CONCLUSIONS DE L’AVOCAT GÉNÉRAL
M. GIOVANNI PITRUZZELLA
présentées le 15 décembre 2022 (1)
Affaire C‑487/21
F. F.
en présence de :
Österreichische Datenschutzbehörde,
CRIF GmbH
[demande de décision préjudicielle formée par le Bundesverwaltungsgericht (tribunal administratif fédéral, Autriche)]
« Renvoi préjudiciel – Protection des données à caractère personnel – Règlement (UE) 2016/679 – Article 15, paragraphe 3 – Droit d’accès de la personne concernée aux données à caractère personnel faisant l’objet d’un traitement – Droit de recevoir une copie des données à caractère personnel – Notion de “copie” – Notion d’“information” »
1. Quels sont le contenu et l’étendue du droit reconnu à la personne concernée qui obtient l’accès à ses données à caractère personnel faisant l’objet d’un traitement de recevoir une copie de ces données, comme le prévoit l’article 15, paragraphe 3, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (2) (ci-après le « RGPD ») ? Quelle est la signification du terme « copie » et comment s’articule ce droit à recevoir une copie des données à caractère personnel faisant l’objet d’un traitement avec le droit d’accès prévu au paragraphe 1 de cet article ?
2. Telles sont, en substance, les questions principales qui se posent dans l’affaire faisant l’objet des présentes conclusions, qui concerne un renvoi préjudiciel introduit par le Bundesverwaltungsgericht (tribunal administratif fédéral, Autriche) portant sur l’interprétation de l’article 15, paragraphe 3, du RGPD.
3. Ce renvoi s’inscrit dans le cadre d’un litige opposant F. F. à l’Österreichische Datenschutzbehörde (autorité autrichienne de protection des données) à propos de la légalité du rejet par cette dernière de la demande de F. F. visant à faire imposer à une agence de renseignements commerciaux, qui avait traité les données à caractère personnel, de fournir des documents et des extraits d’une base de données contenant lesdites données à caractère personnel.
4. La présente affaire donnera à la Cour l’occasion d’interpréter pour la première fois les dispositions de l’article 15, paragraphe 3, du RGPD et de clarifier les modalités d’exercice du droit d’accès à ses données à caractère personnel faisant l’objet d’un traitement tel qu’il est prévu à l’article 15 du RGPD.
I. Le cadre juridique : le droit de l’Union
5. Le considérant 63 du RGPD énonce ce qui suit :
« Une personne concernée devrait avoir le droit d’accéder aux données à caractère personnel qui ont été collectées à son sujet et d’exercer ce droit facilement et à des intervalles raisonnables, afin de prendre connaissance du traitement et d’en vérifier la licéité. Cela inclut le droit des personnes concernées d’accéder aux données concernant leur santé, par exemple les données de leurs dossiers médicaux contenant des informations telles que des diagnostics, des résultats d’examens, des avis de médecins traitants et tout traitement ou intervention administrés. En conséquence, toute personne concernée devrait avoir le droit de connaître et de se faire communiquer, en particulier, les finalités du traitement des données à caractère personnel, si possible la durée du traitement de ces données à caractère personnel, l’identité des destinataires de ces données à caractère personnel, la logique qui sous‑tend leur éventuel traitement automatisé et les conséquences que ce traitement pourrait avoir, au moins en cas de profilage. Lorsque c’est possible, le responsable du traitement devrait pouvoir donner l’accès à distance à un système sécurisé permettant à la personne concernée d’accéder directement aux données à caractère personnel la concernant. Ce droit ne devrait pas porter atteinte aux droits ou libertés d’autrui, y compris au secret des affaires ou à la propriété intellectuelle, notamment au droit d’auteur protégeant le logiciel. Cependant, ces considérations ne devraient pas aboutir à refuser toute communication d’informations à la personne concernée. [...] »
6. L’article 4, points 1 et 2, du RGPD dispose :
« Aux fins du présent règlement, on entend par :
1) “donnée à caractère personnel”, toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée “personne concernée”) ; est réputée être une “personne physique identifiable” une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ;
2) “traitement”, toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction. »
7. L’article 12, paragraphe 1, du RGPD, intitulé « Transparence des informations et des communications et modalités de l’exercice des droits de la personne concernée », prévoit ce qui suit :
« Le responsable du traitement prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14 ainsi que pour procéder à toute communication au titre des articles 15 à 22 et de l’article 34 en ce qui concerne le traitement à la personne concernée d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un enfant. Les informations sont fournies par écrit ou par d’autres moyens y compris, lorsque c’est approprié, par voie électronique. Lorsque la personne concernée en fait la demande, les informations peuvent être fournies oralement, à condition que l’identité de la personne concernée soit démontrée par d’autres moyens. »
8. L’article 15 du RGPD, intitulé « Droit d’accès de la personne concernée », dispose :
« 1. La personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel ainsi que les informations suivantes :
a) les finalités du traitement ;
b) les catégories de données à caractère personnel concernées ;
c) les destinataires ou catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées, en particulier les destinataires qui sont établis dans des pays tiers ou les organisations internationales ;
d) lorsque cela est possible, la durée de conservation des données à caractère personnel envisagée ou, lorsque ce n’est pas possible, les critères utilisés pour déterminer cette durée ;
e) l’existence du droit de demander au responsable du traitement la rectification ou l’effacement de données à caractère personnel, ou une limitation du traitement des données à caractère personnel relatives à la personne concernée, ou du droit de s’opposer à ce traitement ;
f) le droit d’introduire une réclamation auprès d’une autorité de contrôle ;
g) lorsque les données à caractère personnel ne sont pas collectées auprès de la personne concernée, toute information disponible quant à leur source ;
h) l’existence d’une prise de décision automatisée, y compris un profilage, visée à l’article 22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la logique sous‑jacente, ainsi que l’importance et les conséquences prévues de ce traitement pour la personne concernée.
[...]
3. Le responsable du traitement fournit une copie des données à caractère personnel faisant l’objet d’un traitement. Le responsable du traitement peut exiger le paiement de frais raisonnables basés sur les coûts administratifs pour toute copie supplémentaire demandée par la personne concernée. Lorsque la personne concernée présente sa demande par voie électronique, les informations sont fournies sous une forme électronique d’usage courant, à moins que la personne concernée ne demande qu’il en soit autrement.
