
Sans l’identité des destinataires de ses données personnelles, la personne concernée ne pourra pas exercer son droit à l’oubli reconnu par le RGPD.
Dans un arrêt rendu le 12 janvier, la Cour de justice de l’Union européenne rappelle que chaque citoyen européen a le droit de savoir à qui ses données personnelles ont été communiquées.
Cette charge repose sur les épaules du responsable du traitement selon le règlement européen de protection des données personnelles (RGPD), sous réserve de plusieurs conditions.
Un droit à communication
Dans cette affaire, qui se déroule en Autriche, un citoyen a demandé au principal opérateur de services postaux et logistique de lui communiquer l’identité des destinataires auxquels il avait communiqué ses données personnelles.
Se basant sur le RGPD, l’opérateur lui a d’abord répondu qu’il utilise les données personnelles « dans la mesure autorisée par le droit dans le cadre de son activité d’éditeur d’annuaires téléphoniques » et qu’il propose ces données « à des partenaires commerciaux à des fins marketing ».
Estimant la réponse insuffisamment détaillée, le citoyen a saisi la justice. La Cour suprême d’Autriche s’est tournée vers la Cour de justice de l’UE pour des éclaircissements sur l’interprétation du rôle de responsable de traitement.
Le RGPD laisse-t-il le soin au responsable de données le choix de communiquer soit l’identité complète des destinataires, soit les catégories de destinataires ? Ou ce dernier est-il obligé de donner l’identité concrète à la personne en demande ?
Le premier de tous
La réponse de la Cour est sans détour. Dans un arrêt rendu le 12 janvier, les juges indiquent que « lorsque les données à caractère personnel ont été ou seront communiquées à des destinataires, le responsable du traitement est obligé de fournir à la personne concernée, sur sa demande, l’identité même de ces destinataires ».
Si au moment de la demande, les destinataires ne sont pas encore identifiables alors le responsable de traitement peut se limiter à indiquer uniquement les catégories de ces destinataires.
Bon à savoir : Si la demande est « manifestement infondée ou excessive », la demande de communication peut être refusée. |
De ce droit à communication découle les autres droits reconnus par le RGPD, comme le droit à rectification, le droit à l’oubli ou bien encore le droit d’opposition au traitement.
À lire aussi : Comment effacer ses données des annuaires
Articles sur le même thème
Le consommateur, acteur principal de la régulation des influenceurs
Entre plaintes en justice et sanctions de la DGCCRF, les consommateurs sont au cœur de la régulation des activités des influenceurs.
Modération des réseaux sociaux, l’utilisateur au cœur du DSA
L’Union européenne continue d’attendre que Twitter se conforme à la législation européenne sur la modération des contenus. La clé pourrait être l’utilisateur.
Vidéosurveillance intelligente, le Conseil d’État autorise une expérimentation
Saisi pour avis sur le projet de loi relatif à l’organisation des JO 2024, le Conseil d’État donne son feu vert à une surveillance vidéo intelligente expérimentale.