CJUE, 3e ch., 5 novembre 2026, n° C-205/25

La demande de décision préjudicielle porte sur l’interprétation de l’article 4, points 7 et 21, ainsi que des articles 15, 23 et 77 du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, ci-après le « RGPD »).

2 Cette demande a été présentée dans le cadre d’un litige opposant M. Joachim Lindenberg au Bayerisches Landesamt für Datenschutzaufsicht (office bavarois de contrôle de la protection des données, Allemagne, ci-après l’« Office ») au sujet du refus de cet office de lui accorder, sur le fondement de l’article 15 du RGPD, l’accès à son dossier dans le cadre d’une procédure engagée à la suite d’une réclamation qu’il avait introduite auprès dudit office contre un tiers.

Le cadre juridique

Le droit de l’Union

3 Les considérants 1, 10 et 63 du RGPD sont libellés comme suit :

« (1) La protection des personnes physiques à l’égard du traitement des données à caractère personnel est un droit fondamental. L’article 8, paragraphe 1, de la [c]harte des droits fondamentaux de l’Union européenne (ci-après dénommée « Charte ») et l’article 16, paragraphe 1, [TFUE] disposent que toute personne a droit à la protection des données à caractère personnel la concernant.

[...]

(10) Afin d’assurer un niveau cohérent et élevé de protection des personnes physiques et de lever les obstacles aux flux de données à caractère personnel au sein de l’Union [européenne], le niveau de protection des droits et des libertés des personnes physiques à l’égard du traitement de ces données devrait être équivalent dans tous les États membres. Il convient dès lors d’assurer une application cohérente et homogène des règles de protection des libertés et droits fondamentaux des personnes physiques à l’égard du traitement des données à caractère personnel dans l’ensemble de l’Union. [...]

[...]

(63) Une personne concernée devrait avoir le droit d’accéder aux données à caractère personnel qui ont été collectées à son sujet et d’exercer ce droit facilement et à des intervalles raisonnables, afin de prendre connaissance du traitement et d’en vérifier la licéité. [...] Ce droit ne devrait pas porter atteinte aux droits ou libertés d’autrui, y compris au secret des affaires ou à la propriété intellectuelle, notamment au droit d’auteur protégeant le logiciel. Cependant, ces considérations ne devraient pas aboutir à refuser toute communication d’informations à la personne concernée. Lorsque le responsable du traitement traite une grande quantité de données relatives à la personne concernée, il devrait pouvoir demander à celle-ci de préciser, avant de lui fournir les informations, sur quelles données ou quelles opérations de traitement sa demande porte. »

4 L’article 1er de ce règlement prévoit :

« 1. Le présent règlement établit des règles relatives à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et des règles relatives à la libre circulation de ces données.

2. Le présent règlement protège les libertés et droits fondamentaux des personnes physiques, et en particulier leur droit à la protection des données à caractère personnel.

3. La libre circulation des données à caractère personnel au sein de l’Union n’est ni limitée ni interdite pour des motifs liés à la protection des personnes physiques à l’égard du traitement des données à caractère personnel. »

5 L’article 4 dudit règlement, intitulé « Définitions », dispose, à ses points 1, 2, 7 et 21 :

« Aux fins du présent règlement, on entend par :

1) “données à caractère personnel”, toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée “personne concernée”) ; est réputée être une “personne physique identifiable” une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ;

2) “traitement”, toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction ;

[...]

7) “responsable du traitement”, la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement ; lorsque les finalités et les moyens de ce traitement sont déterminés par le droit de l’Union ou le droit d’un État membre, le responsable du traitement peut être désigné ou les critères spécifiques applicables à sa désignation peuvent être prévus par le droit de l’Union ou par le droit d’un État membre ;

[...]

21) “autorité de contrôle”, une autorité publique indépendante qui est instituée par un État membre en vertu de l’article 51 ;

[...] »

6 L’article 5 du même règlement, intitulé « Principes relatifs au traitement des données à caractère personnel », énonce :

« 1. Les données à caractère personnel doivent être :

a) traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence) ;

b) collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités ; le traitement ultérieur à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques n’est pas considéré, conformément à l’article 89, paragraphe 1, comme incompatible avec les finalités initiales (limitation des finalités) ;

c) adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ;

d) exactes et, si nécessaire, tenues à jour ; toutes les mesures raisonnables doivent être prises pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder (exactitude) ;

e) conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ; les données à caractère personnel peuvent être conservées pour des durées plus longues dans la mesure où elles seront traitées exclusivement à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques conformément à l’article 89, paragraphe 1, pour autant que soient mises en œuvre les mesures techniques et organisationnelles appropriées requises par le présent règlement afin de garantir les droits et libertés de la personne concernée (limitation de la conservation) ;

f) traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d’origine accidentelle, à l’aide de mesures techniques ou organisationnelles appropriées (intégrité et confidentialité) ;

2. Le responsable du traitement est responsable du respect du paragraphe 1 et est en mesure de démontrer que celui-ci est respecté (responsabilité). »

7 L’article 12 du RGPD, intitulé « Transparence des informations et des communications et modalités de l’exercice des droits de la personne concernée », dispose, à son paragraphe 5 :

« Aucun paiement n’est exigé pour fournir les informations au titre des articles 13 et 14 et pour procéder à toute communication et prendre toute mesure au titre des articles 15 à 22 et de l’article 34. Lorsque les demandes d’une personne concernée sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, le responsable du traitement peut :

a) exiger le paiement de frais raisonnables qui tiennent compte des coûts administratifs supportés pour fournir les informations, procéder aux communications ou prendre les mesures demandées ; ou

b) refuser de donner suite à ces demandes.

