CJUE, n° C-307/22, Conclusions de l'avocat général de la Cour, 20 avril 2023

1.

Les articles 12 et 15 du règlement (UE) 2016/679 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ( 2 ) (ci-après le « RGPD ») accordent aux personnes concernées des droits d’accès étendus aux données à caractère personnel traitées. Ces dispositions imposent notamment aux responsables du traitement de fournir gratuitement aux personnes concernées une copie de ces données.

2.

Les personnes concernées peuvent-elles demander l’accès à leurs données à caractère personnel, sur le fondement des dispositions du RGPD, à d’autres fins que celles liées à la protection des données ? Les États membres peuvent-ils restreindre le droit d’obtenir une copie des données en imposant aux personnes concernées le paiement, dans certains cas spécifiques, des frais exposés par le responsable du traitement pour la réalisation des copies ? Les responsables du traitement doivent-ils fournir des copies de tous les documents contenant des données à caractère personnel, ou peuvent-ils compiler les données demandées par les personnes concernées ?

3.

Telles sont, en substance, les principales questions soulevées par la demande de décision préjudicielle introduite par le Bundesgerichtshof (Cour fédérale de justice, Allemagne), dans une affaire relative à la possibilité pour un patient d’obtenir gratuitement des copies des documents contenus dans son dossier médical.

4.

Les considérants 4, 13 et 63 du RGPD énoncent :

[…]

[…]

5.

L’article 12 du RGPD, intitulé « Transparence des informations et des communications et modalités de l’exercice des droits de la personne concernée », dispose :

« 1. Le responsable du traitement prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14 ainsi que pour procéder à toute communication au titre des articles 15 à 22 et de l’article 34 en ce qui concerne le traitement à la personne concernée d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples […]

2. Le responsable du traitement facilite l’exercice des droits conférés à la personne concernée au titre des articles 15 à 22. […]

3. Le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d’une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande. […]

[…]

5. Aucun paiement n’est exigé pour fournir les informations au titre des articles 13 et 14 et pour procéder à toute communication et prendre toute mesure au titre des articles 15 à 22 et de l’article 34. Lorsque les demandes d’une personne concernée sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, le responsable du traitement peut :

Il incombe au responsable du traitement de démontrer le caractère manifestement infondé ou excessif de la demande.

[…] »

6.

Aux termes de l’article 15 du RGPD, intitulé « Droit d’accès de la personne concernée » :

« 1. La personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel ainsi que les informations suivantes :

[…]

3. Le responsable du traitement fournit une copie des données à caractère personnel faisant l’objet d’un traitement. Le responsable du traitement peut exiger le paiement de frais raisonnables basés sur les coûts administratifs pour toute copie supplémentaire demandée par la personne concernée. […]

4. Le droit d’obtenir une copie visé au paragraphe 3 ne porte pas atteinte aux droits et libertés d’autrui. »

7.

L’article 23, paragraphe 1, du RGPD, consacré aux « Limitations », dispose :

« 1. Le droit de l’Union ou le droit de l’État membre auquel le responsable du traitement ou le sous-traitant est soumis peuvent, par la voie de mesures législatives, limiter la portée des obligations et des droits prévus aux articles 12 à 22 […], lorsqu’une telle limitation respecte l’essence des libertés et droits fondamentaux et qu’elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir :

[…]

[…]

[…] »

8.

L’article 630f du Bürgerliches Gesetzbuch (code civil allemand, ci-après le « BGB »), intitulé « Documentation du traitement », dispose :

« 1. Le praticien est tenu, à des fins de documentation concomitamment au traitement, de tenir un dossier médical sous forme papier ou électronique. […]

2. Le praticien est tenu de noter dans le dossier médical du patient l’ensemble des mesures essentielles du point de vue médical pour le traitement en cours et futur ainsi que leurs résultats, notamment l’anamnèse, les diagnostics, les examens, les résultats d’examens, les conclusions, les thérapies et leurs effets, les interventions et leurs effets, les autorisations et les informations. Les lettres du médecin doivent être consignées dans le dossier du patient.

[…] »

9.

L’article 630g du BGB, intitulé « Accès au dossier médical », énonce :

« 1. Le patient doit, sur demande, se voir accorder immédiatement accès à l’ensemble du dossier médical le concernant pour autant que des motifs thérapeutiques importants ou d’autres droits importants de tiers ne s’opposent à la consultation. […]

2. Le patient peut également réclamer des copies électroniques du dossier médical. Il doit rembourser au praticien les frais engendrés.

[…] »

10.

DW (le requérant au principal) recevait des soins dentaires prodigués par FT (la défenderesse au principal). Soupçonnant un traitement inapproprié, DW a demandé à FT la remise à titre gratuit d’une copie de l’intégralité du dossier médical le concernant et en possession de cette dernière. FT a estimé qu’elle ne serait tenue de remettre une copie du dossier médical que contre remboursement de ses frais par le patient.

11.

DW a introduit un recours contre FT devant l’Amtsgericht (tribunal de district, Allemagne), qui y a fait droit. FT a interjeté appel devant le Landgericht (tribunal régional, Allemagne), qui l’a déboutée au motif que les droits du requérant découlant de l’article 15 du RGPD ne seraient pas exclus du fait que DW réclamerait les renseignements afin de vérifier l’existence de droits à dommages-intérêts au titre du droit de la responsabilité médicale.

12.

Dans le cadre de son recours en « Revision » devant le Bundesgerichtshof (Cour fédérale de justice), FT a demandé l’annulation de l’arrêt du Landgericht (tribunal régional) et le rejet du recours de DW. Selon le Bundesgerichtshof (Cour fédérale de justice), le succès du recours en « Revision » sur un point de droit dépend de la question de savoir si la juridiction qui a statué sur le fond en appel a commis une erreur de droit en considérant, comme l’affirme DW, que le recours est bien fondé au regard des dispositions du RGPD.

