Comment savoir à qui ses données personnelles sont communiquées

Dans un arrêt rendu le 12 janvier, la Cour de justice de l’Union européenne rappelle que chaque citoyen européen a le droit de savoir à qui ses données personnelles ont été communiquées.

Cette charge repose sur les épaules du responsable du traitement selon le règlement européen de protection des données personnelles (RGPD), sous réserve de plusieurs conditions.

Un droit à communication

Dans cette affaire, qui se déroule en Autriche, un citoyen a demandé au principal opérateur de services postaux et logistique de lui communiquer l’identité des destinataires auxquels il avait communiqué ses données personnelles.

Se basant sur le RGPD, l’opérateur lui a d’abord répondu qu’il utilise les données personnelles « dans la mesure autorisée par le droit dans le cadre de son activité d’éditeur d’annuaires téléphoniques » et qu’il propose ces données «  à des partenaires commerciaux à des fins marketing ».

Estimant la réponse insuffisamment détaillée, le citoyen a saisi la justice. La Cour suprême d’Autriche s’est tournée vers la Cour de justice de l’UE pour des éclaircissements sur l’interprétation du rôle de responsable de traitement.

Le RGPD laisse-t-il le soin au responsable de données le choix de communiquer soit l’identité complète des destinataires, soit les catégories de destinataires ? Ou ce dernier est-il obligé de donner l’identité concrète à la personne en demande ?

Le premier de tous

La réponse de la Cour est sans détour. Dans un arrêt rendu le 12 janvier, les juges indiquent que « lorsque les données à caractère personnel ont été ou seront communiquées à des destinataires, le responsable du traitement est obligé de fournir à la personne concernée, sur sa demande, l’identité même de ces destinataires ».

Si au moment de la demande, les destinataires ne sont pas encore identifiables alors le responsable de traitement peut se limiter à indiquer uniquement les catégories de ces destinataires.

De ce droit à communication découle les autres droits reconnus par le RGPD, comme le droit à rectification, le droit à l’oubli ou bien encore le droit d’opposition au traitement.

À lire aussi : Comment effacer ses données des annuaires