4. Le droit d’obtenir une copie visé au paragraphe 3 ne porte pas atteinte aux droits et libertés d’autrui. »
II. Les faits à l’origine du litige, la procédure au principal et les questions préjudicielles
9. CRIF GmbH est une agence de renseignements commerciaux qui fournit, à la demande de ses clients, des informations concernant la solvabilité de tiers. À cette fin, elle a procédé au traitement des données à caractère personnel du requérant au principal.
10. Le 20 décembre 2018, ce dernier s’est adressé à cette agence afin d’obtenir, entre autres, des informations sur ses données à caractère personnel faisant l’objet d’un traitement, en vertu de l’article 15 du RGPD, en demandant notamment l’obtention d’une copie de ces données dans un format technique standard.
11. À la suite de cette demande, CRIF a fourni une partie des informations demandées sous une forme synthétique, c’est‑à‑dire en reproduisant les données à caractère personnel du requérant au principal enregistrées, d’une part, dans un tableau structuré selon le nom, la date de naissance, la rue, le code postal et la localité et, d’autre part, dans une liste récapitulative de ses fonctions en entreprise et de ses pouvoirs de représentation. Aucun document supplémentaire, tel que courrier électronique ou extrait de bases de données, n’a en revanche été transmis.
12. Le 16 janvier 2019, le requérant au principal a saisi l’Österreichische Datenschutzbehörde (autorité autrichienne de protection des données) d’une réclamation, dans laquelle il faisait valoir que la réponse à sa demande était incomplète et, notamment, que le responsable du traitement aurait dû lui transmettre une copie de tous les documents contenant ses données à caractère personnel, y compris les courriels et les extraits de bases de données.
13. Par décision du 11 septembre 2019, cette autorité a rejeté la réclamation, considérant que le responsable du traitement n’avait pas commis de violation du droit d’accès aux données à caractère personnel du requérant.
14. La juridiction de renvoi, saisie du recours contre cette décision, nourrit des doutes quant à l’étendue du droit de la personne concernée de recevoir copie des données à caractère personnel faisant l’objet du traitement garanti à l’article 15, paragraphe 3, première phrase, du RGPD.
15. La juridiction de renvoi doit déterminer si la transmission des données à caractère personnel du requérant au principal sous la forme du tableau et du relevé récapitulatif contenus dans la réponse de CRIF à la demande d’accès satisfaisait aux exigences de l’article 15, paragraphe 3, du RGPD ou si, en vertu de cette disposition, le requérant au principal est en droit d’obtenir une copie de ses données à caractère personnel faisant l’objet d’un traitement, non pas selon des modalités décontextualisées, mais sous la forme de copies ou d’extraits d’une éventuelle correspondance ou des contenus de bases de données ou de documents similaires.
16. Dans ce contexte, la juridiction de renvoi demande, en premier lieu, des éclaircissements quant au sens exact de la notion de « copie » des données à caractère personnel faisant l’objet d’un traitement, figurant à l’article 15, paragraphe 3, première phrase, du RGPD.
17. En deuxième lieu, la juridiction de renvoi cherche à savoir si la disposition de l’article 15, paragraphe 3, du RGPD apporte une précision à propos du droit d’accès général prévu au paragraphe 1 de cet article, en établissant la manière dont la personne concernée doit obtenir l’accès à ses données à caractère personnel faisant l’objet d’un traitement, ou si cette disposition, allant au-delà dudit droit d’accès prévu au paragraphe 1, prévoit un droit autonome à obtenir une photocopie, un fac-similé, des tableaux ou des extraits électroniques de bases de données ou une copie de l’intégralité des documents et des dossiers dans lesquels figurent les données à caractère personnel de la personne concernée.
18. En troisième lieu, s’il fallait donner une interprétation stricte de l’article 15, paragraphe 3, première phrase, du RGPD, en ce sens que la notion de « copie » ne présuppose pas l’existence d’un droit à la transmission de photocopies, de documents ou d’extraits de bases de données, la juridiction de renvoi se demande si, néanmoins, compte tenu du fait qu’il peut exister différents types de données susceptibles de faire l’objet d’un traitement et compte tenu également du principe de transparence prévu à l’article 12, paragraphe 1, du RGPD, il se pourrait que, dans certains cas, en fonction du type de données traitées, il puisse exister une obligation, incombant au responsable du traitement, de fournir en tout état de cause des passages de textes ou des documents entiers.
19. En quatrième lieu, enfin, la juridiction de renvoi demande si la notion d’« informations », figurant à l’article 15, paragraphe 3, troisième phrase, du RGPD, vise uniquement les « données à caractère personnel faisant l’objet d’un traitement » mentionnées dans la première phrase de cette disposition ou si elle va au-delà de ces données, en incluant également les informations visées à l’article 15, paragraphe 1, sous a) à h), du RGPD, ou bien si, allant encore au-delà, cette notion couvre également, par exemple, les métadonnées y afférentes.
20. C’est dans ce contexte que le Bundesverwaltungsgericht (tribunal administratif fédéral) a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :
« 1) La notion de “copie” figurant à l’article 15, paragraphe 3, du [RGPD] doit‑elle être interprétée en ce sens qu’elle désigne une photocopie, un fac‑similé ou une copie électronique d’une donnée (électronique), ou bien cette notion inclut-elle également, conformément à la définition qu’en donnent des dictionnaires allemands, français et anglais, une “Abschrift”, un “double” (“duplicata”) ou un “transcript” ?
2) L’article 15, paragraphe 3, première phrase, du RGPD [...] doit-il être interprété en ce sens qu’il consacre pour la personne concernée un droit général à la remise d’une copie – également – de l’intégralité des documents dans lesquels les données à caractère personnel de la personne concernée sont traitées, ou encore, lorsque les données à caractère personnel sont traitées dans une base de données, à la remise d’une copie d’un extrait de cette base de données, ou bien prévoit-il pour la personne concernée – uniquement – un droit à la reproduction fidèle à l’original des données à caractère personnel devant être communiquées en vertu de l’article 15, paragraphe 1, du RGPD ?
