Un motif légitime est-il nécessaire pour obtenir une copie de ses données à caractère personnel ?
La Cour de Justice de l’Union Européenne, saisie par une banque condamnée à une amende pour avoir refusé de communiquer, à ses clients, les copies de la documentation de crédit les concernant, a eu à répondre à cette importante question.
Interprétant les dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD), la CJUE répond par la négative.
Elle relève que les dispositions de l’article 15, paragraphes 1 et 3, du RGPD ne conditionnent pas la fourniture d’une copie des données à caractère personnel, à l’invocation, par la personne concernée, d’un motif visant à justifier sa demande d’accès à ces données.
L’article 15 ne donne donc pas au responsable du traitement, la possibilité d’exiger de cette personne qu’elle lui fasse part des motifs de cette demande.
La Cour de Justice ajoute que le RGPD a pour finalité d’assurer un niveau cohérent et élevé de protection des personnes physiques au sein de l’Union ainsi que de renforcer et de préciser les droits des personnes concernées et que c’est précisément, aux fins de la réalisation de cet objectif, que l’article 15, paragraphe 1, garantit à la personne concernée, un droit d’accéder à ses données à caractère personnel.
Elle en déduit que l’absence de nécessité, pour la personne concernée, d’invoquer un motif spécifique justifiant sa demande d’accès aux données à caractère personnel la concernant contribue nécessairement à faciliter l’exercice par cette personne des droits qui lui sont conférés par le RGPD.
En conséquence, étant donné l’importance qu’attribue le RGPD au droit d’accéder aux données à caractère personnel faisant l’objet d’un traitement, pour atteindre de tels objectifs, l’exercice de ce droit ne saurait être soumis à des conditions qui n’ont pas été expressément prévues par le législateur de l’Union.
CJUE 27 mai 2024 aff. 312/23, Addiko Bank
En conclusion : il n’y a pas lieu de justifier d’un motif spécifique pour obtenir la copie de ses données à caractère personnel.