Droit d’accès RGPD : une intention abusive justifie le refus de donner suite

Une entreprise peut refuser de donner suite à une demande d’accès aux données personnelles si l’intention du demandeur est abusive, selon la Cour de justice de l’Union européenne (CJUE).

Dans son arrêt du 19 mars 2026, la CJUE considère qu’une demande d'accès peut être « excessive » au sens du RGPD, si elle est introduite « non pas pour prendre connaissance du traitement de ces données et d’en vérifier la licéité […] mais dans une intention abusive ».

_{Des demandes « systématiques et abusives »}

L'affaire C-526/24, Brillen Rottler GmbH & Co. KG contre TC, concerne une demande d’accès formulée par un résident autrichien auprès d’une entreprise familiale d’optique, établie en Allemagne. 

La société Brillen Rottler a fait valoir que le demandeur avait pour pratique régulière de faire « systématiquement et abusivement des demandes d’accès à ses données à caractère personnel dans le seul but d’obtenir des indemnités au titre d’une prétendue violation, qu’il provoque délibérément, des droits qu’il tire du RGPD ».

Selon la société, le demandeur s'est inscrit a sa newsletter en renseignant ses données, puis 13 jours après a formulé une demande d’accès à ses données au titre de l'article 15 du RGPD. L'individu réclame alors une indemnité d'au moins 1 000 euros au titre du préjudice moral prétendument subi suite au refus de la société.

_{Le droit d’accès : pas un droit absolu}

Prévue par l’article 15 du Règlement général sur la protection des données (RGPD), le droit d’accès permet à un individu de demander une copie de ses données personnelles détenues par l'entreprise ou l'autorité publique qui en est « responsable du traitement ». 

Selon le considérant 63 du RGPD, l'objectif de ce droit est de permettre à l’individu de « prendre connaissance du traitement et d'en vérifier la licéité ».

Or, ce droit n’est pas absolu. L’article 12§5 du RGPD indique en effet que « lorsque les demandes d'une personne concernée sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, le responsable du traitement peut : a) exiger le paiement de frais raisonnables qui tiennent compte des coûts administratifs supportés pour fournir les informations, procéder aux communications ou prendre les mesures demandées; ou b) refuser de donner suite à ces demandes ».

_{Ce que dit la Cour : l’intention est déterminante}

La CJUE a considéré que les faits exposés étaient pertinents pour établir les intentions abusives du demandeur et qu'il appartenait au tribunal de fond d’évaluer l'existence d’une telle intention, compte tenu de l’ensemble des circonstances (le fait que la personne ait fourni ses données volontairement, le but poursuivi lors de cette fourniture, le délai particulièrement court entre l'inscription et la demande d'accès, ainsi le comportement de la personne concernée, notamment si des informations accessibles au public attestent d'un schéma répétitif identique auprès de plusieurs responsables du traitement.)

Elle rappelle que le droit d'accès a une finalité précise : permettre à la personne concernée de vérifier la licéité du traitement de ses données et d'exercer, le cas échéant, ses droits à la rectification, à l'effacement, à la limitation ou à l'opposition.

_{Une jurisprudence en évolution}

Cette décision s’aligne sur une jurisprudence similaire selon laquelle une autorité nationale de la protection des données peut elle-même refuser de donner suite à des demandes excessives, sous condition « que soit démontrée une intention abusive de la part de la personne qui introduit de telles réclamations ». Ainsi, dans son arrêt du 9 janvier 2025 (Affaire C-416/23, Österreichische Datenschutzbehörde contre F R), la Cour avait considéré qu'il incombe à une autorité saisie d’un nombre important de réclamations « de démontrer que ce nombre s’explique non par la volonté de la personne concernée d’obtenir une protection des droits qu’elle tire du RGPD, mais par une finalité autre, sans lien avec cette protection. » 

