Comment réagir face à une demande de droit d'accès émanant d'un salarié ?
Le droit d'accès, qu'est-ce que c'est ?
Le droit d'accès est l'une des composantes des droits offerts à toute personne par le Règlement Général sur la Protection des Données (RGPD) relativement à leurs données personnelles. Il permet de savoir quelles sont les données traitées et comment elles le sont. La personne qui exerce ce droit d'accès n'a pas à fournir de motivation et le responsable de traitement est tenu d'y répondre.
L'article 15 du RGPD impose que le responsable du traitement fournisse une réponse sous 1 mois. En revanche, si les demandes sont complexes (c'est le cas par exemple d'une demande concernant un grand nombre de données) le responsable du traitement peut demander une extension de deux mois supplémentaires (soit 3 mois au total). Dans ce cas il doit, dans le premier délai d'un mois, notifier à la personne concernée l'indication de l'extension de la période et le motif de cette extension.
Plus d'infos
L'article 12.5 du RGPD prévoit un principe de gratuité pour les copies fournies. Il est toutefois prévu que "des frais raisonnables basés sur les coûts administratifs" puissent être demandés pour toute copie supplémentaire et/ou lorsque la demande est manifestement infondée et/ou excessive.
Une telle pratique est déconseillée car les conditions d'interprétation sont très strictes.
Il est indispensable de respecter la demander de la personne concernée. Si elle a formulé sa demande par écrit, vous devez lui remettre par écrit. Vous devez conserver la preuve de la remise pour démontrer quand et comment vous avez répondu au droit d'accès (ex : envoi par lettre recommandée avec accusé de réception ou remise en main propre contre signature).
Limites au droit d'accès
Il existe certaines limites au droit d'accès mais elles sont très restrictives :
-
La demande ne doit concerner que la personne concernée.
Par principe il n'y a pas d'accès aux données des tiers, y compris les conjoints et collègues.
-
La demande ne doit pas être manifestement infondée ou excessive.
La question peut se poser quand la demande est effectuée en cours de procédure pour contrer les règles de communication de pièces. En l'état de la jurisprudence, il est très délicat de réussir à justifier d'une demande infondée ou excessive.
-
La demande ne doit pas porter atteinte aux droits et libertés d'autrui (ex : secret des affaires ou propriété intellectuelle).
Cette limitation entraine l'obligation pour le responsable de traitement de communiquer les données en caviardant les données protégées.
Vous avez un projet ?
Notre équipe régionale est à votre disposition pour échanger et vous accompagner dans votre mise en conformité au regard de la règlementation sur les données personnelles :
- Aurélie Garret-Dalmais, avocat associé
- Emilie Pessieau, avocat
- Camille Prin, avocat
- Catherine Tran Van, avocat
- Anne-Gaëlle Barbedette, juriste
