ORDONNANCE DE LA COUR (sixième chambre)

27 mai 2024 (*)

« Renvoi préjudiciel – Article 99 du règlement de procédure de la Cour – Réponse pouvant être clairement déduite de la jurisprudence – Protection des personnes physiques à l’égard du traitement des données à caractère personnel et libre circulation de ces données – Règlement (UE) 2016/679 – Article 15 – Droit d’accès de la personne concernée aux données personnelles la concernant et faisant l’objet d’un traitement – Droit d’obtenir une copie de ces données – Notion de “copie” – Motifs de la demande d’accès auxdites données – Utilisation des données afin d’engager une action en justice »

Dans l’affaire C‑312/23,

ayant pour objet une demande de décision préjudicielle au titre de l’article 267 TFUE, introduite par l’Upravni sud u Zagrebu (tribunal administratif de Zagreb, Croatie), par décision du 2 mai 2023, parvenue à la Cour le 22 mai 2023, dans la procédure

Addiko Bank d.d.

contre

Agencija za zaštitu osobnih podataka,

LA COUR (sixième chambre),

composée de M. T. von Danwitz, président de chambre, M. P. G. Xuereb et M^me I. Ziemele (rapporteure), juges,

avocat général : M. N. Emiliou,

greffier : M. A. Calot Escobar,

vu la décision prise, l’avocat général entendu, de statuer par voie d’ordonnance motivée, conformément à l’article 99 du règlement de procédure de la Cour,

rend la présente

Ordonnance

1        La demande de décision préjudicielle porte sur l’interprétation de l’article 15, paragraphe 3, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, ci-après le « RGPD »).

2        Cette demande a été présentée dans le cadre d’un litige opposant Addiko Bank d.d. à l’Agencija za zaštitu osobnih podataka (Agence de protection des données à caractère personnel, ci-après l’« Agence ») au sujet de l’amende administrative infligée par cette dernière à Addiko Bank en raison de son refus de communiquer à ses clients les copies de la documentation de crédit les concernant.

 Le cadre juridique

 Le droit de l’Union

3        Les considérants 10, 11, 58, 59 et 63 du RGPD énoncent :

« (10)      Afin d’assurer un niveau cohérent et élevé de protection des personnes physiques et de lever les obstacles aux flux de données à caractère personnel au sein de l’Union [européenne], le niveau de protection des droits et des libertés des personnes physiques à l’égard du traitement de ces données devrait être équivalent dans tous les États membres. [...]

(11)      Une protection effective des données à caractère personnel dans l’ensemble de l’Union exige de renforcer et de préciser les droits des personnes concernées et les obligations de ceux qui effectuent et déterminent le traitement des données à caractère personnel, [...]

[...]

(58)      Le principe de transparence exige que toute information adressée au public ou à la personne concernée soit concise, aisément accessible et facile à comprendre, et formulée en des termes clairs et simples et, en outre, lorsqu’il y a lieu, illustrée à l’aide d’éléments visuels. Ces informations pourraient être fournies sous forme électronique, par exemple via un site internet lorsqu’elles s’adressent au public. Ceci vaut tout particulièrement dans des situations où la multiplication des acteurs et la complexité des technologies utilisées font en sorte qu’il est difficile pour la personne concernée de savoir et de comprendre si des données à caractère personnel la concernant sont collectées, par qui et à quelle fin, comme dans le cas de la publicité en ligne. [...]

(59)      Des modalités devraient être prévues pour faciliter l’exercice par la personne concernée des droits qui lui sont conférés par le présent règlement, y compris les moyens de demander et, le cas échéant, d’obtenir sans frais, notamment, l’accès aux données à caractère personnel, et leur rectification ou leur effacement, et l’exercice d’un droit d’opposition. [...]

[...]

(63)      Une personne concernée devrait avoir le droit d’accéder aux données à caractère personnel qui ont été collectées à son sujet et d’exercer ce droit facilement et à des intervalles raisonnables, afin de prendre connaissance du traitement et d’en vérifier la licéité. [...] »

4        L’article 4 de ce règlement prévoit :

« Aux fins du présent règlement, on entend par :

[...]

2)      “traitement”, toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction ;

[...]

7)      “responsable du traitement”, la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement ; [...]

