ARRÊT DE LA COUR (première chambre)
26 octobre 2023 (*)
« Renvoi préjudiciel – Traitement des données à caractère personnel – Règlement (UE) 2016/679 – Articles 12, 15 et 23 – Droit d’accès de la personne concernée à ses données faisant l’objet d’un traitement – Droit d’obtenir gratuitement une première copie de ces données – Traitement de données d’un patient par son médecin – Dossier médical – Motifs de la demande d’accès – Usage des données à des fins d’engagement de la responsabilité du praticien – Notion de “copie” »
Dans l’affaire C‑307/22,
ayant pour objet une demande de décision préjudicielle au titre de l’article 267 TFUE, introduite par le Bundesgerichtshof (Cour fédérale de justice, Allemagne), par décision du 29 mars 2022, parvenue à la Cour le 10 mai 2022, dans la procédure
FT
contre
DW,
LA COUR (première chambre),
composée de M. A. Arabadjiev, président de chambre, MM. T. von Danwitz, P. G. Xuereb, A. Kumin et Mme I. Ziemele (rapporteure), juges,
avocat général : M. N. Emiliou,
greffier : M. A. Calot Escobar,
vu la procédure écrite,
considérant les observations présentées :
– pour le gouvernement letton, par Mme K. Pommere, en qualité d’agent,
– pour la Commission européenne, par MM. A. Bouchagiar, F. Erlbacher et H. Kranenborg, en qualité d’agents,
ayant entendu l’avocat général en ses conclusions à l’audience du 20 avril 2023,
rend le présent
Arrêt
1 La demande de décision préjudicielle porte sur l’interprétation de l’article 12, paragraphe 5, de l’article 15, paragraphe 3, et de l’article 23, paragraphe 1, sous i), du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, ci-après le « RGPD »).
2 Cette demande a été présentée dans le cadre d’un litige opposant FT à DW, au sujet du refus de FT, médecin-dentiste, de communiquer à son patient une première copie de son dossier médical à titre gratuit.
Le cadre juridique
Le droit de l’Union
3 Aux termes du considérant 4 du RGPD :
« [...] Le droit à la protection des données à caractère personnel n’est pas un droit absolu ; il doit être considéré par rapport à sa fonction dans la société et être mis en balance avec d’autres droits fondamentaux, conformément au principe de proportionnalité. Le présent règlement respecte tous les droits fondamentaux et observe les libertés et les principes reconnus par la [charte des droits fondamentaux de l’Union européenne], consacrés par les traités, en particulier [...] la liberté d’entreprise [...] »
4 Les considérants 10 et 11 du RGPD énoncent :
« (10) Afin d’assurer un niveau cohérent et élevé de protection des personnes physiques et de lever les obstacles aux flux de données à caractère personnel au sein de l’Union [européenne], le niveau de protection des droits et des libertés des personnes physiques à l’égard du traitement de ces données devrait être équivalent dans tous les États membres. [...]
(11) Une protection effective des données à caractère personnel dans l’ensemble de l’Union exige de renforcer et de préciser les droits des personnes concernées et les obligations de ceux qui effectuent et déterminent le traitement des données à caractère personnel, [...] »
5 En vertu du considérant 13 du RGPD :
« [...] Les institutions et organes de l’Union, et les États membres et leurs autorités de contrôle sont en outre encouragés à prendre en considération les besoins spécifiques des micro, petites et moyennes entreprises dans le cadre de l’application du présent règlement. [...] »
6 Le considérant 58 du RGPD précise :
« Le principe de transparence exige que toute information adressée au public ou à la personne concernée soit concise, aisément accessible et facile à comprendre, et formulée en des termes clairs et simples et, en outre, lorsqu’il y a lieu, illustrée à l’aide d’éléments visuels. Ces informations pourraient être fournies sous forme électronique, par exemple via un site internet lorsqu’elles s’adressent au public. Ceci vaut tout particulièrement dans des situations où la multiplication des acteurs et la complexité des technologies utilisées font en sorte qu’il est difficile pour la personne concernée de savoir et de comprendre si des données à caractère personnel la concernant sont collectées, par qui et à quelle fin, comme dans le cas de la publicité en ligne. Les enfants méritant une protection spécifique, toute information et communication, lorsque le traitement les concerne, devraient être rédigées en des termes clairs et simples que l’enfant peut aisément comprendre ».
7 Ainsi que le prévoit le considérant 59 du RGPD :
« Des modalités devraient être prévues pour faciliter l’exercice par la personne concernée des droits qui lui sont conférés par le présent règlement, y compris les moyens de demander et, le cas échéant, d’obtenir sans frais, notamment, l’accès aux données à caractère personnel, et leur rectification ou leur effacement, et l’exercice d’un droit d’opposition. [...] »
8 Le considérant 63 du RGPD est ainsi libellé :
« Une personne concernée devrait avoir le droit d’accéder aux données à caractère personnel qui ont été collectées à son sujet et d’exercer ce droit facilement et à des intervalles raisonnables, afin de prendre connaissance du traitement et d’en vérifier la licéité. Cela inclut le droit des personnes concernées d’accéder aux données concernant leur santé, par exemple les données de leurs dossiers médicaux contenant des informations telles que des diagnostics, des résultats d’examens, des avis de médecins traitants et tout traitement ou intervention administrés [...] »
9 L’article 4 du RGPD prévoit :
« Aux fins du présent règlement, on entend par :
1) “données à caractère personnel”, toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée “personne concernée”) ; est réputée être une “personne physique identifiable” une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ;
2) “traitement”, toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction ;
[...] »
10 L’article 12 du RGPD dispose :
« 1. Le responsable du traitement prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14 ainsi que pour procéder à toute communication au titre des articles 15 à 22 et de l’article 34 en ce qui concerne le traitement à la personne concernée d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un enfant. Les informations sont fournies par écrit ou par d’autres moyens y compris, lorsque c’est approprié, par voie électronique. Lorsque la personne concernée en fait la demande, les informations peuvent être fournies oralement, à condition que l’identité de la personne concernée soit démontrée par d’autres moyens.
