RGPD : la CJUE exige que les destinataires de données personnelles soient identifiés
Par Bertrand Lemaire | Le | Gouvernance
A l’occasion d’un litige en Autriche, la CJUE a fait droit à la demande d’un consommateur d’obtenir la liste exhaustive des destinataires de ses données.
La Cour de Justice de l’Union Européenne (CJUE) a été saisie par les autorités judiciaires autrichiennes afin de trancher sur l’interprétation du RGPD (Règlement général européen sur la protection des données à caractère personnel). Dans ce litige, un consommateur exigeait d’un opérateur téléphonique national autrichien la liste des entreprises ayant obtenu communication de ses données personnelles issues des annuaires de l’opérateur. Ce dernier s’y refusait, arguant de la difficulté de l’opération et du grand nombre d’entreprises en question et, surtout, du fait qu’il n’y était pas astreint par le RGPD.
La Cour a tranché et donné raison au consommateur. Son avis est sans ambiguïté : « le droit d’accès de la personne concernée aux données à caractère personnel la concernant (…) implique, lorsque ces données ont été ou seront communiquées à des destinataires, l’obligation pour le responsable du traitement de fournir à cette personne l’identité même de ces destinataires ». La Cour indique donc clairement que la liste exhaustive des destinataires des données doit être communiquée, quelque soit le nombre de ces destinataires.
Pour s’affranchir de cette obligation, la Cour ne prévoit que peu d’échappatoires : il faut que cela soit « impossible d’identifier ces destinataires » (ce qui semble compliqué à invoquer vues les autres obligations issues du RGPD) ou que « ledit responsable du traitement ne démontre que les demandes d’accès de la personne concernée sont manifestement infondées ou excessives ». Cependant, même dans ces cas, une réponse doit être apportée mais limitée à « uniquement les catégories de destinataires en cause ».