La Cour de Justice de l'Union Européenne (CJUE) a clarifié les conditions dans lesquelles une première demande d'accès peut être considérée comme abusive et le droit à l'indemnisation limité.

Un particulier a exercé son droit d'accès conformément à l'article 15 du RGPD auprès de la société Brillen Rottler, treize jours après s'être inscrit à sa lettre d'information. L'entreprise a refusé la demande, la considérant abusive au motif que des sources publiques montraient que le demandeur agissait de manière systématique pour obtenir une compensation. Saisie par la Cour d'Arnsberg, la CJUE a précisé qu'une première demande d'accès peut être qualifiée d'"excessive" si le responsable du traitement démontre qu'elle vise non pas à vérifier la légalité du traitement, mais à créer artificiellement les conditions d'une demande d'indemnisation. Le fait que la personne ait un historique de démarches similaires peut être pris en compte pour établir une intention abusive.

Concernant la réclamation d'au moins 1 000 € pour préjudice non matériel suite au refus, la Cour a rappelé que le droit à réparation pour une infraction au RGPD exige que le demandeur prouve avoir effectivement subi un dommage. Elle a ajouté qu'aucune indemnisation ne peut être accordée si la propre conduite du demandeur est la cause déterminante du préjudice.