13.

Le Bundesgerichtshof (Cour fédérale de justice) précise que, en vertu des dispositions du droit national, FT n’est pas tenue de fournir gracieusement à DW des copies du dossier médical le concernant. Toutefois, le droit de DW de les obtenir à titre gratuit pourrait découler, comme l’a indiqué le Landgericht (tribunal régional), directement de l’article 15, paragraphe 3, du RGPD, lu en combinaison avec l’article 12, paragraphe 5, de ce règlement. Par conséquent, ayant des doutes quant à l’interprétation qu’il convient de donner à ces dispositions, le Bundesgerichtshof (Cour fédérale de justice) a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :

14.

Le gouvernement letton et la Commission européenne ont présenté des observations écrites dans le cadre de la présente procédure.

15.

Par sa première question, la juridiction de renvoi demande à la Cour si l’article 12, paragraphe 5, et l’article 15, paragraphe 3, du RGPD doivent être interprétés en ce sens que le responsable du traitement est tenu de mettre gratuitement à disposition de la personne concernée une copie de ses données à caractère personnel lorsque celle-ci demande cette copie non pas en vue de poursuivre les buts cités dans le considérant 63 du RGPD (à savoir prendre connaissance du traitement de ses données à caractère personnel et être en mesure d’en vérifier la licéité), mais en vue de poursuivre un autre but, tel que la vérification de l’existence de droits au titre de la responsabilité du médecin.

16.

En substance, cette question porte sur le point de savoir si une personne concernée a le droit de recevoir, en vertu des dispositions du RGPD, une copie de ses données à caractère personnel de la part du responsable du traitement, lorsque sa demande est formulée en vue de poursuivre des buts qui sont légitimes, mais sans rapport avec la protection des données.

17.

Selon moi, le droit d’accès accordé par le RGPD aux personnes concernées n’est pas subordonné à leur intention d’utiliser les données en question à des fins relatives à la protection des données, telles que celles énoncées au considérant 63 de ce règlement. Une lecture textuelle, contextuelle et systémique des dispositions pertinentes du RGPD étaye ce point de vue.

18.

Avant tout, aucune restriction de ce type ne peut être déduite du libellé de l’article 12 ou de l’article 15 du RGPD. Ces deux dispositions prévoient, dans une sorte de « jeu de miroirs », l’obligation du responsable du traitement de fournir l’accès aux données à caractère personnel traitées, ainsi que le droit de la personne concernée de le demander ( 3 ). Aucune de ces deux dispositions n’impose à la personne concernée d’indiquer les raisons de sa demande d’accès ni ne laisse au responsable du traitement la faculté d’exiger et d’apprécier ces raisons.

19.

L’article 12 du RGPD impose au responsable du traitement de prendre « des mesures appropriées pour fournir toute information […] [et] toute communication » en question et de « facilite[r] l’exercice des droits conférés à la personne concernée » ( 4 ). Les dispositions de l’article 12 du RGPD concernent, en effet, principalement la manière et les délais dans lesquels le responsable du traitement des données devrait, notamment, accorder l’accès ( 5 ). Les seules exceptions à l’obligation du responsable du traitement de donner suite à la demande rapidement sont, d’une part, la demande d’informations supplémentaires ou le refus de donner suite en cas de doutes raisonnables quant à l’identité de la personne concernée ( 6 ) et, d’autre part, la perception de frais raisonnables ou le refus de donner suite en cas de demandes manifestement infondées ou excessives ( 7 ).

20.

L’article 15 du RGPD est également formulé en termes très larges, garantissant aux personnes concernées des formes d’accès étendues : l’obtention, de la part du responsable du traitement, d’une confirmation que les données les concernant sont traitées et, le cas échéant, l’obtention d’informations détaillées à cet égard ( 8 ), ainsi que l’obtention d’une copie des données personnelles faisant l’objet du traitement ( 9 ). Aucune condition ou limite expresse n’est prévue pour l’exercice par la personne concernée de son droit d’accès au titre de l’article 15 du RGPD.

21.

Cela diffère de ce qui est prévu dans d’autres dispositions de ce règlement, relatives à d’autres droits des personnes concernées. Par exemple, l’article 17, paragraphe 3, du RGPD prévoit les situations dans lesquelles le droit à l’oubli, énoncé aux paragraphes 1 et 2 de cet article, « ne s’applique pas ». L’article 20 du RGPD, qui concerne le droit à la portabilité des données, est structuré de la même manière, des exceptions étant prévues au paragraphe 3 de cette disposition. L’article 21, paragraphe 6, du RGPD, quant à lui, énonce les conditions dans lesquelles, dans certaines circonstances particulières, les personnes concernées sont en droit d’exercer leur droit d’opposition, tel que prévu au paragraphe 1 de cet article.

22.

Dans ce contexte, le considérant 63 ne saurait être lu, à mon sens, comme introduisant une condition ou une limitation à l’exercice du droit d’accès consacré à l’article 15 du RGPD, dont il n’existe aucune trace dans le libellé de cette disposition (ni dans la « disposition jumelle », l’article 12 du RGPD).

23.

Selon moi, le considérant 63 vise plutôt à souligner l’importance, dans l’économie du RGPD, du droit d’accès. Ce droit est en effet un instrument, et un instrument indispensable, pour l’exercice effectif de nombreux autres droits que le RGPD octroie aux personnes concernées ( 10 ). Les personnes physiques peuvent difficilement avoir « le contrôle des données à caractère personnel les concernant » – comme l’indique le considérant 7 du RGPD avec emphase – si elles ne savent pas « le si, le quoi et le pourquoi » du traitement des données. Cela pourrait expliquer la raison pour laquelle le considérant 63 indique que les personnes concernées devraient avoir un droit d’accès « afin de prendre connaissance du traitement et d’en vérifier la licéité » ( 11 ). Le libellé du considérant 63 est peut-être un peu flou, mais, à mon avis, il ne s’ensuit pas que le droit d’accès est accordé uniquement aux fins qui y sont mentionnées.

