Résumé de la décision
A la suite d'un accident de circulation ayant causé le décès de Mme B..., son fils, M. A...B..., a demandé à la mutuelle d'assurance MAIF l'accès à des données à caractère personnel concernant sa mère. La MAIF a répondu par un tableau récapitulatif des communications liées à cet accident, mais M. B... a estimé que la réponse n'était pas satisfaisante et a saisi la Commission nationale de l'informatique et des libertés (CNIL) le 2 février 2016. La CNIL a clos la plainte, soutenant que M. B... ne pouvait pas être considéré comme "personne concernée" par les données de sa mère, en raison de la nature personnelle de ce droit d'accès selon la loi du 6 janvier 1978. M. B... a alors demandé l'annulation de cette décision. Le Conseil d’Etat a jugé que la CNIL a commis une erreur en tenant compte de la qualité d'ayant droit de M. B..., et a annulé sa décision.
Arguments pertinents
Dans sa décision, le Conseil d’État a retenu plusieurs arguments essentiels :
1. Droit d'accès personnel : La loi du 6 janvier 1978 stipule que le droit d’accès aux données à caractère personnel est un droit strictement personnel qui ne se transmet pas aux héritiers. Cela est clairement exprimé dans l'article 39 de cette loi, qui définit que "la communication de données à caractère personnel n'est possible qu'à la personne concernée".
2. Transmission du droit à réparation : Toutefois, le Conseil d’État a souligné que si le droit à la réparation du préjudice est transmis aux héritiers du défunt, ceux-ci peuvent être considérés comme "personnes concernées" lorsqu'ils cherchent à établir le préjudice pour le compte du défunt. En effet, "lorsque la victime a engagé une action en réparation avant son décès... ces derniers doivent être regardés comme des 'personnes concernées'".
3. Erreur de droit : La présidente de la CNIL a commis une "erreur de droit" en concluant que M. B... ne pouvait pas être considéré comme une personne concernée, alors que "le droit à réparation du dommage subi... avait été transféré en leur qualité d'héritiers".
Interprétations et citations légales
La décision repose principalement sur l'interprétation de la loi du 6 janvier 1978. Voici les articles pertinents :
- Loi n° 78-17 du 6 janvier 1978 - Article 2 : "La personne concernée par un traitement de données à caractère personnel est celle à laquelle se rapportent les données qui font l'objet du traitement". Cet article définit la portée du terme "personne concernée".
- Loi n° 78-17 du 6 janvier 1978 - Article 39 : "Toute personne physique justifiant de son identité a le droit d'interroger le responsable d'un traitement de données à caractère personnel en vue d'obtenir... la communication... des données à caractère personnel qui la concernent". Ce passage précise que le droit d’accès est limité à la personne concernée.
- Code civil - Article 724 : "Les héritiers sont saisis de plein droit de tous les biens, droits et actions du défunt". Cet article souligne que le droit à réparation en cas de décès est transmis aux héritiers, leur conférant une forme d'accès aux informations nécessaires à la réparation.
En conclusion, cette décision illustre la nécessité de trouver un équilibre entre la protection des données personnelles et les droits des héritiers à l’information concernant les préjudices subis par leurs aînés. La qualification de "personne concernée" est donc étroitement liée au contexte de la demande d'accès aux données.