Il incombe au responsable du traitement de démontrer le caractère manifestement infondé ou excessif de la demande. »

8 L’article 15 de ce règlement, intitulé « Droit d’accès de la personne concernée », est libellé comme suit :

« 1. La personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel ainsi que les informations suivantes :

a) les finalités du traitement ;

b) les catégories de données à caractère personnel concernées ;

c) les destinataires ou catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées, en particulier les destinataires qui sont établis dans des pays tiers ou les organisations internationales ;

d) lorsque cela est possible, la durée de conservation des données à caractère personnel envisagée ou, lorsque ce n’est pas possible, les critères utilisés pour déterminer cette durée ;

e) l’existence du droit de demander au responsable du traitement la rectification ou l’effacement de données à caractère personnel, ou une limitation du traitement des données à caractère personnel relatives à la personne concernée, ou du droit de s’opposer à ce traitement ;

f) le droit d’introduire une réclamation auprès d’une autorité de contrôle ;

g) lorsque les données à caractère personnel ne sont pas collectées auprès de la personne concernée, toute information disponible quant à leur source ;

h) l’existence d’une prise de décision automatisée, y compris un profilage, visée à l’article 22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la logique sous-jacente, ainsi que l’importance et les conséquences prévues de ce traitement pour la personne concernée.

[...]

3. Le responsable du traitement fournit une copie des données à caractère personnel faisant l’objet d’un traitement. Le responsable du traitement peut exiger le paiement de frais raisonnables basés sur les coûts administratifs pour toute copie supplémentaire demandée par la personne concernée. Lorsque la personne concernée présente sa demande par voie électronique, les informations sont fournies sous une forme électronique d’usage courant, à moins que la personne concernée ne demande qu’il en soit autrement.

4. Le droit d’obtenir une copie visé au paragraphe 3 ne porte pas atteinte aux droits et libertés d’autrui. »

9 L’article 23 dudit règlement, intitulé « Limitations », prévoit :

« 1. Le droit de l’Union ou le droit de l’État membre auquel le responsable du traitement ou le sous-traitant est soumis peuvent, par la voie de mesures législatives, limiter la portée des obligations et des droits prévus aux articles 12 à 22 et à l’article 34, ainsi qu’à l’article 5 dans la mesure où les dispositions du droit en question correspondent aux droits et obligations prévus aux articles 12 à 22, lorsqu’une telle limitation respecte l’essence des libertés et droits fondamentaux et qu’elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir :

a) la sécurité nationale ;

b) la défense nationale ;

c) la sécurité publique ;

d) la prévention et la détection d’infractions pénales, ainsi que les enquêtes et les poursuites en la matière ou l’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces ;

e) d’autres objectifs importants d’intérêt public général de l’Union ou d’un État membre, notamment un intérêt économique ou financier important de l’Union ou d’un État membre, y compris dans les domaines monétaire, budgétaire et fiscal, de la santé publique et de la sécurité sociale ;

f) la protection de l’indépendance de la justice et des procédures judiciaires ;

g) la prévention et la détection de manquements à la déontologie des professions réglementées, ainsi que les enquêtes et les poursuites en la matière ;

h) une mission de contrôle, d’inspection ou de réglementation liée, même occasionnellement, à l’exercice de l’autorité publique, dans les cas visés aux points a) à e) et g) ;

i) la protection de la personne concernée ou des droits et libertés d’autrui ;

j) l’exécution des demandes de droit civil.

2. En particulier, toute mesure législative visée au paragraphe 1 contient des dispositions spécifiques relatives, au moins, le cas échéant :

a) aux finalités du traitement ou des catégories de traitement ;

b) aux catégories de données à caractère personnel ;

c) à l’étendue des limitations introduites ;

d) aux garanties destinées à prévenir les abus ou l’accès ou le transfert illicites ;

e) à la détermination du responsable du traitement ou des catégories de responsables du traitement ;

f) aux durées de conservation et aux garanties applicables, en tenant compte de la nature, de la portée et des finalités du traitement ou des catégories de traitement ;

g) aux risques pour les droits et libertés des personnes concernées ; et

h) au droit des personnes concernées d’être informées de la limitation, à moins que cela risque de nuire à la finalité de la limitation. »

10 L’article 51 du RGPD, intitulé « Autorité de contrôle », est libellé comme suit :

« 1. Chaque État membre prévoit qu’une ou plusieurs autorités publiques indépendantes sont chargées de surveiller l’application du présent règlement, afin de protéger les libertés et droits fondamentaux des personnes physiques à l’égard du traitement et de faciliter le libre flux des données à caractère personnel au sein de l’Union (ci-après dénommée “autorité de contrôle”).

2. Chaque autorité de contrôle contribue à l’application cohérente du présent règlement dans l’ensemble de l’Union. [...]

[...] »

11 L’article 52 de ce règlement, intitulé « Indépendance », énonce :

« 1. Chaque autorité de contrôle exerce en toute indépendance les missions et les pouvoirs dont elle est investie conformément au présent règlement.

2. Dans l’exercice de leurs missions et de leurs pouvoirs conformément au présent règlement, le ou les membres de chaque autorité de contrôle demeurent libres de toute influence extérieure, qu’elle soit directe ou indirecte, et ne sollicitent ni n’acceptent d’instructions de quiconque.

3. Le ou les membres de chaque autorité de contrôle s’abstiennent de tout acte incompatible avec leurs fonctions et, pendant la durée de leur mandat, n’exercent aucune activité professionnelle incompatible, rémunérée ou non.

