ARRÊT DE LA COUR (première chambre)
4 mai 2023 (*)
« Renvoi préjudiciel – Protection des données à caractère personnel – Règlement (UE) 2016/679 – Droit d’accès de la personne concernée à ses données faisant l’objet d’un traitement – Article 15, paragraphe 3 – Fourniture d’une copie des données – Notion de “copie” – Notion d’“informations” »
Dans l’affaire C‑487/21,
ayant pour objet une demande de décision préjudicielle au titre de l’article 267 TFUE, introduite par le Bundesverwaltungsgericht (tribunal administratif fédéral, Autriche), par décision du 9 août 2021, parvenue à la Cour le 9 août 2021, dans la procédure
F.F.
contre
Österreichische Datenschutzbehörde,
en présence de :
CRIF GmbH,
LA COUR (première chambre),
composée de M. A. Arabadjiev, président de chambre, MM. P. G. Xuereb, T. von Danwitz, A. Kumin et Mme I. Ziemele (rapporteure), juges,
avocat général : M. G. Pitruzzella,
greffier : M. A. Calot Escobar,
vu la procédure écrite,
considérant les observations présentées :
– pour F.F., par M. M. Schrems,
– pour l’Österreichische Datenschutzbehörde, par Mme A. Jelinek et M. M. Schmidl, en qualité d’agents,
– pour CRIF GmbH, par Mes L. Feiler et M. Raschhofer, Rechtsanwälte,
– pour le gouvernement autrichien, par MM. G. Kunnert, A. Posch et Mme J. Schmoll, en qualité d’agents,
– pour le gouvernement tchèque, par MM. O. Serdula, M. Smolek et J. Vláčil, en qualité d’agents,
– pour le gouvernement italien, par Mme G. Palmieri, en qualité d’agent, assistée de Mme M. Russo, avvocato dello Stato,
– pour la Commission européenne, par M. A. Bouchagiar, Mme M. Heller et M. H. Kranenborg, en qualité d’agents,
ayant entendu l’avocat général en ses conclusions à l’audience du 15 décembre 2022,
rend le présent
Arrêt
1 La demande préjudicielle porte sur l’interprétation de l’article 15 du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, ci-après le « RGPD »).
2 Cette demande a été introduite dans le cadre d’un litige opposant F.F. à l’Österreichische Datenschutzbehörde (autorité autrichienne de protection des données) (ci-après la « DSB ») au sujet du refus de cette dernière d’imposer à CRIF GmbH de transmettre à F.F. une copie des documents et extraits de bases de données contenant, entre autres, ses données à caractère personnel faisant l’objet d’un traitement.
Le cadre juridique
3 Les considérants 10, 11, 26, 58, 60 et 63 du RGPD sont rédigés comme suit :
« (10) Afin d’assurer un niveau cohérent et élevé de protection des personnes physiques et de lever les obstacles aux flux de données à caractère personnel au sein de l’Union, le niveau de protection des droits et des libertés des personnes physiques à l’égard du traitement de ces données devrait être équivalent dans tous les États membres. Il convient dès lors d’assurer une application cohérente et homogène des règles de protection des libertés et droits fondamentaux des personnes physiques à l’égard du traitement des données à caractère personnel dans l’ensemble de l’Union. [...]
(11) Une protection effective des données à caractère personnel dans l’ensemble de l’Union exige de renforcer le droit des personnes concernées et les obligations de ceux qui effectuent et déterminent le traitement des données à caractère personnel [...]
[...]
(26) Il y a lieu d’appliquer les principes relatifs à la protection des données à toute information concernant une personne physique identifiée ou identifiable [...] Pour déterminer si une personne physique est identifiable, il convient de prendre en considération l’ensemble des moyens raisonnablement susceptibles d’être utilisés par le responsable du traitement ou par toute autre personne pour identifier la personne physique directement ou indirectement, tels que le ciblage [...]
[...]
(58) Le principe de transparence exige que toute information adressée au public ou à la personne concernée soit concise, aisément accessible et facile à comprendre, et formulée en des termes clairs et simples [...]
[...]
(60) Le principe de traitement loyal et transparent exige que la personne concernée soit informée de l’existence de l’opération de traitement et de ses finalités. Le responsable du traitement devrait fournir à la personne concernée toute autre information nécessaire pour garantir un traitement équitable et transparent, compte tenu des circonstances particulières et du contexte dans lesquels les données à caractère personnel sont traitées. [...]