3) Dans le cas où il serait répondu à la deuxième question en ce sens qu’il existe pour la personne concernée uniquement un droit à la reproduction fidèle à l’original des données à caractère personnel devant être communiquées en vertu de l’article 15, paragraphe 1, du RGPD, l’article 15, paragraphe 3, première phrase, du RGPD doit-il être interprété en ce sens qu’en raison de la nature des données traitées (par exemple, les données relatives aux diagnostics, résultats d’examens, avis, tels que mentionnés au considérant 63 du RGPD, ou encore celles relatives à d’autres documents en lien avec un examen au sens de l’arrêt de la Cour du 20 décembre 2017, Nowak [(3)]) et du principe de transparence prévu à l’article 12, paragraphe 1, du RGPD, il peut cependant être nécessaire, dans un cas particulier, de fournir également à la personne concernée des passages de textes ou des documents entiers ?
4) La notion d’“informations” qui, aux termes de l’article 15, paragraphe 3, troisième phrase, du RGPD, “sont fournies sous une forme électronique d’usage courant” à la personne concernée, lorsque celle-ci présente sa demande par voie électronique, “à moins [qu’elle] ne demande qu’il en soit autrement”, doit-elle être interprétée en ce sens qu’elle désigne uniquement les “données à caractère personnel faisant l’objet d’un traitement” mentionnées à l’article 15, paragraphe 3, première phrase, du RGPD ?
a) En cas de réponse négative à la quatrième question : la notion d’“informations” qui, aux termes de l’article 15, paragraphe 3, troisième phrase, du RGPD, “sont fournies sous une forme électronique d’usage courant” à la personne concernée, lorsque celle-ci présente sa demande par voie électronique, “à moins [qu’elle] ne demande qu’il en soit autrement”, doit-elle être interprétée en ce sens qu’elle désigne également les informations visées à l’article 15, paragraphe 1, sous a) à h), du RGPD ?
b) En cas de réponse négative également à la quatrième question, sous‑question a) : la notion d’“informations” qui, aux termes de l’article 15, paragraphe 3, troisième phrase, du RGPD, “sont fournies sous une forme électronique d’usage courant” à la personne concernée, lorsque celle-ci présente sa demande par voie électronique, “à moins [qu’elle] ne demande qu’il en soit autrement”, doit-elle être interprétée en ce sens qu’elle désigne par exemple, en sus des “données à caractère personnel faisant l’objet d’un traitement” et des informations mentionnées à l’article 15, paragraphe 1, sous a) à h), du RGPD, des métadonnées y afférentes ? »
III. Analyse juridique
A. Sur les première, deuxième et troisième questions préjudicielles
21. Par ses trois premières questions préjudicielles, qu’il convient selon moi de traiter conjointement, la juridiction de renvoi pose à la Cour trois questions visant à déterminer la portée de la disposition figurant à l’article 15, paragraphe 3, première phrase, du RGPD, aux termes de laquelle « [l]e responsable du traitement fournit une copie des données à caractère personnel faisant l’objet d’un traitement ».
22. La première question vise à déterminer le sens exact de la notion de « copie » figurant à l’article 15, paragraphe 3, première phrase, du RGPD. La deuxième question vise à clarifier l’étendue du droit conféré par cette disposition à la personne concernée. La juridiction de renvoi se demande, en particulier, si ladite disposition ouvre le droit d’obtenir une copie également des documents – ou d’extraits de bases de données – où les données à caractère personnel sont traitées ou si elle se borne à attribuer seulement le droit à une reproduction fidèle à l’original des données à caractère personnel faisant l’objet d’un traitement. Dans ce dernier cas, la troisième question vise à savoir si, en fonction du type de données traitées et en vertu du principe de transparence, il peut néanmoins être nécessaire, dans certains cas, de fournir également des passages de texte ou des documents entiers.
23. Il ressort de la décision de renvoi que la portée de la disposition figurant à la première phrase de l’article 15, paragraphe 3, du RGPD est une question controversée tant dans la doctrine que dans la jurisprudence des juridictions nationales, à tout le moins en Autriche et en Allemagne (4). Il ressort de cette décision que deux théories s’opposent à cet égard : d’une part, une conception restrictive de la disposition en cause, selon laquelle cette dernière ne fait que spécifier les modalités du droit d’accès et ne comporte aucun droit autonome à obtenir des documents ou équivalents et, d’autre part, une conception extensive selon laquelle, au contraire, ladite disposition confère un droit d’obtenir une copie des documents ou des autres supports sur lesquels les données à caractère personnel sont traitées. Dans cette dernière conception, le droit à obtenir une copie des documents constituerait un droit distinct du droit d’accès garanti à l’article 15, paragraphe 1, du RGPD. Le caractère controversé de la portée de la disposition en cause est confirmé par le fait que les parties qui ont déposé des observations devant la Cour ont également des positions différentes à cet égard (5).
24. Dans ces conditions, il convient, afin de pouvoir apporter une réponse aux trois premières questions préjudicielles posées par la juridiction de renvoi, de procéder à l’interprétation de la disposition contenue à l’article 15, paragraphe 3, première phrase, du RGPD.
25. À cet égard, il convient de rappeler qu’il ressort d’une jurisprudence constante que, pour l’interprétation d’une disposition du droit de l’Union, il y a lieu de tenir compte non seulement des termes de celle-ci, mais également de son contexte et des objectifs poursuivis par la réglementation dont elle fait partie (6).
26. En outre, puisque les dispositions du RGPD régissent le traitement de données à caractère personnel susceptibles de porter atteinte aux libertés fondamentales et, en particulier, au droit au respect de la vie privée, elles doivent nécessairement être interprétées à la lumière des droits fondamentaux garantis par la charte des droits fondamentaux de l’Union européenne (ci-après la « Charte ») (7).
1. Analyse textuelle
27. S’agissant, tout d’abord, du libellé de la disposition figurant à l’article 15, paragraphe 3, première phrase, du RGPD, il convient de relever que celle-ci confère à la personne concernée le droit d’obtenir du responsable du traitement « une copie des données à caractère personnel faisant l’objet d’un traitement ». Du point de vue textuel, cette formulation se réfère à trois notions distinctes, à savoir la notion de « copie », celle de « données à caractère personnel » et celle d’« objet d’un traitement ».
28. S’agissant, en premier lieu, de la notion de « copie », dont la portée fait spécifiquement l’objet de la première question préjudicielle, il convient de relever que, comme l’ont fait observer plusieurs parties intéressées qui ont présenté des observations à la Cour, le RGPD ne contient aucune définition spécifique de cette notion.
