Destinataires des données : préparer la réponse RGPD

Lorsqu’une personne demande à qui ses données ont été communiquées, vous devez en principe lui fournir l’identité des destinataires concrets. Une réponse limitée à « nos prestataires et partenaires » ne suffit pas si ces destinataires peuvent être identifiés. La recherche doit porter sur les communications concernant cette personne, et non sur tous les fournisseurs inscrits dans votre annuaire.

Le travail comporte deux décisions : déterminer les organismes qui ont reçu ou recevront les données, puis expliquer les éventuelles limites de la réponse. L’arrêt C-154/21 de la Cour de justice permet de comprendre pourquoi le responsable ne choisit pas librement de remplacer les noms par des catégories.

Ce que tranche l’arrêt Österreichische Post

Dans l’affaire C-154/21, RW demande à Österreichische Post l’accès à ses données et l’identité des destinataires auxquels elles ont été communiquées. L’entreprise renvoie notamment à ses activités de marketing et à des informations sur son site, sans nommer les destinataires concrets. Pendant la procédure, elle énumère des catégories d’acteurs. Les juridictions de première instance et d’appel estiment que l’entreprise peut choisir de ne donner que ces catégories. Arrêt du 12 janvier 2023, points 17–27.

La question soumise à la Cour porte donc sur l’interprétation de l’Art. 15(1)(c), qui mentionne les destinataires ou catégories de destinataires. La Cour ne s’arrête pas à cette alternative grammaticale. Elle examine le droit d’accès dans son contexte et à la lumière de sa finalité.

Trois éléments de son raisonnement sont particulièrement utiles au DPO :

• le considérant 63 évoque l’identité des destinataires ;
• l’accès permet de vérifier la licéité du traitement et d’exercer d’autres droits, notamment la rectification, l’effacement et les recours ;
• l’Art. 19 prévoit déjà l’information de la personne sur les destinataires concernés par une rectification, un effacement ou une limitation.

La distinction avec une notice générale est essentielle. Les Art. 13 et 14 organisent l’information à fournir lors de la collecte ; l’Art. 15 établit un droit individuel d’accès. La Cour reconnaît à la personne le choix de demander les destinataires spécifiques ou de se limiter aux catégories. Même arrêt, points 33–46.

La solution comporte des limites : les catégories peuvent suffire lorsqu’il est impossible d’identifier les destinataires ou lorsque le responsable démontre que la demande est manifestement infondée ou excessive au sens de l’Art. 12(5). La Cour cite notamment le cas de destinataires encore inconnus. Elle laisse au juge national la vérification du caractère manifestement infondé ou excessif de la demande litigieuse ; elle ne le déclare pas établi elle-même. Points 47–51 et dispositif.

La conséquence pratique est claire : commencez par rechercher les identités, puis analysez une éventuelle limite. Ne partez pas d’une catégorie vague que vous conserveriez par commodité.

Identifier le bon périmètre de recherche

L’Art. 4(9) définit le destinataire comme celui qui reçoit communication de données personnelles, qu’il soit ou non un tiers. Un sous-traitant n’est donc pas écarté du raisonnement au seul motif qu’il intervient pour votre compte. Une société distincte appartenant au même groupe ne disparaît pas non plus de l’analyse parce que le métier qualifie le transfert d’« interne ». Définition du destinataire.

Le texte prévoit un régime particulier pour certaines autorités publiques recevant des données dans une mission d’enquête particulière conformément au droit applicable. Cette précision n’autorise pas à exclure toutes les administrations de toute réponse. Il faut qualifier la communication en cause et les éventuelles restrictions légales pertinentes.

Commencez par les traitements et les comptes rattachés à la personne. Identifiez ensuite les interfaces, exports, services hébergés et opérations manuelles correspondants. Pour chacun, recherchez l’entité juridique et la période : une marque commerciale peut avoir plusieurs opérateurs, et un contrat actuel peut masquer un changement de prestataire.

La cartographie de la chaîne de sous-traitance fournit des pistes, mais elle ne remplace pas le rapprochement avec le dossier individuel. Inversement, le journal d’un seul outil peut manquer une transmission effectuée hors de celui-ci.

Dossier D-44 : rapprocher les pièces et les communications

Exemple hypothétique. La société fictive Atelier Rivage reçoit la demande d’une cliente portant sur les destinataires des données de sa commande D-44 et des échanges d’assistance associés. Le compte, la commande et deux tickets d’assistance sont identifiés. L’un précède le remplacement de l’outil de support ; l’autre lui est postérieur.

L’entreprise examine quatre entités fictives. Le tableau suivant est une fiche de travail remplie, pas une liste de destinataires réels :

Le contrat établit une identité et des opérations convenues ; il ne prouve pas seul qu’une commande précise a été transmise. Le bordereau établit ici le rattachement à D-44. Pour Assistance B, le nouveau ticket ne suffirait pas à expliquer la réception de l’ancien échange : c’est la trace de migration qui établit ce second flux.

Dans ce scénario, le service confirme aussi le périmètre de la chaîne technique utilisée pour ces opérations et l’absence d’autres destinataires à ajouter après examen. Cette hypothèse est nécessaire pour présenter la fiche comme aboutie. Dans un dossier réel, une liste de trois sociétés ne serait pas complète simplement parce que trois contrats ont été retrouvés.

Le contrôle doit distinguer la réception passée et la conservation actuelle. Si Assistance A a ensuite supprimé les données, cette suppression peut être indiquée lorsqu’elle est établie, mais son nom reste pertinent pour expliquer la communication passée. Une attestation d’effacement ne réécrit pas l’historique des transmissions.

