Affaire C‑307/22
FT
contre
DW
(demande de décision préjudicielle, introduite par le Bundesgerichtshof)
Arrêt de la Cour (première chambre) du 26 octobre 2023
« Renvoi préjudiciel – Traitement des données à caractère personnel – Règlement (UE) 2016/679 – Articles 12, 15 et 23 – Droit d’accès de la personne concernée à ses données faisant l’objet d’un traitement – Droit d’obtenir gratuitement une première copie de ces données – Traitement de données d’un patient par son médecin – Dossier médical – Motifs de la demande d’accès – Usage des données à des fins d’engagement de la responsabilité du praticien – Notion de “copie” »
1. Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement 2016/679 – Droit d’accès de la personne concernée à ses données faisant l’objet d’un traitement – Droit d’obtenir gratuitement une première copie de ses données – Obligation du responsable du traitement de fournir une telle copie – Obligation de la personne concernée de motiver sa demande d’accès aux données découlant du préambule du règlement – Absence
(Règlement du Parlement européen et du Conseil 2016/679, considérant 63 et art. 12, § 5, et 15, § 1 et 3)
(voir points 35-38, 43, 46, 50-52, disp. 1)
2. Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement 2016/679 – Faculté pour les États membres d’adopter une législation limitant la portée de certains droits et obligations prévus par le règlement – Législation nationale adoptée antérieurement ou postérieurement à l’entrée en vigueur du règlement – Absence de pertinence
(Règlement du Parlement européen et du Conseil 2016/679, art. 23, § 1)
(voir points 54-56, 69, disp. 2)
3. Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement 2016/679 – Droit d’accès de la personne concernée à ses données faisant l’objet d’un traitement – Droit d’obtenir gratuitement une première copie de ses données – Limitations – Conditions – Protection des droits et libertés d’autrui – Faculté pour un État membre d’adopter une législation nationale visant à protéger les intérêts économiques du responsable du traitement et mettant à la charge de la personne concernée les frais d’une première copie de ses données – Absence
[Règlement du Parlement européen et du Conseil 2016/679, art. 23, § 1, i)]
(voir points 62, 64, 65, 67-69, disp. 2)
4. Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement 2016/679 – Droit d’accès de la personne concernée à ses données faisant l’objet d’un traitement – Fourniture d’une copie des données – Notion de copie – Remise à la personne concernée d’une reproduction fidèle et intelligible de ces données – Copie d’extraits de documents voire de documents entiers ou encore d’extraits de bases de données contenant, entre autres, lesdites données – Inclusion – Condition
(Règlement du Parlement européen et du Conseil 2016/679, considérant 58 et art. 12, § 1, et 15, § 1 et 3, 1re phrase)
(voir points 71-75)
5. Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement 2016/679 – Droit d’accès de la personne concernée à ses données faisant l’objet d’un traitement – Fourniture d’une copie des données – Notion de copie – Remise à la personne concernée d’une reproduction fidèle et intelligible de l’ensemble des données de son dossier médical – Copie intégrale des documents figurant dans le dossier médical – Inclusion – Condition
(Règlement du Parlement européen et du Conseil 2016/679, considérant 63 et art. 15, § 3, 1re phrase)
(voir points 76-79, disp. 3)
Résumé
DW a demandé à FT, son médecin-dentiste, de lui remettre, à titre gratuit, une première copie de son dossier médical. Il a formulé cette demande en vue d’engager la responsabilité de FT pour des erreurs prétendument commises par ce dernier lors de la prestation, à son égard, de soins dentaires.
Se fondant sur le droit allemand en vertu duquel le patient peut obtenir une copie de son dossier médical à condition de rembourser au praticien les frais en résultant (1), FT a refusé de fournir une telle copie à DW, à la suite de quoi ce dernier a intenté un recours. Tant la juridiction de première instance que celle d’appel ont fait droit à la demande de DW tendant à se voir remettre, à titre gratuit, une première copie de son dossier médical.
Saisi d’un recours en Revision par FT, le Bundesgerichtshof (Cour fédérale de justice, Allemagne) a interrogé la Cour sur l’interprétation des dispositions du RGPD qui visent les modalités de l’exercice du droit d’accès de la personne concernée à ses données ainsi que les limitations de la portée de ce droit (2).
Par son arrêt, la Cour conclut, tout d’abord, à l’obligation du responsable du traitement de fournir à la demande de la personne concernée, à titre gratuit, une première copie de ses données à caractère personnel à d’autres fins que celles visant à prendre connaissance du traitement de ces données et d’en vérifier la licéité, explicitement mentionnées dans le préambule du RGPD. Elle se prononce, ensuite, sur les contours de la faculté des États membres de restreindre, au nom des intérêts économiques du responsable du traitement, le droit d’obtenir une copie des données en imposant à la personne concernée le paiement des frais encourus par ce responsable à cet effet. Elle examine, enfin, la nécessité de fournir à la personne concernée, dans certains cas, une copie intégrale des données de son dossier médical.