2. Le responsable du traitement facilite l’exercice des droits conférés à la personne concernée au titre des articles 15 à 22. [...]
[...]
5. Aucun paiement n’est exigé pour fournir les informations au titre des articles 13 et 14 et pour procéder à toute communication et prendre toute mesure au titre des articles 15 à 22 et de l’article 34. Lorsque les demandes d’une personne concernée sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, le responsable du traitement peut :
a) exiger le paiement de frais raisonnables qui tiennent compte des coûts administratifs supportés pour fournir les informations, procéder aux communications ou prendre les mesures demandées ; ou
b) refuser de donner suite à ces demandes.
Il incombe au responsable du traitement de démontrer le caractère manifestement infondé ou excessif de la demande.
[...] »
11 L’article 15 du RGPD énonce :
« 1. La personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel ainsi que les informations suivantes :
a) les finalités du traitement ;
b) les catégories de données à caractère personnel concernées ;
c) les destinataires ou catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées, en particulier les destinataires qui sont établis dans des pays tiers ou les organisations internationales ;
d) lorsque cela est possible, la durée de conservation des données à caractère personnel envisagée ou, lorsque ce n’est pas possible, les critères utilisés pour déterminer cette durée ;
e) l’existence du droit de demander au responsable du traitement la rectification ou l’effacement de données à caractère personnel, ou une limitation du traitement des données à caractère personnel relatives à la personne concernée, ou du droit de s’opposer à ce traitement ;
f) le droit d’introduire une réclamation auprès d’une autorité de contrôle ;
g) lorsque les données à caractère personnel ne sont pas collectées auprès de la personne concernée, toute information disponible quant à leur source ;
h) l’existence d’une prise de décision automatisée, y compris un profilage, visée à l’article 22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la logique sous-jacente, ainsi que l’importance et les conséquences prévues de ce traitement pour la personne concernée.
2. Lorsque les données à caractère personnel sont transférées vers un pays tiers ou à une organisation internationale, la personne concernée a le droit d’être informée des garanties appropriées, en vertu de l’article 46, en ce qui concerne ce transfert.
3. Le responsable du traitement fournit une copie des données à caractère personnel faisant l’objet d’un traitement. Le responsable du traitement peut exiger le paiement de frais raisonnables basés sur les coûts administratifs pour toute copie supplémentaire demandée par la personne concernée. Lorsque la personne concernée présente sa demande par voie électronique, les informations sont fournies sous une forme électronique d’usage courant, à moins que la personne concernée ne demande qu’il en soit autrement.
4. Le droit d’obtenir une copie visé au paragraphe 3 ne porte pas atteinte aux droits et libertés d’autrui. »
12 Les articles 16 et 17 dudit règlement consacrent, respectivement le droit de la personne concernée d’obtenir la rectification des données à caractère personnel qui sont inexactes (droit de rectification), ainsi que le droit, dans certaines circonstances, à l’effacement de ces données (droit à l’effacement ou « droit à l’oubli »).
13 L’article 18 du même règlement, intitulé « Droit à la limitation du traitement », dispose, à son paragraphe 1 :
« La personne concernée a le droit d’obtenir du responsable du traitement la limitation du traitement lorsque l’un des éléments suivants s’applique :
a) l’exactitude des données à caractère personnel est contestée par la personne concernée, pendant une durée permettant au responsable du traitement de vérifier l’exactitude des données à caractère personnel ;
b) le traitement est illicite et la personne concernée s’oppose à leur effacement et exige à la place la limitation de leur utilisation ;
c) le responsable du traitement n’a plus besoin des données à caractère personnel aux fins du traitement mais celles-ci sont encore nécessaires à la personne concernée pour la constatation, l’exercice ou la défense de droits en justice ;
d) la personne concernée s’est opposée au traitement en vertu de l’article 21, paragraphe 1, pendant la vérification portant sur le point de savoir si les motifs légitimes poursuivis par le responsable du traitement prévalent sur ceux de la personne concernée. »
14 L’article 21 du RGPD, intitulé « Droit d’opposition », prévoit, à son paragraphe 1 :
« La personne concernée a le droit de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des données à caractère personnel la concernant fondé sur l’article 6, paragraphe 1, point e) ou f), y compris un profilage fondé sur ces dispositions. Le responsable du traitement ne traite plus les données à caractère personnel, à moins qu’il ne démontre qu’il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l’exercice ou la défense de droits en justice. »
15 Aux termes de l’article 23, paragraphe 1, du RGPD :
« Le droit de l’Union ou le droit de l’État membre auquel le responsable du traitement ou le sous-traitant est soumis peuvent, par la voie de mesures législatives, limiter la portée des obligations et des droits prévus aux articles 12 à 22 et à l’article 34, ainsi qu’à l’article 5 dans la mesure où les dispositions du droit en question correspondent aux droits et obligations prévus aux articles 12 à 22, lorsqu’une telle limitation respecte l’essence des libertés et droits fondamentaux et qu’elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir :
[...]
i) la protection de la personne concernée ou des droits et libertés d’autrui ;
[...] »
Le droit allemand
16 Selon l’article 630f du Bürgerliches Gesetzbuch (code civil, ci-après le « BGB »), le praticien est tenu, à des fins de documentation concomitamment au traitement, de tenir un dossier médical sous une forme papier ou électronique. Le praticien est tenu de noter dans le dossier médical du patient l’ensemble des mesures essentielles du point de vue médical pour le traitement en cours et futur ainsi que leurs résultats dont, en particulier, l’anamnèse, les diagnostics, les examens, les résultats d’examens, les conclusions, les thérapies et leurs effets, les interventions et leurs effets, les autorisations ainsi que les informations. Le praticien doit conserver le dossier du patient pendant dix ans après la conclusion du traitement pour autant que d’autres dispositions n’imposent pas d’autres durées de conservation.
