Comment répondre à une demande d'accès aux données ?

Introduction

La demande d’accès est le droit le plus fréquemment exercé, souvent dans un contexte tendu : litige commercial, contentieux prud’homal, différend entre associés. Sa gestion improvisée conduit à dépasser les délais.

Le contenu du droit

La personne obtient la confirmation que des données la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès à ces données.

Elle obtient également une série d’informations : finalités, catégories de données, destinataires, durée de conservation envisagée, existence des autres droits, droit de réclamation, source des données lorsqu’elles n’ont pas été collectées auprès d’elle, et existence d’une décision automatisée.

Le responsable fournit une copie des données faisant l’objet du traitement.

Le délai

La réponse intervient dans un délai d’un mois à compter de la réception de la demande.

Ce délai peut être prorogé de deux mois, compte tenu de la complexité et du nombre de demandes. La personne doit alors être informée de cette prorogation et de ses motifs dans le mois suivant la réception.

Le point de départ est la réception, non le moment où le service compétent en prend connaissance. Une demande adressée à une adresse générale fait courir le délai.

L’identification du demandeur

Lorsqu’il existe des doutes raisonnables quant à l’identité de la personne, le responsable peut demander les informations supplémentaires nécessaires pour la confirmer.

Cette faculté ne doit pas devenir un obstacle systématique. Exiger une pièce d’identité d’un client authentifié sur son compte, ou d’un salarié écrivant depuis son adresse professionnelle, est disproportionné et retarde indûment la réponse.

Le périmètre de la réponse

Le droit porte sur les données personnelles concernant le demandeur, non sur les documents en tant que tels.

Cette distinction est essentielle en contexte contentieux : une demande d’accès ne se substitue pas aux procédures de communication de pièces devant une juridiction.

Le responsable doit néanmoins fournir une copie complète des données traitées, ce qui inclut fréquemment des extraits de documents, des échanges, des évaluations, des commentaires.

Les appréciations subjectives portées sur une personne constituent des données la concernant.

Les limites

Les droits et libertés d’autrui doivent être préservés. Les données concernant des tiers doivent donc être occultées lorsqu’elles apparaissent dans les documents communiqués.

Le secret des affaires et la propriété intellectuelle peuvent limiter certaines communications, sans permettre de refuser toute réponse.

Les demandes manifestement infondées ou excessives, notamment par leur caractère répétitif, peuvent donner lieu à des frais raisonnables ou à un refus, à charge pour le responsable de démontrer ce caractère.

La méthode de traitement

Enregistrer la demande et sa date de réception, ce qui fait courir le délai.

Identifier le demandeur et le périmètre de sa demande, en le sollicitant si elle est imprécise.

Rechercher les données dans l’ensemble des systèmes : outil de gestion commerciale, messagerie, système de ressources humaines, sauvegardes accessibles, outils tiers.

Occulter les données de tiers.

Rédiger la réponse en y intégrant les informations obligatoires, et non seulement la copie des données.

Conserver la trace de la demande et de la réponse, au titre du principe de responsabilité.

Le contexte contentieux

Les demandes d’accès se multiplient à l’occasion d’un litige.

Le responsable ne peut pas refuser au motif du contentieux : le droit s’exerce indépendamment de la finalité poursuivie par le demandeur.

Il doit en revanche répondre avec rigueur, la réponse étant susceptible d’être versée au débat.

Une réponse incomplète expose à une réclamation auprès de la CNIL, ajoutant une difficulté à celle déjà en cours.

Préparer la procédure avant la première demande

Un mois passe vite lorsque les données sont dispersées entre plusieurs outils. Notre expertise RGPD et protection des données personnelles met en place ces procédures.

En résumé

• Un mois pour répondre, prorogeable de deux mois avec information dans le mois initial.
• La pièce d’identité ne se demande qu’en cas de doute raisonnable.
• Le droit porte sur les données, non sur les documents en tant que tels.
• Les données relatives à des tiers doivent être occultées.
• Le contexte contentieux ne permet pas de refuser : la réponse doit être rigoureuse.