Une demande d’accès à ses données à caractère personnel peut être qualifiée d’abusive et refusée si elle est introduite dans le seul but de demander ensuite une réparation pour prétendue violation du RGPD
Un individu résidant en Autriche s’est abonné au bulletin d’information de l’entreprise familiale d’optique Brillen Rottler, établie à Arnsberg en Allemagne, en renseignant ses données à caractère personnel dans le formulaire d’inscription disponible sur le site Internet de l’entreprise.
Treize jours plus tard, il a adressé à Brillen Rottler une demande d’accès au titre du règlement général sur la protection des données (RGPD). Selon ce règlement, une personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, le droit d’accès à ces données et aux informations y afférentes.
Brillen Rottler a rejeté la demande, estimant qu’elle était abusive. Selon elle, il ressort de divers reportages, articles de blog et bulletins d’avocats que cet individu s’inscrit systématiquement à des bulletins d’information de diverses entreprises, avant d’introduire une demande d’accès puis une demande de réparation. Ce dernier a considéré, en revanche, que sa demande d’accès était légitime, et a demandé de la part de Brillen Rottler une indemnité d’au moins 1 000 euros en réparation du dommage moral qu’il prétend avoir subi au titre du rejet de cette demande d’accès.
Le tribunal de district d’Arnsberg, saisi du litige entre Brillen Rottler et cet individu concernant la légitimité des demandes susmentionnées, a interrogé la Cour de justice sur le fait de savoir si une première demande d’accès aux données à caractère personnel introduite par la personne concernée peut être considérée comme étant « excessive » et si cette personne a droit à réparation du dommage résultant d’une violation du droit d’accès à ces données.
La Cour répond qu’une première demande d’accès peut, sous certaines circonstances, déjà être considérée comme étant « excessive » au sens du RGPD, et donc être abusive. C’est le cas lorsque le responsable du traitement démontre que, malgré un respect formel des conditions prévues par le RGPD pour l’introduction d’une demande d’accès, cette demande a été introduite non pas pour prendre connaissance du traitement des données et d’en vérifier la licéité, mais avec l’intention, qu’on peut qualifier d’« abusive », de créer artificiellement les conditions requises pour obtenir une réparation en vertu du RGPD.
Le fait que, selon des informations accessibles au public, la personne concernée ait introduit plusieurs demandes d’accès à ses données à caractère personnel, suivies de demandes de réparation, auprès des différents responsables du traitement peut être pris en considération afin d’établir l’existence d’une telle intention abusive.
En outre, une personne ayant subi un dommage matériel ou moral du fait d’une violation du RGPD, y compris d’une violation du droit d’accès à ses données à caractère personnel, a le droit d’obtenir du responsable du traitement une réparation d’un tel dommage. La Cour précise cependant que, pour obtenir une telle réparation, la personne concernée doit démontrer, notamment, qu’elle a effectivement subi un tel dommage.
Par ailleurs, cette personne ne peut pas obtenir la réparation d’un dommage en vertu du RGPD si son propre comportement constitue la cause déterminante du préjudice. Il revient au tribunal de district d’Arnsberg de trancher le litige devant lui en tenant compte des réponses apportées par la Cour.
CJUE, 19 mars 2026, aff. C-526/24
Crédit photo : iStock.com