17 En vertu de l’article 630g, paragraphe 1, première phrase, du BGB, le patient doit, sur demande, se voir accorder immédiatement accès à l’ensemble du dossier médical le concernant pour autant que des motifs thérapeutiques importants ou d’autres droits importants de tiers ne s’opposent pas à la consultation. Au titre de l’article 630g, paragraphe 2, première phrase, du BGB, le patient peut également réclamer des copies électroniques du dossier médical. Eu égard à l’exposé des motifs de la loi, cela doit être compris en ce sens que le patient peut réclamer au choix la production de copies physiques ou électroniques, L’article 630g, paragraphe 2, deuxième phrase, du BGB, prévoit que le patient doit rembourser au praticien les coûts engendrés.
Le litige au principal et les questions préjudicielles
18 DW a reçu des soins dentaires auprès de FT. Suspectant des erreurs commises lors du traitement qui lui a été prodigué, DW a demandé à FT la remise, à titre gratuit, d’une première copie de son dossier médical. FT a indiqué à DW qu’elle ne répondrait favorablement à sa demande qu’à la condition qu’il prenne en charge les frais liés à la fourniture de la copie du dossier médical, ainsi que le prévoit le droit national.
19 DW a intenté un recours contre FT. En première instance ainsi qu’en appel, il a été fait droit à la demande de DW tendant à se voir remettre, à titre gratuit, une première copie de son dossier médical. Ces décisions s’appuyaient sur une interprétation de la législation nationale applicable à la lumière de l’article 12, paragraphe 5, ainsi que de l’article 15, paragraphes 1 et 3, du RGPD.
20 Saisi d’un recours en Revision par FT, le Bundesgerichtshof (Cour fédérale de justice, Allemagne) considère que la solution du litige dépend de l’interprétation qu’il convient de donner des dispositions du RGPD.
21 La juridiction de renvoi relève que, en vertu du droit national, le patient peut obtenir une copie de son dossier médical, à condition de rembourser au praticien les frais qui en résultent.
22 Toutefois, il pourrait découler de l’article 15, paragraphe 3, première phrase, lu en combinaison avec l’article 12, paragraphe 5, première phrase, du RGPD, que le responsable du traitement, en l’occurrence le praticien, soit tenu de remettre au patient une première copie de son dossier médical à titre gratuit.
23 Premièrement, la juridiction de renvoi relève que DW réclame une première copie de son dossier médical en vue d’engager la responsabilité de FT. Une telle finalité serait étrangère à celle visée au considérant 63 du RGPD, qui prévoit le droit d’accéder aux données à caractère personnel aux fins de prendre connaissance du traitement de ces données et d’en vérifier la licéité. Cependant, le libellé de l’article 15 du RGPD ne subordonnerait pas l’exercice du droit à communication à de tels motifs. En outre, cette disposition n’exigerait pas de la personne concernée qu’elle motive sa demande de communication.
24 Deuxièmement, la juridiction de renvoi souligne que l’article 23, paragraphe 1, du RGPD permet l’adoption de mesures législatives nationales limitant la portée des obligations et des droits prévus aux articles 12 à 22 de ce règlement afin de garantir l’un des objectifs prévus à cette disposition. En l’occurrence, FT invoquerait l’objectif de la protection des droits et des libertés d’autrui figurant à l’article 23, paragraphe 1, sous i), du RGPD et ferait valoir que le régime tarifaire de l’article 630g, paragraphe 2, deuxième phrase, du BGB est une mesure nécessaire et proportionnée en vue de protéger les intérêts légitimes des praticiens, qui permettrait, en règle générale, de prévenir des demandes de copie sans motif de la part des patients concernés.
25 Cependant, d’une part, l’article 630g, paragraphe 2, deuxième phrase, du BGB a été adopté avant l’entrée en vigueur du RGPD.
26 D’autre part, le régime tarifaire de l’article 630g, paragraphe 2, deuxième phrase, du BGB vise à titre premier à protéger les intérêts économiques des praticiens. Il y aurait donc lieu de déterminer si l’intérêt de ces derniers à être déchargés des coûts et des charges liés à la remise des copies de données relève des droits et des libertés d’autrui, au sens de l’article 23, paragraphe 1, sous i), du RGPD. Par ailleurs, le transfert systématique aux patients des frais liés aux copies de leurs dossiers médicaux pourrait apparaître excessif, dès lors qu’il ne tiendrait pas compte du montant des coûts effectivement occasionnés ni des circonstances propres à chaque demande.
27 Troisièmement, dans la mesure où DW réclame la remise d’une copie de l’ensemble des documents médicaux le concernant, donc de son dossier médical, la juridiction de renvoi s’interroge sur la portée du droit d’obtenir une copie des données à caractère personnel faisant l’objet d’un traitement, tel que consacré à l’article 15, paragraphe 3, du RGPD. À cet égard, il pourrait être satisfait à ce droit par la communication d’un résumé des données traitées par le médecin. Cependant, il apparaît que les objectifs de transparence et de contrôle de licéité visés par le RGPD militent en faveur de la communication d’une copie de toutes les données dont le responsable du traitement dispose sous une forme brute, à savoir de l’ensemble des documents médicaux concernant le patient pour autant qu’ils contiennent de telles données.
