L’article 15 du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, dit Règlement général sur la protection des données (RGPD), consacre le droit d’accès de la personne concernée à ses données à caractère personnel.
Il constitue l’un des droits fondamentaux reconnus par le règlement et s’inscrit dans le prolongement du principe de transparence posé à l’article 5, paragraphe 1, point a), du RGPD.
Ce droit vise à permettre à toute personne de savoir si des données personnelles la concernant sont traitées, d’en comprendre les modalités et d’en vérifier la licéité.
Texte officiel de l'article 15 du RGPD
L’article 15 du RGPD dispose notamment que :
« La personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données ainsi qu’aux informations suivantes : les finalités du traitement, les catégories de données à caractère personnel concernées, les destinataires ou catégories de destinataires auxquels les données ont été ou seront communiquées, la durée de conservation des données ou les critères utilisés pour la déterminer, l’existence du droit de demander la rectification ou l’effacement des données, la limitation du traitement ou de s’opposer au traitement, le droit d’introduire une réclamation auprès d’une autorité de contrôle, toute information disponible quant à la source des données lorsque celles-ci n’ont pas été collectées auprès de la personne concernée, ainsi que l’existence d’une prise de décision automatisée, y compris le profilage, et des informations utiles concernant la logique sous-jacente, ainsi que l’importance et les conséquences prévues de ce traitement pour la personne concernée.
Le responsable du traitement fournit une copie des données à caractère personnel faisant l’objet d’un traitement. »
Analyse juridique et portée de l’article 15
L’article 15 confère à la personne concernée un droit subjectif d’accès aux données la concernant.
Il implique la communication concrète des données personnelles elles-mêmes, accompagnée d’éléments contextuels permettant d’en comprendre l’utilisation.
Ce droit constitue un mécanisme de contrôle individuel de la licéité des traitements.
Droit d’accès et décisions automatisées
Lorsque le traitement comporte une prise de décision automatisée, y compris le profilage, produisant des effets juridiques ou affectant significativement la personne concernée, une information renforcée doit être fournie.
Cette information porte sur l’existence du traitement automatisé, la logique générale qui le sous-tend, ainsi que l’importance et les conséquences prévues pour la personne concernée.
Conditions d’exercice du droit d’accès
Le droit d’accès s’exerce par toute demande adressée au responsable du traitement.
La réponse doit être fournie sans retard injustifié et au plus tard dans un délai d’un mois à compter de la réception de la demande.
En principe, l’exercice du droit d’accès est gratuit, sauf en cas de demandes manifestement infondées ou excessives.
Limites au droit d’accès
Le droit d’accès peut faire l’objet de limitations prévues par le droit de l’Union ou le droit d’un État membre afin de protéger notamment la sécurité publique ou les droits et libertés d’autrui.
L’exercice du droit d’accès ne doit pas porter atteinte aux droits des tiers.
Articulation avec les autres dispositions du RGPD
L’article 15 doit être lu conjointement avec l’article 12 relatif aux modalités d’exercice des droits, avec les articles 13 et 14 relatifs à l’information des personnes concernées et avec les articles 16 à 22 consacrés aux droits substantiels.
Jurisprudence et recommandations
Les autorités de contrôle et les juridictions se réfèrent fréquemment à l’article 15 pour apprécier la conformité des pratiques des responsables de traitement.
La CNIL recommande la mise en place de procédures internes permettant un traitement rapide et sécurisé des demandes d’accès.
L’article 15 du RGPD constitue le fondement du droit d’accès aux données personnelles. Il garantit une transparence effective des traitements et permet l’exercice des autres droits reconnus par le règlement.