4. Chaque État membre veille à ce que chaque autorité de contrôle dispose des ressources humaines, techniques et financières ainsi que des locaux et de l’infrastructure nécessaires à l’exercice effectif de ses missions et de ses pouvoirs, y compris lorsque celle-ci doit agir dans le cadre de l’assistance mutuelle, de la coopération et de la participation au comité.

5. Chaque État membre veille à ce que chaque autorité de contrôle choisisse et dispose de ses propres agents, qui sont placés sous les ordres exclusifs du ou des membres de l’autorité de contrôle concernée.

6. Chaque État membre veille à ce que chaque autorité de contrôle soit soumise à un contrôle financier qui ne menace pas son indépendance et qu’elle dispose d’un budget annuel public propre, qui peut faire partie du budget global national ou d’une entité fédérée. »

12 L’article 57 dudit règlement, intitulé « Missions », dispose :

« 1. Sans préjudice des autres missions prévues au titre du présent règlement, chaque autorité de contrôle, sur son territoire :

a) contrôle l’application du présent règlement et veille au respect de celui-ci ;

[...]

f) traite les réclamations introduites par une personne concernée ou par un organisme, une organisation ou une association, conformément à l’article 80, examine l’objet de la réclamation, dans la mesure nécessaire, et informe l’auteur de la réclamation de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable, notamment si un complément d’enquête ou une coordination avec une autre autorité de contrôle est nécessaire ;

[...]

h) effectue des enquêtes sur l’application du présent règlement, y compris sur la base d’informations reçues d’une autre autorité de contrôle ou d’une autre autorité publique ;

[...]

u) tient des registres internes des violations au présent règlement et des mesures prises conformément à l’article 58, paragraphe 2 ; et

v) s’acquitte de toute autre mission relative à la protection des données à caractère personnel.

2. Chaque autorité de contrôle facilite l’introduction des réclamations visées au paragraphe 1, point f), par des mesures telles que la fourniture d’un formulaire de réclamation qui peut aussi être rempli par voie électronique, sans que d’autres moyens de communication ne soient exclus.

[...] »

13 L’article 58 du même règlement, intitulé « Pouvoirs », prévoit, à ses paragraphes 1 et 2 :

« 1. Chaque autorité de contrôle dispose de tous les pouvoirs d’enquête suivants :

a) ordonner au responsable du traitement et au sous-traitant, et, le cas échéant, au représentant du responsable du traitement ou du sous-traitant, de lui communiquer toute information dont elle a besoin pour l’accomplissement de ses missions ;

b) mener des enquêtes sous la forme d’audits sur la protection des données ;

c) procéder à un examen des certifications délivrées en application de l’article 42, paragraphe 7 ;

d) notifier au responsable du traitement ou au sous-traitant une violation alléguée du présent règlement ;

e) obtenir du responsable du traitement et du sous-traitant l’accès à toutes les données à caractère personnel et à toutes les informations nécessaires à l’accomplissement de ses missions ;

f) obtenir l’accès à tous les locaux du responsable du traitement et du sous-traitant, notamment à toute installation et à tout moyen de traitement, conformément au droit de l’Union ou au droit procédural des États membres.

2. Chaque autorité de contrôle dispose du pouvoir d’adopter toutes les mesures correctrices suivantes :

a) avertir un responsable du traitement ou un sous-traitant du fait que les opérations de traitement envisagées sont susceptibles de violer les dispositions du présent règlement ;

b) rappeler à l’ordre un responsable du traitement ou un sous-traitant lorsque les opérations de traitement ont entraîné une violation des dispositions du présent règlement ;

c) ordonner au responsable du traitement ou au sous-traitant de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits en application du présent règlement ;

d) ordonner au responsable du traitement ou au sous-traitant de mettre les opérations de traitement en conformité avec les dispositions du présent règlement, le cas échéant, de manière spécifique et dans un délai déterminé ;

e) ordonner au responsable du traitement de communiquer à la personne concernée une violation de données à caractère personnel ;

f) imposer une limitation temporaire ou définitive, y compris une interdiction, du traitement ;

g) ordonner la rectification ou l’effacement de données à caractère personnel ou la limitation du traitement en application des articles 16, 17 et 18 et la notification de ces mesures aux destinataires auxquels les données à caractère personnel ont été divulguées en application de l’article 17, paragraphe 2, et de l’article 19 ;

h) retirer une certification ou ordonner à l’organisme de certification de retirer une certification délivrée en application des articles 42 et 43, ou ordonner à l’organisme de certification de ne pas délivrer de certification si les exigences applicables à la certification ne sont pas ou plus satisfaites ;

i) imposer une amende administrative en application de l’article 83, en complément ou à la place des mesures visées au présent paragraphe, en fonction des caractéristiques propres à chaque cas ;

j) ordonner la suspension des flux de données adressés à un destinataire situé dans un pays tiers ou à une organisation internationale. »

14 Aux termes de l’article 77 du RGPD, intitulé « Droit d’introduire une réclamation auprès d’une autorité de contrôle » :

« 1. Sans préjudice de tout autre recours administratif ou juridictionnel, toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État membre dans lequel se trouve sa résidence habituelle, son lieu de travail ou le lieu où la violation aurait été commise, si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du présent règlement.

2. L’autorité de contrôle auprès de laquelle la réclamation a été introduite informe l’auteur de la réclamation de l’état d’avancement et de l’issue de la réclamation, y compris de la possibilité d’un recours juridictionnel en vertu de l’article 78. »

15 L’article 78 de ce règlement, intitulé « Droit à un recours juridictionnel effectif contre une autorité de contrôle », dispose :

« 1. Sans préjudice de tout autre recours administratif ou extrajudiciaire, toute personne physique ou morale a le droit de former un recours juridictionnel effectif contre une décision juridiquement contraignante d’une autorité de contrôle qui la concerne.