28 Dans ces conditions, le Bundesgerichtshof (Cour fédérale de justice) a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :
« 1) L’article 15, paragraphe 3, première phrase, du RGPD, lu en combinaison avec l’article 12, paragraphe 5, de celui-ci, doit-il être interprété en ce sens que le responsable du traitement (en l’occurrence le praticien) n’est pas tenu de mettre gratuitement à disposition de la personne concernée (en l’occurrence le patient) une première copie de ses données à caractère personnel traitées par ledit responsable du traitement lorsque la personne concernée ne demande pas la copie en vue de poursuivre les buts cités au considérant 63, première phrase, du RGPD, à savoir prendre connaissance du traitement de ses données à caractère personnel et en vérifier la licéité, mais en vue de poursuivre un autre but – étranger à la protection des données, mais néanmoins légitime (en l’espèce la vérification de l’existence de droits au titre de la responsabilité du médecin) ?
2) En cas de réponse négative à la première question :
a) Une disposition nationale d’un État membre qui a été adoptée avant l’entrée en vigueur du RGPD constitue-t-elle également une restriction du droit découlant de l’article 15, paragraphe 3, première phrase, lu en combinaison avec l’article 12, paragraphe 5, du RGPD, à recevoir une copie à titre gratuit des données à caractère personnel traitées par le responsable du traitement en vertu de l’article 23, paragraphe 1, sous i), du RGPD ?
b) En cas de réponse affirmative à la deuxième question, sous a), l’article 23, paragraphe 1, sous i), du RGPD doit-il être interprété en ce sens que les droits et les libertés d’autrui qui y sont cités recouvrent aussi leur intérêt à être déchargés des coûts associés à la mise à disposition d’une copie des données en vertu de l’article 15, paragraphe 3, première phrase, du RGPD et des autres charges causées par la mise à disposition de la copie ?
c) En cas de réponse affirmative à la deuxième question sous b) , une réglementation nationale qui dans le rapport entre le médecin et le patient fait toujours naître un droit du médecin vis-à-vis du patient au remboursement des frais lors de la remise par le médecin au patient d’une copie des données à caractère personnel du patient tirées de son dossier médical, et ce indépendamment des circonstances concrètes du cas individuel, constitue-t-elle une restriction des droits et des obligations au titre de l’article 23, paragraphe 1, découlant de l’article 15, paragraphe 3, première phrase, lu en combinaison avec l’article 12, paragraphe 5, du RGPD ?
3. En cas de réponse négative à la première question et de réponse également négative [à la deuxième question, sous a) à c)], le droit au titre de l’article 15, paragraphe 3, première phrase, du RGPD dans le rapport entre le médecin et le patient recouvre-t-il un droit à la remise de copies de toutes les parties du dossier médical contenant des données à caractère personnel ou ne vise-t-il que la remise d’une copie des données à caractère personnel du patient en tant que telles, le médecin responsable du traitement demeurant libre de décider de quelle manière il compile les données concernant le patient ? »
Sur les questions préjudicielles
Sur la première question
29 Par sa première question, la juridiction de renvoi demande, en substance, si l’article 12, paragraphe 5, et l’article 15, paragraphes 1 et 3, du RGPD doivent être interprétés en ce sens que l’obligation de fournir à la personne concernée, à titre gratuit, une première copie de ses données à caractère personnel faisant l’objet d’un traitement s’impose au responsable du traitement, même lorsque cette demande est motivée dans un but étranger à ceux visés au considérant 63, première phrase, de ce règlement.
30 À titre liminaire, il y a lieu de rappeler que, conformément à une jurisprudence constante, afin d’interpréter une disposition du droit de l’Union, il convient de tenir compte non seulement des termes de celle‑ci, mais également de son contexte et des objectifs poursuivis par la réglementation dont elle fait partie [arrêt du 12 janvier 2023, Österreichische Post (Informations relatives aux destinataires de données personnelles), C‑154/21, EU:C:2023:3, point 29].
31 S’agissant, premièrement, du libellé des dispositions pertinentes, il convient de relever, d’une part, que l’article 12, paragraphe 5, du RGPD pose le principe selon lequel l’exercice du droit d’accès de la personne concernée à ses données faisant l’objet d’un traitement et aux informations y afférentes n’entraîne aucun frais pour la personne concernée. Par ailleurs, cette disposition envisage deux raisons pour lesquelles un responsable du traitement peut soit facturer des frais raisonnables tenant compte des coûts administratifs, soit refuser de donner suite à une demande. Ces raisons ont trait à des cas d’abus de droit, dans lesquels les demandes de la personne concernée sont « manifestement infondées » ou « excessives », notamment en raison de leur caractère répétitif.
32 À cet égard, la juridiction de renvoi a expressément relevé que la demande de la personne concernée n’était pas abusive.
33 D’autre part, le droit d’accès de la personne concernée à ses données faisant l’objet d’un traitement et aux informations y afférentes, qui fait partie intégrante du droit à la protection des données à caractère personnel, est garanti à l’article 15, paragraphe 1, du RGPD. En vertu du libellé de cette disposition, les personnes concernées ont le droit d’accéder à leurs données à caractère personnel faisant l’objet d’un traitement.
34 En outre, il ressort de l’article 15, paragraphe 3, du RGPD que le responsable du traitement fournit une copie des données à caractère personnel faisant l’objet d’un traitement et qu’il peut exiger le paiement de frais raisonnables pour toute copie supplémentaire demandée par la personne concernée. À cet égard, le paragraphe 4 de cet article précise que le paragraphe 3 dudit article confère un « droit » à cette personne. Un tel paiement peut donc être exigé par le responsable du traitement uniquement lorsque la personne concernée a déjà reçu, à titre gratuit, une première copie de ses données et en fait de nouveau la demande.