[...]
(63) Une personne concernée devrait avoir le droit d’accéder aux données à caractère personnel qui ont été collectées à son sujet et d’exercer ce droit facilement et à des intervalles raisonnables, afin de prendre connaissance du traitement et d’en vérifier la licéité. [...] En conséquence, toute personne concernée devrait avoir le droit de connaître et de se faire communiquer, en particulier, les finalités du traitement des données à caractère personnel, si possible la durée du traitement de ces données à caractère personnel, l’identité des destinataires de ces données à caractère personnel, la logique qui sous-tend leur éventuel traitement automatisé et les conséquences que ce traitement pourrait avoir, au moins en cas de profilage. Lorsque c’est possible, le responsable du traitement devrait pouvoir donner l’accès à distance à un système sécurisé permettant à la personne concernée d’accéder directement aux données à caractère personnel la concernant. Ce droit ne devrait pas porter atteinte aux droits ou libertés d’autrui, y compris au secret des affaires ou à la propriété intellectuelle, notamment au droit d’auteur protégeant le logiciel. [...] »
4 L’article 4 de ce règlement énonce :
« Aux fins du présent règlement, on entend par :
1) “données à caractère personnel”, toute information se rapportant à une personne physique identifiée ou identifiable [...] ; est réputée être une “personne physique identifiable” une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ;
2) “traitement”, toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel [...] ;
[...] »
5 L’article 12 dudit règlement, intitulé « Transparence des informations et des communications et modalités de l’exercice des droits de la personne concernée », prévoit :
« 1. Le responsable du traitement prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14 ainsi que pour procéder à toute communication au titre des articles 15 à 22 et de l’article 34 en ce qui concerne le traitement à la personne concernée d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un enfant. Les informations sont fournies par écrit ou par d’autres moyens y compris, lorsque c’est approprié, par voie électronique. Lorsque la personne concernée en fait la demande, les informations peuvent être fournies oralement, à condition que l’identité de la personne concernée soit démontrée par d’autres moyens.
[...]
3. Le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d’une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande. [...] Lorsque la personne concernée présente sa demande sous une forme électronique, les informations sont fournies par voie électronique lorsque cela est possible, à moins que la personne concernée ne demande qu’il en soit autrement.
[...] »
6 En vertu de l’article 15 du RGPD, intitulé « Droit d’accès de la personne concernée » :
« 1. La personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel ainsi que les informations suivantes :
a) les finalités du traitement ;
b) les catégories de données à caractère personnel concernées ;
c) les destinataires ou catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées, en particulier les destinataires qui sont établis dans des pays tiers ou les organisations internationales ;
d) lorsque cela est possible, la durée de conservation des données à caractère personnel envisagée ou, lorsque ce n’est pas possible, les critères utilisés pour déterminer cette durée ;
e) l’existence du droit de demander au responsable du traitement la rectification ou l’effacement de données à caractère personnel, ou une limitation du traitement des données à caractère personnel relatives à la personne concernée, ou du droit de s’opposer à ce traitement ;
f) le droit d’introduire une réclamation auprès d’une autorité de contrôle ;
g) lorsque les données à caractère personnel ne sont pas collectées auprès de la personne concernée, toute information disponible quant à leur source ;
h) l’existence d’une prise de décision automatisée, y compris un profilage, visée à l’article 22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la logique sous-jacente, ainsi que l’importance et les conséquences prévues de ce traitement pour la personne concernée.
2. Lorsque les données à caractère personnel sont transférées vers un pays tiers ou à une organisation internationale, la personne concernée a le droit d’être informée des garanties appropriées, en vertu de l’article 46, en ce qui concerne ce transfert.
3. Le responsable du traitement fournit une copie des données à caractère personnel faisant l’objet d’un traitement. Le responsable du traitement peut exiger le paiement de frais raisonnables basés sur les coûts administratifs pour toute copie supplémentaire demandée par la personne concernée. Lorsque la personne concernée présente sa demande par voie électronique, les informations sont fournies sous une forme électronique d’usage courant, à moins que la personne concernée ne demande qu’il en soit autrement.
