Un candidat demande à accéder à la vidéo de son entretien d’embauche et aux critères utilisés pour rejeter sa candidature.

Un salarié demande son historique professionnel, ses évaluations annuelles et toute donnée ayant influencé une décision le concernant, notamment ayant influencé une potentielle augmentation ou évolution de carrière. 

Un salarié qui va être licencié ou qui envisage une rupture conventionnelle, va préparer un éventuel futur contentieux et demander l’accès à ses données de géolocalisation, de vidéosurveillance et d’accès aux locaux, ses mails et d’une manière générale toutes les données le concernant.

Dans le cadre pré-contentieux, ces 3 individus ont besoin de preuves pour appuyer leurs propos. En matière RH, la production de preuves numériques peut être compliquée, voire impossible.

Mais le RGPD consacre un droit particulier pour toute personne d’obtenir tout document ou information les concernant : on parle du droit d’accès, et on vous explique tout dans cet article. 

Qu’est-ce que le droit d’accès ?

Le droit d’accès, énoncé dans l’article 15 du RGPD, confère à toute personne le droit d’obtenir d’un organisme une copie de toutes les données personnelles la concernant. Cette copie doit être complète, intelligible, gratuite, et l’organisme dispose de 1 mois (3 si la demande est complexe) pour fournir ces données. 

La finalité du texte à l’origine est de permettre à chaque individu de vérifier la légalité du traitement des données le concernant.

Cependant, de plus en plus, ce droit est utilisé à des fins de précontentieux RH.

La CNIL et la CJCE ont confirmé que le droit d’accès, même utilisé à des fins étrangères à la légalité des traitements, est valable. La CJCE a spécifié dans un arrêt du 26 octobre 2023 (C-307/22) qu’il est autorisé de demander d’accéder à ses données personnelles pour des litiges, et que la communication des données doit être complète. Ainsi, une personne n’a pas à justifier la cause la poussant à exercer une demande de droit.

Même si cette cause se révèle par la suite être étrangère à la  finalité initiale du droit d’accès et que celui-ci n’est utilisé qu’aux fins de se pré-constituer des preuves, un organisme ne saurait refuser de compléter une demande de droit sur ce fondement. 

Et utiliser son droit d’accès pour obtenir une preuve lors d’un contentieux RH, c’est même recommandé par la CFDT ! Sur son site web, le syndicat encourage chacun à exercer son droit d’accès. 

Cet article pourrait également vous intéresser : Utiliser la vidéosurveillance (même illicite) pour prouver la faute d’un salarié ? Les juges confirment que c’est possible.

Limites de ce droit 

Le droit d’accès, bien qu’essentiel, n’est pas absolu et peut rencontrer certaines limites, notamment en ce qui concerne la protection des droits et intérêts d’autrui, ainsi que des droits, intérêts légitimes et capacité de l’employeur.

Voici quelques considérations à prendre en compte :

1. Demande précise et justifiée : Pour exercer son droit d’accès de manière efficace, le salarié doit préciser l’objet de sa demande et être aussi précis que possible sur les données ou documents demandés. Il doit indiquer quelles données d’évaluation, sur quelle période, avec quel logiciel, etc. Sans une demande précise, l’employeur peut légitimement refuser la demande d’accès en arguant qu’elle est abusive.

2. Protection des secrets professionnels : Le droit d’accès peut également être restreint si les données demandées sont protégées par le secret des correspondances, le secret des affaires ou le droit à la propriété intellectuelle. Dans de tels cas, l’employeur peut refuser la demande d’accès ou restreindre l’accès aux seules données non couvertes par ces droits.

3. Protection des droits des tiers : Lorsque le salarié exerce son droit d’accès, il doit veiller à ce que sa demande ne porte pas atteinte aux droits des tiers. Cela signifie que la demande doit être circonscrite aux seules données personnelles le concernant. Si des informations relatives à des tiers, tels que d’autres salariés ou des clients, sont visibles ou mentionnés dans les données demandées (par exemple, dans une vidéo de surveillance ou dans un classement), l’employeur est tenu d’anonymiser / d’extraire ces données afin de protéger la vie privée des tiers.

4. Possibilité de frais et de délai en cas de demande complexe : En principe, l’accès aux données personnelles est gratuit. Cependant, dans le cas de demandes complexes ou larges, l’organisme peut demander le paiement de certains frais. Cela dépendra toujours du cas spécifique, et il n’y a pas de jurisprudence établie à ce sujet. Le délai de 1 mois peut être étendu à 2 mois supplémentaires si besoin. 

En résumé, bien que le droit d’accès soit un outil puissant pour les salariés, il est important de respecter les limites et les droits des tiers, ainsi que les intérêts légitimes de l’employeur. Une demande précise et justifiée est essentielle pour garantir l’efficacité de l’exercice de ce droit.

Ce que cela implique pour l’employeur

L’utilisation croissante du droit d’accès dans le précontentieux RH met une pression supplémentaire sur les employeurs en matière de gestion des données personnelles de leurs employés.