35 Ainsi que la Cour l’a déjà jugé, il ressort de l’analyse textuelle de l’article 15, paragraphe 3, première phrase, du RGPD que cette disposition confère à la personne concernée le droit d’obtenir une reproduction fidèle de ses données à caractère personnel, entendues dans une acception large, qui font l’objet d’opérations devant être qualifiées de « traitement effectué par le responsable de ce traitement » (arrêt du 4 mai 2023, Österreichische Datenschutzbehörde et CRIF, C‑487/21, EU:C:2023:369, point 28).
36 Partant, il ressort d’une lecture combinée de l’article 12, paragraphe 5, et de l’article 15, paragraphes 1 et 3, du RGPD, d’une part, le droit, pour la personne concernée, d’obtenir une première copie à titre gratuit de ses données à caractère personnel faisant l’objet d’un traitement et, d’autre part, la faculté offerte au responsable du traitement, sous certaines conditions, de facturer des frais raisonnables tenant compte des coûts administratifs, ou de refuser de donner suite à une demande si cette dernière est manifestement infondée ou excessive.
37 En l’occurrence, il y a lieu de relever qu’un médecin procédant aux opérations de traitement visées à l’article 4, point 2, du RGPD concernant les données de ses patients doit être considéré comme étant un « responsable de traitement », au sens de l’article 4, point 7, de ce règlement, soumis aux obligations qu’implique cette qualité, en particulier en garantissant un accès aux données à caractère personnel à la demande des personnes concernées.
38 Force est de constater que ni le libellé de l’article 12, paragraphe 5, du RGPD ni celui de l’article 15, paragraphes 1 et 3, de ce règlement ne conditionnent la fourniture, à titre gratuit, d’une première copie des données à caractère personnel à l’invocation, par ces personnes, d’un motif visant à justifier leurs demandes. Ces dispositions ne donnent donc pas au responsable du traitement la possibilité d’exiger de motifs de la demande d’accès présentée par la personne concernée.
39 S’agissant, deuxièmement, du contexte dans lequel s’insèrent les dispositions susmentionnées, il y a lieu de souligner que l’article 12 du RGPD relève de la section 1 du chapitre III de ce règlement, portant notamment sur le principe de transparence, énoncé à l’article 5, paragraphe 1, sous a), dudit règlement.
40 L’article 12 du RGPD énonce ainsi des obligations générales incombant au responsable du traitement en ce qui concerne la transparence des informations et des communications, ainsi que les modalités de l’exercice des droits de la personne concernée.
41 L’article 15 du RGPD, relevant de la section 2 du chapitre III qui porte sur l’information et l’accès aux données à caractère personnel, complète le cadre de transparence du RGPD en octroyant à la personne concernée un droit d’accès à ses données à caractère personnel et un droit d’information sur le traitement de ces données.
42 Il convient en outre de relever que, conformément au considérant 59 du RGPD, « des modalités devraient être prévues pour faciliter l’exercice par la personne concernée des droits qui lui sont conférés par le présent règlement, y compris les moyens de demander et, le cas échéant, d’obtenir sans frais, notamment, l’accès aux données à caractère personnel, et leur rectification ou leur effacement, et l’exercice d’un droit d’opposition ».
43 Dès lors que, ainsi qu’il résulte du point 38 du présent arrêt, la personne concernée n’est pas tenue de motiver la demande d’accès aux données, la première phrase du considérant 63 ne saurait être interprétée en ce sens que cette demande doit être rejetée si elle vise un objectif autre que celui de prendre connaissance du traitement des données et d’en vérifier la licéité. Ce considérant ne saurait en effet restreindre la portée de l’article 15, paragraphe 3, du RGPD, tel que rappelé au point 35 du présent arrêt.
44 Il y a lieu, à cet égard, de rappeler qu’il résulte d’une jurisprudence constante que le préambule d’un acte de droit de l’Union n’a pas de valeur juridique contraignante et ne saurait être invoqué ni pour déroger aux dispositions mêmes de l’acte concerné ni pour interpréter ces dispositions dans un sens manifestement contraire à leur libellé (arrêt du 13 septembre 2018, Česká pojišťovna, C‑287/17, EU:C:2018:707, point 33).
45 Au demeurant, le considérant 63 énonce, aux termes de sa deuxième phrase, que le droit d’accéder aux données à caractère personnel reconnu aux personnes concernées inclut, s’agissant des données relatives à leur santé, « les données de leurs dossiers médicaux contenant des informations telles que des diagnostics, des résultats d’examens, des avis de médecins traitants et tout traitement ou intervention administrés ».
46 Dans ces conditions, le droit d’accéder aux données relatives à la santé garanti à l’article 15, paragraphe 1, du RGPD ne saurait être limité, par un refus d’accès ou par l’imposition du paiement d’une contrepartie, à l’un des motifs mentionnés à la première phrase du considérant 63. Il en est de même du droit d’obtenir une première copie à titre gratuit, tel qu’il est prévu à l’article 12, paragraphe 5, et à l’article 15, paragraphe 3, de ce règlement.
47 Troisièmement, s’agissant des objectifs poursuivis par le RGPD, il convient de relever que ce règlement a pour finalité, ainsi que l’indiquent ses considérants 10 et 11, d’assurer un niveau cohérent et élevé de protection des personnes physiques au sein de l’Union ainsi que de renforcer et de préciser les droits des personnes concernées.
48 C’est précisément aux fins de la réalisation de cet objectif que l’article 15, paragraphe 1, garantit à la personne concernée un droit d’accéder à ses données à caractère personnel (voir, en ce sens, arrêt du 22 juin 2023, Pankki S, C‑579/21, EU:C:2023:501, point 57 et jurisprudence citée).
49 Partant, l’article 12, paragraphe 5, et l’article 15, paragraphes 1 et 3, du RGPD font partie des dispositions destinées à garantir ce droit d’accès ainsi que la transparence des modalités de traitement des données à caractère personnel à l’égard de la personne concernée [voir, en ce sens, arrêt du 12 janvier 2023, Österreichische Post (Informations relatives aux destinataires de données personnelles), C‑154/21, EU:C:2023:3, point 42].
