Le RGPD a plus de 4 ans d'application, mais son interprétation est toujours source de conflit. Régulièrement, la Cour de justice de l’Union européenne peaufine sa jurisprudence autour de ce texte. C’est le cas de l’affaire C-154/21 opposant la poste autrichienne (österreichische Post) à un citoyen qui souhaitait connaître l’identité des destinataires de ses données personnelles au nom du RGPD. En réponse, le service postal lui a simplement rappelé qu’il « propose ces données à des partenaires commerciaux à des fins marketing », sans lui donner leur identité.

L’utilisateur a alors saisi la justice autrichienne et a pu obtenir que ses informations personnelles avaient été transmises à « des annonceurs dans le secteur de la vente par correspondance et le commerce physique, des entreprises informatiques, des éditeurs d’adresses et des associations telles que des organisations caritatives, des organisations non gouvernementales (ONG) ou des partis politiques ». Mais toujours pas l’identité exacte des destinataires. La justice autrichienne a alors lancé une procédure de question préjudicielle auprès de la CJUE pour savoir si le RGPD « obligeait » le responsable de traitement à transmettre l’identité exacte des partenaires commerciaux.

Une obligation à transmettre l’identité des destinataires

Et la réponse de la juridiction communautaire est sans ambiguïté. « Lorsque les données à caractère personnel ont été ou seront communiquées à des destinataires, le responsable du traitement est obligé de fournir à la personne concernée, sur sa demande, l’identité même de ces destinataires ». Cette obligation est rendue nécessaire selon la Cour pour que l’utilisateur puisse exercer d’autres droits couverts aussi par le RGPD. Elle cite par exemple le droit d’opposition, à l’oubli ou de recours en cas de dommage subi.

Pour autant, l’obligation est assortie de limitations, constate la CJUE. Elle fixe deux cas : quand il n’est pas encore possible d’identifier les destinataires ou quand la demande est jugée excessive ou infondée. Sur le premier point, le responsable de traitement peut alors indiquer uniquement les catégories des destinataires. Elle se garde bien cependant de juger sur le bienfondé des ces deux cas laissant les juridictions nationales statuer.