[...]

3. Toute action contre une autorité de contrôle est intentée devant les juridictions de l’État membre sur le territoire duquel l’autorité de contrôle est établie.

[...] »

Le droit allemand

16 En vertu de l’article 18 du Bayerisches Datenschutzgesetz (loi bavaroise relative à la protection des données), du 15 mai 2018 (ci-après le « BayDSG »), l’Office est une autorité de contrôle pour les entités non publiques.

17 L’article 20 du BayDSG prévoit :

« (1) Toute personne peut s’adresser aux autorités de contrôle pour faire valoir que ses droits ont été violés lors du traitement de ses données à caractère personnel. La saisine des autorités de contrôle ne doit pas porter préjudice à la personne concernée.

(2) Il n’y a pas de droit d’accès ou de consultation des dossiers et des fichiers des autorités de contrôle. »

18 Dans l’exposé des motifs du BayDSG, concernant l’article 20, paragraphe 2, de cette loi, il est notamment indiqué que cette disposition s’applique et exclut totalement un droit d’accès au titre de l’article 15 du RGPD dès lors qu’il est invoqué envers l’Office en ce qui concerne les dossiers et les fichiers de celui-ci.

Le litige au principal et les questions préjudicielles

19 M. Lindenberg est journaliste et exploite un blog consacré, notamment, à la protection des données. Depuis l’année 2021, il a soumis plusieurs réclamations à l’Office.

20 Après que M. Lindenberg a introduit une réclamation en matière de protection de données auprès de l’Office le 13 mai 2022, ce dernier a ouvert une procédure de contrôle à l’égard d’un tiers. Par un courrier électronique du 11 octobre 2022, l’Office a informé M. Lindenberg qu’il avait constaté que ce tiers avait violé des règles applicables à la protection des données et que, après l’expiration du délai imparti pour remédier à ces violations, ledit tiers serait verbalisé s’il commettait de nouvelles infractions. Par un courrier électronique du même jour, M. Lindenberg a demandé la communication de détails supplémentaires concernant les mesures prises par l’Office. Ce dernier n’ayant pas donné suite à cette demande, M. Lindenberg a demandé, par un courrier électronique du 11 octobre 2022, des informations complètes au titre de l’article 15, paragraphes 1 et 3, du RGPD.

21 Par une décision du 20 octobre 2022, l’Office a rejeté cette demande d’accès au titre de l’article 15, paragraphes 1 et 3, du RGPD. Il a motivé ce rejet en indiquant que l’article 20, paragraphe 2, du BayDSG excluait expressément un droit d’accès et de consultation des dossiers et des fichiers des autorités de contrôle.

22 Le 6 décembre 2022, M. Lindenberg a introduit un recours contre cette décision devant le Bayerisches Verwaltungsgericht Ansbach (tribunal administratif bavarois d’Ansbach, Allemagne), qui est la juridiction de renvoi, en demandant qu’il soit ordonné à l’Office de lui fournir une copie de toutes les données du dossier de la procédure engagée à la suite de la réclamation qu’il a introduite le 13 mai 2022.

23 Le 23 février 2024, l’Office lui a accordé un accès électronique à ce dossier, sans toutefois reconnaître une obligation légale à cet égard.

24 M. Lindenberg demande toutefois encore que soit constatée l’illégalité de la décision de l’Office du 20 octobre 2022 mentionnée au point 21 du présent arrêt.

25 La juridiction de renvoi relève que, lorsqu’une personne introduit une réclamation auprès de l’Office, au titre de l’article 77 du RGPD, ce dernier agit à l’égard de cette personne en tant qu’autorité de contrôle, au sens de l’article 4, point 21, de ce règlement. L’Office fait valoir qu’une telle autorité de contrôle ne peut pas être considérée comme étant un « responsable du traitement », au sens de l’article 15 dudit règlement, lu en combinaison avec l’article 4, point 7, de celui-ci, au regard de ladite personne, ce qui exclut nécessairement que cette dernière dispose d’un droit d’obtenir de ladite autorité un accès aux données à caractère personnel la concernant et qui ont été traitées dans le cadre de cette réclamation.

26 En revanche, cette juridiction est encline à considérer qu’une autorité de contrôle peut être à la fois une autorité de contrôle, au sens de l’article 4, point 21, du RGPD, et un responsable du traitement, au sens de l’article 15 de ce règlement, lu en combinaison avec l’article 4, point 7, de celui-ci.

27 Ladite juridiction estime que, si tel est bien le cas, la question se pose de savoir si une exclusion pure et simple du droit d’accès aux dossiers et aux fichiers de l’autorité de contrôle, telle que celle prévue à l’article 20, paragraphe 2, du BayDSG, satisfait aux conditions établies à l’article 23 du RGPD.

28 Dans ces conditions, le Bayerisches Verwaltungsgericht Ansbach (tribunal administratif bavarois d’Ansbach) a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :

« 1) L’article 15 [du RGPD], lu en combinaison avec l’article 4, point 7, [de ce règlement], doit-il être interprété en ce sens qu’une autorité de contrôle au sens de l’article 4, point 21, dudit règlement, qui agit dans le cadre d’une procédure de réclamation au titre de l’article 77 [du RGPD], introduite par une personne concernée, est en même temps “responsable du traitement” au sens de l’article 15 [de ce règlement], lu en combinaison avec l’article 4, point 7, de [celui-ci], et donc tenue d’accorder à cette personne l’accès aux données la concernant et aux informations conformément à l’article 15 [dudit] règlement ?