[...] »

5        L’article 12 dudit règlement dispose :

« 1.      Le responsable du traitement prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14 ainsi que pour procéder à toute communication au titre des articles 15 à 22 et de l’article 34 en ce qui concerne le traitement à la personne concernée d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un enfant. Les informations sont fournies par écrit ou par d’autres moyens y compris, lorsque c’est approprié, par voie électronique. Lorsque la personne concernée en fait la demande, les informations peuvent être fournies oralement, à condition que l’identité de la personne concernée soit démontrée par d’autres moyens.

2.      Le responsable du traitement facilite l’exercice des droits conférés à la personne concernée au titre des articles 15 à 22. [...]

[...]

5.      Aucun paiement n’est exigé pour fournir les informations au titre des articles 13 et 14 et pour procéder à toute communication et prendre toute mesure au titre des articles 15 à 22 et de l’article 34. Lorsque les demandes d’une personne concernée sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, le responsable du traitement peut :

a)      exiger le paiement de frais raisonnables qui tiennent compte des coûts administratifs supportés pour fournir les informations, procéder aux communications ou prendre les mesures demandées ; ou

b)      refuser de donner suite à ces demandes.

Il incombe au responsable du traitement de démontrer le caractère manifestement infondé ou excessif de la demande.

[...] »

6        L’article 15 du même règlement énonce :

« 1.      La personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel ainsi que les informations suivantes :

a)      les finalités du traitement ;

b)      les catégories de données à caractère personnel concernées ;

c)      les destinataires ou catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées, en particulier les destinataires qui sont établis dans des pays tiers ou les organisations internationales ;

d)      lorsque cela est possible, la durée de conservation des données à caractère personnel envisagée ou, lorsque ce n’est pas possible, les critères utilisés pour déterminer cette durée ;

e)      l’existence du droit de demander au responsable du traitement la rectification ou l’effacement de données à caractère personnel, ou une limitation du traitement des données à caractère personnel relatives à la personne concernée, ou du droit de s’opposer à ce traitement ;

f)      le droit d’introduire une réclamation auprès d’une autorité de contrôle ;

g)      lorsque les données à caractère personnel ne sont pas collectées auprès de la personne concernée, toute information disponible quant à leur source ;

h)      l’existence d’une prise de décision automatisée, y compris un profilage, visée à l’article 22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la logique sous-jacente, ainsi que l’importance et les conséquences prévues de ce traitement pour la personne concernée.

[...]

3.      Le responsable du traitement fournit une copie des données à caractère personnel faisant l’objet d’un traitement. Le responsable du traitement peut exiger le paiement de frais raisonnables basés sur les coûts administratifs pour toute copie supplémentaire demandée par la personne concernée. Lorsque la personne concernée présente sa demande par voie électronique, les informations sont fournies sous une forme électronique d’usage courant, à moins que la personne concernée ne demande qu’il en soit autrement.

[...] »

 Le droit croate

7        Aux termes de l’article 34 du Zakon o provedbi Opće uredbe o zaštiti podataka (loi de mise en œuvre du règlement général sur la protection des données) (Narodne novine, br. 42/18) :

« (1)      Toute personne qui estime qu’il a été porté atteinte à un droit garanti par la présente loi et par le [RGPD] peut saisir l’Agence d’une demande de constatation d’une violation de droits.

[...] »

8        L’article 44 de cette loi prévoit :

« (1)      L’Agence inflige des amendes administratives pour violation des dispositions de la présente loi et du [RGPD], conformément à l’article 83 du [RGPD].

[...] »

9        L’article 160 du Zakon o kreditnim institucijama (loi sur les établissements de crédit) (Narodne novine, br. 159/13, 19/15, 102/15, 15/18 et 70/19) est libellé comme suit :

« (1)      L’établissement de crédit est tenu d’établir, de contrôler et de conserver les documents comptables conformément aux règles et aux normes professionnelles en vigueur.

(2)      Par dérogation au paragraphe 1 du présent article, l’établissement de crédit conserve pendant au moins onze ans :

1)      les documents relatifs à l’ouverture et à la clôture et enregistrement de l’évolution du solde des comptes de paiement et des dépôts

2)      les documents relatifs aux évolutions autres que celles visées au point 1 du présent paragraphe sur la base desquelles les informations ont été inscrites dans la comptabilité de l’établissement de crédit et

3)      les contrats et autres documents relatifs à la création d’une relation d’affaires.

