Dans un arrêt du 22 juin 2023, la CJUE s’est prononcée sur les limites du droit d’accès en confirmant qu’on ne peut, en principe, pas d’obtenir l’identité des personnes ayant consulté ses données.
Le client d’une banque a appris que « ses données avaient été consultées par des membres du personnel de la banque à plusieurs reprises ».
Ayant des doutes sur la licéité de ces consultations, il a exercé son droit d’accès auprès de la banque afin que cette dernière lui communique « (i) l’identité des personnes ayant consulté ses données, (ii) les dates exactes des consultations ainsi que (iii) les finalités du traitement desdites données ».
Dans sa réponse, la banque a « refusé de communiquer l’identité des salariés ayant procédé aux opérations de consultation au motif que ces informations constituaient des données à caractère personnel de ses salariés ».
Le client a saisi l’autorité de contrôle finlandaise afin qu’elle enjoigne à la banque de lui transmettre les informations sollicitées.
L’autorité de contrôle a rejeté la demande car une telle demande « visait à permettre d’accéder aux fichiers journaux des salariés » et que « de tels fichiers constituent des données à caractère personnel relatives aux salariés ».
Le client a fait appel de cette décision devant le tribunal administratif, qui a sursis à statuer pour poser à la CJUE une question préjudicielle. Le tribunal demande si la communication des « fichiers journaux », qui contiennent des informations sur l’identité des salariés, est couverte par l’article 15 du RGPD, dès lors que ces fichiers pourraient s’avérer nécessaires à la personne concernée pour apprécier la licéité du traitement.
Dans son arrêt, la CJUE a d’abord indiqué que l’article 15 du RGPD permettait d’obtenir la communication (i) des « finalités du traitement » et (ii) des « dates des opérations de consultation », ces dernières étant de nature à permettre à la personne concernée d’obtenir la confirmation que ses données font l’objet d’un traitement.
En ce qui concerne les « fichiers journaux », la CJUE a rappelé que « la reproduction de documents […], qui contiennent, entre autres, les données à caractère personnel faisant l’objet d’un traitement peut s’avérer indispensable dans le cas où la contextualisation des données traitées est nécessaire pour en assurer l’intelligibilité ». Ainsi, la transmission d’une copie des fichiers journaux « peut s’avérer nécessaire ».
Cependant, la CJUE a insisté sur le fait que l’exercice du droit d’accès « ne devrait pas porter atteinte aux droits ou libertés d’autrui », et qu’en cas de conflit entre l’exercice du droit d’accès et les droits et libertés d’autrui, il y a lieu de les mettre en balance et, dans la mesure du possible, « de choisir des modalités qui ne portent pas atteinte aux droits ou aux libertés d’autrui », sans pour autant « aboutir à refuser toute communication d’informations ». La CJUE a également rappelé (i) que les salariés du responsable du traitement « ne sauraient être considérés comme étant des destinataires » et (ii) que la personne concernée, si elle considère que les informations communiquées sont insuffisantes pour lui permettre de dissiper des doutes, a le droit de saisir l’autorité de contrôle d’une réclamation.
Compte tenu de ce qui précède, la CJUE considère que l’article 15 du RGPD doit être interprété en ce sens que :
- Les informations relatives à des opérations de consultation des données à caractère personnel d’une personne, portant sur les dates et les finalités de ces opérations, constituent des informations qu’une personne concernée a le droit d’obtenir ;
- En revanche, l’article 15 ne consacre pas un tel droit s’agissant des informations relatives à l’identité des salariés du responsable du traitement ayant procédé à ces opérations, sous son autorité et conformément à ses instructions, à moins que ces informations ne soient indispensables pour permettre à la personne concernée d’exercer effectivement sont droit d’accès.
Source : ici
