Limites du droit d’accès du salarié à ses données personnelles

La Cour d’appel de Paris s’est prononcée sur la question de l’étendue du droit d’accès du salarié à ses données personnelles.

En sa qualité de responsable du traitement, tout employeur est tenu par une obligation de protection des données personnelles des salariés. Les salariés disposent, en leur qualité de personnes concernées, d’un droit d’accès à leurs données personnelles traitées par l’employeur.

Ainsi, à la suite de son licenciement, une salariée a demandé à son employeur de lui fournir l’intégralité de son dossier personnel. L’employeur lui a alors transmis une trentaine d’éléments en sa possession.

Considérant la réponse insatisfaisante, la salariée a saisi sur requête le Conseil de prud’hommes, afin d’obtenir la communication du contenu de sa messagerie électronique professionnelle.

Déboutée, elle a interjeté appel. Elle soulignait que les messages issus de sa messagerie professionnelle permettaient de prouver l’étendue de ses horaires de travail. Or, ces éléments étaient nécessaires pour chiffrer ses demandes au titre des heures supplémentaires réalisées.

C’est dans ce contexte que, le 12 mai dernier, la Cour d’appel de Paris s’est prononcée sur la question de l’étendue du droit d’accès exercé par un salarié.

Le droit d’accès du salarié

Dès 2010, le Conseil d’Etat a précisé que « toute personne peut à tout moment avoir accès aux données à caractère personnel la concernant contenues dans un fichier » (Conseil d’Etat, 20 octobre 2010).

Le droit d’accès est consacré tant par l’article 49 de loi Informatique et libertés que par l’article 15 du RGPD.

Pour le responsable de traitement, la transparence, racine du droit d’accès, contribue à un traitement loyal des données. Il permet d’instaurer une relation de confiance avec les personnes concernées. L’employeur doit également une obligation de transparence envers les tiers.

En substance, le droit d’accès confère à la personne concernée la possibilité d’obtenir :

• une copie de ses données ;
• les informations visées à l’article 15 du RGPD.

De manière générale, les éléments accessibles via l’exercice par la personne concernée de son droit d’accès se rapportent à :

• ses données à caractère personnel ;
• des informations légalement identifiées.

Ainsi et sous l’empire de l’article 15 du RGPD, en termes de données, le droit d’accès vise, à la fois mais seulement, les « données à caractère personnel » de la personne concernée. Cette dernière peut exercer son droit :

• directement ;
• par l’intermédiaire d’un contrat de mandat (1)

Restrictions au droit d’accès

Si le droit d’accès, dans ses différentes composantes, constitue un droit fondamental de la personne concernée, il n’est toutefois pas illimité.

A cet égard des restrictions existent, et sont soit :

• prévues par un texte normatif ;
• établies par la jurisprudence européenne ou nationale.

La Cnil précise également sur son site internet, les modalités d’exercice du droit d’accès des salariés.

L’impossibilité matérielle de répondre favorablement à la demande de droit d’accès

En réponse à la demande de la salariée, l’employeur précise être :

« dans l’impossibilité matérielle de répondre favorablement à la demande de son ancienne salariée dans la mesure où sa boîte mail, au regard de la mise en place d’une politique stricte en matière de protection des données personnelles et notamment le RGPD, a été supprimée postérieurement à la rupture du contrat de travail ».

Ainsi, la Cour d’appel a jugé que la suppression des données, conformément à la politique mise en place par l’employeur et opposable à la salariée, constitue une impossibilité matérielle de donner une suite favorable à la requête.

Cette impossibilité matérielle prive donc la requête de la salariée du motif légitime nécessaire à une action fondée sur l’article 145 du Code de procédure civile.

Virginie Bensoussan-Brulé
Raphaël Liotier
Shana Zeitoun, étudiante en droit, Université catholique de Lille
Lexing Contentieux numérique

Notes : 

(1) Comme prévu à l’article 93, alinéa 1^er, du décret n° 2005-1309 du 20 octobre 2005