[Série Omnibus] Article 3 : L'omnibus et le droit d'accès

Ce troisième article de notre série consacrée à la proposition de Règlement Omnibus numérique vous propose de revenir sur les précisions apportées par le texte s'agissant du droit d'accès.

En ce qui concerne le droit d'accès des personnes concernées, l'article 12 du RGPD permet déjà, au responsable de traitement, de refuser ou de facturer les coûts supportés en cas de demande considérée comme « manifestement infondée ou excessive » notamment en raison de son caractère répétitif.

Le texte proposé par projet de Règlement Digital Omnibus va plus loin, en ajoutant la possibilité pour le responsable de traitement de refuser la demande ou de facturer les coûts supportés, dans le cadre d'une demande de droit d'accès fondée sur l'article 15 du RGPD lorsque la personne concernée abuse des droits conférés par le RGPD à des fins autres que la protection de ses données.

Il sera intéressant de suivre cette notion d'abus de droit afin de savoir ce qu'elle recouvre exactement.

Cette modification induite par le Digital Omnibus constitue sans doute une réaction à la jurisprudence de la CJUE, qui a jugé à plusieurs reprises que ce droit peut être exercé à toute fin, y compris en matière de litige ou pour la production de preuves.

En effet, il est par exemple devenu pratique courante que des salariés, dans le cadre de pré-contentieux prud'hommaux, exercent leur droit d'accès afin de se constituer les preuves nécessaires dans le cadre du litige à venir.

Certaines organisations se retrouvent alors à supporter un important travail d'analyse et de compilation de données afin de pouvoir répondre à une demande de droit d'accès, dans un délai particulièrement contraint (1 mois).

A l'évidence, la motivation des salariés n'est donc pas toujours liée la protection de leurs données personnelles et peut être motivée par la constitution d'éléments de preuve en leur faveur ou la volonté de nuire à leur ex employeur.

La rédaction du Digital Omnibus pourrait alors être de nature à éviter ce type de pratique.

Cette proposition a suscité d'ores et déjà des réactions des associations de protection des données, au premier rang NOYB, dont Max Schrems qui a déclaré que cette proposition constituait une violation flagrante de la Charte de l'Union Européenne et de la jurisprudence de la CJUE qui sera exploitée par les responsables du traitement des données dans toute l'Europe pour restreindre davantage les droits des utilisateurs.

L'équilibre doit donc être trouvé entre la préservation des droits des personnes concernées et la préservation des intérêts des entreprises.

Si cette évolution peut paraître souhaitable, au regard par exemple de l'exercice quasi-systématique du droit d'accès par des salariés en conflit avec leur entreprise, il n'en demeure pas moins que celle-ci apparait en réalité difficile à mettre en œuvre.

En effet, la proposition Digital Omnibus ne modifie pas la charge de la preuve déjà présente dans le RGPD. Il incombe au responsable de traitement de démontrer qu'il existe des motifs raisonnables de démontrer le caractère manifestement infondé ou excessif de la demande.

Or, le Digital Omnibus consacre à ce stade la notion d'abus de droits conférés par le RGPD, mais de manière limitée. En effet, la notion d'abus de droit est généralement définie comme le fait, pour une personne de commettre une faute par le dépassement des limites d'exercice d'un droit qui lui est conféré, soit en le détournant de sa finalité, soit dans le but de nuire à autrui.

Ici, la proposition de Digital Omnibus limite cette notion d'abus de droit à un détournement des finalités par la personne concernée, donc à l'intention de la personne qui serait autre que celle de la protection des données.

En l'état du texte, il s'agira donc pour les responsables de traitement de démontrer une intention autre que la protection des données de la part des personnes concernées… Il aurait ainsi été plus aisé d'étendre cette notion d'abus de droit à l'intention de nuire des personnes concernées.

Cet ajout n'est donc pas de nature à limiter de façon drastique le droit d'accès par les personnes concernées au regard de la démonstration quasi impossible de l'abus de droit qui en serait à l'origine.

The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.