29. À cet égard, il ressort d’une jurisprudence constante que la détermination de la signification et de la portée des termes pour lesquels le droit de l’Union ne fournit aucune définition doit être établie conformément au sens habituel de ceux‑ci dans le langage courant, tout en tenant compte du contexte dans lequel ils sont utilisés et des objectifs poursuivis par la réglementation dont ils font partie (8).
30. D’un point de vue purement terminologique, le mot italien « copia » (copie), dans le langage courant, désigne la reproduction ou la transcription fidèle d’un original (9). Une analyse des diverses versions linguistiques du RGPD montre que le terme utilisé dans la majeure partie des autres langues officielles de l’Union est celui qui correspond au terme italien « copia » comme, par exemple, les mots « copy » en langue anglaise, « Kopie », en langue allemande, « copie » en langue française ou « copia » en langue espagnole (10).
31. L’article 15, paragraphe 3, première phrase, du RGPD précise, par ailleurs, que la copie que le responsable du traitement est tenu de fournir à la personne concernée est la copie des « données à caractère personnel » faisant l’objet d’un traitement.
32. À cet égard et en deuxième lieu, il convient de relever que, contrairement à ce qu’il en est pour le terme « copie », le RGPD contient une définition explicite de la notion de « données à caractère personnel », à l’article 4, point 1, de ce règlement, aux termes duquel constitue une donnée à caractère personnel « toute information concernant une personne physique identifiée ou identifiable ».
33. La portée de la notion de « données à caractère personnel » qui résulte de cette définition est très large. En effet, ainsi qu’il ressort de la jurisprudence de la Cour, l’emploi de l’expression « toute information » dans le cadre de cette définition reflète l’objectif du législateur de l’Union d’attribuer un sens large à cette notion (11).
34. Ensuite, il ressort de la jurisprudence que la notion de « données à caractère personnel » n’est pas restreinte aux informations sensibles ou d’ordre privé, mais englobe potentiellement toute sorte d’informations, tant objectives que subjectives sous forme d’avis ou d’appréciations, à condition que celles-ci « concernent » la personne en cause. S’agissant de cette dernière condition, celle-ci est satisfaite lorsque, en raison de son contenu, de sa finalité ou de son effet, l’information est liée à une personne déterminée (12).
35. Une acception étendue de la notion de « données à caractère personnel » s’avère au reste nécessaire au vu de la diversité de types et de formes que peuvent revêtir les informations concernant une personne qui peuvent être dignes de protection, ainsi qu’au vu de la diversité des supports susceptibles de contenir ces informations.
36. L’analyse de la jurisprudence montre que la Cour a considéré comme relevant de la notion de « données à caractère personnel », au sens de l’article 4, point 1, du RGPD, une variété de types d’informations concernant une personne physique identifiée ou identifiable. Outre celles que la Commission a définies dans ses observations comme des « données usuelles », à savoir les indications relatives à l’identité des personnes telles que le prénom et le nom (13), la date de naissance, la nationalité, le sexe, l’ethnie, la religion et la langue parlée par une personne identifiable par son nom (14), la Cour a considéré comme relevant de la notion de « données à caractère personnel » d’autres types d’informations telles que, par exemple, des informations concernant un véhicule automobile mis en vente, ainsi que le numéro de téléphone du vendeur de ce véhicule (15), ou les données figurant dans un registre du temps de travail qui concernent, pour chaque travailleur, les périodes de travail journalières ainsi que les périodes de repos (16), l’image d’une personne enregistrée par une caméra si et dans la mesure où elle permet d’identifier la personne concernée (17), les réponses écrites fournies par un candidat à un examen professionnel et les annotations de l’examinateur relatives aux réponses du candidat (18), ou encore les informations relatives aux points de pénalité, qui se rapportent à une personne physique identifiée (19).
37. L’acception large de la notion de « données à caractère personnel », résultant de la définition figurant à l’article 4, point 1, du RGPD, qui est admise par la jurisprudence et est liée à l’objectif poursuivi par le RGPD d’assurer un niveau élevé de protection des personnes physiques à l’égard du traitement de ces données (20), implique que cette notion, et donc le droit d’accéder auxdites données et d’en obtenir une copie, ne se limite pas exclusivement aux données éventuellement acquises, conservées et traitées par une personne responsable du traitement, mais inclue également les données complémentaires éventuellement générées par cette personne à la suite du traitement, si elles font également l’objet de ce dernier.
38. Dès lors, si de nouvelles informations, résultant de ce traitement des données, qui concernent une personne identifiée ou identifiable et qui peuvent être qualifiées de « données à caractère personnel » au sens de l’article 4, point 1, du RGPD, sont générées à la suite du traitement d’une série de données à caractère personnel, le droit d’accès à ces données et le droit d’en obtenir une copie, prévus à l’article 15, paragraphe 1 et paragraphe 3, première phrase, respectivement, du RGPD, doit, à mon sens, inclure également les données ainsi générées si celles-ci font elles-mêmes l’objet d’un traitement. En effet, le droit d’accéder auxdites données et d’en obtenir une copie couvre toutes les données à caractère personnel de la personne concernée qui font l’objet d’un traitement.
39. Ces considérations sont pertinentes dans un cas tel que celui de l’affaire au principal où, sur la base de données collectées auprès de différentes sources, CRIF semble avoir élaboré une recommandation quant à la solvabilité et à la disposition à payer de la personne concernée, en fonction d’une probabilité statistique liée à un certain nombre de paramètres. Une telle recommandation constitue, selon moi, une information concernant une personne identifiée, qui relève ainsi de l’acception large de « données à caractère personnel » visées à l’article 4, point 1, du RGPD et donc également du droit d’accès prévu à l’article 15, paragraphes 1 et 3, première phrase, du RGPD (21).
40. S’agissant, en troisième lieu, des termes « objet du traitement » figurant à l’article 15, paragraphe 3, première phrase, du RGPD, il convient de relever que la notion de « traitement » est également définie explicitement, à l’article 4, point 2, du RGPD.
