Le litige concerne une décision de l’Österreichische Datenschutzbehörde (DSB), autorité autrichienne de protection des données, qui avait refusé de traiter une réclamation introduite par F R au motif qu’elle était “excessive” au sens de l’article 57, paragraphe 4, du RGPD. F R avait soumis un total de **77 réclamations en 20 mois**, principalement pour contester des retards dans les réponses à ses demandes d’accès ou d’effacement auprès de divers responsables du traitement. La DSB avait qualifié ces demandes d'”excessives” en invoquant leur caractère répétitif et la charge disproportionnée qu’elles imposaient à ses ressources.
Le Bundesverwaltungsgericht (tribunal administratif fédéral autrichien) avait annulé cette décision, estimant qu’une demande ne peut être qualifiée d’excessive que si elle est accompagnée d’une intention abusive ou vexatoire. Saisie en révision par la DSB, la Cour administrative autrichienne (Verwaltungsgerichtshof) a posé trois questions préjudicielles à la CJUE.
SYNTHESE DES QUESTIONS PREJUDICIELLES
1. La notion de “demande” inclut-elle les “réclamations” au sens du RGPD ?
2. Une demande peut-elle être qualifiée d'”excessive” uniquement en raison de son nombre ?
3. Les Autorités peuvent-elles choisir librement entre exiger des frais ou refuser une demande excessive ?
MOTIVATION DE LA CJUE
1. L’article 57, paragraphe 4, du RGPD utilise le terme “demande” sans le définir explicitement; c’est pourquoi la CJUE a considéré que cette notion incluait également les “réclamations” visées à l’article 77(1), et à l’article 57(1)(f) du RGPD.
Cette interprétation repose sur :
– Le libellé large du terme “demande”, qui englobe toute sollicitation adressée à une autorité.
– Le contexte réglementaire, où l’article 57 établit un principe général de gratuité pour toutes les missions des autorités de contrôle. L’exception prévue à l’article 57, paragraphe 4, doit donc s’appliquer à toutes les demandes, y compris les réclamations introduites par les personnes concernées; à ce propos d’ailleurs, dans l’affaire Nemzeti Adatvédelmi és Információszabadság Hatóság (C-132/21), la CJUE avait bien confirmé que les réclamations jouent un rôle essentiel dans la protection des droits des personnes concernées.
Par suite, l’inclusion des réclamations dans le champ d’application de l’article 57, paragraphe 4, garantit un équilibre entre la protection des droits individuels et le fonctionnement efficace des autorités de contrôle
2. La CJUE a jugé, par ailleurs, que le simple nombre élevé de demandes ne suffit pas pour qualifier une demande d'”excessive”. Une telle qualification nécessite également une preuve d’intention abusive ou vexatoire.
L’autorité devra démontrer que :
– Les demandes n’ont pas pour but légitime de protéger les droits garantis par le RGPD.
– Elles visent à entraver le fonctionnement normal de l’autorité en mobilisant ses ressources de manière disproportionnée.
Dans une affaire concernant les copies de dossier médical (CJUE AFF. C-307/22), la Cour avait considéré, sur la base de l’article 12(5)du RGPD que les responsables du traitement pouvaient refuser des demandes abusives ou répétitives. Cette logique est donc ic transposée aux Autorités de contrôle dans le cadre de l’article 57(4)
3. L’article 57, paragraphe 4, offre deux options : soit exiger des frais raisonnables basés sur les coûts administratifs, soit refuser une demande excessive.
La Cour vient préciser ici que ce choix doit être d’une part motivé — l’Autorité doit justifier pourquoi elle choisit l’une ou l’autre des options — et proportionné d’autre part, Le refus pur et simple devant rester exceptionnel et n’être utilisé que lorsque d’autres mesures (comme exiger des frais) ne suffisent pas à prévenir les abus.
De la sorte, ces pratiques pourront et garantir un niveau élevé de protection des données personnelles et éviter une surcharge administrative inutile pour les autorités ( V. Considérant 129 du RGPD et les principes qui en ont été dégagés dans l’affaire SCHUFA Holding (C-26/22))
Dans ses conclusions, l’Avocat Général a donné quelques exemples de demandes pouvant être considérées par la Cour comme manifestement infondées ou excessives, à savoir:
1. Demandes répétitives sans justification légitime
– Une personne introduit plusieurs réclamations identiques ou très similaires auprès d’une autorité de contrôle, visant le même responsable du traitement, sans qu’un changement dans les circonstances factuelles le justifie.
– Une personne soumet des demandes à des intervalles très courts, rendant leur traitement disproportionné par rapport aux ressources disponibles.
2. Usage disproportionné du droit d’introduire des réclamations
Bien que le nombre élevé de réclamations puisse indiquer un usage disproportionné, la Cour a insisté sur la nécessité de démontrer une intention abusive ou vexatoire pour qualifier ces demandes d’excessives.
3. Saturation intentionnelle des ressources d’une autorité
La CJUE a évoqué des cas où une personne utilise son droit de soumettre des réclamations dans le but manifeste de paralyser le fonctionnement d’une autorité de contrôle, notamment :
– En visant une multitude de responsables du traitement avec lesquels elle n’a pas nécessairement de lien.
– En introduisant un nombre si élevé de réclamations que cela mobilise abusivement les ressources administratives.
4. Absence d’objectif légitime lié à la protection des droits
Les demandes peuvent être qualifiées d’excessives si elles ne sont pas objectivement nécessaires à la protection des droits garantis par le RGPD. Par exemple :
– Une personne soumet des réclamations sans lien clair avec ses données personnelles ou sans chercher réellement à protéger ses droits.
– L’introduction de réclamations vise uniquement à nuire au fonctionnement normal de l’autorité.
5. Répétition abusive malgré des réponses déjà fournies
Une demande pourrait être manifestement infondée si :
– Elle est formulée malgré une réponse complète et conforme déjà fournie par le responsable du traitement ou par l’autorité compétente.
– Elle consiste en une tentative délibérée d’obtenir un résultat différent sans apporter d’éléments nouveaux.