4. Le droit d’obtenir une copie visé au paragraphe 3 ne porte pas atteinte aux droits et libertés d’autrui. »
7 L’article 16 de ce règlement, intitulé « Droit de rectification », dispose :
« La personne concernée a le droit d’obtenir du responsable du traitement, dans les meilleurs délais, la rectification des données à caractère personnel la concernant qui sont inexactes. Compte tenu des finalités du traitement, la personne concernée a le droit d’obtenir que les données à caractère personnel incomplètes soient complétées, y compris en fournissant une déclaration complémentaire. »
8 L’article 17 dudit règlement, intitulé « Droit à l’effacement (“droit à l’oubli”) », énonce, à son paragraphe 1 :
« La personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l’obligation d’effacer ces données à caractère personnel dans les meilleurs délais [...]
[...] »
Le litige au principal et les questions préjudicielles
9 CRIF est une agence de renseignements commerciaux qui fournit, sur demande de ses clients, des informations concernant la solvabilité de tiers. À cette fin, elle a procédé au traitement des données personnelles du requérant au principal.
10 Le 20 décembre 2018, ce dernier a demandé à CRIF, sur le fondement de l’article 15 du RGPD, à avoir accès aux données à caractère personnel le concernant. En outre, il a sollicité la fourniture d’une copie des documents, à savoir les courriers électroniques et les extraits de bases de données, contenant, entre autres, ses données, « dans un format technique standard ».
11 En réponse à cette demande, CRIF a transmis au requérant au principal, sous forme synthétique, la liste de ses données à caractère personnel faisant l’objet d’un traitement.
12 Estimant que CRIF aurait dû lui transmettre une copie de l’ensemble des documents contenant ses données, tels les courriers électroniques et les extraits de bases de données, le requérant au principal a saisi la DSB d’une réclamation.
13 Par décision du 11 septembre 2019, la DSB a rejeté cette réclamation, en considérant que CRIF n’avait commis aucune violation du droit d’accès aux données à caractère personnel du requérant au principal.
14 La juridiction de renvoi, saisie du recours du requérant au principal contre cette décision, s’interroge sur la portée de l’article 15, paragraphe 3, première phrase, du RGPD. Elle se demande en particulier si l’obligation prévue par cette disposition de fournir une « copie » des données à caractère personnel est satisfaite lorsque le responsable du traitement transmet les données à caractère personnel sous la forme d’un tableau synthétique ou si cette obligation implique également de transmettre des extraits des documents voire des documents entiers, ainsi que des extraits de bases de données, dans lesquels ces données sont reproduites.
15 Plus précisément, cette juridiction pose la question de savoir si l’article 15, paragraphe 3, première phrase, du RGPD se contente de définir la forme dans laquelle le droit d’accès aux informations visées à l’article 15, paragraphe 1, de ce règlement doit être garanti, ou si cette première disposition consacre un droit autonome de la personne concernée à l’accès aux informations relatives au contexte dans lequel les données de cette personne sont traitées, sous forme de copie des extraits de documents voire de documents entiers ou d’extraits de bases de données qui contiennent, entre autres, ces données.
16 La juridiction de renvoi se demande, en outre, si la notion d’« informations » figurant à l’article 15, paragraphe 3, troisième phrase, du RGPD englobe également les informations visées à l’article 15, paragraphe 1, sous a) à h), de ce règlement, voire des informations supplémentaires telles que les métadonnées liées aux données, ou si elle comprend uniquement les « données à caractère personnel faisant l’objet d’un traitement » visées à l’article 15, paragraphe 3, première phrase, dudit règlement.
17 Dans ces conditions, le Bundesverwaltungsgericht (tribunal administratif fédéral, Autriche) a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :
« 1) La notion de “copie” figurant à l’article 15, paragraphe 3, du [RGPD] doit-elle être interprétée en ce sens qu’elle désigne une photocopie, un fac-similé ou une copie électronique d’une donnée (électronique), ou bien cette notion inclut-elle également, conformément à la définition qu’en donnent des dictionnaires allemands, français et anglais, une “Abschrift”, un “double” (“duplicata”) ou un “transcript” ?
