Le droit d’accès des salariés à leurs données et aux courriels professionnels

Information CNIL

Toute personne peut demander à un organisme la communication des données qu’il détient sur elle et en obtenir une copie. Un salarié peut ainsi demander à son employeur l’accès et la communication des données personnelles qu’il a en sa possession.

À quoi sert le droit d’accès ?

L’exercice du droit d’accès permet à une personne de savoir si des données qui la concernent sont traitées puis d’en obtenir, si elle le souhaite, la communication dans un format compréhensible. Cette démarche permet notamment de contrôler l’exactitude des données et, au besoin, de les faire rectifier ou effacer.

L’organisme auprès duquel une personne souhaite exercer son droit d’accès doit également être en mesure de lui fournir divers renseignements, par exemple les objectifs poursuivis par l’utilisation des données, les catégories de données traitées, les autres organismes ayant obtenu la communication des données, etc.

• Salariés : en savoir plus sur le droit d’accès
• Employeurs : comment répondre à une demande de droit d’accès ?

Les règles du droit d’accès

L’organisme doit s’assurer de l’identité du demandeur

Si l’organisme a des doutes raisonnables sur l’identité de la personne souhaitant exercer son droit, il peut demander certaines informations pour prouver son identité. Il ne peut pas, en revanche, demander des pièces justificatives qui seraient abusives, non pertinentes et disproportionnées par rapport à la demande.

Exemples :

• si un salarié demande à son employeur l’accès et la communication des données personnelles qu’il détient sur lui via sa messagerie électronique professionnelle ou l’intranet de l’entreprise, la présentation d’une carte nationale d’identité ou d’un passeport n’est à priori pas nécessaire pour s’assurer de l’identité du demandeur.
• De la même manière, un ancien salarié souhaitant exercer son droit d’accès pourra, en principe, prouver son identité en fournissant son ancien identifiant professionnel.

L’organisme doit répondre gratuitement à la demande

Les personnes concernées doivent pouvoir exercer le droit d’accès gratuitement. Toutefois, dans certaines situations exceptionnelles, notamment en cas de demande d’une copie supplémentaire, des frais raisonnables liés au traitement du dossier pourront être demandés.

Le droit d’accès porte sur des données personnelles et non sur des documents

Le droit d’accès porte uniquement sur les données personnelles et non pas sur des documents : une personne ne peut donc pas réclamer la communication d’un document sur le fondement du droit d’accès. Cependant, il n’est pas interdit à l’organisme de communiquer des documents plutôt que les seules données, s’il estime que c’est plus pratique.

Exemple : lorsqu’une personne concernée souhaite exercer son droit d’accès à des courriels, l’employeur doit fournir tant les métadonnées (horodatage, destinataires…) que le contenu des courriels. Dans cette situation, la communication d’une copie des courriels apparaît comme la solution la plus aisée pour que l’organisme puisse satisfaire la demande mais n’est pas obligatoire.

L’exercice du droit d’accès ne doit pas porter atteinte aux droits des tiers

Facteur de transparence, le droit d’accès est un droit important donné par le RGPD à l’ensemble des individus. Cependant, l’exercice de ce droit ne peut pas se faire au détriment des autres personnes dont les données sont traitées.

Ainsi, l’organisme doit permettre un accès aux seules données dont la communication ne porte pas une atteinte disproportionnée aux droits d’autrui, sans toutefois refuser de satisfaire à la demande de manière générale.

Les droits des tiers (secret des affaires et à la propriété intellectuelle, droit à la vie privée, secret des correspondances, etc.) peuvent donc venir restreindre l’éventail des données accessibles ou communicables.

Exemple : en matière de droit d’accès à des données contenues dans des courriels professionnels, le respect du droit à la vie privée, le secret des affaires et le secret des correspondances sont régulièrement invoqués par les employeurs pour refuser de répondre favorablement à des salariés. 

Comment répondre à un salarié qui souhaite accéder ou obtenir la copie de courriels professionnels ?

Lorsqu’il répond à une demande de droit d’accès d’un salarié à des courriels professionnels, l’employeur doit apprécier l’atteinte au droit des tiers que représenterait cette communication : il va ainsi devoir faire un tri entre les messages communicables et ceux qui ne le sont pas.

Pour cela, l’employeur doit distinguer deux situations, selon que le salarié demandeur est :

• l’expéditeur ou le destinataire des courriels ;
• ou seulement mentionné dans le contenu des courriels.

Le demandeur est l’expéditeur ou le destinataire des courriels visés par la demande

Le demandeur est mentionné dans le contenu des courriels

Le cas particulier des courriels personnels

Les courriels identifiés comme étant personnels ou dont le contenu s’avère être privé malgré l’absence de la mention du caractère personnel, font l’objet d’une protection particulière, l’employeur n’étant pas autorisé à y accéder.

Pour ces courriels, l’employeur ne pourra pas prendre connaissance du contenu même en vue d’occulter des informations et devra fournir au demandeur le courriel en l’état, à condition que ce dernier soit l’expéditeur ou le destinataire.

Infographie « Le droit d’accès aux courriels professionnels« 

Les textes de référence

> Cour européenne des droits de l’Homme, Affaire Niemietz c. Allemagne, 16 décembre 1992 – Doctrine.fr

> Cour de cassation, Soc. 2 octobre 2001, n° 99-42.942 (arrêt Nikon) – Légifrance