Le présent arrêt du Verwaltungsgerichtshof (VGH) de Munich traite de la question de savoir si un particulier a le droit de consulter un contrat de traitement des données à caractère personnel conclu entre un radiodiffuseur et une société de recouvrement, conformément à l'article 28 du RGPD. La VGH a rejeté ce droit, confirmant ainsi la décision du tribunal administratif de Munich.
Le plaignant demande à consulter le contrat de sous-traitance
Depuis 2013, le requérant était tenu de payer la contribution à la radiodiffusion. En 2021, l'organisme de radiodiffusion a mandaté la société P. GmbH en tant que société de recouvrement pour faire valoir les créances en souffrance. Concrètement, il s'agissait de contributions à la radiodiffusion impayées pour la période d'avril 2014 à juin 2015, d'un montant de 264,32 EUR. En août 2021, le demandeur avait demandé au défendeur un renseignement en vertu de l'article 11, paragraphe 8, du RBStV, qui lui a été fourni en septembre 2021. Ce renseignement mentionnait, entre autres, une société de recouvrement comme destinataire possible de données.
Le 29 septembre 2021, P. GmbH a informé le demandeur par écrit qu'elle agissait en tant que sous-traitant au sens de l'article 28 du RGPD et a expliqué son rôle à cet égard. Par la suite, le 7 octobre 2021, le demandeur a demandé au défendeur de consulter le contrat de traitement des données conclu entre le radiodiffuseur et P. GmbH, conformément à l'article 28 du RGPD. Cette demande a été refusée par la partie défenderesse. Le demandeur a alors introduit un recours devant le tribunal administratif de Munich dans le but d'obtenir l'accès au contrat. Le tribunal administratif de Munich a rejeté ce recours par un jugement du 6 décembre 2023. La demande d'autorisation d'appel devant le VGH München n'a pas non plus abouti.
Base juridique pour la consultation par la personne concernée
Le plaignant a fait valoir qu'il avait un droit de regard sur le contrat en vertu de l'article 11, paragraphe 8, première phrase, du RBStV. Cette disposition régit le droit général à l'information sur le traitement des données à caractère personnel dans le cadre de la contribution à la radiodiffusion. Le plaignant a interprété cette norme comme incluant également la divulgation du contrat de traitement des commandes concret. Le tribunal a toutefois précisé que ce paragraphe n'accordait qu'un droit d'accès général aux destinataires et aux catégories de données à caractère personnel. Il ne permet pas de déduire un droit individuel à la consultation du contrat concret.
En outre, le plaignant a invoqué l'article 28 du RGPD, qui définit les obligations des responsables du traitement et des sous-traitants. Le plaignant a fait valoir que cette disposition ne régissait pas seulement les obligations contractuelles, mais qu'elle contenait aussi implicitement un droit de regard pour les personnes concernées. Le tribunal a rejeté cet argument et a précisé que l'article 28 du RGPD ne prévoit pas de droit de regard individuel. Au contraire, cette disposition régit exclusivement les obligations que le responsable du traitement et le sous-traitant doivent remplir dans le cadre de leur coopération.
Un autre argument du plaignant concernait l'article 15 du RGPD. Selon cette disposition, les personnes concernées ont un droit d'accès au traitement de leurs données à caractère personnel. Le plaignant a tenté d'interpréter ce droit d'accès de manière à ce qu'il couvre également la divulgation de documents internes tels que le contrat de sous-traitance. Le tribunal a également rejeté cet argument et a précisé que l'article 15 du RGPD ne confère qu'un droit à l'information sur ses propres données à caractère personnel, mais ne prévoit pas de droit général à la consultation des documents internes.
Non-respect d'un droit d'accès au dossier
Le plaignant a tenté de fonder son droit d'accès au contrat de sous-traitance sur un droit d'accès au dossier non écrit qui pourrait découler de l'article 29 de la BayVwVfG. L'article 29 de la BayVwVfG régit le droit d'accès au dossier des parties dans les procédures administratives. Selon ce principe, une partie peut, sur demande, avoir accès aux dossiers relatifs à la procédure, pour autant qu'un intérêt légitime puisse être prouvé et qu'aucun intérêt public ou privé prépondérant ne s'y oppose.
Dans ce contexte, le plaignant a fait valoir que pour vérifier la légalité du contrat de traitement des données à caractère personnel conclu entre le radiodiffuseur et P. GmbH, il devait consulter ce contrat. Il a fait valoir que sans cette consultation, il serait privé de la possibilité de contrôler lui-même si le contrat remplissait les contenus prescrits par l'article 28, paragraphe 3, du RGPD.
