Pourquoi le droit d’accès existe-t-il ?
En tant qu’entreprise, vous êtes responsable de la communication claire sur la façon dont vous traitez des données à caractère personnel.
Le droit d’accès permet aux personnes concernées de :
- vérifier si leurs données à caractère personnel sont effectivement traitées ;
- savoir quelles données à caractère personnel sont concernées ;
- comprendre le finalités du traitement, la durée de conservation des données, les destinataires de ces données ainsi que les droits dont elles disposent.
Pour rassembler ces informations, vous pouvez appuyer sur votre registre des activités de traitement et sur votre déclaration de confidentialité.
Conditions : une demande sans obstacles
Une demande d’accès ne doit pas être motivée et est soumise à très peu de formalités. En pratique, la personne concernée doit simplement indiquer le ou les droits qu’elle souhaite exercer, adresser sa demande au responsable du traitement et, si nécessaire, pouvoir démontrer son identité. En tant qu’entreprises, il vous appartient de mettre à disposition des moyens de contact clairs et facilement accessible, afin de permettre aux personnes concernées d’exercer leurs droits sans difficulté.
Attention toutefois : même si vous prévoyez des canaux conviviaux, la personne concernée n’est pas tenue de les utiliser et peu adresser sa demande par un autre point de contact de votre organisation. En revanche, lorsqu’une demande est envoyée à une adresse manifestement inappropriée ou sans aucun lien avec votre entreprise, cela peut avoir une incidence sur votre obligation d’y répondre.
Checklist préalable : ce que vous devez vérifier avant de répondre à une demande d’accès
Une demande d’accès peut sembler simple à traiter, mais votre entreprise ne peut pas communiquer automatiquement toutes les données à caractère personnel demandées. Avant de répondre, il est important d’effectuer quelques vérifications importantes préalables :
- L’identité de la personne concernée est-elle suffisamment établie ? Ne demandez des informations complémentaires que lorsque cela est nécessaire et proportionné. Tant que l’identité n’est pas établie, vous pouvez refuser de donner accès qux données ;
- La demande émane-t-elle de la personne concernée ou d’un représentant ? Vérifiez qu’un tiers, qu’un parent ou un tuteur, dispose effectivement du pouvoir d’agir au nom de la personne concernée ;
- La demande porte-t-elle bien sur des données à caractère personnel ? Si d’autres informations sont visées, elles ne relèvent en principe pas du droit d’accès ;
- La demande porte-t-elle certaines données spécifiques ou l’ensemble des données à caractère personnel ? Sauf indication contraire, vous pouvez partir du principe qu’elle vise l’ensemble des données à caractère personnel de la personne concernée. Vous pouvez toutefois lui demander de préciser sa demande ;
- Votre entreprise dispose-t-elle encore des données demandées ? Des données supprimées ne peuvent évidemment pas être communiquées.
Ce n’est qu’après avoir vérifié ces différents point que vous pouvez procéder à la communication des informations demandées. Veillez également à ce que vos procédures internes permettent de traiter efficacement ce type de demande. Une erreur peut en effet entraîner des plaintes et, dans certains cas, de sanctions financières.
Champ d’application : qu’est-ce que les données à caractère personnel ?
Le droit d’accès concerne les données à caractère personnel de personnes concernées. Por les entreprises, il est important de garder à l’esprit que cette notion est interprétée de manière large. In ne s’agit pas uniquement des données à caractère personnel classiques telles que le nom, l’adresse ou le numéro de téléphone. Des informations plus spécifiques ou sensibles, comme des données médicales, un historique d’achats, des information relatives à la solvabilité, les journaux d’activité ou un historique de recherche, peuvent également constituer des données à caractère personnel. Il en va de même pour les messages instantanés, les e-mails ou encore les enregistrements téléphoniques.
Les données pseudonymisées relèvent également du droit d’accès lorsqu’elles peuvent encore être reliées à une personne déterminée. Par contre, les données anonymisées n’entrent plus dan le champ d’application de ce droit, puisqu’elles ne permettent plus d’identifier une personne. Enfin, le RGPD ne s’applique pas aux données à caractère personnel de personnes décédées.
L’octroi d’accès : comment procéder en pratique
Lorsqu’une personne exerce son droit d’accès, votre entreprise est tenue de lui donner accès à ses données à caractère personnel. Un simple résumé ne suffit pas : la personne concernée a le droit de prendre connaissance de l’ensemble de données à caractère personnel traité. Cela ne signifie toutefois pas que vous devez systématiquement transmettre les documents originaux. L’essentiel est que les données soient communiquées de manière transparente et facilement compréhensible.