[...] »

 Le litige au principal et les questions préjudicielles

10      Entre le 25 mai 2018 et le 30 avril 2019, plusieurs clients de Hypo Alpe Adria Bank d.d., à laquelle Addiko Bank a succédé, ont demandé à cette dernière de leur fournir une copie des documents contenant leurs données personnelles, notamment les contrats de prêt qu’ils avaient conclus avec la première banque, les plans de remboursement, les documents portant sur l’évolution des taux d’intérêt ainsi que des relevés de compte. Certaines de ces demandes étaient explicitement motivées par la volonté de ces clients d’introduire une réclamation ou une action en justice contre Addiko Bank.

11      Celle-ci a rejeté lesdites demandes en indiquant que les documents en question, qu’elle était tenue de conserver en vertu de la loi et dont une copie avait été demandée, se rapportaient à des relations de crédit qui avaient pris fin.

12      Après que des plaintes ont été introduites par les clients concernés en raison du rejet de leurs demandes par Addiko Bank, l’Agence, saisie par ces clients, a constaté que ce rejet était constitutif d’une violation de l’article 15, paragraphe 3, du RGPD. Cette banque ne s’étant pas conformée aux injonctions qui lui ont été adressées par l’Agence dans 26 cas spécifiques, cette dernière l’a condamnée au paiement d’une amende administrative de 1 100 000 kunas croates (HRK) (environ 146 667 euros).

13      Considérant, d’une part, que l’article 15, paragraphe 3, du RGPD ne consacre qu’un droit à la fourniture d’une copie des seules données à caractère personnel faisant l’objet d’un traitement, à l’exclusion des documents les contenant et, d’autre part, qu’il ressort de cette disposition, lue à la lumière du considérant 63 du RGPD, que le droit d’accès aux données à caractère personnel traitées est reconnu dans le seul but de vérifier la licéité du traitement de ces données, Addiko Bank a saisi l’Upravni sud u Zagrebu (tribunal administratif de Zagreb, Croatie), la juridiction de renvoi, d’un recours contre l’amende administrative que lui a infligée l’Agence.

14      Cette juridiction souligne que, dans plus de 30 affaires similaires, les juridictions administratives croates ont rejeté des recours dirigés contre des décisions de l’Agence, indiquant qu’une banque est tenue de fournir, à la demande de son client, une copie des documents de crédit dans lesquels figurent les données à caractère personnel concernant celui-ci, indépendamment des motifs pour lesquels cette demande a été présentée.

15      Cela étant, d’une part, la juridiction de renvoi exprime des doutes quant à la compatibilité de cette jurisprudence nationale avec l’arrêt du 17 juillet 2014, YS e.a. (C‑141/12 et C‑372/12, EU:C:2014:2081), par lequel la Cour aurait jugé que la personne concernée ne saurait se voir reconnaître le droit d’obtenir une copie du document ou du fichier original dans lequel figurent des données à caractère personnel la concernant. Cela étant, cet arrêt ayant procédé à l’interprétation de dispositions de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO 1995, L 281, p. 31), cette juridiction se demande si une telle interprétation s’impose également au regard des dispositions du RGPD, qui a remplacé cette directive.

16      D’autre part, ladite juridiction se demande si le droit, prévu à l’article 15, paragraphe 3, du RGPD, pour la personne concernée, d’obtenir une copie des données à caractère personnel la concernant et faisant l’objet d’un traitement peut être invoqué par cette personne en vue d’intenter une action en justice contre le responsable du traitement, au sens de l’article 4, point 7, de ce règlement.

17      Dans ces conditions, l’Upravni sud u Zagrebu (tribunal administratif de Zagreb) a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :

« 1)      Le responsable du traitement est-il tenu, en vertu de l’article 15, paragraphe 3, du [RGPD], de fournir à la personne concernée une copie du document dans lequel figurent ses données à caractère personnel ?