2) En cas de réponse affirmative à la première question : le droit de l’Union, et en particulier l’article 23 du [RGPD], doit-il être interprété en ce sens qu’il s’oppose à une disposition nationale, telle que l’article 20, paragraphe 2, du [BayDSG], qui exclut purement et simplement un droit d’accès et de consultation des dossiers et des fichiers des autorités de contrôle au sens de l’article 4, point 21, [de ce règlement] ? »

Sur les questions préjudicielles

Sur la première question

29 Par sa première question, la juridiction de renvoi demande, en substance, si l’article 4, point 7, du RGPD, lu en combinaison avec l’article 15 de celui-ci, doit être interprété en ce sens que, dans le cadre d’une procédure ayant pour objet une réclamation introduite par une personne concernée en vertu de l’article 77 de ce règlement, une autorité de contrôle, au sens de l’article 4, point 21, dudit règlement, doit être qualifiée de « responsable du traitement » et, dès lors, être, en principe, tenue d’accorder à cette personne l’accès aux données à caractère personnel la concernant et aux informations énumérées à cet article 15.

30 À titre liminaire, il convient de souligner, premièrement, que, aux termes de l’article 4, point 1, du RGPD, on entend par « données à caractère personnel », « toute information se rapportant à une personne physique identifiée ou identifiable [...], notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale », une telle personne étant désignée comme « personne concernée ».

31 Deuxièmement, selon l’article 4, point 2, de ce règlement, on entend par « traitement », toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou à des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction.

32 Troisièmement, selon l’article 4, point 7, du RGPD, la notion de « responsable du traitement » couvre les personnes physiques ou morales, les autorités publiques, les services ou les autres organismes qui, seuls ou conjointement avec d’autres, déterminent les finalités et les moyens du traitement. Cette disposition énonce également que, lorsque les finalités et les moyens de ce traitement sont déterminés par le droit de l’Union ou le droit d’un État membre, le responsable du traitement peut être désigné ou les critères spécifiques applicables à sa désignation peuvent être prévus par le droit de l’Union ou par le droit d’un État membre.

33 Eu égard à la définition large de la notion de « responsable du traitement », figurant à cette disposition, la détermination des finalités et des moyens du traitement et, le cas échéant, la désignation de ce responsable par le droit de l’Union peuvent être non seulement explicites, mais également implicites. Dans ce dernier cas de figure, il est néanmoins requis que cette détermination découle de manière suffisamment certaine du rôle, de la mission et des attributions dévolus à la personne ou à l’entité concernée. Tel est le cas lorsque ces finalités et ces moyens ressortent, en substance, des dispositions du droit de l’Union régissant l’activité de cette personne ou de cette entité (voir, par analogie, arrêt du 27 février 2025, Amt der Tiroler Landesregierung, C‑638/23, EU:C:2025:127, points 28 et 37).

34 Par ailleurs, afin d’établir la qualité de responsable du traitement d’une entité, au sens de l’article 4, point 7, seconde partie, du RGPD, il n’est pas nécessaire que cette entité exerce une influence sur la détermination des finalités et des moyens de ce traitement. Une telle entité, désignée par le droit de l’Union ou le droit national en tant que responsable du traitement, ne doit donc pas décider elle-même des finalités et des moyens du traitement des données à caractère personnel pour devoir répondre, en tant que responsable du traitement, aux demandes que les personnes concernées lui adressent sur le fondement des droits qu’elles tirent du RGPD (voir, en ce sens, arrêt du 27 février 2025, Amt der Tiroler Landesregierung, C‑638/23, EU:C:2025:127, points 44 et 45).

35 Sous le bénéfice de ces observations liminaires, il importe de rappeler, en premier lieu, que, conformément à l’article 8, paragraphe 3, de la Charte, ainsi qu’à l’article 4, point 21, à l’article 51, paragraphe 1, et à l’article 57, paragraphe 1, sous a), du RGPD, les autorités de contrôle sont chargées de contrôler le respect des règles de l’Union relatives à la protection des personnes physiques à l’égard du traitement des données à caractère personnel les concernant [voir, en ce sens, arrêt du 7 décembre 2023, SCHUFA Holding (Libération de reliquat de dette), C‑26/22 et C‑64/22, EU:C:2023:958, point 55 ainsi que jurisprudence citée].

36 En particulier, en vertu de l’article 57, paragraphe 1, sous f), du RGPD, chaque autorité de contrôle est tenue, sur son territoire, de traiter les réclamations que toute personne, conformément à l’article 77, paragraphe 1, de ce règlement, est en droit d’introduire lorsqu’elle considère qu’un traitement de données à caractère personnel la concernant constitue une violation dudit règlement, et d’en examiner l’objet dans la mesure du nécessaire. L’autorité de contrôle, qui, en vertu de l’article 58, paragraphes 1 et 2, du même règlement, est investie de pouvoirs d’enquête et de correction, doit procéder au traitement d’une telle réclamation avec toute la diligence requise [voir, en ce sens, arrêt du 7 décembre 2023, SCHUFA Holding (Libération de reliquat de dette), C‑26/22 et C‑64/22, EU:C:2023:958, points 56 et 57 ainsi que jurisprudence citée].

37 Il découle des compétences qui lui sont ainsi reconnues par le droit de l’Union qu’une autorité de contrôle saisie d’une réclamation est elle-même amenée à traiter, au sens de l’article 4, point 2, du RGPD, des données à caractère personnel de l’auteur de cette réclamation en tant que personne concernée. En effet, dans ce cadre, de telles données sont enregistrées, consultées, conservées et utilisées par cette autorité.

