# Quand le droit d'accès RGPD devient un business model : la CJUE encadre l'abus de droit

Le 19 mars 2026, la Cour de justice de l'Union européenne a rendu un arrêt qui intéresse directement quiconque conçoit, automatise ou audite des workflows de conformité au RGPD : responsables de la protection des données (DPO), équipes privacy engineering, consultants en automatisation, et plus largement toute personne qui s'intéresse à la manière dont un texte de protection des libertés peut être détourné à des fins opportunistes. L'affaire C-526/24, Brillen Rottler GmbH & Co. KG contre TC, tranche une question simple en apparence — un formulaire de demande d'accès aux données personnelles peut-il être refusé s'il sent l'arnaque ? — mais dont la réponse redessine l'équilibre entre un droit fondamental et sa possible instrumentalisation.

## Le cadre juridique : articles 12, 15 et 82 du RGPD

Le règlement général sur la protection des données (RGPD, règlement (UE) 2016/679) repose sur un ensemble de droits accordés à toute personne dont les données sont traitées : droit à l'information, droit d'accès, droit de rectification, droit à l'effacement, droit d'opposition. L'article 15 est l'un des piliers de cet édifice : il permet à quiconque d'obtenir du responsable du traitement la confirmation qu'un traitement de ses données existe et, si c'est le cas, d'accéder à ces données ainsi qu'à un ensemble d'informations sur les finalités, les destinataires ou la durée de conservation. Ce droit est pensé comme la condition d'exercice de tous les autres : sans savoir ce qu'une entreprise détient sur soi, impossible de demander une rectification ou une suppression, ou de vérifier la licéité du traitement.

Mais le règlement prévoit aussi un garde-fou. L'article 12, paragraphe 5, autorise le responsable du traitement à facturer des frais raisonnables tenant compte des coûts administratifs, ou à purement et simplement refuser de donner suite, lorsque les demandes d'une personne concernée sont « manifestement infondées ou excessives, notamment en raison de leur caractère répétitif ». C'est une exception à un principe de facilitation, et elle doit donc, selon une règle d'interprétation classique en droit de l'Union, être lue restrictivement. Enfin, l'article 82 ouvre un droit à réparation : toute personne ayant subi un dommage matériel ou moral du fait d'une violation du RGPD peut obtenir une indemnisation du responsable ou du sous-traitant concerné, à condition de démontrer une violation, un dommage réel et un lien de causalité entre les deux.

C'est l'articulation de ces trois dispositions — faciliter l'accès, permettre de refuser l'excès, indemniser la violation — qui était au cœur du litige porté devant la Cour.

## Les faits : une newsletter, treize jours, une demande d'indemnisation

L'histoire commence de façon anodine. Un particulier résidant en Autriche s'inscrit au bulletin d'information de Brillen Rottler, une entreprise familiale d'optique établie à Arnsberg, en Allemagne, en renseignant ses données personnelles dans le formulaire disponible sur le site de l'entreprise. Treize jours plus tard seulement, il adresse à Brillen Rottler une demande d'accès au titre de l'article 15 du RGPD. L'entreprise refuse d'y donner suite, estimant la démarche abusive. À l'appui de son refus, elle produit des reportages, des articles de blog et des bulletins de cabinets d'avocats qui décrivent, selon elle, un modus operandi identique répété par cette même personne auprès de multiples responsables de traitement : s'abonner à une newsletter, exercer son droit d'accès, puis réclamer une indemnisation en cas de refus ou de traitement jugé insatisfaisant. Le particulier maintient sa demande et réclame 1 000 € de dommages et intérêts au titre du préjudice moral qu'il prétend avoir subi du fait du rejet de sa demande d'accès, sur le fondement de l'article 82 du RGPD.

Brillen Rottler saisit alors le tribunal de district (Amtsgericht) d'Arnsberg d'une action en constatation négative. Confronté à huit questions préjudicielles, ce tribunal interroge la CJUE, en substance, sur deux points : une première demande d'accès — donc non répétitive au sens strict — peut-elle être qualifiée d'« excessive » au sens de l'article 12, paragraphe 5 ? Et le demandeur a-t-il droit à réparation lorsque son propre comportement est à l'origine du dommage qu'il invoque ?

