Une demande d’accès à ses données à caractère personnel peut être qualifiée d’abusive et refusée si elle est introduite dans le seul but de demander ensuite
une réparation pour prétendue violation du RGPD.
Un individu résidant en Autriche s’est abonné au bulletin d’information d'une société établie en Allemagne, via le formulaire d’inscription disponible sur le site internet de l’entreprise.
Quelques jours plus tard, il a adressé à la société une demande d’accès à ses données à caractère personnel au titre du RGPD (règlement général sur la protection des données - Règlement (UE) 2016/679 du 27 avril 2016).
La société s'est opposée à cette demande, soutenant qu'il ressortait de divers reportages, articles de blog et bulletins d’avocats que cet individu s’inscrivait systématiquement à des bulletins d’information de diverses entreprises, avant d’introduire une demande d’accès puis une demande de réparation.
Saisi de ce litige, le tribunal de district d’Arnsberg (Allemagne) a interrogé la Cour de justice de l'Union européenne (CJUE) sur le fait de savoir si une première demande d’accès aux données à caractère personnel introduite par la personne concernée peut être considérée comme étant "excessive" et si cette personne a droit à réparation du dommage résultant d’une violation du droit d’accès à ces données.
Dans son arrêt rendu le 19 mars 2026 (affaire C‑526/24), la CJUE répond qu’une première demande d’accès peut, sous certaines circonstances, déjà être considérée comme étant "excessive" au sens du RGPD, et donc être abusive.
C’est le cas lorsque le responsable du traitement démontre que, malgré un respect formel des conditions prévues par le RGPD pour l’introduction d’une demande d’accès, cette demande a été introduite non pas pour prendre connaissance du traitement des données et d’en vérifier la licéité, mais avec l’intention, qu’on peut qualifier d’"abusive", de créer artificiellement les conditions requises pour obtenir une réparation en vertu du RGPD.
Le fait que, selon des informations accessibles au public, la personne concernée ait introduit plusieurs demandes d’accès à ses données à caractère personnel, suivies de demandes de réparation, auprès des différents responsables du traitement peut être pris en (...)
