Le droit d'accès : la CJUE précise les limites des demandes abusives
Le droit d'accès, consacré par l'article 15 du RGPD, est souvent perçu comme un droit automatique : toute personne peut demander à un organisme quelles données personnelles il détient à son sujet, sans avoir à justifier sa démarche. Cette affirmation est vraie dans l'immense majorité des situations.
Toutefois, l'absence d'obligation de motivation a progressivement conduit à un détournement de la finalité du droit d'accès. De plus en plus de demandes d'accès ne visent plus uniquement à vérifier la licéité des traitements de données personnelles ou, le cas échéant, à obtenir leur rectification ou leur suppression. Elles peuvent également servir d'autres objectifs : préparer un contentieux ou exercer une pression sur un organisme. On assiste ainsi à une instrumentalisation du droit d'accès.
C'est précisément sur cette question que la Cour de justice de l'Union européenne (CJUE) a adopté une approche plus nuancée dans son arrêt du 19 mars 2026, en rappelant que le droit d'accès aux données personnelles, bien que fondamental, n'est pas un droit absolu.
Dans cette affaire, une personne s'était inscrite à une newsletter avant d'exercer son droit d'accès seulement treize jours plus tard, puis de solliciter une indemnisation. La Cour était invitée à répondre à la question suivante : à partir de quel moment une demande fondée sur le droit d'accès peut-elle être qualifiée d'« excessive » au sens de l'article 12, paragraphe 5, du RGPD ?
Des limites encore floues autour du caractère « excessif » d'une demande de droit d'accès
Le RGPD prévoit déjà plusieurs limites au droit d'accès. Certaines sont clairement identifiées et soulèvent peu de difficultés d'interprétation : les informations demandées ne peuvent pas être communiquées lorsqu'elles portent atteinte aux droits et libertés d'un tiers, lorsqu'elles concernent un secret des affaires ou lorsqu'elles sont protégées par des droits de propriété intellectuelle.
En revanche, une autre notion demeure beaucoup plus délicate à apprécier : celle des demandes « manifestement infondées ou excessives ». Le RGPD autorise alors le responsable de traitement à refuser de faire droit à la demande ou à exiger le paiement de frais raisonnables. Toutefois, le texte ne définit pas précisément ce qu'est une demande excessive.
Jusqu'à présent, la pratique considérait principalement qu'une demande répétée, formulée à de nombreuses reprises et parfois dans une intention de nuire au responsable de traitement, pouvait être qualifiée d'excessive. Restait une interrogation : une demande unique pouvait-elle également être considérée comme abusive ?
Droit d'accès : ce que précise l'arrêt de la CJUE
La CJUE répond désormais par l'affirmative : une demande fondée sur le droit d'accès peut être qualifiée d'excessive même lorsqu'elle est formulée une seule fois. Ce n'est donc plus uniquement la répétition des demandes qui est prise en considération, mais également l'existence d'une intention abusive.
Selon la Cour, un abus d'ordre qualitatif est caractérisé lorsque la personne concernée exerce son droit d'accès dans une finalité étrangère à celle poursuivie par le RGPD, c'est-à-dire non pas pour prendre connaissance des traitements de données personnelles ou en vérifier la licéité, mais afin d'obtenir un avantage quelconque.
Pour apprécier cette intention abusive, la CJUE invite les responsables de traitement à s'appuyer sur un faisceau d'indices tenant aux circonstances de l'espèce. Peuvent notamment être pris en compte :
- le fait que la personne concernée ait elle-même communiqué volontairement ses données ;
- le délai particulièrement court entre la collecte des données et l'exercice du droit d'accès ;
- la multiplication de demandes similaires auprès de plusieurs organismes distincts.
Par cet arrêt, la CJUE s'inscrit dans une volonté de limiter les usages détournés du droit d'accès, tout en préservant l'effectivité de ce droit fondamental.
Un devoir de vigilance indispensable pour les responsables de traitement
Cette décision ne signifie pas que les responsables de traitement peuvent refuser plus facilement l'exercice du droit d'accès.
Au contraire, la Cour rappelle que la charge de la preuve repose entièrement sur le responsable de traitement. Il ne suffit pas d'avoir le sentiment qu'une demande est abusive : il est indispensable de disposer d'éléments objectifs, concrets et documentés permettant de démontrer le caractère manifestement infondé ou excessif de la demande. Cette exigence s'inscrit pleinement dans le principe d'accountability, au cœur du RGPD.
Quelles conséquences pratiques pour les établissements ?
Les établissements reçoivent régulièrement des demandes fondées sur le droit d'accès, qui peuvent être exercées par des clients, patients, proches de patients ou encore de salariés. Or, cet arrêt de la CJUE ne doit pas conduire à accueillir ces demandes avec une méfiance systématique. Il rappelle simplement que, dans des circonstances exceptionnelles, un refus peut être opposé lorsque l'exercice du droit d'accès révèle un véritable abus de droit. Encore faut-il être en mesure d'en rapporter la preuve.
Les responsables de traitement devront ainsi intégrer cette nouvelle grille d'analyse dans le traitement des demandes d'exercice des droits, en s'appuyant, le cas échéant, sur l'expertise de leur DPO.
Le droit d'accès est-il vraiment sans limite ?
Le droit d'accès est l'un des droits les plus exercés par les personnes concernées. En principe, chacun peut demander à un organisme quelles données personnelles il détient à son sujet, sans avoir à expliquer les raisons de sa démarche.
Mais, dans la pratique, toutes les demandes ne poursuivent pas nécessairement cet objectif de transparence et de contrôle de licéité des traitements opérés par le responsable traitement.
Certaines sont désormais utilisées pour préparer un contentieux, obtenir un avantage dans un litige ou encore mettre un organisme en difficulté en lui imposant une réponse particulièrement lourde à produire.
Dans un arrêt rendu le 19 mars 2026, la CJUE apporte une précision intéressante : une demande fondée sur le droit d'accès peut être considérée comme excessive, même lorsqu'elle est formulée pour la première fois.
Autrement dit, le caractère abusif d'une demande ne dépend plus uniquement de sa répétition. Les circonstances dans lesquelles elle est formulée et l'objectif réellement poursuivi peuvent également être pris en compte.
Pour autant, cette décision ne crée pas un nouveau motif de refus automatique. La charge de la preuve reste entièrement à la charge du responsable de traitement. Un refus ne pourra être opposé que s'il est objectivement démontré que l'exercice du droit d'accès est manifestement abusif.
Cet arrêt apporte surtout une clarification attendue. Il offre un cadre d'analyse aux responsables de traitement confrontés à des demandes manifestement détournées de leur finalité, tout en maintenant un niveau élevé de protection pour les personnes concernées.
Cette décision constitue une évolution importante pour les DPO et les responsables de traitement, qui devront désormais intégrer cette analyse dans la gestion des demandes d'exercice des droits.
Selon vous, cette décision permettra-t-elle de limiter les demandes opportunistes, ou risque-t-elle au contraire de fragiliser l'exercice du droit d'accès par les personnes concernées ?
