Droit d'accès aux données : gérer une demande abusive

Introduction

Le droit d’accès aux données personnelles, garanti par l’article 15 du RGPD, permet à toute personne d’obtenir communication des données qu’une entreprise détient à son sujet. Ce droit s’exerce en principe sans condition de motivation. Mais que faire lorsqu’une même personne multiplie les demandes, dans un contexte qui laisse penser à une stratégie plutôt qu’à un exercice loyal de ses droits ?

Le cadre légal du droit d’accès

L’article 15 du RGPD impose au responsable de traitement de communiquer, sur demande, l’ensemble des données personnelles détenues sur une personne. L’article 12, paragraphe 5, du même règlement offre cependant une porte de sortie limitée : le responsable de traitement peut refuser de donner suite à une demande “manifestement infondée ou excessive”. C’est cette exception, d’interprétation stricte, qui permet d’écarter les demandes réellement abusives.

Les critères d’une demande abusive

Une jurisprudence européenne récente a précisé les contours de cette notion. Une demande est considérée comme abusive lorsqu’elle poursuit un avantage indu plutôt que l’exercice loyal du droit d’accès, par exemple lorsqu’elle vise en réalité à obtenir une indemnisation artificielle en cas de manquement de l’entreprise.

Plusieurs éléments factuels, pris ensemble, peuvent constituer un faisceau d’indices révélateur de cette intention :

• Un comportement systématique : l’envoi de demandes d’accès à répétition, suivies de réclamations auprès de plusieurs responsables de traitement différents.
• Une communication volontaire de données : la personne a transmis elle-même ses données sans y être contrainte, ce qui interroge sur la finalité réelle de sa demande ultérieure.
• Un délai anormalement court entre l’inscription auprès du responsable de traitement et l’exercice du droit d’accès.

Aucun de ces éléments pris isolément ne suffit : c’est leur combinaison, documentée, qui permet de caractériser l’abus.

À qui revient la charge de la preuve ?

C’est au responsable de traitement d’établir l’intention abusive de la demande, et non à la personne concernée de justifier sa démarche. Un refus non documenté, reposant sur une simple suspicion, expose l’entreprise à une plainte auprès de la CNIL, qui maintient une lecture stricte du caractère quasiment inconditionnel du droit d’accès.

Le parallèle avec le droit d’accès du salarié

Cette même logique s’applique dans le contexte des relations de travail : un salarié en litige avec son employeur utilise parfois le droit d’accès comme un levier stratégique, pour obtenir des pièces qu’il ne pourrait pas réclamer directement dans le cadre d’un contentieux prud’homal. Les mêmes critères d’analyse s’appliquent alors, avec la même exigence de documentation de la part de l’employeur.

Nos recommandations pratiques

Pour se prémunir efficacement, une entreprise a intérêt à :

• Documenter systématiquement le contexte de chaque demande d’accès inhabituelle.
• Constituer des indices objectifs et datés avant d’envisager un refus.
• Motiver par écrit tout refus, en s’appuyant explicitement sur les critères dégagés par la jurisprudence.
• Associer le délégué à la protection des données (DPO) à l’analyse de toute demande sensible.
• Tenir un registre interne des demandes d’accès, pour objectiver un éventuel comportement systématique.

Pourquoi se faire accompagner sur ces situations

Refuser une demande d’accès sans cadre juridique solide expose l’entreprise à un risque disproportionné par rapport à l’enjeu initial. Notre expertise en droit du numérique accompagne les entreprises dans la qualification de ces situations et la sécurisation de leur réponse, qu’il s’agisse de refuser une demande abusive ou d’organiser une procédure interne de traitement des demandes d’accès.

En résumé

• Le droit d’accès aux données personnelles s’exerce en principe sans condition de motivation.
• Une demande peut être écartée si elle est manifestement infondée ou excessive, sur la base d’un faisceau d’indices objectifs.
• C’est à l’entreprise, responsable de traitement, de prouver l’intention abusive : un refus non documenté est présumé infondé.
• Documenter chaque demande sensible et impliquer le DPO permet de sécuriser la réponse de l’entreprise.