Rédiger la partie « destinataires » de la réponse

La réponse peut reprendre les dénominations retenues avec un contexte compréhensible. Pour D-44, le passage suivant illustre cette partie seulement ; il ne remplace pas les autres informations ou la copie éventuellement demandées au titre de l’Art. 15.

Les données de votre commande D-44 ont été communiquées à Livraison Est SAS pour la livraison du 4 septembre. Votre premier échange d’assistance a été reçu par Assistance A SARL. Lors du changement de service, cet échange a été transmis à Assistance B SAS, qui a également reçu votre second échange. Nous avons vérifié ces éléments à partir du bordereau de livraison, des tickets et de l’historique de migration. Les entreprises inscrites dans notre liste générale de partenaires n’ont pas toutes reçu les données de votre dossier.

Le nom juridique et le contexte servent à identifier effectivement le destinataire. Lorsque la dénomination reste ambiguë, complétez-la avec les éléments pertinents, par exemple le pays ou une adresse professionnelle, sans inventer un numéro d’immatriculation ni ajouter des coordonnées personnelles inutiles.

Le tableau interne peut être plus détaillé que la réponse : références des pièces, auteur du contrôle, date et réserves. Ces colonnes assurent la traçabilité du travail ; elles ne constituent pas chacune une information automatiquement exigible au titre du seul Art. 15(1)(c).

Cette partie s’intègre à la réponse au droit d’accès. Ne remplacez pas toute la réponse par une liste de noms si la personne a demandé également ses données, leurs finalités ou leur durée de conservation.

Répondre lorsque des informations manquent

Supposons maintenant que le prestataire confirme une migration, mais ne précise pas si D-44 figurait dans le lot. Il faut lui demander le périmètre, les identifiants et les éléments disponibles permettant le rapprochement. L’Art. 28(3)(e) prévoit son assistance pour donner suite aux droits ; l’Art. 28(3)(h) organise la mise à disposition des informations démontrant le respect de ses obligations. Obligations du sous-traitant.

Dans cette variante, n’écrivez ni « aucune transmission » ni « transmission certaine » sur la seule base d’une réponse incomplète. Consignez la recherche encore nécessaire, son responsable et la relance. L’absence de journal ne prouve pas l’absence de communication ; elle ne suffit pas davantage à établir automatiquement l’impossibilité juridique d’identifier un destinataire.

Si une impossibilité demeure après examen, exposez sa nature et communiquez les catégories pertinentes dans les conditions dégagées par la Cour. Une formule standard « données confidentielles de nos partenaires » n’explique pas pourquoi leurs identités ne pourraient pas être fournies.

Pour un futur prestataire effectivement inconnu, indiquez la catégorie et le contexte envisagé. Si le destinataire futur est déjà déterminé, ne le présentez pas comme inconnu pour conserver une réponse générique. L’Art. 15(1)(c) vise les données qui ont été ou seront communiquées.

Le délai suit l’Art. 12(3) : réponse sans retard excessif et dans le mois en principe ; prolongation éventuelle annoncée et motivée dans les conditions du texte. Les échanges avec un fournisseur ne déclenchent pas automatiquement un nouveau délai. Si vous ne donnez pas suite, l’Art. 12(4) impose d’expliquer les motifs et les voies de réclamation et de recours. Art. 12.

Conserver une preuve utile sans tout garder indéfiniment

Gardez le rapprochement entre demande, périmètre, pièces consultées et réponse. Le dossier doit permettre de comprendre pourquoi une entité a été incluse, exclue ou laissée sous réserve. Il n’est pas nécessaire de dupliquer tous les échanges clients dans chaque fiche de recherche lorsque des références suffisantes permettent de retrouver les preuves autorisées.

Les informations recueillies peuvent aussi aider à appliquer l’Art. 19 : notification aux destinataires d’une rectification, d’un effacement ou d’une limitation, sauf impossibilité ou efforts disproportionnés selon ce texte, et information de la personne si elle la demande. La propagation des rectifications demeure une opération à exécuter ; connaître un destinataire ne prouve pas que la correction lui a été transmise.

Définissez des accès et des durées adaptés à ces preuves. L’objectif de répondre aux personnes ne justifie pas une conservation indifférenciée de tous les journaux, contraire à l’examen de nécessité prévu par l’Art. 5(1)(e). Limitation de la conservation.

Ce qu’il faut retenir

• Recherchez les identités concrètes ; une notice générale ne règle pas une demande individuelle.
• Reliez chaque destinataire au dossier, au flux et à la période pertinents.
• Distinguez preuve manquante, impossibilité établie et destinataire futur encore inconnu.
• Ne confondez pas une communication passée avec la conservation actuelle des données.

FAQ

Faut-il communiquer tout le registre des fournisseurs ?

Non. Il peut inclure des entreprises étrangères au dossier et omettre d’anciens destinataires. La recherche doit établir les communications concernant la personne ; le registre constitue une source de travail, pas une réponse automatique.

Le demandeur peut-il préférer seulement les catégories ?

Oui. L’arrêt reconnaît ce choix à la personne. En revanche, le responsable ne peut pas imposer cette réponse moins précise par simple commodité lorsque les identités sont demandées et identifiables.

Faut-il obtenir l’accord du fournisseur pour donner son nom ?

L’exécution du droit d’accès ne dépend pas d’une autorisation commerciale discrétionnaire du fournisseur. Si une restriction particulière est invoquée, elle doit être juridiquement examinée et motivée ; une clause générale de confidentialité ne suffit pas à neutraliser ce droit.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.