Le droit d'accès aux données personnelles selon le RGPD : quand la demande devient-elle abusive ?

Le droit d’accès aux données personnelles, garanti par l’article 15 du RGPD, constitue l’un des droits fondamentaux des personnes concernées. Pourtant, son exercice peut, dans certaines situations, être qualifié d’abusif et donc refusé par les entreprises. Une récente décision de la Cour de justice de l’Union européenne vient éclairer cette problématique en introduisant une limite majeure : la notion de demande excessive.

Une interprétation élargie du droit d’accès désormais encadrée

Jusqu’à présent, le droit d’accès aux données personnelles était largement interprété, permettant à toute personne – y compris les salariés – de solliciter une entreprise pour obtenir les informations la concernant. Cependant, la CJUE rappelle que ce droit n’est pas absolu. Une demande peut être considérée comme abusive si son objectif principal n’est pas la vérification de la conformité du traitement des données, mais la constitution artificielle d’éléments de preuve en vue d’un contentieux.

Les critères de l’excès : l’objectif de la demande au cœur de l’analyse

Dans l’affaire tranchée par la CJUE, un individu avait souscrit à un bulletin d’information d’une entreprise d’optique en Allemagne, puis avait formulé une demande d’accès à ses données personnelles au titre du RGPD. L’entreprise avait refusé cette demande, arguant que l’individu multipliait les inscriptions à des bulletins d’information dans le seul but de solliciter ultérieurement une indemnisation. La Cour a validé cette position, soulignant que l’analyse ne porte pas uniquement sur le volume des demandes, mais sur leur finalité réelle.

Cette jurisprudence est transposable à d’autres contextes, notamment celui des salariés. Un salarié pourrait, par exemple, demander l’accès à des courriers professionnels ou à des documents RH contenant des données personnelles, non pas pour vérifier la conformité du traitement, mais pour se constituer des preuves dans le cadre d’un litige en cours ou à venir.

Recommandations pour les entreprises : sécuriser le traitement des demandes

• Analyser la finalité de la demande : identifier si l’objectif poursuivi est légitime ou s’il révèle une intention abusive, notamment en contexte contentieux.
• Mettre en place une procédure interne : formaliser un processus clair de traitement des demandes d’accès, incluant une validation juridique en cas de doute.
• Documenter les décisions : conserver les éléments justifiant le refus d’une demande, notamment lorsque celle-ci est jugée excessive au regard de la finalité poursuivie.

Source : Le droit pour moi