2) L’article 15, paragraphe 3, première phrase, du RGPD, aux termes duquel “[l]e responsable du traitement fournit une copie des données à caractère personnel faisant l’objet d’un traitement”, doit-il être interprété en ce sens qu’il consacre pour la personne concernée un droit général à la remise d’une copie – également – de l’intégralité des documents dans lesquels les données à caractère personnel de la personne concernée sont traitées, ou encore, lorsque les données à caractère personnel sont traitées dans une base de données, à la remise d’une copie d’un extrait de cette base de données, ou bien prévoit-il pour la personne concernée – uniquement – un droit à la reproduction fidèle à l’original des données à caractère personnel devant être communiquées en vertu de l’article 15, paragraphe 1, du RGPD ?
3) Dans le cas où il serait répondu à la deuxième question en ce sens qu’il existe pour la personne concernée uniquement un droit à la reproduction fidèle à l’original des données à caractère personnel devant être communiquées en vertu de l’article 15, paragraphe 1, du RGPD, l’article 15, paragraphe 3, première phrase, [de celui-ci] doit-il être interprété en ce sens que, en raison de la nature des données traitées [par exemple, les données relatives aux diagnostics, résultats d’examens, avis, tels que mentionnés au considérant 63 du RGPD, ou encore celles relatives à d’autres documents en lien avec un examen au sens de l’arrêt de la Cour du 20 décembre 2017, Nowak (C‑434/16, EU:C:2017:994),] et du principe de transparence prévu à l’article 12, paragraphe 1, du RGPD, il peut cependant être nécessaire, dans un cas particulier, de fournir également à la personne concernée des passages de textes ou des documents entiers ?
4) La notion d’“informations” qui, aux termes de l’article 15, paragraphe 3, troisième phrase, du RGPD, “sont fournies sous une forme électronique d’usage courant” à la personne concernée, lorsque celle-ci présente sa demande par voie électronique, “à moins [qu’elle] ne demande qu’il en soit autrement”, doit-elle être interprétée en ce sens qu’elle désigne uniquement les “données à caractère personnel faisant l’objet d’un traitement” mentionnées à l’article 15, paragraphe 3, première phrase, du RGPD ?
a) En cas de réponse négative à la quatrième question : la notion d’“informations” qui, aux termes de l’article 15, paragraphe 3, troisième phrase, du RGPD, “sont fournies sous une forme électronique d’usage courant” à la personne concernée, lorsque celle-ci présente sa demande par voie électronique, “à moins [qu’elle] ne demande qu’il en soit autrement”, doit-elle être interprétée en ce sens qu’elle désigne également les informations visées à l’article 15, paragraphe 1, sous a) à h), du RGPD ?
b) En cas de réponse négative également à la quatrième question, sous-question a) : la notion d’“informations” qui, aux termes de l’article 15, paragraphe 3, troisième phrase, du RGPD, “sont fournies sous une forme électronique d’usage courant” à la personne concernée, lorsque celle-ci présente sa demande par voie électronique, “à moins [qu’elle] ne demande qu’il en soit autrement”, doit-elle être interprétée en ce sens qu’elle désigne par exemple, en sus des “données à caractère personnel faisant l’objet d’un traitement” et des informations mentionnées à l’article 15, paragraphe 1, sous a) à h), du RGPD, des métadonnées y afférentes ? »
Sur les questions préjudicielles
Sur les première à troisième questions préjudicielles
18 Par ses première à troisième questions, qu’il convient d’examiner ensemble, la juridiction de renvoi demande, en substance, si l’article 15, paragraphe 3, première phrase, du RGPD, lu à la lumière du principe de transparence prévu à l’article 12, paragraphe 1, de ce règlement, doit être interprété en ce sens que le droit d’obtenir une copie des données à caractère personnel faisant l’objet d’un traitement implique qu’il soit remis à la personne concernée non seulement une copie de ces données, mais également une copie des extraits de documents voire des documents entiers ou encore d’extraits de bases de données qui contiennent, entre autres, lesdites données. Cette juridiction s’interroge, en particulier, sur l’étendue de ce droit.
19 À titre liminaire, il y a lieu de rappeler que, conformément à une jurisprudence constante de la Cour, afin d’interpréter une disposition du droit de l’Union, il convient de tenir compte non seulement des termes de celle-ci, conformément à leur sens habituel dans le langage courant, mais également de son contexte et des objectifs poursuivis par la réglementation dont elle fait partie [voir, en ce sens, arrêts du 2 décembre 2021, Vodafone Kabel Deutschland, C‑484/20, EU:C:2021:975, point 19 et jurisprudence citée, ainsi que du 7 septembre 2022, Staatssecretaris van Justitie en Veiligheid (Nature du droit de séjour au titre de l’article 20 TFUE), C‑624/20, EU:C:2022:639, point 28].