2)      Le responsable du traitement est-il autorisé à rejeter une demande de copie de données à caractère personnel que la personne concernée a présentée, conformément à l’article 15, paragraphe 3, du [RGPD], non pas afin, au sens du considérant [...] 63 dudit règlement, de prendre connaissance du traitement et d’en vérifier la légalité, mais comme un moyen d’obtenir une documentation susceptible de l’aider à intenter une action en justice contre le responsable du traitement, ou bien, la finalité pour laquelle les données sont demandées n’est pas pertinente aux fins de la décision du responsable du traitement concernant la demande en question ? »

 La procédure devant la Cour

18      Par une décision du président de la Cour du 12 juillet 2023, la procédure dans la présente affaire a été suspendue jusqu’au prononcé de l’arrêt du 26 octobre 2023, FT (Copies du dossier médical) (C‑307/22, EU:C:2023:811).

19      Par une lettre du 24 novembre 2023, le greffe de la Cour a communiqué cet arrêt à la juridiction de renvoi et l’a invitée à lui indiquer si, à la lumière de celui-ci, elle souhaitait maintenir sa demande de décision préjudicielle.

20      Par une lettre du 22 décembre 2023, cette juridiction a informé la Cour qu’elle entendait maintenir sa demande de décision préjudicielle.

 Sur les questions préjudicielles

21      En vertu de l’article 99 de son règlement de procédure, la Cour peut à tout moment, sur proposition du juge rapporteur, l’avocat général entendu, décider de statuer par voie d’ordonnance motivée lorsque la réponse à une question posée à titre préjudiciel peut être clairement déduite de la jurisprudence.

22      En l’occurrence, la Cour estime que l’interprétation du droit de l’Union sollicitée par la juridiction de renvoi peut être clairement déduite de l’arrêt du 26 octobre 2023, FT (Copies du dossier médical) (C‑307/22, EU:C:2023:811). Il y a donc lieu de faire application de l’article 99 du règlement de procédure dans la présente affaire.

 Sur la première question

23      Par sa première question, la juridiction de renvoi demande, en substance, si l’article 15, paragraphe 3, première phrase, du RGPD doit être interprété en ce sens que le droit, pour la personne concernée, d’obtenir une copie des données à caractère personnel la concernant et faisant l’objet d’un traitement implique qu’il soit remis à cette personne une copie intégrale des documents qui contiennent ces données ou seulement une copie desdites données en tant que telles.

24      À titre liminaire, il y a lieu de rappeler que, selon une jurisprudence constante, l’interprétation d’une disposition du droit de l’Union requiert de tenir compte non seulement de ses termes, mais également du contexte dans lequel elle s’inscrit ainsi que des objectifs et de la finalité que poursuit l’acte dont elle fait partie [arrêt du 12 janvier 2023, Österreichische Post (Informations relatives aux destinataires de données personnelles), C‑154/21, EU:C:2023:3, point 29 et jurisprudence citée].

25      Tout d’abord, la Cour a jugé que, en vertu du libellé de l’article 15, paragraphe 3, première phrase, du RGPD, cette disposition confère à la personne concernée le droit d’obtenir une reproduction fidèle des données à caractère personnel la concernant, entendues dans une acception large, qui font l’objet d’opérations devant être qualifiées de « traitement » effectué par le responsable de ce traitement [arrêt du 26 octobre 2023, FT (Copies du dossier médical), C‑307/22, EU:C:2023:811, point 71 et jurisprudence citée].

26      Ensuite, concernant le contexte dans lequel s’inscrit ladite disposition, la Cour a également jugé que l’article 15 du RGPD ne saurait être interprété comme consacrant, à son paragraphe 3, première phrase, un droit distinct de celui prévu à son paragraphe 1. Par ailleurs, il a été précisé que le terme « copie » se rapporte non pas à un document en tant que tel, mais aux données à caractère personnel qu’il contient et qui doivent être complètes. La copie doit donc contenir toutes les données à caractère personnel faisant l’objet d’un traitement [arrêt du 26 octobre 2023, FT (Copies du dossier médical), C‑307/22, EU:C:2023:811, point 72 et jurisprudence citée].

