Dernières actualités : données personnelles

La CJUE estime que la communication des données du représentant d’une personne morale est un traitement soumis au RGPD.

Dans un arrêt publié ce jour, la Cour de Justice de l’UE a estimé que:

1) La communication du prénom, du nom, de la signature et des coordonnées d’une personne physique représentant une personne morale constitue un traitement de données à caractère personnel. La circonstance que cette communication est effectuée dans le seul but de permettre l’identification de la personne physique habilitée à agir au nom de cette personne morale est dénuée de pertinence à cet égard.

2) L’article 6, paragraphe 1, sous c) et e), du règlement 2016/679, lu en combinaison avec l’article 86 de ce règlement, ne s’oppose pas à une jurisprudence nationale qui impose à un responsable du traitement, qui est une autorité publique chargée de concilier le droit d’accès du public aux documents officiels et le droit à la protection des données à caractère personnel, d’informer et de consulter la personne physique concernée avant la communication de documents officiels comportant de telles données, pour autant qu’une telle obligation n’est pas impossible à mettre en œuvre ni n’exige des efforts disproportionnés et, partant, n’entraîne pas de restriction disproportionnée du droit d’accès du public à ces documents.

Disponible sur: curia.europa.eu

RGPD et transidentité : la rectification de données relatives à l’identité de genre ne peut être subordonnée à la preuve d’un traitement chirurgical

Dans un arrêt publié ce jour, la Cour de Justice de l’UE a estimé que :
1- Si la collecte d’une donnée personnelle a pour but d’identifier la personne concernée, ladite donnée semblerait viser l’identité de genre vécue par cette personne, et non celle qui lui aurait été assignée à la naissance. Dans ce contexte, la Cour précise qu’un État membre ne peut invoquer l’absence, dans son droit national, de procédure de reconnaissance juridique de la transidentité pour faire obstacle l’exercice du droit de rectification.
2- Aux fins de l’exercice de son droit de rectification, cette personne peut être tenue de fournir les éléments de preuve pertinents et suffisants qui peuvent raisonnablement être exigés pour établir l’inexactitude desdites données. Cependant, un État membre ne peut en aucun cas subordonner l’exercice du droit de rectification à la production de preuves d’un traitement chirurgical de réassignation sexuelle.

Disponible sur: curia.europa.eu
Le dossier complet est également disponible.

Évaluation de crédit automatisée : la personne concernée a droit à ce qu’on lui explique comment la décision a été prise à son égard

Dans un arrêt publié ce jour, la Cour de Justice a estimé qu’en matière d’évaluation de crédit automatisée (« credit score »), le responsable du traitement doit décrire la procédure et les principes concrètement appliqués de telle manière que la personne concernée puisse comprendre lesquelles de ses données à caractère personnel ont été utilisées de quelle manière lors de la prise de décision automatisée.

Plus précisément, elle a estimé que l’article 15 doit être interprété en ce sens qu’en cas de prise de décision automatisée, y compris un profilage, au sens de l’article 22, la personne concernée peut exiger du responsable du traitement, au titre des « informations utiles concernant la logique sous-jacente », que celui-ci lui explique, au moyen d’informations pertinentes et d’une façon concise, transparente, compréhensible et aisément accessible, la procédure et les principes concrètement appliqués pour exploiter, par la voie automatisée, les données à caractère personnel relatives à cette personne aux fins d’en obtenir un résultat déterminé, tel un profil de solvabilité. La Cour précise qu’afin de satisfaire aux exigences de transparence et d’intelligibilité, il pourrait notamment être adéquat d’informer la personne concernée de la mesure dans laquelle une variation au niveau des données à caractère personnel prises en compte aurait conduit à un résultat différent. En revanche, la simple communication d’un algorithme ne constituerait pas une explication suffisamment concise et compréhensible.

En outre, dans l’hypothèse où le responsable du traitement considère que les informations à fournir à la personne concernée conformément à cette disposition comportent des données de tiers protégées par ce règlement ou des secrets d’affaires, au sens de l’article 2, point 1, de la directive (UE) 2016/943 du Parlement européen et du Conseil, du 8 juin 2016, sur la protection des savoir-faire et des informations commerciales non divulgués (secrets d’affaires) contre l’obtention, l’utilisation et la divulgation illicites, ce responsable est tenu de communiquer ces informations prétendument protégées à l’autorité de contrôle ou à la juridiction compétentes, auxquelles il incombe de pondérer les droits et les intérêts en cause aux fins de déterminer l’étendue du droit d’accès de la personne concernée prévu à l’article 15 de ce règlement.

Disponible sur: curia.europa.eu
Le dossier complet est également disponible.

