[Brèves] Données personnelles : obligation de fournir l’identité des destinataires auxquels les données ont été communiquées

► Le droit d’accès de la personne concernée aux données à caractère personnel la concernant implique, lorsque ces données ont été ou seront communiquées à des destinataires, l’obligation pour le responsable du traitement de fournir à cette personne l’identité même de ces destinataires, à moins qu’il ne soit impossible d’identifier ces destinataires ou que ledit responsable du traitement ne démontre que les demandes d’accès de la personne concernée sont manifestement infondées ou excessives.

Faits et procédure. Un citoyen autrichien a demandé à l’Österreichische Post (le principal opérateur de services postaux et logistiques en Autriche) de lui communiquer l’identité des destinataires auxquels elle avait communiqué ses données personnelles. Il s’est fondé sur le RGPD (Règlement (UE) n° 2016/679, du 27 avril 2016 N° Lexbase : L0189K8I). Ce texte prévoit qu’une personne concernée a le droit d’obtenir du responsable du traitement les informations relatives aux destinataires ou catégories de destinataires auxquels ses données à caractère personnel ont été ou seront communiquées.

En réponse à la demande du citoyen, l’Österreichische Post s’est limitée à indiquer qu’elle utilise des données à caractère personnel, dans la mesure autorisée par le droit, dans le cadre de son activité d’éditeur d’annuaires téléphoniques et qu’elle propose ces données à des partenaires commerciaux à des fins de marketing. Le citoyen a alors assigné l’Österreichische Post devant les juridictions autrichiennes. Au cours de la procédure judiciaire, l’Österreichische Post a encore informé le citoyen que ses données avaient été transmises à des clients, parmi lesquels des annonceurs dans le secteur de la vente par correspondance et le commerce physique, des entreprises informatiques, des éditeurs d’adresses et des associations telles que des organisations caritatives, des organisations non gouvernementales (ONG) ou des partis politiques.

Dans le cadre d'un renvoi préjudiciel, l’Oberster Gerichtshof (Cour suprême, Autriche), saisie du litige en dernier ressort, a donc souhaité savoir si le RGPD laisse au responsable du traitement des données le libre choix de communiquer soit l’identité concrète des destinataires, soit uniquement les catégories de destinataires, ou bien s’il offre à la personne concernée le droit de connaître leur identité concrète.

Décision. La Cour de justice répond que, lorsque les données à caractère personnel ont été ou seront communiquées à des destinataires, le responsable du traitement est obligé de fournir à la personne concernée, sur sa demande, l’identité même de ces destinataires. Ce n’est que lorsqu’il n’est pas (encore) possible d’identifier ces destinataires que celui-ci peut se limiter à indiquer uniquement les catégories de destinataires en cause.

C’est également le cas lorsque le responsable démontre que la demande est manifestement infondée ou excessive. La Cour souligne que ce droit d’accès de la personne concernée est nécessaire pour lui permettre d’exercer d’autres droits qui lui sont reconnus par le RGDP, à savoir le droit à la rectification, le droit à l’effacement (« droit à l’oubli »), le droit à la limitation du traitement, le droit d’opposition au traitement ou encore le droit de recours en cas de dommage subi.

© Reproduction interdite, sauf autorisation écrite préalable