Les autorités de contrôle sont responsables à l'égard des plaignants

Une autorité de protection des données saisie d'une plainte est responsable des données du plaignantEuropa et doit lui accorder l'accès de l'article 15Europa, a jugé la Cour de justice (troisième chambre) le 5 novembre 2026 dans l'affaire C-205/25 (Lindenberg contre Bayerisches Landesamt für Datenschutzaufsicht). Une interdiction légale générale de tout accès aux dossiers de l'autorité, tel le paragraphe 20, alinéa 2, de la loi bavaroise sur la protection des données, viole l'article 23 du RGPDEuropa : la confidentialité des tiers et le fonctionnement de l'autorité exigent mise en balance, occultation ou limites ciblées, jamais le refus total, et la sécurité publique requiert une menace réelle et suffisamment grave.

Le plaignant, journaliste tenant un blog sur la protection des données, avait déposé plusieurs plaintes auprès de l'autorité bavaroise depuis 2021. Après sa plainte du 13 mai 2022 contre un tiers, l'autorité a indiqué par courriel du 11 octobre 2022 avoir constaté des violations de la protection des données et qu'elle infligerait une amende en cas de nouvelles violations. Le jour même, il a demandé communication intégrale au titre de l'article 15, paragraphes 1 et 3 ; le 20 octobre 2022, l'autorité a refusé en invoquant l'interdiction générale bavaroise. Il a agi en décembre pour obtenir copie de toutes les informations du dossier de plainte ; en février 2024, l'autorité a accordé un accès électronique au dossier sans reconnaître aucune obligation, tandis qu'il demande toujours que le refus soit déclaré illégal.

Sur la première question, la Cour qualifie l'autorité saisie de la plainte de responsable au sens de l'article 4, paragraphe 7Europa : elle enregistre, consulte, stocke et utilise les données du plaignant, et les finalités et moyens de ce traitement découlent des dispositions de l'Union régissant l'autorité, qui peuvent désigner le responsable non seulement expressément mais aussi implicitement, sans que l'autorité les décide elle-même. Sinon le plaignant perdrait face à l'autorité tous les droits du chapitre III, de l'information et de l'accès à la rectification, à l'effacement et à la limitation, et l'autorité échapperait aux principes de l'article 5 et aux règles de sécurité du chapitre IV. Un organisme peut être à la fois autorité de contrôle et responsable, en adaptant son organisation interne pour soumettre ses actes de responsable à un contrôle indépendant. Mais l'article 15 donne accès aux propres données personnelles et aux informations énumérées, non un droit général au dossier administratif ou à tout document détenuEuropa.

Sur la deuxième question, l'article 23, paragraphe 1, points c), h) et i), exclut l'interdiction généraleEuropa. La protection des données des tiers au titre du point i) impose une mise en balance, partout où c'est possible par occultation ou anonymisation, car le résultat ne doit jamais être le refus de toute information. La préservation du bon fonctionnement et de l'indépendance de l'autorité au titre du point h) est légitime en principe, mais l'exercice de l'accès ne saurait saper l'indépendance, et une interdiction générale et abstraite est disproportionnée : la charge administrative relève de l'obligation de moyens et des redevances ou refus de l'article 12, paragraphe 5, pour les demandes manifestement infondées ou excessives. La sécurité publique au titre du point c) exige une menace réelle et suffisamment grave pour un intérêt fondamental de la société, dont rien n'apparaît ici.

Base juridique : l'article 4, paragraphe 7, lu avec l'article 15, et l'article 23, paragraphe 1, points c), h) et i), du règlement (UE) 2016/679.