41. En vertu de cette dernière disposition, constituent un « traitement », au sens de ce règlement, la collecte, la consultation, la communication par transmission ainsi que toute forme de mise à disposition de données à caractère personnel. Selon la jurisprudence, il ressort du libellé de cette disposition, notamment de l’expression « toute opération », que le législateur de l’Union a entendu donner à la notion de « traitement » une portée large. Cette interprétation est corroborée par le caractère non exhaustif, exprimé par la locution « telles que », des opérations mentionnées à ladite disposition (22).
42. Dans ce contexte, il ressort de la portée large de la notion de « traitement » que l’article 15, paragraphe 3, première phrase, du RGPD confère à la personne concernée le droit d’obtenir une copie de ses données à caractère personnel faisant l’objet de toute opération susceptible d’être qualifiée de « traitement ». Comme je le préciserai plus en détail au point 52 des présentes conclusions, cette disposition ne confère toutefois pas, en tant que telle, le droit d’obtenir des informations spécifiques quant au traitement lui-même des données à caractère personnel, autres que celles visées à l’article 15, paragraphe 1, du RGPD.
43. En conclusion, il ressort de l’analyse textuelle de l’article 15, paragraphe 3, première phrase, du RGPD que cette disposition confère à la personne concernée le droit d’obtenir une copie de ses données à caractère personnel, entendues dans une acception large, qui font l’objet d’opérations qui peuvent être qualifiées de « traitement » effectué par le responsable de ce traitement.
44. Cette analyse textuelle permet de constater que la « copie des données à caractère personnel » doit être une reproduction fidèle de celles-ci. Toutefois, la diversité des types de données susceptibles de faire l’objet d’un traitement implique que, selon le type de données traitées et le type de traitement, une copie de ces données peut revêtir différents formats tels que le format papier, l’enregistrement audio ou vidéo, le format électronique ou d’autres formats. Il importe que la copie de ces données soit fidèle et permette à la personne concernée d’avoir une pleine connaissance de toutes les données faisant l’objet d’un traitement. Une éventuelle compilation des données à caractère personnel faisant l’objet du traitement doit reproduire fidèlement et de manière compréhensible ces données et ne doit d’ailleurs aucunement influencer le contenu des données qui doivent être fournies. Le choix par le responsable du traitement de fournir, dans la mesure du possible, une compilation des données à caractère personnel faisant l’objet du traitement ne saurait donc justifier que certaines données soient omises ou fournies de manière incomplète ou ne reflètent pas la réalité de ce traitement.
45. En outre, la disposition en cause garantit à la personne concernée le droit de recevoir copie de toutes ses données à caractère personnel faisant l’objet d’un traitement et donc non seulement des données saisies, mais également d’éventuelles données à caractère personnel générées par le responsable du traitement et faisant l’objet d’un traitement. Toutefois, dans la mesure où cette disposition se réfère exclusivement à la copie des données à caractère personnel, d’une part, elle ne saurait fonder un droit à accéder à des informations qui ne seraient pas susceptibles d’être qualifiées comme telles et, d’autre part, elle ne confère pas, ou pas nécessairement, un droit à obtenir des copies de documents ou d’autres supports contenant des données à caractère personnel.
46. Ces considérations doivent par ailleurs être complétées par l’analyse du contexte dans lequel cette disposition s’inscrit ainsi que par les objectifs poursuivis par le droit d’accès garanti à l’article 15 du RGPD.
2. Analyse contextuelle et téléologique
47. En ce qui concerne le contexte dans lequel la disposition en cause s’inscrit, il convient, tout d’abord, de relever que celle-ci figure à l’article 15 du RGPD, lequel régit le droit de la personne concernée d’obtenir, de la part du responsable du traitement, l’accès aux données à caractère personnel la concernant et faisant l’objet d’un traitement. Cette disposition concrétise et précise le droit de toute personne d’accéder aux données la concernant qui est consacré à l’article 8, paragraphe 2, seconde phrase, de la Charte (23).
48. Quant à la structure de l’article 15 du RGPD, son paragraphe 1 prévoit le droit de la personne concernée d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès à ces données à caractère personnel ainsi qu’aux informations visées aux points a) à h) de ce paragraphe. Cette disposition concrétise ainsi le droit d’accès aux données à caractère personnel et aux informations connexes, en définissant l’objet précis du droit d’accès et le champ d’application.
49. Le paragraphe 3 de l’article 15 du RGPD précise pour sa part les modalités d’exercice de ce droit, en spécifiant notamment la forme sous laquelle les données à caractère personnel doivent être fournies par le responsable du traitement à la personne concernée, c’est-à-dire sous la forme d’une copie et, donc, d’une reproduction fidèle des données.
50. Il résulte de l’aperçu qui vient d’être donné de l’article 15 du RGPD, ainsi que de l’exigence selon laquelle les dispositions des paragraphes 1 et 3 de cet article doivent être interprétées de manière cohérente, que le paragraphe 3 dudit article ne définit pas – et ne peut donc modifier ou étendre – l’objet et le champ d’application du droit d’accès concrétisé par la disposition qui fait l’objet du paragraphe 1 du même article. Le paragraphe 3 de l’article 15 du RGPD ne peut donc accroître la portée de l’obligation de donner accès aux informations incombant au responsable du traitement. L’économie de cet article confirme ainsi que la disposition du paragraphe 3 ne saurait fonder un éventuel droit autonome de la personne concernée à obtenir des informations allant au-delà de celles indiquées au paragraphe 1 de cette disposition.
51. À cet égard, je partage la position de l’autorité autrichienne de protection des données selon laquelle une interprétation de l’article 15, paragraphe 3, première phrase, du RGPD en ce sens que cette disposition permettrait d’étendre le champ des informations auxquelles une personne concernée a accès au-delà de celles relatives à ses données à caractère personnel serait contraire à l’article 8, paragraphe 2, de la Charte.