24.

J’observe au passage qu’une telle condition serait souvent impossible à contrôler pour le responsable du traitement, et donc facile à contourner pour la personne concernée, puisqu’elle dépendrait de l’intention subjective de cette dernière ( 12 ).

25.

En outre, je partage l’avis de la juridiction de renvoi selon lequel une interprétation différente de l’article 15 du RGPD ne saurait être déduite du point 44 de l’arrêt YS e.a. ( 13 ) Dans ce point, la Cour, se référant aux dispositions de la directive 95/46/CE ( 14 ), précurseur du RGPD, a indiqué que, « [a]insi qu’il ressort du [préambule] de cette directive, c’est afin de pouvoir effectuer les vérifications nécessaires que la personne concernée dispose […] d’un droit d’accès aux données la concernant qui font l’objet d’un traitement » ( 15 ).

26.

Ce faisant, la Cour s’est, en substance, bornée à citer le texte du considérant 41 de la directive 95/46, dont le libellé était analogue à celui du considérant 63 du RGPD. En outre, comme l’a relevé à juste titre la juridiction de renvoi, dans l’arrêt du 17 juillet 2014, YS e.a. (C-141/12 et C-372/12, EU:C:2014:2081), la Cour était invitée à préciser la notion de « données à caractère personnel » afin de déterminer la portée de l’accès. La présente question soulève un problème juridique différent – celui de savoir si le but de l’accès demandé peut avoir une influence sur la possibilité d’obtenir un accès – pour lequel je ne pense pas que des indications utiles puissent être trouvées dans cet arrêt.

27.

L’interprétation de l’article 15 du RGPD avancée dans les présentes conclusions est également étayée par l’article 8, paragraphe 2, de la charte des droits fondamentaux de l’Union européenne (ci-après la « Charte »), en vertu duquel « Toute personne a le droit d’accéder aux données collectées la concernant et d’en obtenir la rectification » ( 16 ). Dans la Charte, le droit d’accès semble être identifié comme un droit autonome, logiquement lié à, mais pas nécessairement dépendant de la capacité ou de l’intention du titulaire du droit d’exercer d’autres droits (tels que le droit de rectification ( 17 )).

28.

J’ajouterais, enfin, que cette interprétation de l’article 15 du RGPD a également été suggérée par le Comité européen de la protection des données dans ses « Lignes directrices 01/2022 sur les droits des personnes concernées » ( 18 ). Le point 13 de ces lignes directrices est libellé comme suit : « [L]es responsables du traitement ne devraient pas apprécier “pourquoi” la personne concernée demande l’accès, mais uniquement “ce” qu’elle demande […] et s’ils détiennent des données à caractère personnel relatives à cette personne […]. [P]ar exemple, le responsable du traitement ne devrait pas refuser l’accès au motif qu’il soupçonne que les données demandées pourraient être utilisées par la personne concernée pour se défendre en justice en cas de licenciement ou de conflit commercial avec le responsable du traitement ».

29.

Il est intéressant d’observer que l’exemple donné dans lesdites lignes directrices correspond en grande partie aux faits de l’affaire pendante devant la juridiction de renvoi. La circonstance que le requérant au principal a demandé à avoir accès aux données à caractère personnel contenues dans son dossier médical, hypothèse spécifiquement envisagée au considérant 63 du RGPD ( 19 ) – en vue d’examiner s’il y a lieu d’engager une procédure pour faute médicale, un but que la juridiction de renvoi identifie à juste titre comme étant « légitime » ( 20 ) – n’autorise donc pas le responsable du traitement à refuser la demande de la personne concernée.

30.

À la lumière des considérations qui précèdent, je suggère à la Cour de répondre à la première question préjudicielle que l’article 12, paragraphe 5, et l’article 15, paragraphe 3, du RGPD doivent être interprétés en ce sens qu’ils imposent au responsable du traitement de mettre à disposition de la personne concernée une copie de ses données à caractère personnel, même lorsque la personne concernée demande cette copie non pas en vue de poursuivre les buts cités dans le considérant 63 du RGPD, mais en vue de poursuivre un autre but, étranger à la protection des données.

31.

Par sa deuxième question, la juridiction de renvoi demande à la Cour, en substance, si l’article 23, paragraphe 1, du RGPD permet qu’une disposition nationale, adoptée avant l’entrée en vigueur du RGPD, restreigne le droit des personnes concernées à recevoir à titre gratuit une copie des données à caractère personnel traitées par le responsable du traitement, en imposant à ces personnes de rembourser les frais exposés par ce dernier à cet égard.

32.

Il convient de souligner d’emblée qu’il ne fait aucun doute que, conformément aux règles du RGPD, les personnes concernées ont, en principe, le droit de recevoir du responsable du traitement une première copie de leurs données traitées à titre gratuit. Cela résulte expressément de l’article 12, paragraphe 5, du RGPD, qui précise qu’« [a]ucun paiement n’est exigé » pour fournir les informations au titre, notamment, de l’article 15 de ce règlement et que ce n’est que pour les demandes « manifestement infondées ou excessives, notamment en raison de leur caractère répétitif » que le responsable du traitement peut « exiger le paiement de frais raisonnables qui tiennent compte des coûts administratifs supportés pour fournir les informations, procéder aux communications ou prendre les mesures demandées ».

33.

Cela découle également, quoique de manière implicite, de l’article 15, paragraphe 3, du RGPD, aux termes duquel « [l]e responsable du traitement peut exiger le paiement de frais raisonnables basés sur les coûts administratifs pour toute copie supplémentaire demandée par la personne concernée » ( 21 ). Cela signifie, bien évidemment, que des frais ne peuvent pas être facturés pour la première copie demandée par la personne concernée.