Appréciation de la Cour
En premier lieu, quant à la question de savoir si la fourniture à titre gratuit à la personne concernée d’une première copie de ses données s’impose également au responsable du traitement en vue de la poursuite d’autres fins que celles visées explicitement dans le préambule du RGPD, la Cour rappelle que l’article 15, paragraphe 3, première phrase, de ce règlement confère à la personne concernée le droit d’obtenir une reproduction fidèle de ses données à caractère personnel, entendues dans une acception large, qui font l’objet d’opérations devant être qualifiées de « traitement effectué par le responsable de ce traitement » (3). Il ressort, en outre, d’une lecture combinée des dispositions pertinentes du RGPD (4), d’une part, que la personne concernée a le droit d’obtenir une première copie à titre gratuit de ses données à caractère personnel faisant l’objet d’un traitement et, d’autre part, que le responsable du traitement a la faculté, sous certaines conditions, de facturer des frais raisonnables tenant compte des coûts administratifs, ou de refuser de donner suite à une demande si cette dernière est manifestement infondée ou excessive.
Cependant, aucune de ces dispositions ne conditionne la fourniture, à titre gratuit, d’une première copie des données à caractère personnel à l’invocation, par la personne concernée, d’un motif visant à justifier sa demande. Dès lors, les motifs de demandes figurant explicitement dans le préambule du RGPD (5) ne sauraient restreindre la portée desdites dispositions. Ainsi, le droit d’accéder aux données relatives à la santé (6) ne saurait être limité, par un refus d’accès ou par l’imposition du paiement d’une contrepartie, à l’un de ces motifs, ce qui vaut également pour le droit d’obtenir une première copie à titre gratuit.
En outre, le principe de la gratuité de la première copie des données ainsi que l’absence de nécessité d’invoquer un motif spécifique justifiant la demande d’accès contribuent nécessairement à faciliter l’exercice, par la personne concernée, des droits qui lui sont conférés par le RGPD. Par conséquent, étant donné l’importance que ce règlement attribue au droit d’accéder aux données à caractère personnel pour atteindre les objectifs poursuivis par celui-ci, l’exercice de ce droit ne saurait être soumis à des conditions qui n’ont pas été expressément prévues par le législateur de l’Union.
En deuxième lieu, la Cour juge qu’un État membre n’est pas en droit d’adopter une législation nationale qui, afin de protéger les intérêts économiques du responsable du traitement, met à la charge de la personne concernée les frais d’une première copie de ses données à caractère personnel.
Certes, en vertu du RGPD, le droit de la personne concernée d’obtenir une première copie à titre gratuit de ses données à caractère personnel n’est pas absolu et, sous certaines conditions, la protection des droits et des libertés d’autrui pourrait justifier une limitation de ce droit (7). Toutefois, en l’espèce, pour autant que la législation nationale ait pour objectif de protéger les intérêts économiques des praticiens en prévenant les demandes de copie inutiles, de telles considérations ne sauraient relever de tels droits et libertés d’autrui.
En effet, cette législation conduit à dissuader non seulement les demandes qui seraient inutiles, mais également les demandes visant l’obtention pour une raison légitime d’une première copie, à titre gratuit, des données à caractère personnel traitées. Par conséquent, elle méconnaît nécessairement le principe de la gratuité de la première copie et remet en cause, de ce fait, l’effet utile du droit d’accès de la personne concernée à ses données, prévu par le RGPD, ainsi que, par là même, la protection y garantie.
Par ailleurs, la Cour souligne que les intérêts économiques des responsables du traitement ont été pris en compte en vertu du RGPD qui définit les circonstances dans lesquelles le responsable du traitement est susceptible de demander le paiement des frais liés à la fourniture d’une copie des données à caractère personnel.
En troisième et dernier lieu, la Cour considère que, dans les relations médecin/patient, le droit d’obtenir une copie des données à caractère personnel implique une remise, à la personne concernée, d’une reproduction fidèle et intelligible de l’ensemble de ces données. Ce droit suppose celui d’obtenir la copie intégrale des documents figurant dans son dossier médical si cela est nécessaire pour permettre à cette personne de vérifier l’exactitude et l’exhaustivité de ses données ainsi que pour garantir leur intelligibilité.
À cet égard, elle relève que, en ce qui concerne les données à caractère personnel se rapportant à la santé, le RGPD spécifie que le droit d’accès des personnes concernées inclut « les données de leurs dossiers médicaux contenant des informations telles que des diagnostics, des résultats d’examens, des avis de médecins traitants et tout traitement ou intervention administrés » (8). C’est en raison de la sensibilité de ces données que le législateur de l’Union a ainsi mis en avant l’importance que l’accès des personnes physiques à leurs données figurant dans leur dossier médical s’effectue de manière aussi complète et précise que possible, mais également intelligible.
Or, s’agissant de résultats d’examens, d’avis de médecins traitants et de traitements ou d’interventions administrés à un patient, qui comprennent, en règle générale, de nombreuses données techniques, voire des images, la fourniture d’un simple résumé ou d’une compilation de ces données par le médecin, afin de les présenter sous une forme synthétique, pourrait créer le risque que certaines données pertinentes soient omises ou reproduites de manière incorrecte ou, en tout état de cause, que la vérification de leur exactitude et de leur exhaustivité ainsi que leur compréhension par le patient en soient rendues plus difficiles.