52. L’analyse qui précède confirme, d’une part, la considération du point 44 des présentes conclusions, selon laquelle la disposition de l’article 15, paragraphe 3, première phrase, du RGPD ne confère pas un droit autonome à recevoir des copies de documents ou d’autres supports contenant des données à caractère personnel. Elle confirme également, d’autre part, l’analyse du point 42 des présentes conclusions, selon laquelle cette disposition ne confère pas à la personne concernée le droit d’obtenir des informations, autres que celles visées à l’article 15, paragraphe 1, du RGPD (24), quant au traitement lui-même des données à caractère personnel, telles que, par exemple, des informations relatives aux critères, aux modèles, aux règles ou aux procédures internes (de calcul ou non) utilisés pour le traitement des données à caractère personnel. Ces informations sont, au reste, souvent couvertes par des droits de propriété intellectuelle, qui doivent être protégés dans ce contexte, comme l’indique expressément la cinquième phrase du considérant 63. Cela n’enlève par ailleurs rien au fait que, comme le montre le considérant 60 du RGPD, le responsable du traitement doit fournir à la personne concernée toute autre information nécessaire pour garantir un traitement équitable et transparent, compte tenu des circonstances particulières et du contexte dans lesquels les données à caractère personnel sont traitées. Il convient également de rappeler qu’il existe des règles spécifiques concernant les processus de décision automatisés, y compris le profilage (25).
53. Toujours d’un point de vue contextuel, la disposition de l’article 15, paragraphe 3, première phrase, du RGPD doit être lue à la lumière des autres dispositions pertinentes du RGPD. En dehors des définitions figurant à l’article 4, points 1 et 2, du RGPD, analysées aux points 32 à 41 des présentes conclusions, est également pertinent, notamment, l’article 12, paragraphe 1, du RGPD, auquel se réfère la juridiction de renvoi dans sa troisième question préjudicielle.
54. Il ressort de l’article 12, paragraphe 1, du RGPD que le responsable du traitement est tenu de prendre des mesures appropriées pour fournir à la personne concernée toute information visée, notamment, à l’article 15 du RGPD, d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, et que les informations doivent être fournies par écrit ou par d’autres moyens, y compris, lorsque c’est approprié, par voie électronique, à moins que la personne concernée ne demande qu’elles soient fournies oralement.
55. L’article 12, paragraphe 1, du RGPD, qui est l’expression du principe de transparence (26), a pour objectif de garantir que la personne concernée soit mise en mesure de pleinement comprendre les informations qui lui sont adressées. En effet, d’une part, il est nécessaire que ces informations soient parfaitement compréhensibles pour que l’exercice des droits d’accès garantis par l’article 15 du RGPD soit effectif et, d’autre part, cette intelligibilité constitue le présupposé de la possibilité d’exercer pleinement les autres droits garantis à la personne concernée par le RGPD, mentionnés aux points 64 et 65 des présentes conclusions, qui font suite à l’exercice du droit d’accès (27). Il découle au reste du considérant 63 du RGPD qu’une personne concernée doit pouvoir exercer le droit d’accéder facilement et sans difficultés à ses données à caractère personnel.
56. Au demeurant, la nécessité d’une communication intelligible des données, qui permette à la personne concernée de prendre pleine connaissance de ces données et de vérifier qu’elles sont exactes et traitées de manière conforme au droit de l’Union afin que cette personne puisse, le cas échéant, exercer les droits qui lui sont conférés par ce dernier a déjà été mise en exergue par la Cour dans sa jurisprudence relative à la directive 95/46 (28).
57. Cette exigence d’intelligibilité des données et des informations visées à l’article 15, paragraphe 1, sous a) à h), du RGPD implique qu’il n’est pas exclu que, dans certains cas, afin de garantir à la personne concernée que les informations qui lui sont adressées sont parfaitement compréhensibles, il soit nécessaire de fournir à cette personne des passages de documents, voire des documents complets ou des extraits de bases de données. C’est toutefois, inévitablement, au cas par cas, en fonction de la nature des données faisant l’objet de la demande et de la demande elle-même, qu’il convient d’apprécier la nécessité de fournir des documents ou des extraits afin de garantir l’intelligibilité des informations envoyées.
58. À cet égard, il convient toutefois de souligner que l’éventuelle communication de documents ou d’extraits de ceux-ci ne représente pas l’exercice d’un droit autonome par rapport au droit d’accès, qui serait garanti par la première phrase de l’article 15, paragraphe 3, du RGPD, mais seulement une modalité d’envoi de la copie des données à caractère personnel visant à garantir la pleine intelligibilité de celles-ci. À cet égard, j’observerai que, certes, comme l’ont relevé certaines des parties intéressées qui ont soumis des observations à la Cour, il est nécessaire, dans certains cas, pour comprendre pleinement les données à caractère personnel en cause, de connaître le contexte dans lequel ces données sont traitées. Cette considération n’est toutefois pas de nature à conférer à la personne concernée, sur le fondement de la disposition en cause, un droit généralisé d’accès à des copies de documents ou d’extraits de bases de données.
59. En outre, le droit d’obtenir une copie des données à caractère personnel trouve une limite dans la nécessité, explicitement envisagée à l’article 15, paragraphe 4, du RGPD, de ne pas porter « atteinte aux droits et libertés d’autrui ». Il résulte de cette disposition que la nécessité de garantir à la personne concernée un accès plein et complet à ses données à caractère personnel par la fourniture d’une copie de celles-ci ne saurait aller jusqu’à permettre la violation des droits et libertés d’autrui.
60. À cet égard, je note que l’article 15, paragraphe 4, du RGPD est formulé de manière très générale et laisse ouverte la liste des droits et libertés « d’autrui » qui peuvent tempérer le plein exercice d’un droit d’accès au moyen de l’obtention d’une copie des données à caractère personnel. Il convient toutefois de considérer que ces droits incluent sans aucun doute le « secret des affaires ou [...] la propriété intellectuelle, notamment [le] droit d’auteur protégeant le logiciel », comme l’indique explicitement le considérant 63 du RGPD, ainsi que le droit à la protection des données à caractère personnel des tiers, comme dans le cas où un support qui contient les données à caractère personnel de la personne concernée contient également des données à caractère personnel de tiers.
61. En cas de conflit entre, d’une part, l’exercice d’un droit d’accès plein et complet aux données à caractère personnel et, d’autre part, les droits ou libertés d’autrui, il y aura lieu de mettre en balance les droits en question. Dans la mesure du possible, il conviendra de choisir des modalités de communication des données à caractère personnel qui ne portent pas atteinte aux droits ou libertés d’autrui, en tenant compte du fait que ces considérations ne doivent toutefois pas « aboutir à refuser toute communication d’informations à la personne concernée », ainsi qu’il ressort du considérant 63 du RGPD.