34.

Toutefois, conformément à l’article 23, paragraphe 1, du RGPD, le droit de l’Union ou le droit national « peuvent, par la voie de mesures législatives, limiter la portée des obligations et des droits prévus aux articles 12 à 22 […], lorsqu’une telle limitation respecte l’essence des libertés et droits fondamentaux et qu’elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir » l’un des objectifs qui y sont énumérés. L’un de ces objectifs, sous e), est la santé publique et l’autre, sous i), « la protection […] des droits et libertés d’autrui ».

35.

Ce point étant souligné, je vais maintenant examiner la problématique essentielle soulevée par la présente question, qui appelle, selon moi, une réponse affirmative.

36.

En premier lieu, il est constant que le droit d’accès des personnes concernées à leurs données à caractère personnel, énoncé à l’article 15 du RGPD, fait partie des droits qui relèvent du champ d’application de l’article 23, paragraphe 1, de ce règlement et, par conséquent, dont la portée peut être limitée par une mesure législative de l’Union ou d’un État membre ( 22 ).

37.

En deuxième lieu, si les États membres peuvent généralement restreindre la portée du droit d’accès, par exemple en l’excluant dans certaines situations ou pour certaines données, ils devraient également être autorisés – conformément à l’adage « a maiore ad minus » ( 23 ) – à introduire une restriction assez limitée à son exercice. En effet, seule une forme d’accès est restreinte (le droit d’obtenir une copie des données), et uniquement en la subordonnant au paiement, par les personnes concernées, des coûts supportés par les responsables du traitement.

38.

En troisième lieu, une restriction telle que celle en cause, expressément prévue par un code civil ou un instrument juridique équivalent, est prévue « par la voie de mesures législatives », comme l’exige l’article 23, paragraphe 1, du RGPD. Cette condition fait écho à celle énoncée à l’article 52, paragraphe 1, de la Charte, aux termes duquel toute limitation aux droits fondamentaux doit être « prévue par la loi ».

39.

Dans ce contexte, j’ajouterais que le fait que la législation nationale en cause soit antérieure à l’entrée en vigueur du RGPD est, à mon sens, manifestement dénué de pertinence pour déterminer si cette législation remplit les conditions énoncées à l’article 23, paragraphe 1, du RGPD. Ainsi que l’a relevé la Commission, ni cette disposition ni, d’ailleurs, aucune autre disposition du RGPD n’exigent que les mesures restrictives de l’Union ou des États membres soient incluses dans des instruments législatifs ad hoc, a fortiori dans des instruments adoptés après l’entrée en vigueur du RGPD. Les États membres sont donc autorisés à la fois à maintenir et à introduire des restrictions conformes aux exigences de l’article 23, paragraphe 1, du RGPD. Une comparaison des différentes versions linguistiques de cette disposition confirme ce point de vue ( 24 ).

40.

En quatrième lieu, en raison du caractère relativement inoffensif de la restriction en question, mentionné au point 37 des présentes conclusions, j’estime qu’une législation nationale telle que celle en cause ne porte manifestement pas atteinte à « l’essence » de ce droit (une autre exigence énoncée tant à l’article 23, paragraphe 1, du RGPD qu’à l’article 52, paragraphe 1, de la Charte). Cette législation ne prive pas les personnes physiques du noyau dur de leur droit à la protection des données. Notamment, il est même difficile d’imaginer des situations – parmi celles régies par la législation nationale en cause – dans lesquelles le montant de ces coûts serait si important que l’obligation des personnes concernées de les supporter reviendrait, en pratique, à leur refuser l’accès.

41.

En cinquième lieu, il me semble qu’une législation nationale telle que celle en cause poursuit des objectifs admissibles au regard de l’article 23, paragraphe 1, du RGPD et, plus largement, légitimes au regard du droit de l’Union.

42.

Sous réserve de vérification par la juridiction de renvoi, je comprends que la législation nationale pertinente vise à décourager les demandes de copies inutiles ou futiles, en vue, d’une part, de protéger les intérêts économiques des médecins, qui souvent sont constitués en entreprise individuelle ou travaillent dans de petites équipes, et, ce faisant, d’autre part, de s’assurer que, dans l’exercice de leurs activités professionnelles, les médecins consacrent (la plupart de) leur temps à leurs tâches médicales essentielles plutôt qu’à des tâches administratives évitables.

43.

Le second objectif est lié à l’objectif de protection de la santé publique. L’article 23, paragraphe 1, sous e), du RGPD envisage expressément les limitations nécessaires à la sauvegarde d’« objectifs importants d’intérêt public général de l’Union ou d’un État membre » tels que la « santé publique ». Cela est conforme à l’article 35 de la Charte, intitulé « Protection de la santé », aux termes duquel « [t]oute personne a le droit d’accéder à la prévention en matière de santé et de bénéficier de soins médicaux dans les conditions établies par les législations et pratiques nationales. Un niveau élevé de protection de la santé humaine est assuré dans la définition et la mise en œuvre de toutes les politiques et actions de l’Union » ( 25 ).

44.

Il est vrai que le premier objectif vise à protéger un intérêt (privé) de certaines personnes – les médecins qui, dans la situation en cause, agissent en tant que responsables du traitement de données – et revêt un caractère économique. Toutefois, aucun de ces éléments ne signifie qu’une restriction au droit d’accès est, par principe, inacceptable.

45.

En effet, l’article 23, paragraphe 1, sous i), du RGPD autorise les restrictions nécessaires à la sauvegarde des « droits et libertés d’autrui ». Il est intéressant d’observer que les mêmes termes figurent également à l’article 15, paragraphe 4, ainsi qu’au considérant 63 du RGPD qui, précisément en ce qui concerne le droit d’obtenir une copie des données traitées, précisent que ce droit ne devrait pas « porter atteinte aux droits et libertés d’autrui ».