27      Enfin, s’agissant des objectifs poursuivis par l’article 15 du RGPD, celui-ci a pour finalité de renforcer et de préciser les droits des personnes concernées. Ainsi, le droit d’accès prévu à cet article doit permettre à la personne concernée de s’assurer que les données à caractère personnel la concernant sont exactes et qu’elles sont traitées de manière licite. Par ailleurs, la copie des données à caractère personnel faisant l’objet d’un traitement, que le responsable du traitement doit fournir en vertu de l’article 15, paragraphe 3, première phrase, du RGPD, doit présenter l’ensemble des caractéristiques permettant à la personne concernée d’exercer effectivement ses droits au titre de ce règlement et doit, par conséquent, reproduire intégralement et fidèlement ces données [arrêt du 26 octobre 2023, FT (Copies du dossier médical), C‑307/22, EU:C:2023:811, point 73 et jurisprudence citée].

28      En particulier, afin de garantir que les informations fournies par le responsable du traitement soient faciles à comprendre, comme l’exige l’article 12, paragraphe 1, du RGPD, lu à la lumière du considérant 58 de ce règlement, la reproduction d’extraits de documents, voire de documents entiers, qui contiennent, entre autres, les données à caractère personnel faisant l’objet d’un traitement peut s’avérer indispensable dans le cas où la contextualisation des données traitées est nécessaire pour en assurer l’intelligibilité [arrêt du 26 octobre 2023, FT (Copies du dossier médical), C‑307/22, EU:C:2023:811, point 74 et jurisprudence citée].

29      Par conséquent, le droit d’obtenir de la part du responsable du traitement une copie des données à caractère personnel faisant l’objet d’un traitement implique qu’il soit remis à la personne concernée une reproduction fidèle et intelligible de l’ensemble de ces données. Ce droit suppose celui d’obtenir la copie d’extraits de documents, voire de documents entiers, qui contiennent, entre autres, lesdites données, si la fourniture d’une telle copie est indispensable pour permettre à cette personne d’exercer effectivement les droits qui lui sont conférés par ledit règlement [arrêt du 26 octobre 2023, FT (Copies du dossier médical), C‑307/22, EU:C:2023:811, point 75 et jurisprudence citée].

30      Une telle conclusion n’est pas remise en cause par l’arrêt du 17 juillet 2014, YS e.a. (C‑141/12 et C‑372/12, EU:C:2014:2081), mentionné par la juridiction de renvoi.

31      En effet, dans cet arrêt, la Cour a interprété l’article 12, sous a), de la directive 95/46/CE, qui a été abrogée et remplacée par le RGPD, prévoyant le droit, pour la personne concernée, d’obtenir du responsable du traitement « la communication, sous une forme intelligible, des données faisant l’objet des traitements, ainsi que toute information disponible sur l’origine des données ».

32      Or, à la différence de cette disposition, l’article 15, paragraphe 3, première phrase, du RGPD prévoit explicitement le droit, pour la personne concernée, d’obtenir du responsable du traitement une copie des données à caractère personnel la concernant et faisant l’objet d’un traitement.

33      Eu égard à l’ensemble des considérations qui précèdent, il y a lieu de répondre à la première question que l’article 15, paragraphe 3, première phrase, du RGPD doit être interprété en ce sens que le droit, pour la personne concernée, d’obtenir une copie des données à caractère personnel la concernant et faisant l’objet d’un traitement implique qu’il soit remis à cette personne une reproduction fidèle et intelligible de l’ensemble de ces données. Ce droit suppose celui d’obtenir une copie intégrale des documents qui contiennent, entre autres, lesdites données, si la fourniture d’une telle copie est nécessaire pour permettre à la personne concernée d’en vérifier l’exactitude et l’exhaustivité ainsi que pour garantir leur intelligibilité.

 Sur la seconde question

34      Par sa seconde question, la juridiction de renvoi demande, en substance, si l’article 15, paragraphes 1 et 3, du RGPD doit être interprété en ce sens que l’obligation de fournir à la personne concernée qui en fait la demande une copie des données à caractère personnel la concernant et faisant l’objet d’un traitement s’impose au responsable du traitement, même lorsque cette demande est motivée par un but étranger à ceux visés au considérant 63, première phrase, de ce règlement.

35      Ainsi qu’il a été rappelé au point 24 de la présente ordonnance, l’interprétation d’une disposition du droit de l’Union requiert de tenir compte non seulement de ses termes, mais également du contexte dans lequel elle s’inscrit ainsi que des objectifs et de la finalité que poursuit l’acte dont elle fait partie.