38 En outre, les finalités et les moyens du traitement des données à caractère personnel susceptible d’être réalisé par une autorité de contrôle saisie d’une telle réclamation ressortent, en substance, des dispositions du droit de l’Union régissant l’activité de cette autorité.

39 Il s’ensuit qu’une autorité de contrôle doit être considérée comme étant « responsable du traitement » des données à caractère personnel de l’auteur de cette réclamation au sens de l’article 4, point 7, du RGPD.

40 Une telle interprétation est confirmée par l’objectif même de cette disposition qui est d’assurer, par une définition large de la notion de « responsable du traitement », une protection efficace et complète des personnes concernées à l’égard du traitement des données à caractère personnel les concernant [voir, en ce sens, arrêt du 11 janvier 2024, État belge (Données traitées par un journal officiel), C‑231/22, EU:C:2024:7, point 28 et jurisprudence citée].

41 Or, si une autorité de contrôle, statuant sur une réclamation, n’était pas qualifiée de « responsable du traitement », l’auteur de cette réclamation serait privé, en ce qui concerne le traitement de ses données à caractère personnel par cette autorité, de l’ensemble des droits énumérés au chapitre III du RGPD tels que, notamment, le droit des personnes concernées à la transparence des informations et des communications, le droit d’être informées lorsque des données à caractère personnel sont collectées auprès d’elles ou non, le droit d’accès aux données à caractère personnel les concernant, le droit de rectification de ces données, le droit à leur effacement ou encore le droit à la limitation du traitement, prévus, respectivement, aux articles 12 à 18 de ce règlement. En outre, les autorités de contrôle ne seraient soumises ni aux principes relatifs au traitement des données à caractère personnel, établis à l’article 5 dudit règlement, tels que, notamment, les principes de licéité, de loyauté, de transparence, de limitation des finalités, de minimisation ou, encore, d’exactitude, ni aux règles relatives, en particulier, à la sécurité des données à caractère personnel prévues à la section 2 du chapitre IV du même règlement.

42 Dans ce contexte, l’argument de l’Office selon lequel certaines dispositions du RGPD supposeraient nécessairement une distinction stricte entre l’autorité de contrôle, d’une part, et le « responsable du traitement », d’autre part, ne saurait prospérer. Ainsi que M. l’avocat général le relève au point 52 de ses conclusions, ces dispositions se rapportent uniquement à la situation de principe envisagée par le législateur de l’Union, dans laquelle ces deux rôles ne se confondent pas. Elles n’excluent toutefois pas qu’une autorité de contrôle puisse, dans certaines circonstances, remplir simultanément les conditions requises pour être qualifiée de « responsable du traitement ».

43 Il convient d’ajouter, à cet égard, qu’il n’apparaît pas impossible qu’une autorité de contrôle adapte son organisation interne afin que les actions qu’elle entreprend, comme responsable du traitement des données à caractère personnel de l’auteur d’une réclamation, puissent, elles-mêmes, faire l’objet d’un contrôle indépendant par une autre entité au sein de cette autorité, conformément aux dispositions pertinentes du RGPD.

44 En second lieu, dès lors qu’une autorité de contrôle saisie d’une réclamation doit être considérée comme étant « responsable du traitement » à l’égard des données à caractère personnel de l’auteur de cette réclamation, ce dernier doit, en vertu de l’article 15, paragraphe1, du RGPD, se voir reconnaître, notamment, un droit d’accès à ces données.

45 À cet égard, il importe de relever que cet article 15, paragraphe 1, constitue l’une des dispositions destinées à garantir la transparence des modalités de traitement des données à caractère personnel à l’égard de la personne concernée, transparence sans laquelle celle-ci ne serait pas en mesure de s’assurer que ses données à caractère personnel sont exactes et traitées de manière licite, ni d’exercer les prérogatives prévues notamment aux articles 16 à 18, 21, 79 et 82 de ce règlement (arrêts du 22 juin 2023, Pankki S, C‑579/21, EU:C:2023:501, point 59, ainsi que du 27 février 2025, Dun & Bradstreet Austria e.a., C‑203/22, EU:C:2025:117, point 53).

46 Cependant, il convient de relever que l’article 15, paragraphe 1, du RGPD institue exclusivement un droit d’accès de la personne concernée aux données à caractère personnel la concernant et un droit d’information sur le traitement de ces données. En revanche, cet article ne consacre ni un droit général d’accès au dossier administratif ni un droit de consultation de l’ensemble des documents détenus par l’autorité publique en tant que responsable du traitement.

47 Compte tenu de l’ensemble des considérations qui précédent, il y a lieu de répondre à la première question que l’article 4, point 7, du RGPD, lu en combinaison avec l’article 15 de celui-ci, doit être interprété en ce sens que, dans le cadre d’une procédure ayant pour objet une réclamation introduite par une personne concernée en vertu de l’article 77 de ce règlement, une autorité de contrôle, au sens de l’article 4, point 21, dudit règlement, doit être qualifiée de « responsable du traitement » et, dès lors, être, en principe, tenue d’accorder à cette personne l’accès aux données à caractère personnel la concernant et aux informations énumérées à cet article 15.

Sur la seconde question

48 Par sa seconde question, la juridiction de renvoi demande, en substance, si l’article 23 du RGPD doit être interprété en ce sens qu’il s’oppose à une disposition nationale en vertu de laquelle l’auteur d’une réclamation ne dispose d’aucun droit d’accès aux données à caractère personnel le concernant, tel que prévu à l’article 15 de ce règlement, et qui sont détenues par une autorité de contrôle, au sens de l’article 4, point 21, dudit règlement, telle que l’Office.