46.

D’emblée, je relève que l’article 15, paragraphe 4, l’article 23, paragraphe 1, sous i), et le considérant 63 du RGPD font référence aux « droits et libertés d’autrui » ( 26 ) et non – comme le font d’autres dispositions du règlement – « de tiers » ( 27 ). Cela signifie également, logiquement, que les restrictions nécessaires à la protection de certains droits du responsable du traitement peuvent être acceptables en vertu de cette disposition ( 28 ).

47.

Ensuite, le fait que l’un des intérêts protégés par la réglementation nationale en cause soit de nature économique n’exclut pas, en soi, qu’il puisse être de nature à justifier des restrictions au titre de l’article 23, paragraphe 1, du RGPD. Le considérant 4 du RGPD est parfaitement clair : « (4) […] Le droit à la protection des données à caractère personnel n’est pas un droit absolu ; il doit […] être mis en balance avec d’autres droits fondamentaux, conformément au principe de proportionnalité. Le présent règlement respecte tous les droits fondamentaux et observe les libertés et les principes reconnus par la Charte, consacrés par les traités, en particulier […] la liberté d’entreprise […] » ( 29 ).

48.

À cet égard, je rappelle que le titre II de la Charte (« Libertés ») comprend divers droits de nature économique : au-delà de la liberté d’entreprise déjà évoquée (article 16 de la Charte), on trouve également la « Liberté professionnelle et [le] droit de travailler » (article 15 de la Charte) et le droit de propriété (article 17 de la Charte). En effet, des droits fondamentaux de nature économique ne sauraient être considérés comme étant des « droits de second ordre » par rapport à d’autres droits (civils, sociaux ou politiques). Il n’est pas nécessaire de connaître les écrits de Ludwig von Mises ( 30 ) pour comprendre que tous ces droits sont inextricablement liés : leur jouissance ne peut qu’aller de pair puisque la suppression des droits économiques affecterait inévitablement la capacité des individus à jouir pleinement de leurs droits civils, sociaux et politiques et vice-versa.

49.

En outre, comme le souligne la juridiction de renvoi, le considérant 13 du RGPD encourage les États membres à « prendre en considération les besoins spécifiques des micro, petites et moyennes entreprises dans le cadre de l’application [de ce] règlement ». Les États membres sont donc autorisés à prendre en considération les caractéristiques spécifiques des entreprises de taille limitée et des professionnels indépendants, comme c’est souvent le cas des médecins.

50.

Par conséquent, je n’ai aucune difficulté à conclure que l’article 23, paragraphe 1, du RGPD permet non seulement des restrictions visant à protéger la santé publique, mais également celles visant à protéger certains droits économiques fondamentaux des personnes ( 31 ), dont ceux des responsables du traitement.

51.

Enfin, toutefois, une législation nationale limitant le droit d’accès aux données à caractère personnel n’est admissible en vertu de l’article 23, paragraphe 1, du RGPD que si elle peut être considérée comme « une mesure nécessaire et proportionnée » pour sauvegarder un intérêt public parmi ceux qui y sont énumérés. Cette disposition exige donc – conformément à un principe bien établi – de procéder à un « test de proportionnalité » de la restriction nécessitant une justification.

52.

Afin de vérifier le caractère proportionné de la restriction, il convient d’examiner trois exigences cumulatives. La mesure doit être propre à garantir la réalisation de l’objectif poursuivi (« aptitude ») et ne pas aller au-delà de ce qui est nécessaire pour l’atteindre (« nécessité »). En outre, la mesure nationale doit être « proportionnée stricto sensu », ce qui signifie qu’elle doit établir un juste équilibre entre les intérêts en jeu (l’intérêt poursuivi par l’État avec la mesure en cause et ceux des personnes lésées) ( 32 ).

53.

À mon avis, le respect du principe de proportionnalité par des mesures nationales spécifiques dérogeant à des règles générales du droit de l’Union constitue, souvent, une appréciation à laquelle les juridictions nationales sont les mieux à même de procéder. Toutefois, afin d’aider la juridiction de renvoi à résoudre le litige pendant devant elle, je propose les considérations suivantes.

54.

Tout d’abord, il me semble qu’une réglementation nationale telle que celle en cause est, en principe, apte à atteindre les objectifs poursuivis par le législateur national, de sorte qu’elle paraît de nature à contribuer utilement à leur réalisation. En effet, l’exigence de prise en charge par les personnes concernées des frais administratifs liés à la production des copies demandées peut effectivement les dissuader de formuler des demandes d’accès inutiles ou futiles. Cela signifie que les médecins sont moins susceptibles d’avoir à consacrer leur temps et leurs ressources à des tâches administratives évitables.

55.

Ensuite, les questions de savoir si une réglementation nationale telle que celle en cause ne va pas au-delà de ce qui est nécessaire pour atteindre ses objectifs ou si elle n’établit pas un juste équilibre entre les intérêts en jeu sont des questions qui, selon moi, ne sont pas si simples et nécessiteront ainsi une appréciation plus approfondie de la part de la juridiction de renvoi.

56.

À cet égard, je souligne une fois encore ( 33 ) le caractère relativement inoffensif de la restriction en cause. Alors que l’article 15 du RGPD accorde diverses formes d’accès aux personnes concernées, la législation nationale en cause ne limite qu’une seule d’entre elles (le droit d’obtenir une copie des données), et seulement en la subordonnant à la condition que les personnes concernées paient les frais exposés par les responsables du traitement à cet égard.

57.

Néanmoins, la Commission exprime certains doutes quant à la nécessité de la législation nationale en cause, soulignant qu’elle s’applique à toutes les demandes d’accès aux dossiers médicaux, quels que soient le statut professionnel et le type d’activité du médecin concerné : celui-ci peut exercer en tant qu’indépendant, seul ou dans des cabinets multimédecins, ou en tant que salarié, par exemple dans un hôpital public ou dans une grande clinique privée.

