La Cour de justice de l’UE (CJUE) a jugé, dans un arrêt rendu jeudi 22 juin (aff. C-579/21), que toute personne peut connaître la date et les raisons pour lesquelles ses données personnelles ont été consultées, indépendamment de l'activité exercée par le responsable du traitement - en l'occurrence, une banque - et de sa relation avec ce dernier.
En effet, un client et employé de la banque Pankki S a appris que ses données personnelles avaient été consultées à plusieurs reprises par des membres du personnel. Il a alors demandé à son institution bancaire de lui communiquer l’identité de ces personnes ainsi que les dates et les motifs des consultations. La banque a refusé de communiquer l’identité de ses salariés au motif qu’il s'agit de données à caractère personnel, mais a apporté des précisions sur le reste.
Après un rejet du Bureau du délégué de la protection des données de Finlande, le client et employé de la banque a introduit un recours au tribunal administratif. Ce dernier s’est interrogé sur l’interprétation du droit d’accès aux données contenu dans le règlement général pour la protection des données (RGPD).
La Cour estime que le client peut avoir accès aux informations relatives aux dates et aux opérations de consultation. En revanche, le RGPD n'octroie pas le droit d'obtenir l’identité des salariés exécutant les instructions du responsable du traitement, à moins que ce ne soit indispensable pour l'exercice des droits du demandeur et à condition de respecter les droits et libertés des employés.
Par ailleurs, l'arrêt souligne que ni le fait que l’individu soit à la fois client et employé ni les spécificités du secteur bancaire ne justifient en eux-mêmes un refus d’accès aux informations demandées. En effet, le droit d’accès aux données n’opère pas de distinction en fonction de la nature des activités du responsable du traitement ou de la fonction du demandeur.
Enfin, alors que le client a introduit sa demande à la banque en 2014 pour des données consultées en 2013, la Cour confirme que le RGPD s’applique, en dépit de son entrée en vigueur en 2018.
L’arrêt : https://aeur.eu/f/7n0 (Hélène Seynaeve)