20 S’agissant du libellé de l’article 15, paragraphe 3, première phrase, du RGPD, cette disposition énonce que le responsable du traitement « fournit une copie des données à caractère personnel faisant l’objet d’un traitement ».
21 Si le RGPD ne contient pas de définition de la notion de « copie » ainsi employée, il y a lieu de tenir compte du sens habituel de ce terme, lequel désigne, comme l’a relevé M. l’avocat général au point 30 de ses conclusions, la reproduction ou la transcription fidèle d’un original, de sorte qu’une description purement générale des données faisant l’objet d’un traitement ou un renvoi à des catégories de données à caractère personnel ne correspondrait pas à cette définition, En outre, il ressort des termes de l’article 15, paragraphe 3, première phrase, de ce règlement que l’obligation de communication se rattache aux données à caractère personnel faisant l’objet du traitement en cause.
22 L’article 4, point 1, du RGPD définit la notion de « donnée à caractère personnel » comme désignant « toute information se rapportant à une personne physique identifiée ou identifiable » et précise qu’« est réputée être une personne physique identifiable une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ».
23 L’emploi de l’expression « toute information » dans la définition de la notion de « donnée à caractère personnel », figurant à cette disposition, reflète l’objectif du législateur de l’Union d’attribuer un sens large à cette notion, laquelle englobe potentiellement toute sorte d’informations, tant objectives que subjectives, sous forme d’avis ou d’appréciations, à condition que celles-ci « concernent » la personne en cause (voir, par analogie, arrêt du 20 décembre 2017, Nowak, C‑434/16, EU:C:2017:994, point 34).
24 À cet égard, il a été jugé qu’une information concerne une personne physique identifiée ou identifiable lorsque, en raison de son contenu, sa finalité ou son effet, elle est liée à une personne identifiable (voir, en ce sens, arrêt du 20 décembre 2017, Nowak, C‑434/16, EU:C:2017:994, point 35).
25 Quant au caractère « identifiable » d’une personne physique, le considérant 26 du RGPD précise qu’il convient de prendre en considération « l’ensemble des moyens raisonnablement susceptibles d’être utilisés par le responsable du traitement ou par toute autre personne pour identifier la personne physique directement ou indirectement, tels que le ciblage ».
26 Ainsi, comme l’a relevé, en substance, M. l’avocat général aux points 36 à 39 de ses conclusions, la définition large de la notion de « données à caractère personnel » ne couvre pas seulement les données collectées et conservées par le responsable du traitement, mais inclut également toutes les informations résultant d’un traitement de données à caractère personnel qui concernent une personne identifiée ou identifiable, telles que l’appréciation de sa solvabilité ou de sa disposition à payer.
27 Dans ce contexte, il convient d’ajouter que le législateur de l’Union a entendu donner à la notion de « traitement », telle qu’elle est définie à l’article 4, point 2, du RGPD, une portée large en recourant à une énumération d’opérations non exhaustive [voir, en ce sens, arrêt du 24 février 2022, Valsts ieņēmumu dienests (Traitement des données personnelles à des fins fiscales), C‑175/20, EU:C:2022:124, point 35].
28 Partant, il ressort de l’analyse textuelle de l’article 15, paragraphe 3, première phrase, du RGPD que cette disposition confère à la personne concernée le droit d’obtenir une reproduction fidèle de ses données à caractère personnel, entendues dans une acception large, qui font l’objet d’opérations devant être qualifiées de traitement effectué par le responsable de ce traitement.
29 Cela étant, il doit être constaté que le libellé de cette même disposition ne permet pas, à lui seul, de répondre aux trois premières questions dans la mesure où il ne contient aucune indication quant à un éventuel droit d’obtenir non seulement une copie des données à caractère personnel faisant l’objet d’un traitement, mais également une copie des extraits de documents voire des documents entiers ou encore d’extraits de bases de données qui contiennent, entre autres, ces données.
30 S’agissant du contexte dans lequel s’insère l’article 15, paragraphe 3, première phrase, du RGPD, il convient de relever que l’article 15 du RGPD, qui est intitulé « droit d’accès de la personne concernée », définit, à son paragraphe 1, l’objet et le champ d’application du droit d’accès reconnu à la personne concernée et y consacre le droit de cette dernière d’obtenir du responsable du traitement l’accès à ses données à caractère personnel ainsi que les informations visées aux points a) à h) de ce paragraphe.