58.

Je dois avouer que certains arguments avancés par la Commission ont une certaine force. En effet, il est vrai que toutes les situations couvertes par la législation nationale en cause ne sont pas entièrement comparables aux fins de l’article 23, paragraphe 1, sous e) et i), du RGPD. Par exemple, les cabinets médicaux, hôpitaux et cliniques privées de grande taille disposent normalement d’un personnel et d’équipements spécialisés pour accomplir l’ensemble des tâches administratives liées à la prestation de services médicaux. Ainsi, il n’apparaît pas de manière manifeste que, dans ces cas également, une réglementation nationale telle que celle en cause a pour effet de dispenser les médecins de supporter des frais inutiles ou de consacrer leur temps utile à l’accomplissement de tâches matérielles évitables.

59.

En outre, à la différence des médecins tenus d’appliquer des honoraires fixés par les pouvoirs publics, les médecins qui sont libres de fixer leurs honoraires au niveau qu’ils jugent approprié sont en mesure, s’ils le jugent pertinent, de récupérer les surcoûts en augmentant leurs honoraires et en « répartissant » ces coûts entre tous leurs patients. En conséquence, certains médecins peuvent sans doute exiger un niveau de « protection législative » plus élevé que d’autres.

60.

En revanche, je ne suis pas sûr qu’une règle qui traiterait différemment les médecins et, par voie de conséquence, les patients selon que les médecins sont, par exemple, indépendants ou salariés, qu’ils travaillent dans des « micro, petites et moyennes entreprises » – pour reprendre les termes du considérant 13 du RGPD – ou alors pour de grands hôpitaux et cliniques, ou qu’ils sont liés par des honoraires publics ou peuvent fixer librement leurs honoraires, serait soit pratique, soit raisonnable et équitable.

61.

La recherche de critères corrects permettant de distinguer les situations dans lesquelles les patients devraient supporter les coûts de celles dans lesquelles les coûts sont supportés par les médecins, afin d’atteindre au mieux les objectifs fixés par le législateur national, n’est pas une tâche aisée. Plus important encore, une telle différenciation introduirait une certaine complexité (et, éventuellement, une source de confusion) en ce qui concerne des situations qui, en raison des montants généralement assez limités en cause, seraient probablement plus facilement régies par une règle claire d’application automatique.

62.

Ainsi que la Cour l’a jugé, il ne saurait être dénié aux États membres la possibilité de réaliser des objectifs légitimes d’intérêt général par l’introduction de règles qui sont aisées à appliquer et à contrôler par les autorités compétentes ( 34 ). De manière plus générale, comme je l’ai indiqué dans des conclusions récentes, il ne saurait être exigé de l’État membre qu’il adopte, dans un souci de proportionnalité, des mesures alternatives dont la faisabilité ou l’efficacité est incertaine ou qui entraîneraient une charge (organisationnelle ou financière) intolérable pour lui ( 35 ).

63.

Enfin, on ne saurait exclure un effet pervers d’une règle de portée plus limitée que celle en cause : elle pourrait inciter les patients à se rendre dans des cliniques plus importantes (qui fournissent gracieusement des copies de dossiers médicaux) plutôt que dans de petits cabinets médicaux (qui exigent un paiement supplémentaire pour ces copies).

64.

En effet, l’équité globale ou, en d’autres termes, le caractère raisonnable de règles alternatives pourraient également être remis en question. Appréciée du point de vue des médecins, une règle sur mesure qui ne protège que les médecins indépendants et les petits cabinets peut paraître raisonnable : elle protège les professionnels « les plus faibles ». Toutefois, si elle est appréciée du point de vue des patients, la même mesure peut être appréciée différemment. En effet, les patients qui recherchent des prestations médicales auprès de grands hôpitaux et cliniques, en particulier ceux où les médecins sont libres de fixer leurs honoraires au niveau qu’ils jugent approprié, seraient ceux qui bénéficient de la règle. Il en irait ainsi malgré le fait que, d’une part, ces patients peuvent souvent être plus aisés que ceux qui recourent à des médecins locaux indépendants et, d’autre part, les frais exposés pour les copies des dossiers médicaux sont susceptibles de constituer une partie très mineure (éventuellement négligeable) de l’ensemble des coûts qu’ils supportent pour les prestations médicales, par opposition aux patients qui sollicitent des prestations médicales dans le cadre du système national de santé (généralement sans frais ou moyennant des frais « nominaux »). On pourrait donc soutenir que la protection des « professionnels les plus faibles » se ferait au détriment des « consommateurs les plus faibles ».

65.

Eu égard aux considérations qui précèdent et contrairement à la Commission, je ne suis pas convaincu que l’approche « universelle » choisie par le législateur allemand aille au-delà de ce qui est nécessaire pour atteindre les objectifs poursuivis par la législation nationale en cause. Je n’ai pu identifier aucune mesure alternative moins restrictive par rapport au droit à la protection des données des personnes physiques, tout en étant tout aussi efficace pour sauvegarder les intérêts que la réglementation nationale en cause vise à protéger.

66.

Je ne vois pas non plus d’élément suggérant que le législateur allemand n’a pas trouvé un juste équilibre entre les différents intérêts en jeu.

67.

Certes, on pourrait soutenir que l’équilibre entre les différents intérêts en jeu en ce qui concerne la fourniture de copies de données à caractère personnel a été prévu par le législateur de l’Union : le responsable du traitement doit remettre gratuitement la première copie et peut exiger le paiement de frais uniquement pour un nombre excessif de copies ou des copies supplémentaires. Toutefois, le libellé large de l’article 23, paragraphe 1, et du considérant 13 du RGPD ne se prête pas à une telle lecture restrictive. Le considérant 63 du RGPD, qui fait spécifiquement référence au droit d’accès des personnes concernées aux données concernant « leur santé », ne comporte pas non plus de référence spécifique à cet égard.