## La réponse de la Cour : la théorie de l'abus de droit transposée au RGPD

Sur le premier point, la Cour de justice (quatrième chambre) répond par l'affirmative, mais sous conditions strictes. Elle relève d'abord que le terme « excessif » désigne, dans son sens courant, ce qui dépasse une mesure raisonnable, et que le caractère répétitif n'est mentionné dans le texte qu'à titre d'exemple — introduit par l'adverbe « notamment ». Rien n'empêche donc, littéralement, qu'une demande isolée soit qualifiée d'excessive. Ensuite, sur le plan systémique, la Cour rappelle que l'article 12, paragraphe 5, est une expression particulière d'un principe général du droit de l'Union : nul ne peut se prévaloir frauduleusement ou abusivement des normes européennes. Le droit à la protection des données, précise-t-elle, n'est pas un droit absolu ; il doit être mis en balance avec d'autres intérêts, et le règlement prévoit lui-même les instruments de cet équilibre.

La Cour pose alors un test à deux éléments, directement issu de la jurisprudence générale sur l'abus de droit en droit de l'Union. Un élément objectif, d'abord : malgré le respect formel des conditions posées par le règlement pour introduire une demande d'accès, l'objectif poursuivi par la norme — permettre à la personne concernée de vérifier la licéité du traitement de ses données et d'exercer, le cas échéant, ses autres droits — n'est pas atteint. Un élément subjectif, ensuite : la volonté de tirer un avantage de la réglementation en créant artificiellement les conditions nécessaires à son obtention. Concrètement, il appartient au responsable du traitement de démontrer, de façon non équivoque, que la demande d'accès n'a pas été introduite pour connaître le traitement des données ou vérifier sa licéité, mais dans l'intention de créer artificiellement les conditions d'une réparation.

Pour établir cette intention, la Cour indique que l'ensemble des circonstances doit être pris en compte : le fait que la personne a fourni ses données volontairement, la finalité de cette fourniture, le délai — très bref en l'espèce, treize jours — entre la communication des données et la demande d'accès, et le comportement général du demandeur. Elle ajoute un point notable pour quiconque s'intéresse à la preuve numérique : des informations accessibles au public, faisant état de l'introduction systématique par la même personne de demandes d'accès suivies de demandes de réparation auprès de plusieurs responsables de traitement différents, peuvent être prises en compte, à condition d'être corroborées par d'autres éléments.

Sur le second point, la Cour précise que le droit à réparation de l'article 82 suppose la réunion de trois conditions cumulatives : une violation du règlement, un dommage effectif, et un lien de causalité entre les deux. Or ce lien peut être rompu par le comportement de la personne concernée elle-même, lorsque ce comportement constitue la cause déterminante du préjudice invoqué. Une personne qui transmet délibérément ses données dans le seul but de créer artificiellement les conditions d'application de l'article 82 ne peut donc pas se prévaloir de la perte de contrôle sur ses données ou de l'incertitude quant à leur traitement, puisqu'elle est elle-même à l'origine de cette situation.

## Pourquoi cette décision compte au-delà du droit

Pour un chercheur en cybersécurité ou un consultant en automatisation, cet arrêt touche à un sujet rarement traité sous cet angle : les mécanismes de protection des données, comme le droit d'accès, constituent aussi une surface d'interaction exploitable, à des fins lucratives, mais potentiellement aussi à des fins de reconnaissance, de harcèlement ou d'ingénierie sociale contre une organisation. La Cour ne ferme pas la porte au droit d'accès — elle rappelle au contraire qu'il reste la pierre angulaire de la protection des données — mais elle donne aux responsables de traitement un cadre juridique concret pour documenter, qualifier et refuser des demandes construites selon un schéma répétitif et opportuniste, à condition de réunir un faisceau d'indices solide. C'est un arrêt qui parle à la fois aux équipes qui doivent défendre une organisation contre l'utilisation détournée de ses obligations réglementaires, et à celles qui, côté offensif ou consultant, doivent comprendre où se situe désormais la limite entre exercice légitime d'un droit et stratégie contentieuse déguisée.