31 L’article 15, paragraphe 3, du RGPD précise les modalités pratiques d’exécution de l’obligation qui incombe au responsable du traitement, en spécifiant notamment dans sa première phrase la forme sous laquelle ce responsable doit fournir les « données à caractère personnel faisant l’objet d’un traitement », à savoir sous la forme d’une « copie ». En outre, ce paragraphe énonce, à sa troisième phrase, que les informations sont fournies sous une forme électronique d’usage courant lorsque la demande est présentée par voie électronique, à moins que la personne concernée ne demande qu’il en soit autrement.
32 Par conséquent, l’article 15 du RGPD ne saurait être interprété comme consacrant, à son paragraphe 3, première phrase, un droit distinct de celui prévu à son paragraphe 1. Par ailleurs, comme l’a relevé la Commission européenne dans ses observations écrites, le terme « copie » ne se rapporte pas à un document en tant que tel, mais aux données à caractère personnel qu’il contient et qui doivent être complètes. La copie doit donc contenir toutes les données à caractère personnel faisant l’objet d’un traitement.
33 Pour ce qui est des objectifs poursuivis par l’article 15 du RGPD, il y a lieu de relever que celui-ci a pour finalité, ainsi que le précise son considérant 11, de renforcer et de préciser les droits des personnes concernées. L’article 15 de ce règlement prévoit, à cet égard, un droit à obtenir une copie, à la différence de l’article 12, sous a), deuxième tiret, de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO 1995, L 281, p. 31), lequel se limitait à exiger une « communication sous une forme intelligible, des données faisant l’objet des traitements ». Le considérant 63 du RGPD précise, quant à lui, qu’« [u]ne personne devrait avoir le droit d’accès aux données à caractère personnel qui ont été collectées à son sujet et d’exercer ce droit facilement et à des intervalles raisonnables afin de prendre connaissance du traitement et d’en vérifier la licéité ».
34 Ainsi, le droit d’accès prévu à l’article 15 du RGPD doit permettre à la personne concernée de s’assurer que les données à caractère personnel la concernant sont exactes et qu’elles sont traitées de manière licite [voir, en ce sens, arrêt du 12 janvier 2023, Österreichische Post (Informations relatives aux destinataires de données personnelles), C‑154/21, EU:C:2023:3, point 37 et jurisprudence citée].
35 En particulier, ce droit d’accès est nécessaire pour permettre à la personne concernée d’exercer, le cas échéant, son droit à la rectification, son droit à l’effacement (« droit à l’oubli ») et son droit à la limitation du traitement, qui lui sont reconnus, respectivement, par les articles 16, 17 et 18 du RGPD, son droit d’opposition au traitement de ses données à caractère personnel, prévu à l’article 21 du RGPD, ainsi que son droit de recours en cas de dommage subi, prévu aux articles 79 et 82 du RGPD [arrêt du 12 janvier 2023, Österreichische Post (Informations relatives aux destinataires de données personnelles), C‑154/21, EU:C:2023:3, point 38 et jurisprudence citée].
36 Il convient également de relever que le considérant 60 du RGPD énonce que le principe du traitement loyal et transparent exige que la personne concernée soit informée de l’existence de l’opération de traitement et de ses finalités, étant souligné que le responsable du traitement devrait fournir toute autre information nécessaire pour garantir un traitement équitable et transparent, compte tenu des circonstances particulières et du contexte dans lesquels les données à caractère personnel sont traitées.
37 Par ailleurs, conformément au principe de transparence, mentionné par la juridiction de renvoi, auquel fait référence le considérant 58 du RGPD et que consacre expressément l’article 12, paragraphe 1, de ce règlement, toute information adressée à la personne concernée doit être concise, aisément accessible et facile à comprendre, et formulée en des termes clairs et simples.
38 Ainsi que l’a relevé M. l’avocat général aux points 54 et 55 de ses conclusions, il ressort de cette disposition que le responsable du traitement est tenu de prendre des mesures appropriées pour fournir à la personne concernée toute information visée, notamment, à l’article 15 du RGPD, d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, et que les informations doivent être fournies par écrit ou par d’autres moyens, y compris, lorsque c’est approprié, par voie électronique, à moins que la personne concernée ne demande qu’elles soient fournies oralement. Cette disposition, qui est l’expression du principe de transparence, a pour objectif de garantir que la personne concernée soit mise en mesure de pleinement comprendre les informations qui lui sont adressées.