68.

Surtout, on ne saurait ignorer que, dans le domaine de la protection et de l’amélioration de la santé humaine, l’Union ne dispose que d’une compétence d’appui ( 36 ). Selon une jurisprudence constante, il appartient aux États membres de décider du niveau auquel ils entendent assurer la protection de la santé publique ainsi que de la manière dont ce niveau doit être atteint. Celui-ci pouvant varier d’un État membre à l’autre, il convient de reconnaître aux États membres une marge d’appréciation ( 37 ).

69.

Après avoir pondéré les différents intérêts en jeu, le législateur allemand a décidé que, en ce qui concerne les demandes de copies des dossiers médicaux adressées par les patients aux médecins, il y avait lieu de considérer que les frais exposés devaient être supportés par les personnes concernées et non par les responsables du traitement. Je pense qu’il s’agit là d’une décision politique qui, n’étant pas manifestement irrationnelle ou peu plausible, relève de la marge d’appréciation de l’État membre en cause. En tout état de cause, le contrôle de ce choix relève de la compétence de la juridiction de renvoi et non de la Cour.

70.

Cela étant dit, je considère qu’il existe certainement un élément que la juridiction de renvoi devrait vérifier. Dans des situations telles que celles régies par la réglementation nationale en cause, il est, selon moi, impératif que les frais dont les médecins peuvent demander le remboursement aux patients soient strictement limités aux coûts réels de production et de mise à disposition des copies demandées. Cela signifie que les dépens récupérables sont uniquement ceux relatifs au matériel (tel que papier, toner d’imprimantes ou de photocopieurs, ou clés USB, etc.) et à la main-d’œuvre nécessaire à cette fin. Ces coûts ne sauraient, à mon sens, inclure un quelconque bénéfice réalisé par les professionnels ( 38 ). Compte tenu de l’état actuel de numérisation des documents et archives, je serais surpris (et donc suspicieux) si le montant normalement facturé par les médecins à cette fin dépassait quelques euros.

71.

Eu égard aux considérations qui précèdent, je suggère à la Cour de répondre à la deuxième question préjudicielle en ce sens que l’article 23, paragraphe 1, du RGPD autorise une réglementation nationale qui impose aux patients qui demandent des copies des données à caractère personnel contenues dans leurs dossiers médicaux de rembourser aux médecins les frais exposés, à condition que la restriction au droit d’accès soit, au vu de toutes les circonstances pertinentes, nécessaire et proportionnée aux objectifs de protection de la santé publique et de la libre prestation des activités des médecins. En particulier, il appartient à la juridiction de renvoi de vérifier que les frais dont les médecins peuvent demander le remboursement aux patients se limitent strictement aux frais réels exposés à cet égard.

72.

Enfin, par sa troisième question, la juridiction de renvoi demande à la Cour si, dans le cadre d’une relation médecin/patient, l’expression « copie des données à caractère personnel faisant l’objet d’un traitement », qui figure à l’article 15, paragraphe 3, première phrase, du RGPD, doit être interprétée en ce sens qu’elle confère à la personne concernée un droit général d’obtenir une copie intégrale des documents figurant dans son dossier médical.

73.

La principale problématique soulevée par la présente question a été abordée – selon moi de manière convaincante – par l’avocat général Pitruzzella dans ses récentes conclusions dans l’affaire Österreichische Datenschutzbehörde et CRIF ( 39 ).

74.

Dans cette affaire, la juridiction de renvoi demandait à la Cour des éclaircissements sur la portée du droit d’accès accordé aux personnes concernées par l’article 15 du RGPD. Afin de répondre à cette question, l’avocat général Pitruzzella a notamment examiné la notion de « copie » au sens de l’article 15, paragraphes 3 et 4, du RGPD. Suivant une interprétation littérale, contextuelle et téléologique de la disposition, il est parvenu aux conclusions suivantes, qui sont pertinentes en l’espèce.

75.

En premier lieu, la notion de « copie », visée à l’article 15, paragraphes 3 et 4, du RGPD, doit être comprise comme « une reproduction fidèle, sous une forme intelligible, des données à caractère personnel demandées par la personne concernée, dans un format matérialisé et permanent, qui permet à la personne concernée d’exercer de manière effective le droit d’accès à ses données à caractère personnel, en prenant pleinement connaissance de l’ensemble de ses données à caractère personnel qui font l’objet d’un traitement ». Il a ajouté que « [l]a forme exacte que prendra la copie doit être déterminée en fonction des particularités de chaque cas d’espèce et, notamment, du type de données à caractère personnel auxquelles l’accès est demandé et des exigences de la personne concernée » ( 40 ).

76.

En second lieu, l’article 15, paragraphe 3, du RGPD « ne confère pas à la personne concernée un droit général à obtenir une copie partielle ou intégrale du document contenant les données à caractère personnel de cette personne ou, lorsque les données à caractère personnel sont traitées dans une base de données, un extrait de cette base de données ». Cela dit, l’avocat général Pitruzzella a également précisé que « cette disposition n’exclut cependant pas qu’il se puisse que des parties de documents, ou des documents entiers, ou des extraits de bases de données doivent être fournis à la personne concernée si cela est nécessaire pour garantir le caractère pleinement intelligible des données à caractère personnel faisant l’objet d’un traitement auxquelles l’accès est demandé » ( 41 ).

77.

Pour des raisons d’économie de la procédure, je ne reproduis pas ici les raisons qui l’ont amené à prendre cette position. Il suffit de constater que je partage pleinement son point de vue à cet égard. En effet, le RGPD n’est pas une législation sur l’accès aux documents, mais sur la protection des données. Par conséquent, son objet principal est d’assurer l’accès aux données et non aux documents qui contiennent des données. Alors que, dans certains cas, le second peut nécessairement impliquer le premier, il n’en va pas toujours ainsi.