50 Or, le principe de la gratuité de la première copie des données ainsi que l’absence de nécessité d’invoquer un motif spécifique justifiant la demande d’accès contribuent nécessairement à faciliter l’exercice par la personne concernée des droits qui lui sont conférés par le RGPD.
51 Par conséquent, étant donné l’importance qu’attribue le RGPD au droit d’accéder aux données à caractère personnel faisant l’objet d’un traitement, tel qu’il est garanti à l’article 15, paragraphe 1, du RGPD pour atteindre de tels objectifs, l’exercice de ce droit ne saurait être soumis à des conditions qui n’ont pas été expressément prévues par le législateur de l’Union, telles que l’obligation d’invoquer l’un des motifs mentionnés au considérant 63, première phrase, du RGPD.
52 Eu égard à l’ensemble des considérations qui précèdent, il convient de répondre à la première question que l’article 12, paragraphe 5, et l’article 15, paragraphes 1 et 3, du RGPD doivent être interprétés en ce sens que l’obligation de fournir à la personne concernée, à titre gratuit, une première copie de ses données à caractère personnel faisant l’objet d’un traitement s’impose au responsable du traitement même lorsque cette demande est motivée dans un but étranger à ceux visés au considérant 63, première phrase, dudit règlement.
Sur la deuxième question
53 Par sa deuxième question, la juridiction de renvoi demande, en substance, si l’article 23, paragraphe 1, sous i), du RGPD doit être interprété en ce sens qu’il autorise une législation nationale, adoptée avant l’entrée en vigueur de ce règlement, qui, en vue de protéger les intérêts économiques du responsable du traitement, met à la charge de la personne concernée les frais d’une première copie de ses données à caractère personnel faisant l’objet de ce traitement.
54 En premier lieu, s’agissant de la question de savoir si seules les mesures nationales adoptées postérieurement à l’entrée en vigueur du RGPD sont susceptibles de relever du champ d’application de l’article 23, paragraphe 1, du RGPD, il convient de souligner que le libellé de cette disposition ne contient aucune indication à cet égard.
55 En effet, l’article 23, paragraphe 1, du RGPD se contente d’indiquer qu’une mesure législative d’un État membre peut limiter la portée des obligations et des droits prévus aux articles 12 à 22 de ce règlement pour autant que ces mesures correspondent aux droits et aux obligations prévus à ces articles et lorsqu’une telle limitation respecte l’essence des libertés et des droits fondamentaux et qu’elle constitue une mesure nécessaire et proportionnée afin de garantir, notamment, la protection des droits et des libertés d’autrui.
56 Par conséquent, l’article 23, paragraphe 1, du RGPD n’exclut pas de son champ d’application les mesures législatives nationales adoptées antérieurement à l’entrée en vigueur du RGPD, pour autant que celles-ci remplissent les conditions qu’il prescrit.
57 En second lieu, s’agissant de la question de savoir si une législation nationale, qui, en vue de protéger l’intérêt économique des praticiens, met à la charge du patient les coûts liés à la fourniture d’une première copie du dossier médical sollicitée par ce dernier, relève de l’article 23, paragraphe 1, sous i), du RGPD, il convient de rappeler, premièrement, que, comme il ressort des points 31 et 33 à 36 du présent arrêt, en vertu de l’article 12, paragraphe 5, et de l’article 15, paragraphes 1 et 3, de ce règlement, il est reconnu à la personne concernée un droit d’obtenir une première copie à titre gratuit de ses données à caractère personnel faisant l’objet d’un traitement.
58 La deuxième phrase de l’article 15, paragraphe 3, du RGPD autorise, toutefois, le responsable du traitement à exiger le paiement de frais raisonnables basés sur les coûts administratifs pour toute copie supplémentaire. Par ailleurs, l’article 12, paragraphe 5, du RGPD, lu à la lumière de l’article 15, paragraphes 1 et 3, de ce règlement, permet au responsable du traitement de se prémunir de l’usage abusif du droit d’accès, en exigeant le paiement de frais raisonnables, en cas de demande manifestement infondée ou excessive.
59 Deuxièmement, en vertu du considérant 4 de ce règlement, le droit à la protection des données à caractère personnel n’est pas un droit absolu et doit être mis en balance avec d’autres droits fondamentaux, conformément au principe de proportionnalité. Ainsi, le RGPD respecte tous les droits fondamentaux et observe les libertés et les principes reconnus par la charte des droits fondamentaux, consacrés par les traités (arrêt du 24 février 2022, Valsts ieņēmumu dienests (Traitement des données personnelles à des fins fiscales), C‑175/20, EU:C:2022:124, point 53).
60 De fait, l’article 15, paragraphe 4, du RGPD prévoit que « le droit d’obtenir une copie [...] ne porte pas atteinte aux droits et libertés d’autrui ».
61 De même, l’article 23, paragraphe 1, sous i), du RGPD rappelle qu’une limitation de la portée des obligations et des droits prévus notamment à l’article 15 du RGPD est possible « lorsqu’une telle limitation respecte l’essence des libertés et des droits fondamentaux et qu’elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir [...] la protection [...] des droits et libertés d’autrui ».
62 Par conséquent, il résulte des points 59 à 61 du présent arrêt que le droit reconnu à la personne concernée d’obtenir une première copie à titre gratuit de ses données à caractère personnel faisant l’objet d’un traitement n’est pas absolu.
63 Troisièmement, seules des considérations relatives, notamment, à la protection des droits et des libertés d’autrui seraient de nature à justifier une limitation de ce droit, pour autant qu’une telle limitation en respecte l’essence et qu’elle constitue une mesure nécessaire et proportionnée afin de garantir cette protection, ainsi que le prévoit l’article 23, paragraphe 1, sous i), du RGPD.
