00:09On commence le Lex Insight par un arrêt de la CGE du 19 mars dernier qui encadre désormais les
00:17demandes abusives d'accès aux données personnelles et pour comprendre cette décision j'ai le plaisir
00:23de recevoir sur ce plateau Corinne Baron-Charbonnier, avocate associée chez Vivant Avocat. Corinne,
00:29bonjour. Bonjour Arnaud. Alors avant d'entrer dans les conséquences pratiques de cet arrêt,
00:35pouvez-vous nous dire quel est le contenu de cet arrêt ? Alors déjà une petite précision sur les
00:40faits qui permettent de bien comprendre ce que dit l'arrêt. Alors les faits qui commencent à être
00:44beaucoup commentés c'était un particulier donc résident autrichien qui avait pour habitude de
00:50s'abonner à des bulletins d'information de société. Là il s'était abonné à un bulletin d'information
00:54d'une société établie en Allemagne en passant par un formulaire d'inscription sur le site internet
01:00de la société. Il attend 13 jours, passé ses 13 jours, il introduit une demande d'accès à ces données
01:06personnelles auprès de la société. La société considère que sa demande était abusive en se basant
01:12sur quoi ? Sur le fait qu'il résultait d'un certain nombre de reportages, extraits d'articles, de blogs,
01:18bulletins d'information d'avocats que cette personne avait pour habitude de s'inscrire systématiquement
01:22sur des bulletins d'information avant d'introduire une demande d'accès pour ensuite demander des
01:29dommages d'intérêt. Donc naturellement la société a considéré cette demande abusive.
01:33Le particulier a persisté considérant qu'il était dans ses bons droits jusqu'à même demander des
01:38dommages d'intérêt à hauteur de 1000 euros en considération d'un dommage personnel moral subi
01:45parce qu'on lui avait refusé l'accès à ces données personnelles. Alors ce litige est important parce que ça
01:51donnait
01:51l'occasion au tribunal allemand qui était saisi du litige d'interroger la cour de justice de l'Union Européenne
01:57donc la CGE de particulièrement deux points. Un premier point qui était de savoir
02:03est-ce que une première demande d'accès à des demandes à caractère personnel formée par une personne
02:11peut présenter un caractère excessif et deuxièmement est-ce que cette personne est en droit d'obtenir
02:17une réparation à un dommage subi du fait de la violation de l'accès à ces données personnelles.
02:23Alors qu'est-ce qu'elle dit sur le premier point sur la demande excessive ?
02:26Alors sur la demande excessive la cour de justice nous répond oui c'est tout à fait possible d'avoir
02:31une première demande
02:33d'accès qui va être une demande excessive. Pour cela il va falloir que le responsable du traitement
02:40en revanche arrive bien à démontrer les conditions de cet excès en faisant quoi ?
02:45Déjà il va pouvoir examiner le respect sur la forme des conditions prévues par le RGPD pour faire cette demande
02:51d'accès
02:51et deuxièmement il va devoir vérifier que au-delà de ces conditions de forme en réalité
02:59la personne n'avait pas saisi la société en l'occurrence pour pouvoir vérifier ses demandes d'accès
03:05mais dans une intention abusive en collectant différentes données pour créer toutes les conditions artificielles
03:12pour pouvoir réclamer des dommages d'intérêt.
03:15Deuxième enseignement de l'arrêt c'est qu'on ne peut pas obtenir dans tous les cas des dommages d
03:19'intérêt
03:20des dommages d'intérêt notamment quand la cause déterminante nous dit l'arrêt
03:24réside dans le comportement du particulier.
03:27D'accord. Alors quelles pourraient être les autres pratiques abusives qui pourraient être sanctionnées selon vous ?
03:34Alors il y a une pratique abusive qui nous vient directement à l'esprit qui est beaucoup commentée actuellement
03:39c'est les cas de recours de particuliers qui donc les particuliers salariés
03:47qui cherchent à réclamer plusieurs différents documents donc notamment des mails auprès de leur employeur
03:53ou alors qui forment aussi des demandes beaucoup plus générales auprès de l'employeur
03:57pour avoir un accès à différentes données au sein d'entreprises qui comportent leurs données personnelles.
04:01Alors ça c'est dans un objectif qui va dépasser la simple vérification du traitement et sa lycéité
04:07pour réunir des éléments de preuve soit dans le cas dans la perspective d'un contentieux qui est actuel ou
04:13futur
04:14donc en dépassant ce à quoi on a usage habituellement c'est-à-dire le recours à des mesures d
04:18'instruction
04:19sur le fondement de l'article 145 du code de procédure civile.
04:23Donc la chambre sociale de la cour de cassation ne s'oppose pas à ces démarches
04:30en revanche on a des juridictions de fonds et notamment la cour d'appel de Paris
04:34dont un arrêt dernièrement qui a été beaucoup commenté, un arrêt du 18 décembre 2025
04:38qui s'est montré opposé à l'utilisation du droit d'accès à des fins probatoires
04:43donc c'est important de retenir que le RGPD n'est pas un outil d'obtention des moyens de preuve.
04:49Alors de là à dire que systématiquement l'abus de droit va constituer un moyen pour faire barrage à ces
04:57pratiques,
04:58ça reste à voir, en tout cas il reviendra à l'employeur de le prouver.
05:01Alors pour bien comprendre, pour résumer un peu, c'est quoi vraiment les conditions d'une demande excessive
05:09pour faire un peu un récapitulatif, pour bien comprendre les enseignements de cet arrêt ?