78.

Cela dit, il me semble que, conformément au principe de transparence ( 42 ) et à l’exigence que les informations soient fournies d’une « façon concise, transparente, compréhensible et aisément accessible » ( 43 ), il n’est pas exclu que, en ce qui concerne les documents contenus dans les dossiers médicaux, le droit d’obtenir une copie des données faisant l’objet du traitement puisse souvent nécessiter un droit de se voir remettre une copie (partielle ou intégrale) des documents originaux. En particulier en ce qui concerne les résultats d’analyses ou de tests (qui comprennent généralement de nombreuses données techniques ou images), je pense que permettre aux médecins (ou à leur personnel) de résumer ou de compiler ces données, afin de les fournir sous une forme synthétique, peut créer le risque que certaines données pertinentes soient omises ( 44 ) ou déclarées de manière incorrecte ( 45 ) ou, en tout état de cause, rendre plus difficile pour les personnes concernées (à savoir les patients) d’en vérifier l’exactitude et l’exhaustivité.

79.

C’est probablement pour cette raison que, ainsi qu’il a déjà été mentionné, le considérant 63 du RGPD indique expressément que le droit d’accès aux données à caractère personnel « inclut le droit des personnes concernées d’accéder aux données concernant leur santé, par exemple les données de leurs dossiers médicaux contenant des informations telles que des diagnostics, des résultats d’examens, des avis de médecins traitants et tout traitement ou intervention administrés ».

80.

Il apparaît ainsi que le législateur de l’Union lui-même a souligné l’importance que l’accès des personnes physiques aux données à caractère personnel concernant leur santé soit non seulement facilement intelligible, mais aussi complet et précis que possible. Dans le même temps, il est clair que les dossiers médicaux peuvent contenir une série de documents qui ne comprennent pas les données à caractère personnel des patients (par exemple des articles scientifiques concernant les pathologies ou les traitements médicaux). De toute évidence, les patients ne disposent pas d’un droit d’accès aux informations contenues dans ces articles, et par conséquent aucun droit d’en obtenir une copie, sur le fondement du RGPD.

81.

À cet égard, je relève qu’il est possible que la réglementation nationale en cause, dont la modification fait l’objet, à ma compréhension, de discussions par les autorités nationales compétentes ( 46 ), accorde un droit d’accès des patients aux dossiers médicaux et, en particulier, d’obtenir des copies des documents qui y figurent, allant au-delà de ce qui est reconnu par le RGPD.

82.

Je ne vois aucune raison pour laquelle le droit de l’Union ne le permettrait pas, puisque cela relèverait d’un domaine juridique qui n’est pas réglementé au niveau de l’Union. En outre, pour autant que je puisse le constater, il n’y a pas de questions évidentes de conflit avec les règles du RGPD. Toutefois, il n’est guère besoin de souligner qu’un droit d’accès aux dossiers médicaux qui va au-delà de celui reconnu par le RGPD serait, dans cette mesure, uniquement régi par le droit national. Cela signifie qu’il appartient au législateur national de déterminer la portée de ce droit (par exemple, le type de documents concernés) et la manière dont l’accès doit être fourni (par exemple, à titre gratuit ou contre le remboursement des frais exposés).

83.

Par conséquent, je suggère à la Cour de répondre à la troisième question préjudicielle en ce sens que, dans le cadre d’une relation médecin/patient, l’expression « copie des données à caractère personnel faisant l’objet d’un traitement » figurant à l’article 15, paragraphe 3, du RGPD ne saurait être interprétée comme conférant à la personne concernée un droit général d’obtenir une copie intégrale de l’ensemble des documents figurant dans son dossier médical. Cela n’exclut pas la possibilité que le responsable du traitement soit tenu de fournir aux personnes concernées une copie partielle ou intégrale de certains documents. Tel est le cas lorsqu’une copie du document est nécessaire pour garantir que les données fournies sont intelligibles et que la personne concernée est en mesure de vérifier que les données fournies sont complètes et exactes.

84.

En conclusion, je propose à la Cour de répondre comme suit aux questions préjudicielles posées par le Bundesgerichtshof (Cour fédérale de justice, Allemagne) :

L’article 12, paragraphe 5, et l’article 15, paragraphe 3, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données),

doivent être interprétés en ce sens que :

ils imposent au responsable du traitement de fournir à la personne concernée une copie de ses données à caractère personnel, même lorsque la personne concernée demande cette copie non pas aux fins visées au considérant 63 de ce règlement, mais à des fins différentes, sans rapport avec la protection des données.

L’article 23, paragraphe 1, du règlement 2016/679 autorise une réglementation nationale qui impose aux patients sollicitant une copie des données à caractère personnel contenues dans leurs dossiers médicaux de rembourser aux médecins les frais exposés, à condition que la limitation du droit d’accès soit, au vu de l’ensemble des circonstances pertinentes, nécessaire et proportionnée aux objectifs de protection de la santé publique et de la liberté d’entreprise des médecins. En particulier, il appartient à la juridiction de renvoi de vérifier que les frais dont les médecins peuvent demander le remboursement aux patients se limitent strictement aux frais effectivement exposés à ce titre.

Dans le cadre d’une relation médecin/patient, l’expression « copie des données à caractère personnel faisant l’objet d’un traitement » figurant à l’article 15, paragraphe 3, du règlement 2016/679 ne saurait être interprétée comme conférant à la personne concernée un droit général d’obtenir une copie intégrale des documents figurant dans son dossier médical. Toutefois, le responsable du traitement doit fournir à la personne concernée une copie partielle ou intégrale de ces documents, lorsque cela est nécessaire pour garantir que les données fournies sont intelligibles et que la personne concernée est en mesure de vérifier que les données fournies sont complètes et exactes.