49 À cet égard, il convient de rappeler que le RGPD est fondé sur l’existence d’un droit reconnu à toute personne physique de bénéficier d’une protection à l’égard du traitement des données à caractère personnel la concernant. Cette protection constitue un droit fondamental, consacré à l’article 8, paragraphe 1, de la Charte, auquel renvoie le considérant 1 de ce règlement. L’objectif de garantir l’effectivité de ce droit fondamental, en assurant une protection à un niveau élevé et équivalent dans tous les États membres, préside à l’application dudit règlement, ainsi que cela ressort de l’article 1er et du considérant 10 de celui-ci (arrêt du 4 septembre 2025, Quirin Privatbank, C‑655/23, EU:C:2025:655, point 38 et jurisprudence citée).

50 C’est précisément aux fins de la réalisation de cet objectif que l’article 15, paragraphe 1, du RGPD garantit à la personne concernée un droit d’accéder à ses données à caractère personnel [arrêt du 26 octobre 2023, FT (Copies du dossier médical), C‑307/22, EU:C:2023:811, point 48].

51 Cela étant, le droit à la protection des données à caractère personnel n’est pas un droit absolu. En effet, ce droit doit être considéré par rapport à sa fonction dans la société et être mis en balance avec d’autres droits fondamentaux, conformément au principe de proportionnalité [voir, en ce sens, arrêt du 12 janvier 2023, Österreichische Post (Informations relatives aux destinataires de données personnelles), C‑154/21, EU:C:2023:3, point 47].

52 En vertu de l’article 23, paragraphe 1, du RGPD, des limitations peuvent ainsi être fixées, par la voie de mesures législatives, aux obligations et aux droits prévus, notamment, à l’article 15 de ce règlement en vue de garantir certains objectifs d’intérêt général énumérés à cette disposition, pour autant que de telles limitations respectent l’essence des libertés et droits fondamentaux et qu’elles soient nécessaires et proportionnées dans une société démocratique pour garantir ces objectifs.

53 Il ressort de la décision de renvoi que, bien que l’exposé des motifs du BayDSG mentionne expressément l’article 23 du RGPD comme étant le fondement juridique de l’article 20, paragraphe 2, du BayDSG, il ne se réfère à aucun des objectifs énumérés à cet article 23. La juridiction de renvoi relève toutefois que, selon les observations présentées par l’Office dans le cadre de la procédure au principal, cette disposition du BayDSG poursuit en réalité deux objectifs principaux, à savoir, d’une part, celui de préservation de la confidentialité des données à caractère personnel concernant des tiers et, d’autre part, celui de garantie du bon fonctionnement ainsi que de l’indépendance des autorités de contrôle. En outre, elle aurait également pour objectif d’assurer la protection de la sécurité publique. Ces objectifs relèveraient de l’article 23, paragraphe 1, sous c), e), h), et i), du RGPD.

54 S’agissant, en premier lieu, de l’objectif de préservation de la confidentialité des données à caractère personnel concernant des tiers, il convient de relever que, conformément à l’article 23, paragraphe 1, sous i), du RGPD, des limitations aux droits et aux obligations prévus à l’article 15 de ce règlement peuvent être fixées afin de protéger les droits et libertés d’autrui.

55 Du reste, le considérant 63 dudit règlement énonce que le droit de toute personne concernée d’accéder aux données à caractère personnel qui ont été collectées à son sujet ne devrait pas porter atteinte aux droits ou aux libertés d’autrui (arrêt du 27 février 2025, Dun & Bradstreet Austria, C‑203/22, EU:C:2025:117, point 69).

56 Cependant, ces considérations ne devraient pas aboutir à refuser toute communication d’informations à la personne concernée, comme le prévoit l’article 20 du BayDSG.

57 En effet, ainsi qu’il a été rappelé au point 52 du présent arrêt, il ressort de l’article 23, paragraphe 1, du RGPD qu’une limitation de la portée des obligations et des droits prévus notamment à l’article 15 de celui-ci n’est possible que si une telle limitation respecte l’essence des libertés et des droits fondamentaux et qu’elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir la protection des droits et des libertés d’autrui (arrêt du 27 février 2025, Dun & Bradstreet Austria, C‑203/22, EU:C:2025:117, point 70). Cette disposition doit être lue à la lumière de l’article 8, paragraphe 2, deuxième phrase, de la Charte consacrant le principe selon lequel « [t]oute personne a le droit d’accéder aux données collectées la concernant et d’en obtenir la rectification ».

58 Ainsi que la Cour l’a relevé, en cas de conflit entre, d’une part, l’exercice d’un droit d’accès plein et complet aux données à caractère personnel et, d’autre part, les droits ou les libertés d’autrui, il y a lieu de mettre en balance les droits et les libertés en question. Dans la mesure du possible, il convient de choisir des modalités de communication des données à caractère personnel qui ne portent pas atteinte aux droits ou aux libertés d’autrui, en tenant compte du fait que ces considérations ne doivent pas aboutir à refuser toute communication de telles données à la personne concernée, ainsi qu’il ressort du considérant 63 du RGPD (voir, en ce sens, arrêt du 27 février 2025, Dun & Bradstreet Austria, C‑203/22, EU:C:2025:117, point 72 ainsi que jurisprudence citée).

59 Ainsi, des modalités adaptées, telles que, notamment, l’occultation ou l’anonymisation des données à caractère personnel concernant des tiers, sont de nature à concilier les intérêts en jeu sans supprimer entièrement le droit d’accès de la personne concernée aux données à caractère personnel la concernant.