Le tribunal a toutefois rejeté cet argument au motif que le contrôle du respect du RGPD - notamment en ce qui concerne le contenu et l'efficacité d'un contrat de traitement des données à caractère personnel - relève de la compétence de l'autorité de contrôle compétente. La loi ne prévoit pas de droit individuel pour une personne concernée de contrôler ce contrat de manière autonome. En outre, la Cour suprême a constaté qu'il n'existait pas d'intérêt légitime du requérant, comme cela serait nécessaire pour l'octroi du droit non écrit de consulter le dossier. Selon la Cour, le simple souhait de vérifier par soi-même la légalité d'un tel contrat ne suffit pas à fonder un intérêt légitime au sens des dispositions en vigueur.
Le tribunal a expressément fait référence aux mécanismes de contrôle existants par l'autorité de contrôle de la protection des données compétente, qui garantissent une protection juridique suffisante aux personnes concernées. Par conséquent, la tentative du plaignant d'invoquer le droit non écrit d'accès au dossier a été rejetée comme non fondée.
Compétence de l'autorité de contrôle de la protection des données
Conformément à l'article 51, paragraphe 1 du RGPD et à l'article 21, paragraphe 1, phrase 2 de la loi bavaroise sur la protection des données, la compétence en matière de contrôle de la conformité des radiodiffuseurs avec les règles de protection des données revient au délégué à la protection des données de radiodiffusion. Celui-ci agit en tant qu'autorité de contrôle indépendante chargée de surveiller le respect du RGPD et d'en imposer l'application.
Le délégué à la protection des données de radiodiffusion est habilité à agir dans le cadre d'une plainte conformément à l'article 77 du RGPD. Cette possibilité de recours ouvre aux personnes concernées la possibilité d'engager un contrôle formel en cas de soupçon de violation de la protection des données. Dans le cas présent, la Cour suprême de Munich a souligné que les personnes concernées qui ont des doutes sur la légalité du traitement de leurs données personnelles devraient en premier lieu utiliser cette possibilité de recours.
Le tribunal a précisé que la vérification du respect de l'article 28 du RGPD, notamment en ce qui concerne les obligations régies par les contrats de sous-traitance, incombe explicitement à l'autorité de contrôle. Les particuliers ne peuvent pas effectuer cette vérification de manière indépendante en consultant directement le contrat de sous-traitance. Cette réglementation claire des compétences met en évidence le caractère du RGPD en tant qu'instrument de protection complet et cohérent, qui attribue notamment aux autorités publiques la mise en œuvre et le contrôle des exigences en matière de protection des données.
Pas de droit de regard sur les contrats de sous-traitance en vertu du RGPD
Dans l'ensemble, le tribunal a conclu que ni le traité d'État sur la radiodiffusion ni le RGPD n'accordaient un droit de regard individuel sur les contrats de sous-traitance. L'argument du requérant s'est donc révélé infondé.
La Cour a refusé d'autoriser l'appel en raison de l'absence de doutes sérieux quant à l'exactitude du jugement rendu en première instance. En outre, il a estimé que l'affaire n'avait pas d'importance fondamentale et qu'il n'y avait pas de vice de procédure.
Conseil de lecture : Cour fédérale des finances - "effort disproportionné" ne constitue pas un motif de refus d'une demande de renseignements
Conséquences pour la pratique
Cet arrêt met en évidence le fait que le RGPD ne prévoit pas d'obligation de transparence en ce qui concerne la divulgation des contrats de sous-traitance aux particuliers. Dans la pratique, les personnes concernées qui ont des doutes sur la légalité du traitement des données sont donc renvoyées à l'intervention de l'autorité de contrôle compétente.
Pour les responsables de la protection des données et de la conformité, cela signifie
- La conception des contrats de sous-traitance devrait répondre exactement aux exigences de l'article 28 du RGPD. Toutefois, les personnes concernées n'ont pas le droit de consulter ces contrats.
- Les personnes concernées doivent être informées de leurs droits d'accès conformément à l'article 15 du RGPD.
- Il est recommandé de communiquer clairement le contact avec l'autorité de contrôle compétente en matière de protection des données afin de garantir la transparence et la sécurité juridique.
L'arrêt confirme la jurisprudence établie sur le rôle de l'autorité de contrôle de la protection des données tout en clarifiant les limites des droits individuels lors de la révision des contrats de sous-traitance.
Source : Décision de la Cour administrative bavaroise du 21.02.2025 - 7 ZB 24.651
Vous avez encore des questions sur la gestion des demandes de renseignements ? Nos experts vous soutiennent avec des solutions individuelles. N'hésitez pas à prendre contact avec nous :
☎️ +49 (228) 926165-100
📧 paris@2b-advice.com
French 
German 
English 
Italian