En principe, un aperçu des données à caractère personnel suffit, sauf lorsque le document source est indispensable pour permettre à la personne concernée de vérifier la licéité du traitement. Il n’est pas important de quel type de document il s’agit, mais bien si la personne concernée puisse ou ne puisse pas excercer sont droit de contrôle sans y avoir accès.
La façon dont vous fournissez l’accès dépend également du contexte. Dans la pratique, il convient notamment de tenir compte :
- du volume de données à caractère personnel concernées ;
- de la complexité du traitement ;
- de la capacité de la personne concernée à comprendre les informations communiquées ;
- des besoins spécifiques de certains groupes vulnérables (tels que les personnes âgées, les enfants ou les personnes présentant d’un handicap visuel ou cognitif).
L’accès peut prendre de différentes formes, notamment :
- une remise d’une copie des données à caractère personnel (la solution la plus fréquente) ;
- une explication orale ;
- une consultation sur place, si la personne concernée en fait la demande.
Lorsque les données sont communiquées par voie électronique, elles doivent pouvoir être téléchargées et conservées facilement par la personne concernée. En présence d’un volume important de données, une approche progressive peut être envisagée, à condition que cela soit clairement expliqué au préalable. La première copie doit être fournie gratuitement. Pour des copies supplémentaires, une redevance raisonnable peut être demandée.
Attention : inviter une personne à consulter ses données, sur place ne constitue pas toujours une réponse suffisante à une demande d’accès. Lorsqu’une copie est demandée, elle doit être fournie. Le droit à une copie implique une reproduction fidèle et compréhensible de l’ensemble des données à caractère personnel concernées, dans un format que la personne peut conserver et utiliser durablement. Il n’est donc pas permis de faire reposer sur la personne concernée la charge d’identifier elle-même les informations pertinentes et d’en réaliser une copie. Cette responsabilité incombe à votre entreprise.
Délais : respectez les échéances légales
Traiter correctement une demande d’accès ne se limite pas au contenu de votre réponse, mais nécéssite un suivi en temps utile. Le tableau ci-dessous reprend les principales échéances à garder à l’esprit :
Restrictions : quand pouvez-vous refuser une demande d’accès ?
Le droit d’accès est un droit important, mais il n’est pas absolu. Lorsque vous traitez une demande d’accès, votre entreprise doit également tenir compte des droits et intérêts d’autres personnes ou d’autres parties concernées.
C’est notamment le cas lorsque les informations demandées contiennent :
- des données à caractère personnel de tiers ;
- des secrets d’affaires ;
- des droits de propriété intellectuelle ;
- des droits d’auteur.
Si une demande concerne également ce type d’informations, cela ne signifie pas automatiquement qu’elle droit être refusée. Dans de nombreux cas, il est possible de masquer ou d’anonymiser certaines informations sensibles, afin de permettre malgré tout accès aux données à caractère personnel auxquelles la personne concernée a droit.
Votre entreprise peut également refuser une demande ou demander une redevance raisonnable lorsqu’il s’agit d’une demande manifestement infondée ou excessive. En cas de refus, vous devez toutefois informer la personne concernée dans un délai d’un mois :
- du motif du refus ;
- de son droit d’introduire une réclamation auprès de l’Autorité de protection des données (APD) ;
- de la possibilité d’intenter une action en justice.
Une demande n’est pas automatiquement excessive parce que son traitement demande du temps ou mobilise des ressources importantes. L’APD a ainsi récemment rejeté l’argument d’un employeur qui estimait qu’une demande d’accès était excessive en raison de la charge de travail qu’elle impliquait. Selon l’APD, cette exception doit être interprétée de manière restrictive. En pratique, un refus ne pourra être justifié que dans des situations exceptionnelles, par exemple en cas d’abus de droit manifeste ou lorsque la demande poursuit clairement un objectif autre que la transparence. Un refus injustifié peut entraîner des plaintes et des sanctions. Il est donc essentiel de documenter votre analyse et de communiquer de manière transparente et rigoureuse.
Conclusion
Lorsqu’une demande d’accès est adressée à votre entreprise, il est essentiel d’y répondre de manière correcte dans les délais prévus. Si le droit d’accès peut sembler simple en théorie, son application pratique se montre souvent nettement plus compliquée. Notamment, cela peut poser un défi parce qu’il faut évaluer les intérêts, protéger les informations d’entreprises sensibles et appliquer correctement les exceptions. Une procédure interne claire et bien documentée permet de répondre à ces demandes de manière efficace tout en limitant les risques d’erreurs, de réclamations et de sanctions.
Vous avez des questions concernant le traitement d’une demande d’accès ou vous souhaitez être accompagné dans un dossier concret ? Notre équipe Technology, Digital & Data est à votre disposition pour vous assister dans la gestion des demandes d’accès, plus largement, dans le respect de vos obligations en matière de RGPD.
