LE CONSEIL DU JURISTE
En l’espèce, un litige opposait un citoyen autrichien au principal opérateur de services postaux d'Autriche.
Ce dernier avait demandé à un responsable de traitement de lui communiquer l'identité des destinataires auxquels il avait communiqué ses données personnelles, sur le fondement du Règlement Général sur la Protection des Données (RGPD).
L’opérateur des services postaux s'était limité à indiquer qu'il utilisait des données personnelles, dans la mesure autorisée par le droit, dans le cadre de son activité d'éditeur d'annuaires téléphoniques. Ainsi, il proposait ces données à des partenaires commerciaux à des fins de marketing.
Le citoyen a assigné le responsable de traitement devant les juridictions autrichiennes.
Au cours de la procédure judiciaire, ce dernier a précisé à quels clients il avait transmis ces données :
- des annonceurs dans le secteur de la vente par correspondance et le commerce physique,
- des entreprises informatiques,
- des éditeurs d'adresses,
- des associations (organisations caritatives, ONG, partis politiques).
Dans un arrêt du 12 janvier 2023, la Cour de Justice de l’Union Européenne (CJUE) a apporté des précisions sur l’importance et l'étendue du droit d'accès prévu par le RGPD.
Elle juge que le responsable de traitement est tenu d'indiquer précisément à la personne concernée à qui ses données ont été communiquées. Lui fournir seulement les catégories de destinataires de ses données ne suffit pas.
Lorsque les données personnelles ont été (ou seront) communiquées à des destinataires, le responsable du traitement doit fournir à la personne concernée (à sa demande) l'identité même de ces destinataires.
Cependant, l'extension du droit d'accès du RGPD aux destinataires spécifiques de ces données trouve deux limites :
- lorsqu'il n'est pas encore possible d'identifier ces destinataires. Dans ce cas, le responsable peut se limiter à indiquer uniquement les catégories de destinataires en cause ;
- lorsque le responsable de traitement démontre que la demande est manifestement infondée ou excessive.
Référence :