62. Ensuite, toujours du point de vue du contexte, il convient de relever que l’interprétation de l’article 15, paragraphe 3, première phrase, du RGPD selon laquelle cette disposition ne confère pas un droit général d’accès à des copies de documents ou à des extraits de bases de données, à moins que cela ne soit nécessaire pour garantir l’intelligibilité des données et des informations fournies, est également confirmée par le fait que le droit d’accès aux documents, notamment aux documents administratifs, est expressément régi par d’autres actes de droit de l’Union (29) ou de droit national qui poursuivent des objectifs différents de ceux qui garantissent la protection des données à caractère personnel (30).
63. L’interprétation de l’article 15, paragraphe 3, première phrase, du RGPD mentionnée au point 62 des présentes conclusions est par ailleurs confirmée par une analyse des finalités de cette disposition dans le cadre du droit d’accès de la personne concernée garanti par l’article 15 du RGPD.
64. Ainsi qu’il ressort du considérant 63 du RGPD, et notamment de sa première phrase, le droit d’accès à ses propres données à caractère personnel et aux autres informations visées à l’article 15, paragraphe 1, sous a) à h), du RGPD a pour objectif, tout d’abord, de permettre à cette personne de prendre connaissance du traitement et d’en vérifier la licéité (31).
65. Ce droit d’accès est nécessaire, comme l’a d’ailleurs déjà relevé la Cour, pour permettre à la personne concernée d’exercer une série d’autres droits conférés par le RGPD, parmi lesquels le droit de rectification, le droit à l’effacement (« droit à l’oubli ») et le droit à la limitation du traitement, qui lui sont conférés respectivement par les articles 16, 17 et 18 du RGPD (32). La Cour a en outre précisé que le droit d’accès est également nécessaire pour permettre à la personne concernée d’exercer le droit d’opposition au traitement de ses données à caractère personnel visé à l’article 21 du RGPD ou le droit de recours en cas de dommage subi prévu aux articles 79 et 82 du RGPD (33).
66. C’est dans le contexte des objectifs du droit d’accès à ses propres données à caractère personnel et aux autres informations que doit être comprise la ratio legis qui sous-tend la règle qui confère à la personne concernée le droit d’obtenir une copie des données à caractère personnel. Cette règle vise à prévoir explicitement la forme au moyen de laquelle l’exercice effectif de ce droit est garanti à la personne concernée, afin de lui permettre de vérifier l’exactitude des données et la licéité du traitement, en vue, le cas échéant, d’exercer les autres droits visés au point 65 des présentes conclusions. L’objectif est de faire en sorte que les données à caractère personnel soient fournies à la personne concernée sous la forme la plus précise et la plus intelligible possible pour lui permettre d’exercer ces droits, c’est‑à-dire sous la forme d’une copie de ces données, et donc d’une reproduction fidèle de celles-ci.
67. Dans cette perspective, la délivrance d’une copie du document contenant lesdites données ou d’un extrait d’une base de données n’apparaît pas systématiquement et en tout état de cause indispensable à la réalisation de l’objectif poursuivi par le législateur.
68. Ce n’est que si la délivrance d’une telle copie s’avère indispensable afin de garantir la pleine intelligibilité des données à caractère personnel faisant l’objet d’un traitement que la personne concernée pourra, dans les limites indiquées aux points 58 à 61 des présentes conclusions, obtenir des parties de documents ou, le cas échéant, des documents entiers ou des extraits de bases de données.
69. Dans ce contexte, ce qui est également pertinent, c’est que, en prévoyant, contrairement à la directive 95/46, un véritable droit à obtenir une copie des données, le RGPD a pour finalité de renforcer et de préciser les droits des personnes concernées (34). Il s’agit là, en effet, d’une différence significative par rapport aux dispositions précédemment en vigueur qui se limitaient à prévoir, à l’article 12, sous a), deuxième tiret, de la directive susmentionnée, la simple « communication, sous une forme intelligible, des données faisant l’objet des traitements », laissant ainsi aux États membres le soin de déterminer la forme matérielle concrète que cette communication doit prendre, pour autant que celle-ci soit intelligible (35). Dès lors que les responsables du traitement se voient imposer, à l’article 15, paragraphe 3, première phrase, du RGPD, de fournir une « copie » des données, la forme que doit prendre la communication de ces données, c’est-à-dire la forme d’une « copie » des données, est désormais prévue, au contraire, de manière impérative.
3. Conclusion sur les trois premières questions préjudicielles
70. Eu égard à l’ensemble des considérations qui précèdent, il y a lieu de répondre aux trois premières questions préjudicielles posées par la juridiction de renvoi que l’article 15, paragraphe 3, première phrase, du RGPD doit être interprété en ce sens que :
– la notion de « copie » visée à cette disposition doit être comprise comme une reproduction fidèle, sous une forme intelligible, des données à caractère personnel demandées par la personne concernée, dans un format matérialisé et permanent, qui permet à la personne concernée d’exercer de manière effective le droit d’accès à ses données à caractère personnel, en prenant pleinement connaissance de l’ensemble de ses données à caractère personnel qui font l’objet d’un traitement, y compris les données supplémentaires éventuellement générées à la suite du traitement, si elles font également l’objet d’un traitement, afin de lui permettre de vérifier l’exactitude de ces données et la licéité de leur traitement, pour qu’elle puisse, le cas échéant, exercer les autres droits que lui confère le RGPD. La forme exacte que prendra la copie doit être déterminée en fonction des particularités de chaque cas d’espèce et, notamment, du type de données à caractère personnel auxquelles l’accès est demandé et des exigences de la personne concernée ;
– cette disposition ne confère pas à la personne concernée un droit général à obtenir une copie partielle ou intégrale du document contenant les données à caractère personnel de cette personne ou, lorsque les données à caractère personnel sont traitées dans une base de données, un extrait de cette base de données ;
– cette disposition n’exclut cependant pas qu’il se puisse que des parties de documents, ou des documents entiers, ou des extraits de bases de données doivent être fournis à la personne concernée si cela est nécessaire pour garantir le caractère pleinement intelligible des données à caractère personnel faisant l’objet d’un traitement auxquelles l’accès est demandé.
