CJUE C‑526/24 — Premier droit d’accès « abusif » et refus 12(5)

CJUE 19 mars 2026 (C‑526/24, Brillen Rottler) — La Cour de justice admet qu’un premier droit d’accès (art. 15 RGPD) peut être refusé lorsqu’il est exercé dans le seul but de fabriquer un préjudice et réclamer une indemnisation (art. 82), à condition d’en démontrer l’intention abusive au cas par cas. Voir l’arrêt C‑526/24 du 19 mars 2026 (Infocuria).

L’affaire

Brillen Rottler, un opticien allemand, reçoit la demande d’accès d’un abonné à sa newsletter treize jours après l’inscription. L’opticien soupçonne une manœuvre consistant à multiplier des demandes « techniques » pour ensuite alléguer un dommage moral et réclamer réparation. Saisie à titre préjudiciel par l’Amtsgericht Arnsberg (DE), la Cour répond le 19 mars 2026 (C‑526/24) que l’article 12(5) RGPD autorise exceptionnellement le refus d’un accès « excessif » dès le premier exercice, si le responsable prouve une intention abusive (finalité de créer artificiellement les conditions d’une indemnisation). La Cour précise aussi le lien avec l’article 82 (dommage et causalité). Texte et communiqué officiels: arrêt C‑526/24 (ECLI:EU:C:2026:216) et communiqué n° 38/26 (fiche affaire; communiqué).

Le raisonnement juridique

• Base textuelle. L’article 15 RGPD consacre le droit d’accès; l’article 12(5) autorise de « ne pas donner suite » à une demande « manifestement infondée ou excessive » (charge de la preuve côté responsable); l’article 82(1) ouvre droit à réparation en cas de dommage matériel ou moral causé par une violation. Textes: articles 12, 15 et 82 du RGPD (EUR‑Lex).
• Interprétation CJUE (C‑526/24). La Cour retient: (1) l’« excès » ne se réduit pas à la répétition; l’appréciation est qualitative, in concreto (digest); (2) un premier accès peut être refusé si, « malgré le respect formel » de l’article 15, la demande vise un autre but que de « prendre connaissance du traitement et d’en vérifier la licéité », par ex. « créer artificiellement » les conditions d’une indemnisation (communiqué); (3) l’article 12(5), en tant qu’exception, s’interprète strictement: refus seulement « à titre exceptionnel », sur la base d’éléments objectifs démontrant l’intention abusive (digest).
• Cohérence avec la ligne EDPB. Les Lignes directrices 01/2022 rappellent: faciliter l’exercice, répondre dans le mois, et ne refuser qu’en cas de caractère manifestement infondé/excessif dûment prouvé (documentation, traçabilité). Exiger aussi d’expliquer le refus et les voies de recours (EDPB 01/2022).
• Convergence locale (CNPD). La CNPD détaille le droit d’accès, ses limites et délais, et publie une fiche pratique (protection des droits d’autrui, demandes disproportionnées, identification). Ces ressources confortent l’exigence de preuve et de transparence en cas de refus (page droit d’accès; fiche 2024).
• Articulation avec l’indemnisation. La CJUE confirme sa ligne 2023–2024: une atteinte au RGPD ne suffit pas; le demandeur doit démontrer un dommage et un lien de causalité (CJUE 2023). Cette exigence éclaire le « mobile indemnitaire » visé lorsqu’est identifiée une intention abusive.

Ce que ça change concrètement

• Possibilité de refus ciblé. Pour les responsables luxembourgeois, il devient possible — à titre exceptionnel — de refuser un premier droit d’accès en cas d’instrumentalisation prouvée du droit (finalité indemnitaire déconnectée du contrôle de licéité). Référence: arrêt CJUE C‑526/24 du 19 mars 2026 (texte).
• Procédure interne. Mettez à jour votre playbook « droits des personnes »: critères objectifs, grille d’analyse 12(5), collecte d’indices, matrice « refuser/partiellement répondre/expliquer », traçabilité (journal des échanges). Motivez le refus et orientez vers la CNPD (plainte art. 77) et l’action en justice (art. 79). Appuyez-vous sur le cadre RGPD et l’EDPB 01/2022.
• Signal aux « mass requests ». Dans les contextes d’attaques contentieuses industrialisées, l’arrêt offre un levier de filtrage, sans excuser des réponses lacunaires: l’EDPB exige de faciliter l’exercice et de documenter toute restriction (lignes directrices). Si besoin, appuyez-vous sur un accompagnement par un DPO certifié pour sécuriser vos réponses.
• Posture CNPD au Luxembourg. La CNPD attend une information claire sur les motifs de refus, les délais et les voies de recours. En cas de doute sur l’identité (art. 12(6)), ne demander que les justificatifs nécessaires. Pour la mise en conformité locale, voyez notre page RGPD Luxembourg.

Pièges fréquents

1. Refuser « par intuition ». Un simple « ton contentieux » ne suffit pas. Sans éléments objectifs démontrant l’intention abusive (p. ex. modèle de courrier visant une indemnisation d’emblée), le refus est fragile (interprétation stricte de 12(5); digest).
2. Assimiler « volumineux » à « excessif ». Une demande large n’est pas en soi excessive. À défaut de preuve d’abus, répondez de façon progressive (périmètre, priorisation, itérations), comme le recommande l’EDPB 01/2022 (guide).
3. Oublier la motivation et les voies de recours. Un refus 12(5) doit être motivé et notifier la possibilité de plainte à la CNPD (art. 77) et de recours judiciaire (art. 79). Les refus opaques exposent à des sanctions (RGPD).
4. Négliger l’identification. En cas de doute raisonnable (art. 12(6)), demander uniquement les informations supplémentaires nécessaires et consigner la justification (texte consolidé).
5. Confondre dommage et droit d’accès. L’absence de dommage (art. 82) ne supprime pas le droit d’accès. L’arrêt vise l’intention d’abuser du droit, pas l’exclusion des demandes à visée contentieuse (CJUE 2023).

Sources officielles

• Cour de justice de l’UE — Arrêt C‑526/24, Brillen Rottler, 19 mars 2026 (ECLI:EU:C:2026:216). Texte et communiqué n° 38/26.
• EDPB — Lignes directrices 01/2022 « Droit d’accès » (v2.1, 28 mars 2023). PDF.
• EUR‑Lex — RGPD, articles 12, 15, 82. Texte consolidé.
• CNPD (Luxembourg) — « Le droit d’accès » et fiche pratique. Page droit d’accès; fiche pratique 2024.

Commentaire de régulateur: l’EDPB encadre strictement l’usage de l’article 12(5) et exige des preuves; la CNPD insiste sur l’information, les délais et la proportionnalité. L’arrêt C‑526/24 ouvre une porte étroite contre les abus manifestes, sans affaiblir le droit d’accès légitime.

Article d'expertise Luxgap. Pour un cadrage personnalisé sur ce sujet, contactez-nous ou configurez votre devis en ligne.