Ces mêmes questions d’intentionnalité et de finalité seraient donc pertinentes dans la gestion de demandes d’accès par des responsables de traitement individuels, selon la décision Brillen Rottler. La CJEU indique en effet : «  qu’une première demande d’accès aux données […] peut être considérée comme étant « excessive », […], lorsque ce responsable du traitement démontre, au vu de l’ensemble des circonstances pertinentes de l’espèce, que, […] cette demande a été introduite par la personne concernée non pas pour prendre connaissance du traitement de ces données et d’en vérifier la licéité, afin de pouvoir, par la suite, obtenir une protection des droits qu’elle tire dudit règlement, mais dans une intention abusive, telle que la création artificielle des conditions requises pour l’obtention d’un avantage résultant de ce même règlement. » 

_{Sur le dommage moral : le comportement du demandeur peut rompre le lien de causalité}

La Cour apporte également des clarifications sur le régime de responsabilité de l'article 82 du RGPD.

Pour obtenir réparation d'un dommage matériel ou moral lié à une violation du RGPD, la personne concernée doit démontrer qu'elle a effectivement subi un tel dommage. La Cour confirme que le préjudice moral peut en principe inclure la perte de contrôle sur ses données ou l'incertitude quant à leur traitement, mais il doit être réel, pas simplement allégué. Au surplus, lorsque le propre comportement de la personne constitue la cause déterminante du préjudice invoqué, elle ne peut pas prétendre à réparation puisque le lien de causalité entre la violation du RGPD et le dommage subi est rompu.

_{Ce que cet arrêt change pour les responsables de traitement}

Cet arrêt est à prendre en compte par les services RH et juridiques confrontés à des demandes d'accès opportunistes, où il peut exister un doute sur la question de savoir si l’intention de la demande est véritablement de prendre connaissance du traitement et d'en vérifier la licéité.

Il précise le cadre jurisprudentiel permettant d’identifier des demandes abusives, y compris lorsqu'elles sont techniquement conformes aux exigences formelles du RGPD. 

Toutefois, la charge de la preuve reste lourde : il appartient au responsable du traitement de démontrer l'intention abusive, en s'appuyant sur un faisceau d'indices objectifs et documentés.

Pour les responsables de traitement, il s’agit concrètement de documenter les indices d'abus dès la réception de la demande, conserver une traçabilité des éléments contextuels, motiver soigneusement les décisions de refus, et anticiper le contentieux éventuel.

L’intégralité de l’arrêt de la CJUE est à retrouver ici.

Votre entreprise est visée par une demande d’accès ? Contactez-nous sur https://www.altij.fr/contact/nous-contacter 

_{ALTIJ Avocats – Droit des données, technologies et intelligence artificielle}

Le droit des données connaît une évolution soutenue, portée par l’adoption de nombreux règlements européens récents, Digital Services Act, Data Act, Data Governance Act… Cet empilement normatif complexifie à la fois le cadre juridique et les exigences opérationnelles auxquelles les organisations doivent se conformer.

Notre cabinet vous accompagne dans le cadre de la mise à jour de votre documentation contractuelle et de vos relations clients-fournisseurs et dans la structuration et la sécurisation de vos projets liés à la donnée, en tenant compte des enjeux juridiques, techniques et stratégiques.

Domaines d’intervention

• Contrats IT
• Nouvelles technologies
• Intelligence artificielle
• Formation

Notre accompagnement

• Conseil stratégique et accompagnement global
• Analyse du cadre juridique applicable à l’utilisation et à la réutilisation des données
• Accompagnement sur les mécanismes d’anonymisation et de pseudonymisation
• Rédaction et sécurisation de la documentation contractuelle
• Sécurité des données et gestion du risque cyber
• Prévention des contentieux (scraping, parasitisme, concurrence déloyale)
• Mise en conformité RGPD
• Veille juridique et réglementaire continue

Vous avez un projet data ou une question de conformité ? Contactez-nous pour un premier échange et identifions ensemble les leviers juridiques adaptés à vos enjeux.