Expertises des Systèmes d'information - Septembre 2022 - N°482 - Le mensuel du droit de l'informatique et du multimédia - 314

DOCTR INE
RGPD
Quand le détournement
de finalité fait échec
au droit d'accès
Comme chaque mois, Alexandre
Fievée
tente
d'apporter des réponses aux questions que tout le
monde se pose en matière de protection des données
personnelles, en s'appuyant sur les décisions
rendues par les autorités nationales de contrôle au
niveau européen et les juridictions européennes. Ce
mois-ci, il se penche sur la question soumise à une
juridiction allemande de savoir si le droit d'accès
peut permettre à une personne concernée d'obtenir
communication de documents dont elle ne dispose
plus aux fins d'appuyer une réclamation pécuniaire,
et ce à l'exclusion de toute autre finalité/motivation
en lien avec la protection des données personnelles.
E
n application de l'article 15
du RGPD, toute personne
concernée a le droit d'obtenir
du responsable du
traitement la confirmation que
des données à caractère personnel
la concernant sont ou ne sont pas
traitées et, lorsqu'elles le sont, l'accès
auxdites données. L'organisme
doit alors répondre dans les meilleurs
délais et au plus tard dans un
délai d'un mois, délai qui peut être
porté à trois mois compte tenu de
la complexité de la demande ou
du nombre de demandes reçues
par l'organisme. Dans certains cas
seulement, ce dernier peut refuser
de répondre à une demande de
droit d'accès, mais il doit justifier
cette décision. Ainsi, il peut ne
pas faire droit à une telle demande
si : (i) elle est manifestement
infondée ou excessive notamment
par son caractère répétitif (par
exemple, demandes multiples et
rapprochées dans le temps d'une
copie déjà fournie), ou si (ii) les
données ne sont plus conservées
parce qu'effacées.
314
Il existerait un autre cas dans lequel
l'organisme pourrait ne pas faire
droit à une demande de droit d'accès.
Il s'agit de l'hypothèse dans laquelle
une personne concernée exercerait
ce droit avec une autre motivation
que celle d'apprécier la licéité d'un
traitement. En effet, il ressort des
termes du considérant 63 du RGPD
que si « une personne concernée
devrait avoir le droit d'accéder aux
données
à
caractère
personnel
qui ont été collectées à son sujet et
d'exercer ce droit facilement et à
des intervalles raisonnables », c'est
sous réserve uniquement qu'elle
souhaite « prendre connaissance du
traitement et d'en vérifier la licéité ».
Cela signifierait-il qu'une personne
exerçant son droit avec une autre
motivation que celle d'apprécier
la licéité d'un traitement ne serait
pas fondée à faire jouer son droit
d'accès ? Non, si l'on en croit
la « jurisprudence » traditionnelle de
la Cnil. Oui, au regard de la récente
décision rendue le 23 février 2022
par le tribunal de grande instance
d'Essen.
EXPERTISES SEPTEMBRE 2022
L'affaire1
Le requérant avait souscrit auprès
d'un organisme d'assurance
une garantie « maladie et soins
privés » et avait fait usage, comme
son contrat
le permettait, de la
possibilité d'adapter unilatéralement
le montant mensuel des
cotisations.
Considérant après coup que ces
cotisations avaient été ajustées à tort,
à plusieurs reprises, par cet organisme,
sur la base de justifications
insuffisantes, le requérant avait
formulé une demande de remboursement
de toutes les cotisations.
Et pour chiffrer cette demande,
il
avait demandé à son organisme
d'assurance de lui adresser, en application
de l'article 15 du RGPD, tous
les documents (lettres, avenants,
etc.) relatifs aux ajustements de
cotisation en cause dont ce dernier
était en possession. Cette demande
étant restée lettre morte, le requérant
décida de saisir le tribunal de grande
instance d'Essen.

Expertises des Systèmes d'information - Septembre 2022 - N°482 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Septembre 2022 - N°482 - Le mensuel du droit de l'informatique et du multimédia