64 Or, ainsi qu’il ressort de la décision de renvoi, le régime tarifaire prévu à l’article 630g, paragraphe 2, deuxième phrase, du BGB permet au praticien de mettre à la charge du patient les coûts liés à la fourniture d’une première copie de son dossier médical. La juridiction de renvoi souligne que ce régime vise, à titre premier, à protéger les intérêts économiques des praticiens, ce qui dissuaderait les patients de formuler inutilement des demandes de copie de leur dossier médical. Ainsi, pour autant que la législation nationale en cause au principal ait effectivement pour objectif de protéger les intérêts économiques des praticiens, ce qu’il appartient à la juridiction de renvoi de vérifier, de telles considérations ne sauraient relever des « droits et libertés d’autrui » visés à l’article 23, paragraphe 1, sous i), du RGPD.
65 En effet, premièrement, une telle législation conduit à dissuader non pas seulement les demandes qui seraient inutiles, mais également les demandes visant l’obtention pour une raison légitime d’une première copie, à titre gratuit, des données à caractère personnel traitées. Par conséquent, elle méconnaît nécessairement le principe de la gratuité de la première copie et remet en cause de ce fait l’effet utile du droit d’accès prévu à l’article 15, paragraphe 1, du RGPD ainsi que, par là même, la protection garantie par ce règlement.
66 Deuxièmement, il ne ressort pas de la décision de renvoi que les intérêts protégés par la législation nationale iraient au-delà de considérations d’ordre purement administratif ou économique.
67 À cet égard, il importe de souligner que les intérêts économiques des responsables du traitement ont été pris en compte par le législateur de l’Union, aux termes de l’article 12, paragraphe 5, et de l’article 15, paragraphe 3, deuxième phrase, du RGPD, qui, ainsi qu’il a été rappelé au point 58 du présent arrêt, définissent les circonstances dans lesquelles le responsable du traitement est susceptible de demander le paiement des frais liés à la fourniture d’une copie des données à caractère personnel faisant l’objet d’un traitement.
68 Dans ces conditions, la poursuite de l’objectif lié à la protection des intérêts économiques des praticiens ne saurait justifier une mesure conduisant à la remise en cause du droit d’obtenir, à titre gratuit, une première copie et, ce faisant, de l’effet utile du droit d’accès de la personne concernée à ses données à caractère personnel faisant l’objet d’un traitement.
69 Eu égard à l’ensemble des considérations qui précèdent, il convient de répondre à la deuxième question que l’article 23, paragraphe 1, sous i), du RGPD doit être interprété en ce sens qu’est susceptible de relever du champ d’application de cette disposition une législation nationale adoptée avant l’entrée en vigueur de ce règlement. Toutefois, une telle faculté ne permet pas d’adopter une législation nationale qui, en vue de protéger les intérêts économiques du responsable du traitement, met à la charge de la personne concernée les frais d’une première copie de ses données à caractère personnel faisant l’objet de ce traitement.
Sur la troisième question
70 Par sa troisième question, la juridiction de renvoi demande, en substance, si l’article 15, paragraphe 3, première phrase, du RGPD doit être interprété en ce sens que, dans le cadre d’une relation médecin/patient, le droit d’obtenir une copie des données à caractère personnel faisant l’objet d’un traitement implique qu’il soit remis à la personne concernée une copie intégrale des documents figurant dans son dossier médical et qui contiennent ses données à caractère personnel ou seulement une copie de ces données en tant que telles.
71 Tout d’abord, la Cour a jugé que, en vertu de son libellé, l’article 15, paragraphe 3, première phrase, du RGPD confère à la personne concernée le droit d’obtenir une reproduction fidèle de ses données à caractère personnel, entendues dans une acception large, qui font l’objet d’opérations devant être qualifiées de « traitement » effectué par le responsable de ce traitement (arrêt du 4 mai 2023, Österreichische Datenschutzbehörde et CRIF, C‑487/21, EU:C:2023:369, point 28).
72 Ensuite, l’article 15 du RGPD ne saurait être interprété comme consacrant, à son paragraphe 3, première phrase, un droit distinct de celui prévu à son paragraphe 1. Par ailleurs, le terme « copie » se rapporte non pas à un document en tant que tel, mais aux données à caractère personnel qu’il contient et qui doivent être complètes. La copie doit donc contenir toutes les données à caractère personnel faisant l’objet d’un traitement (arrêt du 4 mai 2023, Österreichische Datenschutzbehörde et CRIF, C‑487/21, EU:C:2023:369, point 32).
73 Enfin, s’agissant des objectifs poursuivis à l’article 15 du RGPD, celui‑ci a pour finalité de renforcer et de préciser les droits des personnes concernées. Ainsi, le droit d’accès prévu à cette disposition doit permettre à la personne concernée de s’assurer que les données à caractère personnel la concernant sont exactes et qu’elles sont traitées de manière licite. Par ailleurs, la copie des données à caractère personnel faisant l’objet d’un traitement, que le responsable du traitement doit fournir en vertu de l’article 15, paragraphe 3, première phrase, du RGPD, doit présenter l’ensemble des caractéristiques permettant à la personne concernée d’exercer effectivement ses droits au titre de ce règlement et doit, par conséquent, reproduire intégralement et fidèlement ces données (arrêt du 4 mai 2023, Österreichische Datenschutzbehörde et CRIF, C‑487/21, EU:C:2023:369, points 33, 34 et 39).
