La Cour de justice de l’UE (CJUE) a rendu, jeudi 12 janvier, un arrêt (aff. C-154/21) dans lequel elle estime que toute personne a le droit de savoir à qui ses données personnelles ont été communiquées.
La CJUE avait été interrogée par la Cour suprême autrichienne, elle-même saisie dans le cadre d’un litige opposant le principal opérateur de services postaux et logistiques en Autriche, Österreichische Post, à un citoyen autrichien. Se fondant sur le règlement général sur la protection des données (RGPD), ce dernier avait demandé à l’opérateur postal autrichien de lui communiquer l’identité des destinataires auxquels elle avait transmis ses données personnelles.
L’Österreichische Post s’était contentée, dans un premier temps, d’indiquer uniquement qu’elle utilisait les données à caractère personnel, dans la mesure autorisée par le droit, dans le cadre de son activité d’éditeur d’annuaires téléphoniques et qu’elle propose ces données à des partenaires commerciaux à des fins de marketing.
Plus tard, au cours de la procédure judiciaire, le service postal autrichien avait complété sa réponse et informé le citoyen que ses données avaient été transmises à des clients, notamment des annonceurs dans le secteur de la vente par correspondance et le commerce physique, des entreprises informatiques, des organisations caritatives, des organisations non gouvernementales ou encore des partis politiques.
Dans son arrêt, la CJUE estime que le responsable du traitement est obligé de fournir à la personne concernée, sur sa demande et lorsque des données à caractère personnel ont été ou seront communiquées, l’identité de ces destinataires.
Toutefois, précise-t-elle, cette communication peut se limiter à indiquer uniquement les catégories de destinataires dans certaines situations. C'est le cas, par exemple, lorsqu’il n’est pas - ou pas encore - possible d'identifier les destinataires ou lorsque le responsable démontre que la demande de communication des informations est manifestement infondée ou excessive.
Voir l’arrêt : https://aeur.eu/f/4v8 (Thomas Mangin)