39 Il en résulte que la copie des données à caractère personnel faisant l’objet d’un traitement, que le responsable du traitement doit fournir en vertu de l’article 15, paragraphe 3, première phrase, du RGPD, doit présenter l’ensemble des caractéristiques permettant à la personne concernée d’exercer effectivement ses droits au titre de ce règlement et doit, par conséquent, reproduire intégralement et fidèlement ces données.
40 Cette interprétation correspond à l’objectif de ce règlement, qui vise notamment, ainsi qu’il ressort de son considérant 10, à assurer un niveau élevé de protection des personnes physiques au sein de l’Union et, à cette fin, à assurer une application cohérente et homogène des règles de protection des libertés et des droits fondamentaux de ces personnes à l’égard du traitement des données à caractère personnel dans l’ensemble de l’Union (voir, en ce sens, arrêt du 9 février 2023, X-FAB Dresden, C‑453/21, EU:C:2023:79, point 25 et jurisprudence citée).
41 En effet, afin de garantir que les informations ainsi fournies soient faciles à comprendre, comme l’exige l’article 12, paragraphe 1, du RGPD, lu en combinaison avec le considérant 58 de ce règlement, la reproduction d’extraits de documents voire de documents entiers ou encore d’extraits de bases de données qui contiennent, entre autres, les données à caractère personnel faisant l’objet d’un traitement peut s’avérer indispensable, ainsi que l’a relevé M. l’avocat général aux points 57 et 58 de ses conclusions, dans le cas où la contextualisation des données traitées est nécessaire pour en assurer l’intelligibilité.
42 En particulier, lorsque des données à caractère personnel sont générées à partir d’autres données ou lorsque de telles données résultent de champs libres, à savoir une absence d’indication révélant une information sur la personne concernée, le contexte dans lequel ces données font l’objet d’un traitement est un élément indispensable pour permettre à la personne concernée de disposer d’un accès transparent et d’une présentation intelligible de ces données.
43 Par ailleurs, conformément à l’article 15, paragraphe 4, du RGPD, lu en combinaison avec le considérant 63 de ce règlement, le droit d’obtenir une copie visé au paragraphe 3 ne devrait pas porter atteinte aux droits et libertés d’autrui, y compris au secret des affaires ou à la propriété intellectuelle, notamment au droit d’auteur protégeant le logiciel.
44 Partant, ainsi que l’a souligné M. l’avocat général au point 61 de ses conclusions, en cas de conflit entre, d’une part, l’exercice d’un droit d’accès plein et complet aux données à caractère personnel et, d’autre part, les droits ou libertés d’autrui, il y a lieu de mettre en balance les droits et libertés en question. Dans la mesure du possible, il convient de choisir des modalités de communication des données à caractère personnel qui ne portent pas atteinte aux droits ou libertés d’autrui, en tenant compte du fait que ces considérations ne doivent pas « aboutir à refuser toute communication d’informations à la personne concernée », ainsi qu’il ressort du considérant 63 du RGPD.
45 Eu égard aux considérations qui précèdent, il y a lieu de répondre aux première à troisième questions préjudicielles que l’article 15, paragraphe 3, première phrase, du RGPD
doit être interprété en ce sens que :
le droit d’obtenir de la part du responsable du traitement une copie des données à caractère personnel faisant l’objet d’un traitement implique qu’il soit remis à la personne concernée une reproduction fidèle et intelligible de l’ensemble de ces données. Ce droit suppose celui d’obtenir la copie d’extraits de documents voire de documents entiers ou encore d’extraits de bases de données qui contiennent, entre autres, lesdites données, si la fourniture d’une telle copie est indispensable pour permettre à la personne concernée d’exercer effectivement les droits qui lui sont conférés par ce règlement, étant souligné qu’il doit être tenu compte, à cet égard, des droits et libertés d’autrui.
