Affaire C-203/22

CK

contre

Magistrat der Stadt Wien

(demande de décision préjudicielle, introduite par le Verwaltungsgericht Wien)

Arrêt de la Cour (première chambre) du 27 février 2025

« Renvoi préjudiciel – Protection des données à caractère personnel – Règlement (UE) 2016/679 – Article 15, paragraphe 1, sous h) – Prise de décision automatisée, y compris un profilage – “Scoring” – Appréciation de la solvabilité d’une personne physique – Accès aux informations utiles concernant la logique sous-jacente au profilage – Vérification de l’exactitude des informations fournies – Directive (UE) 2016/943 – Article 2, point 1 – Secret d’affaires – Données à caractère personnel de tiers »

1. Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement 2016/679 – Droit d’accès de la personne concernée à ses données faisant l’objet d’un traitement – Prise de décision automatisée, y compris un profilage – Droit d’accès aux informations utiles concernant la logique sous-jacente au profilage – Étendue

   [Règlement du Parlement européen et du Conseil 2016/679, art. 12, § 1, 15, § 1, h), et 3, et 22, § 1 et 3]

   (voir points 40-43, 47, 48, 50, 58, 59, 61, 62, 66, disp. 1)

2. Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement 2016/679 – Droit d’accès de la personne concernée à ses données faisant l’objet d’un traitement – Prise de décision automatisée, y compris un profilage – Droit d’accès aux informations utiles concernant la logique sous-jacente au profilage – Respect des droits et des libertés d’autrui – Droit à la protection des données à caractère personnel de tiers et du secret d’affaires – Pondération des droits et des intérêts en cause par l’autorité de contrôle ou la juridiction compétentes

   [Règlement du Parlement européen et du Conseil 2016/679, considérant 63 et art. 15, § 1, h) ; directive du Parlement européen et du Conseil 2016/943, art. 2, point 1]

   (voir points 72-76, disp. 2)

Résumé

Saisie à titre préjudiciel par le Verwaltungsgericht Wien (tribunal administratif de Vienne, Autriche), la Cour développe sa jurisprudence récente portant sur les droits des personnes concernées par un profilage en vue de l’appréciation de leur solvabilité ( 1 ). D’une part, elle précise les contours du droit d’accès de la personne concernée aux informations relatives au traitement de ses données. D’autre part, elle se prononce sur la mise en balance de ce droit avec le droit à la protection des données des tiers ou des secrets d’affaires.

CK s’est vu refuser, par un opérateur de téléphonie mobile, la conclusion ou la prolongation d’un contrat de téléphonie mobile. Ce refus était fondé sur une évaluation de son crédit par voie automatisée, à laquelle avait procédé D & B, une entreprise spécialisée dans la fourniture de telles évaluations.

Par sa décision, l’autorité autrichienne de protection des données a enjoint à D & B de fournir à CK des informations utiles sur la logique sous-jacente à la prise de décision automatisée fondée sur les données à caractère personnel de cette dernière. Le recours, formé par D & B contre cette décision, a été rejeté par la décision du 23 octobre 2019 du Bundesverwaltungsgericht (tribunal administratif fédéral, Autriche). Or, le Magistrat der Stadt Wien (administration municipale de la ville de Vienne, Autriche) a rejeté la demande d’exécution forcée de cette décision juridictionnelle formée par CK.

Saisie par CK d’un recours contre la décision de cette administration municipale, la juridiction de renvoi demande à la Cour de clarifier l’étendue des informations qui doivent être fournies à la personne concernée pour que son droit d’accès prévu par le règlement général sur la protection des données ( 2 )soit pleinement garanti. Elle lui demande également de préciser si et dans quelle mesure l’exception tirée de l’existence d’un secret d’affaires est de nature à restreindre ce droit.

Appréciation de la Cour

En premier lieu, en clarifiant le droit de la personne affectée par une décision automatisée, y compris le profilage, d’accéder aux « informations utiles concernant la logique sous-jacente » au sens de l’article 15, paragraphe 1, sous h), du RGPD, la Cour, sur la base des différentes versions linguistiques de cette disposition, considère que son libellé vise toute information pertinente relative à la procédure et aux principes d’exploitation, par la voie automatisée, de données à caractère personnel aux fins d’en obtenir un résultat déterminé.

La Cour relève ensuite que l’interprétation contextuelle de cette même disposition du RGPD corrobore son interprétation littérale et que, par ailleurs, l’obligation de transparence qui s’applique à toutes les données et informations, y compris celles liées à la prise de décision automatisée ( 3 ), exige que ces informations soient fournies d’une façon concise, transparente, compréhensible et aisément accessible.

En outre, la Cour souligne qu’il ressort de l’examen des finalités du RGPD et, en particulier, de celles de l’article 15, paragraphe 1, sous h), de celui-ci que le droit d’obtenir des « informations utiles concernant la logique sous-jacente » à une prise de décision automatisée, au sens de cette disposition, doit être compris comme un droit à l’explication de la procédure et des principes concrètement appliqués pour exploiter, par la voie automatisée, les données à caractère personnel de la personne concernée aux fins d’en obtenir un résultat déterminé, tel un profil de solvabilité. Pour permettre à la personne concernée d’exercer de manière efficace les droits que lui reconnaît le RGPD ( 4 ), cette explication doit être fournie, au moyen d’informations pertinentes et d’une façon concise, transparente, compréhensible et aisément accessible. Ne saurait satisfaire à ces exigences ni la simple communication d’une formule mathématique complexe, telle qu’un algorithme, ni la description détaillée de toutes les étapes d’une prise de décision automatisée, dans la mesure où aucune de ces modalités ne constituerait une explication suffisamment concise et compréhensible.