B. Sur la quatrième question préjudicielle
71. Par sa quatrième question préjudicielle, la juridiction de renvoi interroge la Cour sur le point de savoir si la notion d’« informations » figurant à l’article 15, paragraphe 3, troisième phrase, du RGPD vise uniquement les « données à caractère personnel faisant l’objet d’un traitement » mentionnées à la première phrase de ce paragraphe ou si elle comprend, outre celles-ci, également les informations visées à l’article 15, paragraphe 1, sous a) à h), [quatrième question, sous a)] ou également d’autres informations telles que, par exemple, les métadonnées afférentes aux données [quatrième question, sous b)].
72. Afin de répondre à cette question, il convient d’interpréter le terme « informations » figurant à l’article 15, paragraphe 3, troisième phrase, du RGPD en appliquant la méthodologie résultant de la jurisprudence mentionnée au point 25 des présentes conclusions.
73. Dans cette perspective, du point de vue textuel, le terme « informations » apparaît trop général pour pouvoir déterminer s’il se réfère exclusivement aux « données à caractère personnel » visées à l’article 15, paragraphe 3, première phrase, du RGPD ou s’il inclut d’autres types d’informations.
74. Du point de vue du contexte, il convient toutefois de relever que la troisième phrase susmentionnée s’inscrit dans le paragraphe 3 de l’article 15 du RGPD qui concerne l’obligation du responsable du traitement de fournir, à la demande de la personne concernée, une « copie des données à caractère personnel faisant l’objet d’un traitement ». La structure de ce paragraphe 3 conduit donc à considérer que le terme « informations » se rapporte aux informations qui font l’objet de la demande à laquelle il faut donner satisfaction, au sens de la première phrase dudit paragraphe, et donc à la demande tendant à obtenir une copie des données à caractère personnel faisant l’objet d’un traitement.
75. Cette interprétation semble également conforme à l’objectif du paragraphe 3 de l’article 15 du RGPD lui-même qui est, ainsi qu’il ressort des points 61 et suivants et notamment du point 69 des présentes conclusions, de déterminer la forme que doit prendre la communication des données à caractère personnel faisant l’objet du traitement, à savoir la forme de la « copie » des données. Dans cette perspective, la troisième phrase de ce paragraphe vise à régler le cas spécifique dans lequel la demande d’obtenir une copie de ces données est effectuée par voie électronique.
76. Cela étant, il convient par ailleurs, selon moi, de relever également que l’obligation de transparence découlant de l’article 12, paragraphe 1, du RGPD, mentionnée aux points 54 et 55 des présentes conclusions, qui a pour objectif d’assurer que la personne concernée soit mise en mesure de comprendre pleinement les informations qui lui sont envoyées en application, notamment, de l’article 15 du RGPD lu dans son ensemble, exige que, lorsqu’une demande d’accès au titre de l’article 15, paragraphe 1, du RGPD est introduite par voie électronique, les informations visées aux points a) à h) de ce paragraphe soient fournies dans un format électronique. Communiquer lesdites informations dans un format électronique qui n’est pas communément utilisé pourrait en fait rendre extrêmement difficile ou onéreuse la prise de connaissance de ces informations, en violation de l’obligation de transparence susmentionnée.
77. Enfin, s’agissant spécifiquement de la question sous b), il ressort de la circonstance que l’article 15, paragraphe 3, troisième phrase, du RGPD se réfère à la « demande » de la personne concernée que la notion d’« informations » figurant à cette disposition ne saurait aller au-delà de ce qui fait précisément l’objet de cette demande, à savoir la copie des données à caractère personnel faisant l’objet d’un traitement. Il s’ensuit que le terme « information » qui y est utilisé se rapporte exclusivement à ces données et ne saurait inclure d’autres informations que celles-ci et certainement pas d’autres informations que les informations visées à l’article 15, paragraphe 1, sous a) à h), du RGPD. À défaut, la portée du droit d’accès serait en effet étendue, ce qui, comme je l’ai par ailleurs déjà relevé aux points 48 à 51 des présentes conclusions, ne trouve aucun fondement dans le RGPD.
78. Il résulte, selon moi, des considérations qui précèdent qu’il convient de répondre à la quatrième question préjudicielle posée par la juridiction de renvoi que la notion d’« informations » figurant à l’article 15, paragraphe 3, troisième phrase, du RGPD doit être interprétée en ce sens qu’elle vise exclusivement la « copie des données à caractère personnel faisant l’objet d’un traitement » figurant à la première phrase de ce même paragraphe.
IV. Conclusion
79. Eu égard à l’ensemble des considérations qui précèdent, je propose à la Cour de répondre comme suit aux questions préjudicielles posées par le Bundesverwaltungsgericht (tribunal administratif fédéral, Autriche) :
L’article 15, paragraphe 3, première phrase, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données),
doit être interprété en ce sens que :
la notion de « copie » visée à cette disposition doit être comprise comme une reproduction fidèle, sous une forme intelligible, des données à caractère personnel demandées par la personne concernée, dans un format matérialisé et permanent, qui permet à la personne concernée d’exercer de manière effective le droit d’accès à ses données à caractère personnel, en prenant pleinement connaissance de l’ensemble de ses données à caractère personnel qui font l’objet d’un traitement, y compris les données supplémentaires éventuellement générées à la suite du traitement, si elles font également l’objet d’un traitement, afin de permettre à cette personne de vérifier l’exactitude de ces données et la licéité de leur traitement, pour qu’elle puisse, le cas échéant, exercer les autres droits que lui confère le règlement 2016/679. La forme exacte que prendra la copie est déterminée en fonction des particularités de chaque affaire et, notamment, du type de données à caractère personnel auxquelles l’accès est demandé et des exigences de la personne concernée ;
cette disposition ne confère pas à la personne concernée un droit général à obtenir une copie partielle ou intégrale du document contenant les données à caractère personnel de cette personne ou, lorsque les données à caractère personnel sont traitées dans une base de données, un extrait de cette base de données ;
ladite disposition n’exclut cependant pas qu’il se puisse que des parties de documents, des documents entiers ou des extraits de bases de données doivent être fournis à la personne concernée si cela est nécessaire pour garantir le caractère pleinement intelligible des données à caractère personnel faisant l’objet d’un traitement auxquelles l’accès est demandé.
La notion d’« informations » visée à l’article 15, paragraphe 3, troisième phrase, du règlement 2016/679
doit être interprétée en ce sens que :
elle vise exclusivement la « copie des données à caractère personnel faisant l’objet d’un traitement » figurant à la première phrase de ce même paragraphe.