36      S’agissant, premièrement, du libellé de l’article 15, paragraphe 1, du RGPD, il convient de relever que cette disposition garantit le droit d’accès, pour la personne concernée, aux données à caractère personnel la concernant et faisant l’objet d’un traitement ainsi qu’aux informations énumérées à ladite disposition.

37      En outre, en vertu de l’article 15, paragraphe 3, première phrase, du RGPD, le responsable du traitement fournit une copie des données à caractère personnel faisant l’objet d’un traitement.

38      Ainsi qu’il résulte du point 25 de la présente ordonnance, l’article 15, paragraphe 3, première phrase, du RGPD confère à la personne concernée le droit d’obtenir une reproduction fidèle des données à caractère personnel la concernant, entendues dans une acception large, qui font l’objet d’opérations devant être qualifiées de « traitement » effectué par le responsable de ce traitement [arrêt du 26 octobre 2023, FT (Copies du dossier médical), C‑307/22, EU:C:2023:811, point 71 et jurisprudence citée].

39      En l’occurrence, il y a lieu de relever qu’une banque, telle que celle en cause au principal, procédant à des opérations de « traitement », au sens de l’article 4, point 2, du RGPD, concernant les données de ses clients ou des clients d’une banque à laquelle elle a succédé doit être considérée comme étant un « responsable du traitement », au sens de cet article 4, point 7, soumis aux obligations qu’implique cette qualité, en particulier celle de garantir un accès aux données à caractère personnel à la demande des personnes concernées.

40      Force est de constater que le libellé de l’article 15, paragraphes 1 et 3, du RGPD ne conditionne pas la fourniture d’une copie des données à caractère personnel à l’invocation, par la personne concernée, d’un motif visant à justifier sa demande d’accès à ces données. Cette disposition ne donne donc pas au responsable du traitement la possibilité d’exiger de cette personne qu’elle lui fasse part des motifs de cette demande [voir, en ce sens, arrêt du 26 octobre 2023, FT (Copies du dossier médical), C‑307/22, EU:C:2023:811, point 38].

41      S’agissant, deuxièmement, du contexte dans lequel s’insère l’article 15, paragraphes 1 et 3, du RGPD, cet article, qui fait partie de la section 2 du chapitre III de ce règlement, intitulée « Information et accès aux données à caractère personnel », complète le cadre de transparence du RGPD en octroyant à la personne concernée un droit d’accès aux données à caractère personnel la concernant et un droit d’information sur le traitement de ces données [voir, en ce sens, arrêt du 26 octobre 2023, FT (Copies du dossier médical), C‑307/22, EU:C:2023:811, point 41].

42      Par ailleurs, il convient de relever que, aux termes du considérant 59 du RGPD, « [d]es modalités devraient être prévues pour faciliter l’exercice par la personne concernée des droits qui lui sont conférés par [ce] règlement, y compris les moyens de demander et, le cas échéant, d’obtenir sans frais, notamment, l’accès aux données à caractère personnel, et leur rectification ou leur effacement, et l’exercice d’un droit d’opposition ».

43      Dès lors que, ainsi qu’il résulte du point 40 de la présente ordonnance, la personne concernée n’est pas tenue de motiver sa demande d’accès aux données à caractère personnel la concernant, l’article 15, paragraphes 1 et 3, du RGPD, lu à la lumière de la première phrase du considérant 63 de ce règlement, ne saurait être interprété en ce sens que cette demande doit être rejetée si elle vise un objectif autre que celui de prendre connaissance du traitement de ces données et d’en vérifier la licéité. Ce considérant ne saurait en effet restreindre la portée de l’article 15, paragraphe 3, du RGPD, telle que rappelée aux points 25 et 38 de cette ordonnance [voir, en ce sens, arrêt du 26 octobre 2023, FT (Copies du dossier médical), C‑307/22, EU:C:2023:811, point 43].

44      De surcroît, il y a lieu de rappeler qu’il résulte d’une jurisprudence constante que le préambule d’un acte de droit de l’Union n’a pas de valeur juridique contraignante et ne saurait être invoqué ni pour déroger aux dispositions mêmes de l’acte concerné ni pour interpréter ces dispositions dans un sens manifestement contraire à leur libellé (arrêt du 13 septembre 2018, Česká pojišťovna, C‑287/17, EU:C:2018:707, point 33 et jurisprudence citée).

