Le droit d’accès prévu à l’article 15 du RGPD est devenu un outil stratégique majeur dans les relations de travail.
Aujourd’hui, de nombreux salariés l’utilisent :
- en cas de procédure disciplinaire,
- avant un licenciement,
- dans le cadre d’une rupture négociée,
- ou pour préparer un contentieux prud’homal.
Côté employeur, la vraie question n’est plus :“Dois-je répondre ?”
Mais plutôt :“Comment répondre sans m’exposer juridiquement ?”
À quoi sert vraiment le droit d’accès ?
Le droit d’accès permet à un salarié de :
- savoir si des données personnelles le concernant sont traitées ;
- obtenir une copie de ces données dans un format compréhensible ;
- vérifier si elles sont exactes ;
- demander leur rectification ou leur effacement si nécessaire.
Mais ce n’est pas tout.
L’employeur doit aussi communiquer :
- les finalités du traitement (pourquoi les données sont utilisées) ;
- les catégories de données concernées ;
- les destinataires des données ;
- la durée de conservation ;
- l’existence du droit de saisir la CNIL.
Point important : Le salarié n’a pas à justifier sa demande, même si un contentieux est en cours.
Cet article pourrait aussi vous intéresser : L’importance de Gérer les Demandes de Droit : Processus, Délais et Organisation
Comment analyser une demande de droit ?
Répondre trop vite est une erreur stratégique.
Vérifier l’identité du demandeur
Avant toute transmission, l’employeur doit :
- vérifier l’identité (surtout si c’est un ancien salarié) ;
- demander des justificatifs uniquement en cas de doute raisonnable ;
- sécuriser la transmission ;
- conserver une trace de la demande.
Cette vérification doit rester proportionnée.
Exemples :
Un salarié qui écrit depuis son adresse professionnelle n’a généralement pas à fournir de pièce d’identité.
Un ancien salarié peut prouver son identité grâce à des informations que seule l’entreprise connaît.
Risque majeur : transmettre des données à la mauvaise personne constitue une violation de données.
Vérifier que la demande ne fait pas l’objet d’un refus
Le droit d’accès n’est pas totalement absolu.
Un refus est possible, mais uniquement dans des cas précis.
Demande “manifestement infondée”
Cela vise :
- les demandes malveillantes ;
- les demandes purement vexatoires ;
- les tentatives de perturbation de l’entreprise.
Exemples :
- salarié envoyant des demandes identiques chaque semaine pour harceler l’entreprise ;
- salarié demandant des données qu’il sait inexistantes ;
- comportement clairement abusif.
Le seuil est élevé. Le refus doit rester exceptionnel et bien documenté.
Demande “excessive”
Deux cas principaux.
Demandes répétées
Si le salarié a déjà reçu une copie complète de ses données, il ne peut pas exiger la même chose chaque semaine sans élément nouveau.
L’employeur peut refuser ou demander des frais raisonnables.
Demandes disproportionnées
Exemple :
“Je veux tous les emails échangés dans l’entreprise depuis 5 ans.”
Le droit d’accès n’est pas un droit d’audit général.
L’employeur peut demander des précisions ; inviter le salarié à limiter le périmètre; démontrer la charge disproportionnée.
Le simple fait que ce soit techniquement compliqué ne suffit pas.
Atteinte aux droits et libertés d’autrui
L’article 15 §4 du RGPD prévoit que le droit d’accès ne doit pas porter atteinte :
- aux données d’autres salariés ;
- au secret des correspondances ;
- au secret des affaires ;
- à la propriété intellectuelle.
Solutions possibles :
- occultation (caviardage) ;
- pseudonymisation ;
- communication partielle.
Le refus global reste rare et doit être justifié.
Données supprimées
Les données supprimées conformément à une politique de conservation ne sont plus communicables.
Le Conseil d’État l’a admis.
Mais la suppression doit :
- être prévue à l’avance ;
- être cohérente ;
- ne pas être opportuniste.
