Dans le cadre de leur droit d’accès à leurs données personnelles, les salariés et anciens salariés peuvent demander à l’employeur d’avoir accès aux données les concernant et en demander une copie, y compris de courriels professionnels les mentionnant. La Cnil rappelle les règles applicables et donne des conseils pratiques aux employeurs.
Sur quoi porte le droit d’accès ?
Toute personne peut demander à un organisme la communication des données qu’il détient sur elle et en obtenir une copie. Un salarié peut ainsi demander à son employeur l’accès et la communication des données personnelles qu’il a en sa possession. Le droit d’accès porte uniquement sur les données personnelles et non pas sur des documents : une personne ne peut donc pas réclamer la communication d’un document sur le fondement du droit d’accès.
Cependant, il n’est pas interdit à l’employeur de communiquer des documents plutôt que les seules données, s’il estime que c’est plus pratique. Par exemple, lorsqu’une personne concernée souhaite exercer son droit d’accès à des courriels, l’employeur doit fournir tant les métadonnées (horodatage, destinataires…) que le contenu des courriels. Dans cette situation, la communication d’une copie des courriels apparaît comme la solution la plus aisée pour que l’organisme puisse satisfaire la demande mais n’est pas obligatoire.
Attention à ne pas porter atteinte aux droits de tiers
Lorsqu’il répond à une demande de droit d’accès d’un salarié à des courriels professionnels, l’employeur doit apprécier l’atteinte au droit des tiers que pourrait représenter cette communication, et faire un tri entre les messages communicables et ceux qui ne le sont pas. Pour cela, l’employeur doit distinguer selon que le salarié demandeur est expéditeur ou destinataire des courriels, ou seulement mentionné dans le contenu des courriels.
Lorsque le salarié a déjà eu, ou est supposé avoir eu connaissance des informations contenues dans les messages visés par la demande, la communication des courriels est présumée respectueuse des droits des tiers. Dans ce contexte, l’anonymisation ou la pseudonymisation des données relatives aux tiers constitue une bonne pratique, mais pas une condition préalable à la transmission des courriels.
Toutefois, dans des cas exceptionnels, l’accès ou la communication de courriels pourtant connus du demandeur peut représenter un risque pour les droits des tiers, par exemple du fait de la nature des données susceptibles d’être communiquées. Il appartient alors à l’employeur dans un premier temps, d’essayer de supprimer, anonymiser ou pseudonymiser les données concernant des tiers ou portant atteinte à un secret pour pouvoir faire droit à la demande. Puis, seulement si ces mesures s’avèrent insuffisantes, refuser de faire droit à la demande d’accès, en motivant et justifiant sa décision auprès de la personne concernée.
Par exemple, un employeur pourra refuser de faire droit à une demande de communication de courriels contenant des informations qui porteraient atteinte à la sécurité nationale ou à un secret industriel. Ces arguments ne pourront pas être invoqués par l’employeur sans justification étayée auprès du demandeur.
Ne pas confondre droit d’accès et demande de communication de documents dans le cadre d’une procédure judiciaire
La Cnil rappelle que le droit d’accès ne doit pas être confondu avec les autres règles de communication de documents ou de pièces dans le cadre d’une procédure judiciaire. Ainsi, même si l’employeur refuse de faire suite à la demande de droit d’accès d’un salarié, celui-ci pourra toujours obtenir d’un juge la production des courriels litigieux dans le cadre d’un contentieux, sous réserve que cette production soit nécessaire et que l’atteinte soit proportionnée au but poursuivi.
Le cas particulier des courriels personnels
Les courriels identifiés comme étant personnels ou dont le contenu s’avère être privé malgré l’absence de la mention du caractère personnel, font l’objet d’une protection particulière, l’employeur n’étant pas autorisé à y accéder. Pour ces courriels, l’employeur ne pourra pas prendre connaissance du contenu même en vue d’occulter des informations et devra fournir au demandeur le courriel en l’état, à condition que ce dernier en soit expéditeur ou destinataire.
La Cnil ajoute une infographie résumant les questions à se poser face à une demande de droits d’accès aux courriers professionnels émanant d’un salarié.
