Chacun a le droit de savoir avec qui ses données personnelles ont été partagées. Telle est la conclusion à laquelle sont parvenus les juges de Cour européenne de justice (CEJ) dans un jugement rendu jeudi. Le fond est une affaire (C-154/21) relative à l’état partiel poste autrichienne. Un citoyen lui a demandé des informations sur le transfert de données personnelles. Cependant, la poste n’a pas nommé de destinataires spécifiques, uniquement des clients professionnels tels que des sociétés informatiques.

Toutefois, les juges luxembourgeois ont souligné que le responsable du traitement pouvait se limiter à « ne communiquer les catégories de destinataires que s’il n’est pas possible d’identifier les destinataires ou si la demande est manifestement infondée ou excessive ».

Droit de rectification et d’effacement

La CJUE a également relevé que « ce droit d’accès de la personne concernée est nécessaire pour lui permettre d’exercer les autres droits » qui lui sont conférés par la Règlement général sur la protection des données (RGPD) tels que le droit de rectification et le droit d’effacement (« droit à l’oubli »). Plus précisément, sur la base du RGPD, le citoyen a demandé à la Poste Suisse de l’informer à quel destinataire elle avait divulgué ses données personnelles.

La Poste a ensuite expliqué qu’elle utilise des données personnelles, dans la mesure où cela est légalement autorisé, dans le cadre de son travail d’éditeur d’annuaires téléphoniques et propose ces données à des clients professionnels à des fins de marketing.

Ce n’est que dans le cadre d’une procédure judiciaire que la Poste Suisse a informé le citoyen que ses données avaient été transmises à des clients, notamment des entreprises de publicité dans le domaine de la vente par correspondance et de la papeterie, des sociétés informatiques, des éditeurs d’adresses et des associations telles que des organisations caritatives, des organisations non gouvernementales (ONG) ou partis politiques. Maintenant, la Cour suprême d’Autriche, qui avait demandé à la CJCE d’interpréter le RGPD, doit trancher.