Cet article pourrait aussi vous intéresser : Comprendre les Demandes d’exercice de Droits : Un Guide Pratique pour les Entreprises
Comment formuler la réponse ?
Deux cas : la demande est acceptée ou refusée.
Si la demande est acceptée
Réponse écrite claire
Il faut :
- accuser réception ;
- confirmer le traitement ;
- rappeler le délai (1 mois, prorogeable de 2 mois en cas de complexité).
Transmission proportionnée
L’employeur transmet uniquement les données personnelles dans un format compréhensible.
Il ne transmet pas nécessairement tous les documents.
Il doit :
- occulter les données d’autres personnes ;
- protéger le secret des affaires ;
- protéger les analyses juridiques internes ;
- ne transmettre que les extraits nécessaires.
Traçabilité
Il faut documenter la date de réception ; la vérification d’identité ; la transmission.
Un registre interne est fortement recommandé.
Transparence
La réponse doit préciser :
- les catégories de données transmises ;
- la période concernée ;
- les éventuelles limitations ;
- leur justification.
Si la demande est refusée
Le refus est exceptionnel.
Notification écrite obligatoire
Un refus oral n’est pas valable.
Motivation précise
Il faut expliquer clairement pourquoi la demande est infondée ou excessive ou porte atteinte aux droits des tiers ou concerne des secrets protégés.
Un refus global non expliqué est très risqué.
Informer des recours
L’employeur doit rappeler le droit de saisir la CNIL et la possibilité de saisir un juge.
Un refus mal motivé expose à :
- une sanction de la CNIL ;
- un affaiblissement devant les prud’hommes ;
- un renversement stratégique.
Cas stratégique : demande en contexte de licenciement
C’est le cas le plus fréquent.
Le salarié :
- anticipe un licenciement ;
- prépare un contentieux ;
- demande “toutes les données le concernant”.
Le droit d’accès devient alors un outil de preuve. La CJUE, dans l’arrêt Addiko Bank, a rappelé que le motif est indifférent. L’employeur ne peut pas refuser parce qu’un litige est en cours.
L’employeur doit :
✔️ Identifier les données personnelles
✔️ Exclure les documents sans données
✔️ Exclure les notes purement stratégiques
✔️ Protéger les témoignages
✔️ Protéger les analyses juridiques couvertes par le secret professionnel
Exemples :
Note d’avocat → protégée
Email indiquant “Son comportement est problématique” → communicable (avec occultation si nécessaire)
Cas spécifique : enquête interne
Le Conseil d’État a jugé qu’une enquête en cours ne suspend pas le RGPD.
L’employeur doit :
- identifier les données dans les rapports, auditions, emails ;
- protéger l’identité des témoins ;
- éviter toute atteinte disproportionnée.
Un refus global est illégal.
Une limitation proportionnée est possible.
Ce que l’employeur ne peut PAS faire
❌ Ignorer la demande
❌ Dépasser le délai sans justification
❌ Refuser en invoquant un contentieux
❌ Transmettre sans filtrer
Ce que l’employeur DOIT mettre en place
Une procédure écrite
- réception centralisée ;
- traçabilité ;
- coordination RH / IT / juridique ;
- validation finale.
Une gouvernance des données claire
Sans politique de conservation :
- les archives explosent ;
- le risque augmente ;
- les demandes deviennent ingérables.
Une donnée supprimée conformément à la politique n’a plus à être communiquée.
Former les managers
Ils doivent comprendre :
- que les données d’un email peuvent être communiquées ;
- qu’une appréciation écrite peut devenir une preuve prud’homale ;
- que le droit d’accès est un levier stratégique.
Conclusion : un risque social majeur
Le droit d’accès n’est plus un simple mécanisme RGPD.
L’employeur ne peut ni tout refuser, ni tout transmettre.
La réponse doit être :
- structurée,
- proportionnée,
- documentée,
- validée juridiquement.
La clé est la méthode.
- Un droit d’accès mal refusé expose à la sanction.
- Un droit d’accès mal filtré expose au contentieux.
- Un droit d’accès bien géré protège l’entreprise.
à 