En cas de violation de données, des excuses peuvent suffire à réparer le dommage moral, mais la bonne foi du responsable de traitement n’importe pas

Dans un arrêt publié ce jour, la Cour a d’abord rappelé qu’une violation de dispositions du RGPD ne suffit pas, à elle seule, pour constituer un « dommage », au sens de cet article 82, paragraphe 1. S’agissant de ce dommage, la CJUE a alors ajouté que : 
1- La présentation d’excuses peut constituer une réparation adéquate d’un dommage moral sur le fondement de cette disposition, notamment lorsqu’il est impossible de rétablir la situation antérieure à la survenance de ce dommage, pour autant que cette forme de réparation soit de nature à compenser intégralement le préjudice subi par la personne concernée.
2- Le RGPD s’oppose à ce que l’attitude et la motivation du responsable du traitement puissent être prises en compte afin, le cas échéant, d’accorder à la personne concernée une réparation inférieure au préjudice qu’elle a concrètement subi.

Disponible sur: curia.europa.eu. Le dossier complet est également disponible.

L’avis des autorités de contrôle n’exonère pas les responsables de traitement de leur responsabilité en cas de violation de données

Dans un arrêt publié ce jour, la CJUE a estimé que:
1- L’autorité chargée de la tenue du registre du commerce d’un État membre qui publie, dans ce registre, les données à caractère personnel figurant dans un contrat de société soumis à la publicité obligatoire prévue par la directive 2017/1132, qui lui a été transmis dans le cadre d’une demande d’inscription de la société concernée audit registre, est tant « destinataire » de ces données que, notamment en ce qu’elle les met à la disposition du public, « responsable du traitement » desdites données, au sens de cette disposition, même lorsque ce contrat contient des données à caractère personnel non requises par cette directive ou par le droit de cet État membre.

2- Une perte de contrôle d’une durée limitée, par la personne concernée, sur ses données à caractère personnel en raison de la mise à la disposition du public de ces données, en ligne, dans le registre du commerce d’un État membre, peut suffire pour causer un « dommage moral », pour autant que cette personne démontre qu’elle a effectivement subi un tel dommage, aussi minime fût-il, sans que cette notion de « dommage moral » requière la démonstration de l’existence de conséquences négatives tangibles supplémentaires.

3- L’avis de l’autorité de contrôle d’un État membre, émis sur le fondement de l’article 58, paragraphe 3, sous b), de ce règlement, ne suffit pas à exonérer de responsabilité, au titre de l’article 82, paragraphe 2, dudit règlement, l’autorité chargée de la tenue du registre du commerce de cet État membre ayant la qualité de « responsable du traitement » au sens de l’article 4, point 7, du même règlement.

Disponible sur: curia.europa.eu. Le dossier complet est également disponible.

Un intérêt commercial du responsable du traitement peut constituer un intérêt légitime sous certaines conditions

Dans un arrêt publié ce jour, la CJUE a estimé qu’un traitement de données à caractère personnel consistant en la communication à titre onéreux de données à caractère personnel des membres d’une fédération sportive, en vue de satisfaire à un intérêt commercial du responsable du traitement, ne peut être considéré comme étant nécessaire aux fins des intérêts légitimes poursuivis par ce responsable, au sens de cette disposition, qu’à la condition que ce traitement soit strictement nécessaire à la réalisation de l’intérêt légitime en cause et que, au regard de l’ensemble des circonstances pertinentes, les intérêts ou les libertés et les droits fondamentaux de ces membres ne prévalent pas sur cet intérêt légitime. Si ladite disposition n’exige pas qu’un tel intérêt soit déterminé par la loi, elle requiert que l’intérêt légitime allégué soit licite.

Disponible sur: curia.europa.eu. Le dossier complet est également disponible.

Le refus d’un État membre de reconnaître le changement de prénom et de genre légalement acquis dans un autre État membre est contraire aux droits des citoyens de l’Union

Dans un arrêt publié ce jour, la CJUE a estimé que:
1- Une réglementation d’un État membre qui refuse de reconnaître et d’inscrire dans l’acte de naissance d’un ressortissant le changement de prénom et d’identité de genre légalement acquis dans un autre État membre, en l’occurrence le Royaume-Uni, est contraire au droit de l’Union. Cela s’applique également si la demande de reconnaissance de ce changement a été faite après le retrait du Royaume-Uni de l’Union.

2- Le refus d’un État membre de reconnaître un changement d’identité de genre légalement acquis dans un autre État membre entrave l’exercice du droit de libre circulation et de séjour. Le genre, comme le prénom, est un élément fondamental de l’identité personnelle. La divergence entre les identités résultant d’un tel refus de reconnaissance crée des difficultés pour prouver son identité dans la vie quotidienne ainsi que de sérieux inconvénients professionnels, administratifs et privés.

3- Ce refus de reconnaissance et le fait de contraindre l’intéressé à engager une nouvelle procédure de changement d’identité de genre dans l’État membre d’origine, l’exposant au risque que celle-ci aboutisse à un résultat différent de celui adopté par les autorités de l’État membre qui ont légalement octroyé ce changement de prénom et d’identité de genre, ne sont pas justifiés.

Disponible sur: curia.europa.eu. Le dossier complet est également également disponible.