La Cour conclut que les « informations utiles concernant la logique sous-jacente » à une prise de décision automatisée, au sens de l’article 15, paragraphe 1, sous h), du RGPD, doivent décrire la procédure et les principes concrètement appliqués de telle manière que la personne concernée puisse comprendre lesquelles de ses données à caractère personnel ont été utilisées de quelle manière lors de la prise de décision automatisée, sans que la complexité des opérations à réaliser dans le cadre d’une prise de décision automatisée puisse libérer le responsable de traitement de son devoir d’explication.

Elle précise, concernant spécifiquement un profilage comme celui en l’espèce, que la juridiction de renvoi pourrait, notamment, considérer comme étant suffisamment transparent et intelligible le fait d’informer la personne concernée de la mesure dans laquelle une variation au niveau des données à caractère personnel prises en compte aurait conduit à un résultat différent.

En second lieu, en ce qui concerne la mise en balance du droit d’accès garanti par le RGPD et le droit à la protection des données des tiers ou des secrets d’affaires ( 5 ), la Cour commence par rappeler sa jurisprudence selon laquelle une juridiction nationale peut estimer que des données à caractère personnel des parties ou de tiers doivent lui être communiquées afin de pouvoir pondérer, en toute connaissance de cause et dans le respect du principe de proportionnalité, les intérêts en présence. Cette appréciation peut, le cas échéant, la conduire à autoriser la divulgation complète ou partielle à la partie adverse des données à caractère personnel qui lui ont ainsi été communiquées, si elle considère qu’une telle divulgation ne va pas au-delà de ce qui est nécessaire aux fins de garantir la jouissance effective des droits que les justiciables tirent de l’article 47 de la charte des droits fondamentaux de l’Union européenne ( 6 ).

Ensuite, elle indique que cette jurisprudence est pleinement transposable à l’hypothèse dans laquelle les informations à fournir à la personne concernée au titre du droit d’accès garanti par l’article 15, paragraphe 1, sous h), du RGPD sont susceptibles d’entraîner une atteinte aux droits et aux libertés d’autrui, notamment en ce qu’elles contiennent des données à caractère personnel de tiers protégées par ce règlement ou un secret d’affaires. Dans cette hypothèse aussi, lesdites informations doivent être communiquées à l’autorité de contrôle ou à la juridiction compétentes, auxquelles il incombe de pondérer les droits et les intérêts en cause aux fins de déterminer l’étendue du droit d’accès de la personne concernée aux données à caractère personnel la concernant.

Elle constate que, au regard de la nécessité d’une telle détermination au cas par cas, l’article 15, paragraphe 1, sous h), du RGPD s’oppose notamment à l’application d’une disposition nationale qui exclut, en principe, le droit d’accès de la personne concernée lorsque cet accès compromettrait un secret d’affaires ou un secret d’entreprise du responsable du traitement ou d’un tiers. À cet égard, la Cour rappelle qu’un État membre ne saurait prescrire de manière définitive le résultat d’une pondération au cas par cas des droits et des intérêts en cause imposé par le droit de l’Union ( 7 ).

En conclusion, la Cour a jugé que l’article 15, paragraphe 1, sous h), du RGPD doit être interprété en ce sens que, dans l’hypothèse où le responsable du traitement considère que les informations à fournir à la personne concernée conformément à cette disposition comportent des données de tiers protégées par ce règlement ou des secrets d’affaires, ce responsable est tenu de communiquer ces informations prétendument protégées à l’autorité de contrôle ou à la juridiction compétentes, auxquelles il incombe de pondérer les droits et les intérêts en cause aux fins de déterminer l’étendue du droit d’accès de la personne concernée prévu à l’article 15 du RGPD.

( 1 ) Arrêt du 7 décembre 2023, SCHUFA Holding e.a. (Scoring) (C-634/21, EU:C:2023:957).

( 2 ) Article 15, paragraphe 1, sous h), du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, ci-après le « RGPD »).

( 3 ) Visée à l’article 12, paragraphe 1, du RGPD.

( 4 ) En particulier, l’article 22, paragraphe 3, du RGPD.

( 5 ) Au sens de l’article 2, point 1, de la directive (UE) 2016/943 du Parlement européen et du Conseil, du 8 juin 2016, sur la protection des savoir-faire et des informations commerciales non divulgués (secrets d’affaires) contre l’obtention, l’utilisation et la divulgation illicites (JO 2016, L 157, p. 1).

( 6 ) Arrêt du 2 mars 2023, Norra Stockholm Bygg (C-268/21, EU:C:2023:145, point 58).

( 7 ) Voir, en ce sens, arrêt du 7 décembre 2023, SCHUFA Holding e.a. (Scoring) (C-634/21, EU:C:2023:957, point 70 ainsi que jurisprudence citée).