## Sources

- CJUE, communiqué de presse n° 38/26, arrêt du 19 mars 2026, affaire C-526/24, Brillen Rottler — https://curia.europa.eu/site/upload/docs/application/pdf/2026-03/cp260038fr.pdf
- EUR-Lex, texte de l'arrêt de la Cour, 19 mars 2026, affaire C-526/24 (62024CJ0526) — https://eur-lex.europa.eu/legal-content/FR/TXT/PDF/?uri=CELEX%3A62024CJ0526
- EUR-Lex, règlement (UE) 2016/679 (RGPD), texte consolidé — https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=CELEX:02016R0679-20160504

## Angles de lecture pour NotebookLM (à coller dans « Personnaliser » de l'Audio Overview)

Choisis un ou plusieurs des angles suivants selon ce que tu veux approfondir dans le podcast généré ; chacun peut être collé tel quel dans le champ de personnalisation de NotebookLM.

**Angle 1 — Le droit d'accès comme vecteur d'ingénierie sociale et de reconnaissance.** Concentre-toi sur la manière dont une demande d'accès RGPD (article 15) pourrait être détournée à des fins offensives — vérifier quelles données une organisation détient réellement sur une cible, tester ses processus de vérification d'identité, ou l'utiliser comme prétexte de contact légitime dans une opération de social engineering — et explique, à partir des critères posés par la CJUE (délai suspect, comportement répétitif documenté), comment une équipe sécurité pourrait détecter ce type d'usage détourné sans pénaliser les demandes légitimes.

**Angle 2 — Architecture et automatisation du traitement des demandes RGPD.** Détaille comment concevoir un workflow automatisé de traitement des « Subject Access Requests » (vérification d'identité, journalisation, scoring du risque d'abus à partir de signaux comme le délai entre collecte et demande ou la fréquence auprès d'autres sources), en t'appuyant sur les critères validés par la Cour pour caractériser une demande excessive, tout en respectant l'obligation de facilitation qui reste la règle par défaut.

**Angle 3 — Comparaison avec les autres régimes déjà traités dans le dépôt.** Mets cet arrêt en perspective avec le maintien frauduleux dans un STAD (archive du 15 juillet, article 323-1 du code pénal) et le cumul de sanctions Orange/CNIL/Arcep/DGCCRF (archive du 13 juillet, décision QPC) : dans les trois cas, la question centrale est celle du détournement de finalité — d'un accès technique, d'un pouvoir de sanction, ou ici d'un droit civil — et compare les logiques de preuve et de sanction propres à chaque régime (pénal, administratif, civil/indemnitaire).

**Angle 4 — Veille réglementaire automatisée sur la jurisprudence CJUE et RGPD.** Imagine comment un consultant en automatisation pourrait construire une veille continue sur les décisions de la CJUE relatives aux articles 12, 15 et 82 du RGPD (flux CURIA, alertes EUR-Lex par mots-clés, classification automatique des arrêts par thème — abus de droit, droit d'accès, responsabilité), afin d'anticiper l'évolution de la doctrine sur l'abus de droit numérique et d'alimenter en continu les politiques internes de traitement des demandes.

**Angle 5 — Prospective contentieuse : agents automatisés et RGPD à l'échelle.** Projette ce raisonnement sur un scénario où des scripts ou agents IA généreraient massivement des demandes d'accès RGPD auprès de multiples responsables de traitement — une industrialisation de la stratégie observée dans cette affaire — et discute comment les critères posés par la CJUE (faisceau d'indices, preuve de l'intention abusive) pourraient s'appliquer, ou devraient être adaptés, face à une automatisation à grande échelle plutôt qu'à un individu isolé.