74 En particulier, afin de garantir que les informations fournies par le responsable du traitement soient faciles à comprendre, comme l’exige l’article 12, paragraphe 1, du RGPD, lu à la lumière du considérant 58 de ce règlement, la reproduction d’extraits de documents, voire de documents entiers, qui contiennent, entre autres, les données à caractère personnel faisant l’objet d’un traitement peut s’avérer indispensable dans le cas où la contextualisation des données traitées est nécessaire pour en assurer l’intelligibilité (arrêt du 4 mai 2023, Österreichische Datenschutzbehörde et CRIF, C‑487/21, EU:C:2023:369, point 41).
75 Par conséquent, le droit d’obtenir de la part du responsable du traitement une copie des données à caractère personnel faisant l’objet d’un traitement implique qu’il soit remis à la personne concernée une reproduction fidèle et intelligible de l’ensemble de ces données. Ce droit suppose celui d’obtenir la copie d’extraits de documents, voire de documents entiers, qui contiennent, entre autres, lesdites données, si la fourniture d’une telle copie est indispensable pour permettre à la personne concernée d’exercer effectivement les droits qui lui sont conférés par ce règlement (arrêt du 4 mai 2023, Österreichische Datenschutzbehörde et CRIF, C‑487/21, EU:C:2023:369, point 45).
76 S’agissant des informations en cause dans l’affaire au principal, il convient de relever que le RGPD identifie des éléments dont le requérant au principal devrait pouvoir solliciter une copie. Ainsi, en ce qui concerne les données à caractère personnel se rapportant à la santé, le considérant 63 de ce règlement spécifie que le droit d’accès des personnes concernées inclut « les données de leurs dossiers médicaux contenant des informations telles que des diagnostics, des résultats d’examens, des avis de médecins traitants et tout traitement ou intervention administrés ».
77 À cet égard, ainsi que l’a relevé, en substance, M. l’avocat général aux points 78 à 80 de ses conclusions, c’est en raison de la sensibilité des données à caractère personnel se rapportant à la santé des personnes physiques que le législateur de l’Union a ainsi mis en avant l’importance que l’accès de ces dernières à leurs données figurant dans leur dossier médical s’effectue de manière aussi complète et précise que possible, mais également intelligible.
78 Or, s’agissant de résultats d’examens, d’avis de médecins traitants et de traitements ou d’interventions administrés à un patient, qui comprennent, en règle générale, de nombreuses données techniques, voire des images, la fourniture d’un simple résumé ou d’une compilation de ces données par le médecin, afin de les présenter sous une forme synthétique, pourrait créer le risque que certaines données pertinentes soient omises ou reproduites de manière incorrecte ou, en tout état de cause, que la vérification de leur exactitude et de leur exhaustivité ainsi que leur compréhension par le patient en soient rendues plus difficiles.
79 Eu égard à l’ensemble des considérations qui précèdent, il convient de répondre à la troisième question que l’article 15, paragraphe 3, première phrase, du RGPD doit être interprété en ce sens que, dans le cadre d’une relation médecin/patient, le droit d’obtenir une copie des données à caractère personnel faisant l’objet d’un traitement implique qu’il soit remis à la personne concernée une reproduction fidèle et intelligible de l’ensemble de ces données. Ce droit suppose celui d’obtenir la copie intégrale des documents figurant dans son dossier médical qui contiennent, entre autres, lesdites données, si la fourniture d’une telle copie est nécessaire pour permettre à la personne concernée d’en vérifier l’exactitude et l’exhaustivité ainsi que pour garantir leur intelligibilité. S’agissant de données relatives à la santé de la personne concernée, ce droit inclut en tout état de cause celui d’obtenir une copie des données de son dossier médical contenant des informations telles que des diagnostics, des résultats d’examens, des avis de médecins traitants et tout traitement ou intervention administrés à celle-ci.
Sur les dépens
80 La procédure revêtant, à l’égard des parties au principal, le caractère d’un incident soulevé devant la juridiction de renvoi, il appartient à celle-ci de statuer sur les dépens. Les frais exposés pour soumettre des observations à la Cour, autres que ceux desdites parties, ne peuvent faire l’objet d’un remboursement.
Par ces motifs, la Cour (première chambre) dit pour droit :
1) L’article 12, paragraphe 5, et l’article 15, paragraphes 1 et 3, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données),
doivent être interprétés en ce sens que
l’obligation de fournir à la personne concernée, à titre gratuit, une première copie de ses données à caractère personnel faisant l’objet d’un traitement s’impose au responsable du traitement même lorsque cette demande est motivée dans un but étranger à ceux visés au considérant 63, première phrase, dudit règlement.
2) L’article 23, paragraphe 1, sous i), du règlement 2016/679
doit être interprété en ce sens que :
est susceptible de relever du champ d’application de cette disposition une législation nationale adoptée avant l’entrée en vigueur de ce règlement. Toutefois, une telle faculté ne permet pas d’adopter une législation nationale qui, en vue de protéger les intérêts économiques du responsable du traitement, met à la charge de la personne concernée les frais d’une première copie de ses données à caractère personnel faisant l’objet de ce traitement.
3) L’article 15, paragraphe 3, première phrase, du règlement 2016/679
doit être interprété en ce sens que
dans le cadre d’une relation médecin/patient, le droit d’obtenir une copie des données à caractère personnel faisant l’objet d’un traitement implique qu’il soit remis à la personne concernée une reproduction fidèle et intelligible de l’ensemble de ces données. Ce droit suppose celui d’obtenir la copie intégrale des documents figurant dans son dossier médical qui contiennent, entre autres, lesdites données, si la fourniture d’une telle copie est nécessaire pour permettre à la personne concernée d’en vérifier l’exactitude et l’exhaustivité ainsi que pour garantir leur intelligibilité. S’agissant de données relatives à la santé de la personne concernée, ce droit inclut en tout état de cause celui d’obtenir une copie des données de son dossier médical contenant des informations telles que des diagnostics, des résultats d’examens, des avis de médecins traitants et tout traitement ou intervention administrés à celle‑ci.
Signatures