Le respect du droit de communication suppose, dans certains cas, de remettre à la personne concernée non seulement une liste de données, mais parfois des extraits de documents, des documents entiers ou des extraits de bases de données.
La CJUE (CJUE 4-5-2023 aff. 487/21) vient de se prononcer sur l’étendue du droit d’accès et de communication prévu à l’article 15, § 3 du règlement général sur la protection des données (Règl. (UE) 2016/679 du Parlement européen et du Conseil, 27 avr. 2016 : JOUE n° L 119, 4 mai, ou RGPD). La Cour s’attache à déterminer si le respect de ce droit par le responsable du traitement implique de transmettre des documents et bases de données sur lesquelles figurent les données personnelles ou si la simple remise d’une liste des données personnelles traitées suffit.
Pour elle, le droit d’accès et de communication participe de la transparence du traitement mis en œuvre et rend possible l’exercice des autres droits attribués à la personne concernée, dont le droit de rectification, le droit à l’effacement ou encore le droit à la limitation du traitement ou d’exercer un recours. Le droit d’accès et de communication se révèle alors essentiel dans le système protecteur instauré par le RGPD. Grâce à lui, la personne concernée, qui est le premier acteur de la protection de ses droits et libertés, doit être mise en mesure de pleinement comprendre les informations qui lui sont adressées. Il en résulte deux enseignements.
D’une part, la copie des données à caractère personnel remise en vertu de ce droit « doit présenter l’ensemble des caractéristiques permettant à la personne concernée d’exercer effectivement ses droits au titre [du RGPD] et doit, par conséquent, reproduire intégralement et fidèlement ces données » (point 39).
D’autre part, la compréhension de ces informations par la personne concernée implique que la copie puisse consister dans la reproduction d’extraits de documents, voire de documents entiers, ou encore d’extraits de bases de données qui contiennent, entre autres, les données à caractère personnel faisant l’objet d’un traitement, « dans le cas où la contextualisation des données traitées est nécessaire pour en assurer l’intelligibilité » (point 41) et sans préjudice des droits et libertés des tiers (point 43). Sur ce dernier point, le responsable du traitement pourra se référer aux modalités de communication mises en œuvre par un employeur en cas d’exercice par un salarié de son droit d’accès et de communication.
A la fin de son arrêt, la CJUE interprète la suite de l’article 15, § 3 du RGPD, en précisant l’étendue des informations à fournir en cas de demande de la personne concernée faite par voie électronique. Pour elle, il s’agit des seules données personnelles pour lesquelles le responsable du traitement doit fournir une copie et non pas de l’ensemble des informations listées à l’article 15, § 1.
Avec cette décision, la CJUE permet au droit de communication de la personne concernée prévu dans le RGPD de remplir effectivement sa fonction. Dans le même temps, elle rend plus difficile la réalisation, pour le responsable, de son obligation de communiquer. Ce dernier doit apprécier, en fonction du contexte, quel(le) document ou base de données est essentiel(le) à la compréhension du traitement par la personne concernée, tout en opérant un tri des informations pour ne pas porter atteinte aux droits des tiers.
