Modalités et étendue du droit d'accès et de communication des données personnelles

Dans cette affaire, un médecin a prodigué des soins dentaires à un patient. Ce dernier, suspectant la commission d’erreurs médicales, a demandé la remise, à titre gratuit, d’une première copie de son dossier médical, dans le but d’agir en responsabilité contre le dentiste. Le praticien, s’appuyant sur la loi allemande, a exigé du patient qu’il prenne en charge les frais liés à la fourniture de la copie du dossier. Estimant que cette fourniture devait se faire à titre gratuit en vertu du RGPD, le patient a agi en justice. Les juges nationaux ont décidé de surseoir à statuer pour poser plusieurs questions préjudicielles à la CJUE.

La première question concerne la finalité du droit d’accès et de communication des données à caractère personnel. Le dentiste faisait valoir que ce droit doit, conformément au considérant 63 du RGPD, permettre à la personne concernée de prendre connaissance du traitement et d’en vérifier la licéité. Or, tel n’était pas l’objectif du patient dans le cas d’espèce. Ce dernier souhaitait accéder aux données collectées dans le but d’engager la responsabilité du dentiste.

Pour la Cour, peu importe les raisons de la demande d’accès : le responsable du traitement est tenu de fournir une copie des données personnelles à la personne concernée.

Gestion d'entreprise

La gestion d’entreprise constitue l’essentiel de l’activité d’un dirigeant d’entreprise. Elle fait appel à un grand nombre de notions empruntées de la comptabilité, de la finance (gestion des risques au moyen de la gestion des actifs et des assurances professionnelles), du droit des affaires (statut juridique, contrats commerciaux, fiscalité, cadre réglementaire et légal de l’activité), de la gestion de ressources humaines...

Découvrir tous les contenus liés

La deuxième question porte sur le caractère payant ou gratuit de la fourniture des données. En d’autres mots, une loi antérieure au RGPD peut-elle prévoir la prise en charge financière du coût de la fourniture de la première copie des données afin de protéger les intérêts économiques du responsable du traitement ? Sur ce point, la Cour note que le RGPD pose un principe de gratuité qui n’est pas absolu. L’obtention de la copie des données personnelles ne doit pas porter atteinte aux droits et libertés d’autrui, ce qui n’était pas le cas en l’espèce. De même, une limitation de la portée des obligations et des droits prévus notamment à l’article 15 du RGPD est possible « lorsqu’une telle limitation respecte l’essence des libertés et des droits fondamentaux et qu’elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir [...] la protection [...] des droits et libertés d’autrui » (RGPD, art. 23, § 1, i). Enfin, le responsable du traitement peut se prémunir contre l’usage abusif du droit d’accès, en exigeant le paiement de frais raisonnables, en cas de demande manifestement infondée ou excessive. Ainsi, le RGPD établit une conciliation entre les intérêts en cause. De ce fait, « la poursuite de l’objectif lié à la protection des intérêts économiques des praticiens ne saurait justifier une mesure conduisant à la remise en cause du droit d’obtenir, à titre gratuit, une première copie et, ce faisant, de l’effet utile du droit d’accès de la personne concernée à ses données à caractère personnel faisant l’objet d’un traitement » (point 68).

Accepter une limitation du droit d’accès reviendrait pour la Cour à dissuader les demandes légitimes visant l’obtention à titre gratuit d’une première copie des données à caractère personnel traitées. Elle en conclut qu’une législation nationale ne peut, sous prétexte de protéger les intérêts économiques du responsable du traitement, mettre à la charge de la personne concernée les frais de la première copie.

EGAlim : vers des négociations commerciales équilibrées avec les agriculteurs

Je télécharge gratuitement

La dernière question posée est relative à l’étendue du droit d’accès. La Cour prend ici notamment appui sur sa jurisprudence antérieure (CJUE, 4 mai 2023, aff. C‑487/21, Österreichische Datenschutzbehörde) pour souligner le large éventail des informations concernées par le droit d’accès. Ce droit implique qu’il soit remis à la personne concernée une reproduction fidèle et intelligible de l’ensemble des données. Cela vise la copie d’extraits de documents, voire de documents entiers, si la fourniture d’une telle copie est indispensable pour permettre à la personne concernée d’exercer effectivement les droits qui lui sont conférés par le RGPD. En matière médicale, ce droit inclut les données des dossiers médicaux, mentionnant des données sensibles, qui peuvent se révéler techniques. Leur compréhension nécessite de ce fait que l’information transmise soit aussi complète et précise que possible.

Cet arrêt met en lumière toute la difficulté à appliquer le droit d’accès en pratique. Cette problématique a d’ailleurs été identifiée par le Comité européen de la protection des données qui a inclus une réflexion sur ce droit dans son programme de travail pour 2023-2024.