GuiGui's Show

• C-154/21 : il est possible d'obtenir les destinataires précis / nominatifs de nos données à caractère personnel, pas juste des catégories de destinataires. Là encore, le RGPD était clair (« La personne concernée a le droit d'obtenir […] c) les destinataires ou catégories de destinataires »), mais il a fallut aller jusqu'à la CJUE… Évidemment, il en va de même pour les sources des données, cf. les points 29 et suivants de la délibération de la CNIL à l'encontre d'EDF ;
  
  
• C-487/21 : le droit d'accès permet d'obtenir une reproduction fidèle (pas de vague description) et intelligible de toutes nos données à caractère personnel, donc un tableau synthétique n'est pas forcément suffisant et la communication de documents et d'extraits de bases de données peut être pertinente (si indispensable à une personne pour exercer ses droits, comme la présence d'un champ libre ‒ absence d'info est une info ‒, de données générées à partir d'autres, d'une nécessaire appréciation du contexte du traitement, etc.). On retrouve cela dans C-307/22 ;
  
  
• C-579/21 : il est possible obtenir la date et la finalité des consultations de nos données perso par des employés, etc. (ce qui suppose que ça soit journalisé / tracé, si l'on a rien, on file rien… mais on s'expose à absence de sécurité du SI m'enfin, on en est pas encore là).

C-307/22 précise également (point 73) :

Enfin, s’agissant des objectifs poursuivis à l’article 15 du RGPD, celui‑ci a pour finalité de renforcer et de préciser les droits des personnes concernées. Ainsi, le droit d’accès prévu à cette disposition doit permettre à la personne concernée de s’assurer que les données à caractère personnel la concernant sont exactes et qu’elles sont traitées de manière licite. […]

On avait déjà ça dans C-154/21 (précité), point 42, et cette formule vient du considérant 63 du RGPD.

#Article 15