Actualité Cnil du 5-1-2022 – L’@ctualité en ligne, www .efl.fr 02/02/2022
Sur quoi porte le droit d’accès ?
Toute personne peut demander à un organisme la communication des données qu’il détient sur elle et en obtenir une copie. Un salarié peut ainsi demander à son employeur l’accès et la communication des données personnelles qu’il a en sa possession. Le droit d’accès porte uniquement sur les données personnelles et non pas sur des documents : une personne ne peut donc pas réclamer la communication d’un document sur le fondement du droit d’accès.
Cependant, il n’est pas interdit à l’employeur de communiquer des documents plutôt que les seules données, s’il estime que c’est plus pratique. Par exemple, lorsqu’une personne concernée souhaite exercer son droit d’accès à des courriels, l’employeur doit fournir tant les métadonnées (horodatage, destinataires…) que le contenu des courriels. Dans cette situation, la communication d’une copie des courriels apparaît comme la solution la plus aisée pour que l’organisme puisse satisfaire la demande mais n’est pas obligatoire.
Attention à ne pas porter atteinte aux droits de tiers
Lorsqu’il répond à une demande de droit d’accès d’un salarié à des courriels professionnels, l’employeur doit apprécier l’atteinte au droit des tiers que pourrait représenter cette communication, et faire un tri entre les messages communicables et ceux qui ne le sont pas. Pour cela, l’employeur doit distinguer selon que le salarié demandeur est expéditeur ou destinataire des courriels, ou seulement mentionné dans le contenu des courriels.
Lorsque le salarié a déjà eu, ou est supposé avoir eu connaissance des informations contenues dans les messages visés par la demande, la communication des courriels est présumée respectueuse des droits des tiers. Dans ce contexte, l’anonymisation ou la pseudonymisation des données relatives aux tiers constitue une bonne pratique, mais pas une condition préalable à la transmission des courriels.
Toutefois, dans des cas exceptionnels, l’accès ou la communication de courriels pourtant connus du demandeur peut représenter un risque pour les droits des tiers, par exemple du fait de la nature des données susceptibles d’être communiquées. Il appartient alors à l’employeur dans un premier temps, d’essayer de supprimer, anonymiser ou pseudonymiser les données concernant des tiers ou portant atteinte à un secret pour pouvoir faire droit à la demande. Puis, seulement si ces mesures s’avèrent insuffisantes, refuser de faire droit à la demande d’accès, en motivant et justifiant sa décision auprès de la personne concernée.
Par exemple, un employeur pourra refuser de faire droit à une demande de communication de courriels contenant des informations qui porteraient atteinte à la sécurité nationale ou à un secret industriel. Ces arguments ne pourront pas être invoqués par l’employeur sans justification étayée auprès du demandeur.
Ne pas confondre droit d’accès et demande de communication de documents dans le cadre d’une procédure judiciaire
La Cnil rappelle que le droit d’accès ne doit pas être confondu avec les autres règles de communication de documents ou de pièces dans le cadre d’une procédure judiciaire. Ainsi, même si l’employeur refuse de faire suite à la demande de droit d’accès d’un salarié, celui-ci pourra toujours obtenir d’un juge la production des courriels litigieux dans le cadre d’un contentieux, sous réserve que cette production soit nécessaire et que l’atteinte soit proportionnée au but poursuivi.
Le cas particulier des courriels personnels
Les courriels identifiés comme étant personnels ou dont le contenu s’avère être privé malgré l’absence de la mention du caractère personnel, font l’objet d’une protection particulière, l’employeur n’étant pas autorisé à y accéder. Pour ces courriels, l’employeur ne pourra pas prendre connaissance du contenu même en vue d’occulter des informations et devra fournir au demandeur le courriel en l’état, à condition que ce dernier en soit expéditeur ou destinataire.
La Cnil ajoute une infographie résumant les questions à se poser face à une demande de droits d’accès aux courriers professionnels émanant d’un salarié.
Actualité Cnil du 5-1-2022 – L’@ctualité en ligne, www .efl.fr 02/02/2022