60 Il s’ensuit que l’article 23, paragraphe 1, sous i), du RGPD s’oppose à une disposition législative nationale en vertu de laquelle le responsable du traitement est tenu de refuser à la personne concernée tout accès aux données à caractère personnel la concernant, sans pouvoir procéder à une mise en balance des intérêts en présence.

61 En deuxième lieu, quant à l’objectif de préservation du bon fonctionnement et de l’indépendance des autorités de contrôle, il convient de relever que l’article 52 du RGPD garantit la pleine indépendance d’une telle autorité et impose à chaque État membre de veiller à ce que chaque autorité de contrôle dispose des ressources humaines, techniques et financières nécessaires à l’exercice effectif de ses missions et de ses pouvoirs. Par ailleurs, la Cour a souligné que l’objectif d’assurer un niveau cohérent et élevé de protection des personnes physiques au sein de l’Union requiert de garantir le bon fonctionnement des autorités de contrôle [arrêt du 9 janvier 2025, Österreichische Datenschutzbehörde (Demandes excessives), C‑416/23, EU:C:2025:3, point 40].

62 Dès lors, l’objectif de préservation du bon fonctionnement et de l’indépendance des autorités de contrôle constitue un objectif légitime au regard de l’article 23, paragraphe 1, sous h), de ce règlement, qui permet, en principe, d’adopter des limitations notamment au droit d’accès garanti à l’article 15 dudit règlement.

63 Toutefois, ainsi que M. l’avocat général le relève, en substance, au point 86 de ses conclusions, l’exercice de ce droit d’accès n’est pas susceptible de mettre en péril la garantie de l’exercice indépendant des missions des autorités de contrôle.

64 Il en va de même de la garantie de l’exercice efficace de ces missions. En effet, une disposition législative interdisant, de manière générale et abstraite, tout accès de la personne concernée aux données à caractère personnel la concernant qui sont détenues par une autorité de contrôle ne poursuit pas, de manière proportionnée, un tel objectif.

65 À cet égard, il convient d’ailleurs de souligner que, à supposer même que la charge administrative liée au traitement des demandes d’accès présentées au titre de l’article 15 du RGPD puisse, le cas échéant, ne pas être négligeable, force est de souligner que, ainsi qu’il est rappelé au point 61 du présent arrêt, chaque État membre veille à ce que chaque autorité de contrôle dispose des ressources humaines, techniques et financières nécessaires à l’exercice effectif de ses missions et de ses pouvoirs.

66 En outre, l’article 12, paragraphe 5, du RGPD permet au responsable du traitement confronté à une demande d’accès manifestement infondée ou excessive soit d’exiger le paiement de frais raisonnables qui tiennent compte des coûts administratifs supportés pour fournir les informations, soit de refuser de donner suite à de telles demandes.

67 Dès lors, le droit de toute personne concernée d’accéder aux données à caractère personnel la concernant ne saurait être exclu de manière générale en vue de préserver le bon fonctionnement et l’indépendance des autorités de contrôle au titre de l’article 23, paragraphe 1, sous h), dudit règlement.

68 S’agissant, en troisième lieu, de l’objectif de protection de la sécurité publique, il convient d’observer que, conformément à l’article 23, paragraphe 1, sous c), du RGPD, cet objectif peut justifier une limitation au droit d’accès de la personne concernée aux données à caractère personnel la concernant, prévu à l’article 15, paragraphe 1, de ce règlement. Toutefois, une telle limitation ne pourrait être invoquée par un État membre qu’en cas de menace réelle et suffisamment grave, affectant un intérêt fondamental de la société [voir, par analogie, arrêt du 13 novembre 2025, Commission/Hongrie (Matériaux de construction pour infrastructures critiques), C‑499/23, EU:C:2025:875, point 41]. Or, rien de tel ne ressort du dossier dont la Cour dispose.

69 Eu égard à l’ensemble des considérations qui précèdent, il y a lieu de répondre à la seconde question que l’article 23, paragraphe 1, sous c), h), et i), du RGPD doit être interprété en ce sens qu’il s’oppose à une disposition nationale en vertu de laquelle l’auteur d’une réclamation ne dispose d’aucun droit d’accès aux données à caractère personnel le concernant, tel que prévu à l’article 15 de ce règlement, et qui sont détenues par une autorité de contrôle, au sens de l’article 4, point 21, dudit règlement.

Sur les dépens

70 La procédure revêtant, à l’égard des parties au principal, le caractère d’un incident soulevé devant la juridiction de renvoi, il appartient à celle-ci de statuer sur les dépens. Les frais exposés pour soumettre des observations à la Cour, autres que ceux desdites parties, ne peuvent faire l’objet d’un remboursement.

Par ces motifs, la Cour (troisième chambre) dit pour droit :

1) L’article 4, point 7, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), lu en combinaison avec l’article 15 de celui-ci, doit être interprété en ce sens que : dans le cadre d’une procédure ayant pour objet une réclamation introduite par une personne concernée en vertu de l’article 77 de ce règlement, une autorité de contrôle, au sens de l’article 4, point 21, dudit règlement, doit être qualifiée de « responsable du traitement » et, dès lors, être, en principe, tenue d’accorder à cette personne l’accès aux données à caractère personnel la concernant et aux informations énumérées à cet article 15.

2) L’article 23, paragraphe 1, sous c), h), et i), du règlement 2016/679 doit être interprété en ce sens que : il s’oppose à une disposition nationale en vertu de laquelle l’auteur d’une réclamation ne dispose d’aucun droit d’accès aux données à caractère personnel le concernant, tel que prévu à l’article 15 de ce règlement, et qui sont détenues par une autorité de contrôle, au sens de l’article 4, point 21, dudit règlement.