Comment répondre à un salarié qui souhaite accéder à ses données personnelles ou obtenir la copie d’emails professionnels ?
Ce qu’il faut savoir :
Toute personne a le droit d'obtenir d’un responsable du traitement de données personnelles l’accès à ses données personnelles collectées et ce notamment pour vérifier l’exactitude des données et au besoin pour les faire rectifier ou effacer (article 15 du règlement général sur la protection des données « RGPD »).
Ce principe s’applique également dans le cadre des relations de travail. Ainsi, tout salarié ou ancien salarié doit pouvoir faire valoir auprès de son employeur ou ancien employeur son droit d’accès à toutes ses données personnelles ayant été collectées.
Quelles règles un employeur doit-il suivre pour répondre au droit d’accès d’un salarié ?
La CNIL a précisé le 5 janvier 2022 les modalités de réponse de l’employeur à un salarié qui souhaite une copie de ses courriels professionnels (Le droit d’accès des salariés à leurs données et aux courriels professionnels | CNIL). Cette publication complète le guide qu’elle avait publié à l’attention des professionnels expliquant comment répondre à une demande de droit d’accès.
Ainsi, les règles suivantes sont à respecter :
- S’assurer de l’identité du salarié
Pour exercer ses droits, le salarié doit justifier de son identité, par tout moyen. Ce n’est qu’en cas de « doute raisonnable » que l’employeur peut demander au salarié de joindre tout document permettant de prouver son identité. Néanmoins, l’employeur doit veiller à ne pas demander des pièces justificatives qui seraient abusives, non pertinentes et disproportionnées par rapport à la demande. Ainsi, la présentation d’une pièce d’identité n’est pas dans tous les cas nécessaire ou justifiée.
- Gratuité pour le salarié
L’accès est en principe gratuit pour le salarié. Il peut, par exception dans certains cas, être demandé des « frais raisonnables basés sur les coût administratifs ». Ces frais ne doivent néanmoins pas constituer une entrave au droit d’accès exercé par le salarié.
Comment l’employeur doit répondre au salarié ?
- Accès à des données
Le droit d’accès s’applique à des données et non des documents. L’employeur peut retranscrire les données. Il n’est pas obligé de transmettre l’email ou le document, mais cela peut être plus simple de le transmettre dans certains cas.
- Respect des droits des tiers
Le droit d’accès ne doit pas porter atteinte aux droits de tiers. Ainsi, l’employeur doit vérifier si les droits de tiers ne sont pas atteints avant de transmettre des données au salarié. Un salarié ne pourra, par exemple, pas obtenir des données relatives un collègue en exerçant son droit d’accès.
La vérification de l’employeur s’exercera différemment lorsque :
- le salarié était expéditeur ou destinataire des emails,
- le salarié est uniquement mentionné dans l’email,
- le droit d’accès est exercé sur des emails personnels du salarié. Dans ce dernier cas, l’employeur ne pourra accéder au contenu. Il devra communiquer l’email au salarié, mais uniquement dans le cas où le salarié est expéditeur ou destinataire de l’email.
Dans certains cas, l’employeur peut refuser de faire suite au droit d’accès du salarié. Cela pourra être le cas si la demande s’avère infondée ou excessive, ou encore si les données ont été effacées.
Dans quel délai répondre et quels sont les risques pour l’employeur ?
Dans tous les cas, l’employeur devra répondre au salarié. Il ne doit pas laisser la demande du salarié sans réponse. En principe, l’employeur a un délai d’un mois pour répondre.
Le refus de réponse au droit d’accès peut être sanctionné par une amende de 5ème classe (1 500 euros, qui peut être porté à 3000 euros en cas de récidive). De la même manière, la communication des données demandées sous un format illisible pour le salarié peut également être sanctionnée.
Ressources CNIL :
Le droit d’accès des salariés à leurs données et aux courriels professionnels | CNIL
Professionnels : comment répondre à une demande de droit d’accès ? | CNIL