Voici les implications spécifiques pour les employeurs :

• Respect des délais et fourniture de données complètes : Les employeurs doivent être prêts à répondre aux demandes de droit d’accès dans les délais prescrits par la loi, soit généralement un mois (ou trois mois en cas de demande complexe). Cela signifie qu’ils doivent disposer de systèmes et de processus efficaces pour identifier, extraire et fournir toutes les données personnelles demandées par l’employé. Ces données doivent être fournies de manière complète, intelligible et dans un format accessible.

• Gestion des demandes multiples et variées : Les employeurs peuvent recevoir des demandes de droit d’accès de la part de plusieurs employés à différents moments. Ces demandes peuvent être variées et concerner une grande diversité de données, telles que les données d’évaluation, les données de localisation, les données de suivi des heures de travail, etc. Il est crucial pour les employeurs de pouvoir gérer efficacement ces demandes et de traiter chaque demande de manière équitable et conforme à la loi. Toute demande de droit doit être traitée dans le délai imparti, et même si un délai supplémentaire est nécessaire, la personne doit être informée dans le délai de 1 mois du traitement de sa demande. Aussi, même en cas de refus à la demande de droit de la part de l’organisme, une réponse doit être formulée dans le délai imparti, et ce refus doit être justifié. 

• Mise en place de procédures internes : Pour répondre efficacement aux demandes de droit d’accès, les employeurs doivent mettre en place des procédures internes claires et bien définies. Cela peut inclure la désignation d’une personne responsable de la gestion des demandes de droit d’accès, la formation du personnel sur les procédures à suivre, et l’élaboration de modèles de réponse standardisés. Une communication interne efficace est également essentielle pour garantir que tous les départements concernés soient informés de leurs responsabilités en matière de traitement des demandes de droit d’accès.

• Garantie de sécurité, de confidentialité et d’intelligibilité : Lors de la transmission des données personnelles à l’employé, l’employeur doit garantir la sécurité et la confidentialité, et sa transmission dans un format intelligible de ces données. Cela peut impliquer l’utilisation de méthodes sécurisées de transmission des données, telles que le cryptage ou l’envoi par voie postale sécurisée. De plus, les employeurs doivent être conscients des risques potentiels de divulgation non autorisée de données personnelles et prendre les mesures nécessaires pour prévenir de tels incidents.

Attention ! Même archivées, les données faisant l’objet d’un droit d’accès doivent être communiquées.

Conseils pratiques   

Pour l’employeur, cela signifie qu’il doit être prêt à répondre à ces demandes dans les délais impartis et à fournir les données demandées de manière complète et intelligible.

Mon Expert RGPD vous recommande vivement de mettre en place ces quelques conseils pratiques :

• Il est essentiel pour les entreprises de mettre en place des procédures internes efficaces pour gérer ces demandes de droit d’accès.
   
• De plus, il est recommandé d’informer les employés de leur droit d’accès et de leur fournir des modèles de demande pour faciliter le processus.
  
• Le respect et la mise en place des durées de conservation est également essentiel, en ce qu’il permet de faire un tri parmi les données devant être fournies lors d’une demande de droit d’accès, et les données dont la durée de conservation est atteinte, et qui doivent donc être supprimées.
   
• Il est crucial de garantir la sécurité et la confidentialité des données personnelles lors de leur transmission, et de respecter les conditions d’extraction et d’anonymisation pour protéger les données personnelles des personnes pouvant être mentionnées sur les documents devant être fournis.
  
• Il est essentiel de se conformer au RGPD. Une bonne organisation des données facilitera grandement la recherche et l’identification des informations pertinentes. 

• Enfin, il est recommandé de demander des délais supplémentaires si la charge de travail est conséquente, surtout pour les TPE/PME.

Cet article pourrait également vous intéresser : Sécuriser vos locaux, c’est aussi votre conformité RGPD !

Quelques questions restent en suspens

Une préoccupation majeure concerne la garantie que l’employeur a effectivement communiqué toutes les données pertinentes. Il est possible que l’employeur omette volontairement ou involontairement certaines informations dans sa réponse à une demande de droit d’accès. Il sera difficile de démontrer le contraire.

L’article 145 du Code de procédure civile (CPC) peut être un outil utile pour garantir l’exhaustivité des données. Cet article autorise le juge à ordonner toute mesure d’instruction nécessaire à la manifestation de la vérité, y compris la désignation d’un expert pour enquêter sur les faits. Ainsi, si le salarié suspecte qu’il lui manque des informations pertinentes, il peut demander au juge d’ordonner une enquête pour vérifier l’exactitude et l’exhaustivité des données fournies par l’employeur.

Enfin, il est important de reconnaître que tout droit a comme limite un abus. Dans le contexte du droit d’accès dans le précontentieux RH, il est essentiel que les salariés n’abusent pas de ce droit en formulant des demandes excessives ou injustifiées. Une demande de droit d’accès doit être raisonnable et justifiée, et ne doit pas être utilisée de manière abusive pour perturber le fonctionnement normal de l’entreprise. Pour éviter l’abus du droit d’accès, il est nécessaire que les salariés exercent ce droit de manière responsable et respectueuse, en veillant à ce que leurs demandes soient étayées par des motifs légitimes et ciblées sur les informations nécessaires à la résolution du différend précontentieux.