Art. 12 § 5, RGPD — demandes manifestement infondées ou excessives : le responsable du traitement peut exiger des frais raisonnables ou refuser d'y donner suite.Art. 15, RGPD — droit d'accès de la personne concernée à ses données à caractère personnel et aux informations relatives à leur traitement.Art. 82, RGPD — droit à réparation du dommage matériel ou moral causé par une violation du règlement, sous réserve d'un dommage réel et d'un lien de causalité.Un particulier résidant en Autriche s'abonne à la newsletter de Brillen Rottler, une entreprise familiale d'optique établie à Arnsberg, en renseignant ses données personnelles dans le formulaire d'inscription. Treize jours plus tard, il adresse à l'entreprise une demande d'accès au titre de l'article 15 du RGPD. Brillen Rottler refuse, estimant la demande abusive : selon des reportages, articles de blog et bulletins d'avocats versés aux débats, cet individu s'inscrirait systématiquement à des newsletters de multiples entreprises avant de réclamer l'accès à ses données, puis une indemnisation — ici 1 000 € au titre d'un préjudice moral, sur le fondement de l'article 82 du RGPD.
Saisi du litige, le tribunal de district d'Arnsberg interroge la CJUE. Celle-ci répond qu'une première demande d'accès peut déjà être « excessive » si le responsable du traitement démontre une intention abusive — créer artificiellement les conditions d'une réparation plutôt que vérifier la licéité du traitement — et que le droit à réparation ne joue pas lorsque le comportement du demandeur est la cause déterminante du dommage qu'il invoque.
Pour quiconque conçoit ou audite des workflows de conformité, cet arrêt touche à un point sensible : le droit d'accès RGPD est aussi une surface exploitable, à des fins lucratives comme à des fins de reconnaissance ou d'ingénierie sociale. La CJUE valide l'usage d'un faisceau d'indices — comportement répétitif documenté publiquement, délai anormalement court entre collecte et demande — pour caractériser l'abus, ce qui donne une base juridique concrète à l'automatisation de la détection de demandes RGPD suspectes, tout en imposant un seuil de preuve élevé pour ne pas décourager l'exercice légitime du droit d'accès.