45      Troisièmement, s’agissant des objectifs poursuivis par le RGPD, il convient de relever que ce règlement a pour finalité, ainsi que l’indiquent ses considérants 10 et 11, d’assurer un niveau cohérent et élevé de protection des personnes physiques au sein de l’Union ainsi que de renforcer et de préciser les droits des personnes concernées [arrêt du 26 octobre 2023, FT (Copies du dossier médical), C‑307/22, EU:C:2023:811, point 47].

46      C’est précisément aux fins de la réalisation de cet objectif que l’article 15, paragraphe 1, garantit à la personne concernée un droit d’accéder à ses données à caractère personnel [arrêt du 26 octobre 2023, FT (Copies du dossier médical), C‑307/22, EU:C:2023:811, point 48].

47      Partant, l’article 15, paragraphes 1 et 3, du RGPD fait partie des dispositions destinées à garantir ce droit d’accès ainsi que la transparence des modalités de traitement des données à caractère personnel à l’égard de la personne concernée [voir, en ce sens, arrêt du 26 octobre 2023, FT (Copies du dossier médical), C‑307/22, EU:C:2023:811, point 49].

48      Or, l’absence de nécessité, pour la personne concernée, d’invoquer un motif spécifique justifiant sa demande d’accès aux données à caractère personnel la concernant contribue nécessairement à faciliter l’exercice par cette personne des droits qui lui sont conférés par le RGPD [voir, en ce sens, arrêt du 26 octobre 2023, FT (Copies du dossier médical), C‑307/22, EU:C:2023:811, point 50].

49      Par conséquent, étant donné l’importance qu’attribue le RGPD au droit d’accéder aux données à caractère personnel faisant l’objet d’un traitement, tel qu’il est garanti à l’article 15, paragraphe 1, du RGPD, pour atteindre de tels objectifs, l’exercice de ce droit ne saurait être soumis à des conditions qui n’ont pas été expressément prévues par le législateur de l’Union, telles que l’obligation d’invoquer l’un des motifs mentionnés au considérant 63, première phrase, du RGPD [arrêt du 26 octobre 2023, FT (Copies du dossier médical), C‑307/22, EU:C:2023:811, point 51].

50      La circonstance que le traitement des données à caractère personnel répond à une obligation légale ne saurait exercer une quelconque influence sur l’étendue dudit droit.

51      En effet, le RGPD ne fait pas dépendre l’étendue du droit d’accès prévu à l’article 15, paragraphe 1, de ce règlement du motif de ce traitement.

52      Eu égard à l’ensemble des considérations qui précèdent, il y a lieu de répondre à la seconde question que l’article 15, paragraphes 1 et 3, du RGPD doit être interprété en ce sens que l’obligation de fournir à la personne concernée qui en fait la demande une copie des données à caractère personnel la concernant et faisant l’objet d’un traitement s’impose au responsable du traitement, même lorsque cette demande est motivée par un but étranger à ceux visés au considérant 63, première phrase, de ce règlement.

 Sur les dépens

53      La procédure revêtant, à l’égard des parties au principal, le caractère d’un incident soulevé devant la juridiction de renvoi, il appartient à celle-ci de statuer sur les dépens.

Par ces motifs, la Cour (sixième chambre) ordonne :

1)      L’article 15, paragraphe 3, première phrase, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données),

doit être interprété en ce sens que :

le droit, pour la personne concernée, d’obtenir une copie des données à caractère personnel la concernant et faisant l’objet d’un traitement implique qu’il soit remis à cette personne une reproduction fidèle et intelligible de l’ensemble de ces données. Ce droit suppose celui d’obtenir une copie intégrale des documents qui contiennent, entre autres, lesdites données, si la fourniture d’une telle copie est nécessaire pour permettre à la personne concernée d’en vérifier l’exactitude et l’exhaustivité ainsi que pour garantir leur intelligibilité.

2)      L’article 15, paragraphes 1 et 3, du règlement 2016/679,

doit être interprété en ce sens que :

l’obligation de fournir à la personne concernée qui en fait la demande une copie des données à caractère personnel la concernant et faisant l’objet d’un traitement s’impose au responsable du traitement, même lorsque cette demande est motivée par un but étranger à ceux visés au considérant 63, première phrase, de ce règlement.

Signatures

*      Langue de procédure : le croate.