L’identité des destinataires de données personnelles incluse dans l’exercice du droit d’accès prévu par le RGPD

L’obligation de transparence renforcée à travers le droit d’accès et les informations relatives aux destinataires des données personnelles

Englobé dans une obligation de transparence, le droit d’accès ouvre droit à plus d’informations que l’obligation d’information en amont du traitement de données personnelles. L’affaire débute lorsqu’un individu exerce son droit d’accès auprès de l’Österreichische Post (la poste autrichienne) au titre de l’article 15 du RGPD. À l’occasion de cette demande, le responsable du traitement est supposé lui communiquer les données personnelles le concernant qu’il détient et, en cas de communication des données à des tiers, l’identité de ces destinataires.

En réponse à la demande de la personne concernée, l’Österreischiche Post s’est contentée d’indiquer que ses données personnelles ont bel et bien été communiquées à des partenaires commerciaux à des fins marketing sans communiquer l’identité des destinataires et en renvoyant à son site internet pour plus d’informations. Non satisfaite par les informations reçues, le demandeur se tourne vers les juridictions autrichiennes mais les informations relatives aux destinataires restent sous forme de catégories. Les juridictions autrichiennes – de première instance et d’appel – relèvent que l’article 15-1-c) se réfère aux « destinataires ou catégories de destinataires » et que, dès lors, l’Österreischische Post n’a...