05:14Alors les conditions, déjà une première condition qui va nous permettre d'évacuer à titre liminaire un point important
05:21parce que ça, ça résulte de ce que nous dit le RGPD, l'article 12 du RGPD
05:24qui nous précise que lorsque les demandes d'une personne concernée sont manifestement infondées ou excessives,
05:32notamment en raison de leur caractère répétitif, le responsable du traitement peut s'opposer à cette demande.
05:38Donc, première observation, dans l'arrêt, la Cour a écarté l'idée que le caractère excessif
05:44serait nécessairement lié à la répétition des demandes.
05:47Pourquoi l'a écarté ?
05:48Parce que, dans l'affaire qui était soumise à la Cour,
05:52en fait, on voyait bien que le particulier avait fait qu'une seule demande auprès de la société.
05:57Pour autant, il avait une petite pratique, un mode opératoire auprès d'autres sociétés.
06:00Il faisait la même chose, ce qui amenait à considérer qu'on avait une pratique excessive.
06:04Peu importe que, dans le cas qui était soumis à la Cour, on avait eu qu'une seule demande faite
06:08auprès de cette société.
06:09Donc, c'est un indice, ça résulte du RGPD, mais c'est pas un élément suffisant
06:14pour, en tout cas, venir dire qu'il ne peut pas y avoir de demande excessive.
06:18Ça, c'est un premier point important à retenir parce que c'est un point pratique important précisé par la
06:23CGE.
06:23Les conditions qui sont précisées par la Cour, on va examiner les conditions objectives de la demande et subjectives.
06:31Donc, c'est-à-dire, c'est quoi les conditions objectives ?
06:33Vérifier que la personne a bien respecté les conditions formelles pour faire le recours, pour recourir à la demande d
06:41'accès à ces données personnelles.
06:43Donc, concrètement, les données de la personne ont été collectées.
06:48La personne cherche à vérifier le traitement de ces données et va peut-être, après, décider de recourir à son
06:54droit à l'effacement ou à la rectification.
06:56Mais ce n'est pas un élément suffisant parce qu'on a respecté toutes les conditions de forme pour bien
07:00exercer son droit d'accès
07:01pour dire qu'on va écarter le caractère excessif.
07:04Et là, le plus important, la CGE nous donne un certain nombre d'indices pour dire, subjectivement, qu'est-ce
07:09qui va permettre d'écarter.
07:10Et subjectivement, c'est quoi ? C'est simplement dire que la demande était faite dans un autre but que
07:14celui du RGPD.
07:15Comme dans le cas qui était soumis à la Cour, le but, c'était d'obtenir des dommages d'intérêts.
07:20Et c'est quoi ces faisceaux d'indices ?
07:21Ça va être le fait que la personne concernée fournit volontairement ces données.
07:26On va également examiner le but de la fourniture de ces demandes.
07:30Dans le cas qui était soumis à la Cour, c'était un but purement commercial, une inscription et une newsletter.
07:34On va également regarder le délai qui s'est coulé entre la fourniture de ces demandes et l'exercice du
07:40droit d'accès.
07:40Dans l'arrêt soumis à la Cour, le délai était très court, de 13 jours, donc c'est un indice
07:44supplémentaire.
07:45Et dernier point, le comportement également de la personne.
07:48Et à ce propos, la Cour délivre un point assez intéressant.
07:53Pour analyser le comportement de la personne, on va pouvoir regarder les informations publiques sur le comportement de la personne.
07:59comme dans le cas qui était soumis à la Cour, où on a vu qu'en regardant les différents reportages
08:05ou des extraits de blog,
08:06donc on va regarder les réseaux sociaux, ça peut être déterminant ou ça peut aider à prouver la preuve que
08:12la personne avait eu un comportement abusif.
08:15En tout cas, il faut bien analyser les circonstances concrètes de chaque espèce pour pouvoir arriver à la conclusion d
08:22'un comportement abusif.
08:23On va dire brièvement, toute violation du RGPD n'ouvre pas droit à réparation.
08:28Comment la CGE, elle encadre cette distinction ?
08:32Alors, effectivement, toute violation du RGPD n'ouvre pas droit à elle seule, donc à réparation.
08:39On a une ligne de conduite très claire qui est tout simplement la lecture de l'article 82 du RGPD.
08:46La Cour nous l'a rappelé dans son considérant 59, qu'est-ce qu'il faut faire ?
08:49Un, établir l'existence d'une violation du RGPD.
08:53Deuxièmement, établir et même prouver l'existence d'un dommage.
08:58Et troisièmement, établir l'existence d'un lien de causalité entre cette violation constatée et le dommage subi.
09:04Avec une précision importante de la Cour sur ce point, comme je l'avais rappelé à titre liminaire, c'est
09:10que ce lien de causalité pourra être rompu à partir du moment où on démontre que le dommage était en
09:17réalité lié au comportement de la personne.
09:19Il y a donc ce qu'il avait fait pour essayer d'obtenir des dommages d'intérêt et pas simplement
09:24vouloir avoir accès à ces données personnelles.
09:26On va conclure là-dessus. Merci Corinne Baron-Charbonnier. Je rappelle que vous êtes associée au sein du cabinet Vivant
09:33Avocat.
09:33Merci Arnaud.
09:34Tout de suite, on change de domaine. On va parler de concurrence chez les influenceurs.
Commentaires