CJUE – Másdi – C-169/23

UC, une personne physique, s’est vu délivrer par l’administration de délivrance un certificat d’immunité attestant sa vaccination contre la COVID-19. Le 30 avril 2021, UC a engagé une procédure administrative relative au traitement des données le concernant, en introduisant une réclamation auprès de l’autorité nationale, afin qu’il soit ordonné à l’administration de délivrance de mettre ses opérations de traitement en conformité avec les dispositions du RGPD. Dans sa réclamation, il a, notamment, reproché à l’administration de délivrance de ne pas avoir rédigé et publié de mention d'information "RGPD".

Dans le cadre de la procédure engagée sur la base de cette réclamation, l’administration fourni les informations demandées et a indiqué qu’elle obtenait les données à caractère personnel qu’elle traitait auprès d’un autre organisme, conformément aux dispositions du décret no 60/2021. Sur cette base, elle a affirmé que, en vertu de l’article 14, paragraphe 5, sous c), du RGPD, elle n’était pas tenue de fournir des informations sur le traitement de ces données (mais l'a tout de même fait).

Insatisfait, UC forme un recours devant une juridiction qui a considéré que l’exception prévue à l’article 14, paragraphe 5, sous c), du RGPD n’était pas applicable, car certaines données à caractère personnel produites en lien avec les certificats d’immunité n’étaient pas obtenues par le responsable du traitement auprès d’un autre organisme, mais étaient générées par ce responsable lui-même, dans le cadre de l’exercice de ses missions. L’autorité nationale a saisi la Kúria (Cour suprême, Hongrie), qui est la juridiction de renvoi, d’un recours extraordinaire contre cet arrêt.