Sur la quatrième question préjudicielle
46 Par cette question, la juridiction de renvoi demande, en substance, si l’article 15, paragraphe 3, troisième phrase, du RGPD doit être interprété en ce sens que la notion d’« informations » qu’il vise se rapporte exclusivement aux données à caractère personnel dont le responsable du traitement doit fournir une copie en application de la première phrase de ce paragraphe, ou si elle renvoie également à l’ensemble des informations mentionnées au paragraphe 1 de cet article, voire englobe des éléments allant au-delà, telles des métadonnées.
47 Ainsi qu’il a été rappelé au point 19 du présent arrêt, il y a lieu, pour l’interprétation d’une disposition du droit de l’Union, de tenir compte non seulement des termes de celle-ci, mais également de son contexte et des objectifs poursuivis par la réglementation dont elle fait partie.
48 À cet égard, si l’article 15, paragraphe 3, troisième phrase, du RGPD se borne à indiquer que, « lorsque la personne concernée présente sa demande par voie électronique, les informations sont fournies sous une forme électronique d’usage courant », sans préciser ce qu’il convient d’entendre par le terme « informations », la première phrase de ce paragraphe énonce que « le responsable du traitement fournit une copie des données à caractère personnel faisant l’objet d’un traitement ».
49 Partant, il résulte du contexte de l’article 15, paragraphe 3, troisième phrase, du RGPD que les « informations » qu’il vise correspondent nécessairement aux données à caractère personnel dont le responsable du traitement doit fournir une copie conformément à la première phrase de ce paragraphe.
50 Une telle interprétation est confirmée par les objectifs poursuivis par l’article 15, paragraphe 3, du RGPD qui sont, ainsi qu’il a été rappelé au point 31 du présent arrêt, de définir les modalités pratiques d’exécution de l’obligation qui incombe au responsable du traitement de fournir une copie des données à caractère personnel faisant l’objet d’un traitement. Par conséquent, cette disposition ne crée pas un droit distinct de celui dont bénéficie la personne concernée d’obtenir une reproduction fidèle et intelligible de ces données, lui permettant d’exercer effectivement les droits que lui confère ce règlement.
51 Or, il convient de relever qu’aucune disposition dudit règlement n’établit de différence de traitement d’une demande selon la forme dans laquelle celle-ci est présentée, de sorte que l’étendue du droit d’obtenir une copie ne saurait varier en fonction de cette forme.
52 Par ailleurs, il convient également de relever que, conformément à l’article 12, paragraphe 3, du RGPD, lorsque la demande a été présentée par voie électronique, les informations visées à cet article 15, y compris celles mentionnées aux points a) à h) du paragraphe 1 dudit article, sont fournies par voie électronique, sauf indication contraire de la personne concernée.
53 Eu égard aux considérations qui précèdent, il y a lieu de répondre à la quatrième question préjudicielle que l’article 15, paragraphe 3, troisième phrase, du RGPD
doit être interprété en ce sens que :
la notion d’« informations » qu’il vise se rapporte exclusivement aux données à caractère personnel dont le responsable du traitement doit fournir une copie en application de la première phrase de ce paragraphe.
Sur les dépens
54 La procédure revêtant, à l’égard des parties au principal, le caractère d’un incident soulevé devant la juridiction de renvoi, il appartient à celle-ci de statuer sur les dépens. Les frais exposés pour soumettre des observations à la Cour, autres que ceux desdites parties, ne peuvent faire l’objet d’un remboursement.
Par ces motifs, la Cour (première chambre) dit pour droit :
1) L’article 15, paragraphe 3, première phrase, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données),
doit être interprété en ce sens que :
le droit d’obtenir de la part du responsable du traitement une copie des données à caractère personnel faisant l’objet d’un traitement implique qu’il soit remis à la personne concernée une reproduction fidèle et intelligible de l’ensemble de ces données. Ce droit suppose celui d’obtenir la copie d’extraits de documents voire de documents entiers ou encore d’extraits de bases de données qui contiennent, entre autres, lesdites données, si la fourniture d’une telle copie est indispensable pour permettre à la personne concernée d’exercer effectivement les droits qui lui sont conférés par ce règlement, étant souligné qu’il doit être tenu compte, à cet égard, des droits et libertés d’autrui.
2) L’article 15, paragraphe 3, troisième phrase, du règlement 2016/679
doit être interprété en ce sens que :
la notion d’« informations » qu’il vise se rapporte exclusivement aux données à caractère personnel dont le responsable du traitement doit fournir une copie en application de la première phrase de ce paragraphe.
Signatures