Ce qu’il faut retenir
L’article 15 du RGPD donne à toute personne le droit de savoir si ses données sont traitées, d’accéder aux informations sur le traitement et d’obtenir une copie. Dans l’entreprise, sont potentiellement concernées les données figurant dans le dossier RH, les évaluations, historiques de badge, journaux de connexion, mesures de contrôle ou courriels dont le salarié est expéditeur ou destinataire, selon le contexte. La demande est adressée au responsable de traitement ou au délégué à la protection des données et doit permettre d’identifier le périmètre. L’employeur répond en principe dans un mois, délai pouvant être prolongé de deux mois pour une demande complexe ou nombreuse après information dans le premier mois. Il peut demander une preuve d’identité proportionnée. Les droits et libertés d’autrui, le secret des affaires et la copie des données de tiers peuvent justifier un tri ou une occultation, non un refus général. En cas d’absence de réponse, une plainte à la CNIL et une demande judiciaire restent possibles.
En bref
- Le droit d’accès vise les données personnelles et les informations sur leur traitement.
- Il peut concerner des données RH, évaluations, traces et certains courriels professionnels.
- La réponse intervient en principe dans un mois.
- Une prolongation de deux mois doit être annoncée et motivée dans le premier mois.
- Les données de tiers et secrets sont protégés par tri ou occultation.
- Le RGPD ne remplace ni l’article 145 ni une demande judiciaire de communication.
1. Quelles données peut demander un salarié ?
La notion de donnée personnelle couvre toute information se rapportant à une personne identifiée ou identifiable. Dossier individuel, coordonnées, rémunération, carrière, évaluations, sanctions, badge, géolocalisation, connexion ou contenu relatif au salarié peuvent entrer dans le champ. Un document peut mêler ses données et celles de tiers, ce qui nécessite un tri.
Le droit porte aussi sur les finalités, catégories, destinataires, durée de conservation, source et existence d’une décision automatisée. Demandez ces informations si elles éclairent une évaluation ou une surveillance. Une appréciation subjective écrite sur le salarié est une donnée personnelle, même si elle est contestée. En revanche, un secret purement technique sans lien avec lui ne le devient pas parce qu’il figure dans un fichier de l’entreprise. La copie doit permettre de comprendre les données, pas seulement fournir une liste de catégories abstraites.
2. Courriels professionnels et copie
La CNIL indique que le droit peut porter sur les courriels professionnels lorsque leur contenu constitue une donnée personnelle du demandeur. L’employeur doit rechercher et fournir une copie des données, sans nécessairement remettre chaque document brut si une autre forme permet l’accès effectif. Les messages purement professionnels de tiers et les secrets doivent être protégés.
Précisez les comptes, dossiers, correspondants et périodes afin de rendre la recherche proportionnée. L’expéditeur ou destinataire a des données dans l’en-tête, mais cela ne signifie pas que chaque contenu se rapporte à lui. L’employeur peut extraire les passages pertinents ou occulter les données de tiers, à condition que la copie reste intelligible. Une boîte supprimée selon une politique régulière ne peut pas être recréée, mais le responsable doit expliquer les données encore disponibles et la durée appliquée.
3. Rédiger une demande précise
Adressez la demande au service RH, au responsable de traitement ou au DPO. Indiquez les catégories, comptes, périodes et systèmes, par exemple évaluations 2023-2026, badge six mois ou courriels d’une boîte nominative sur un projet. Une demande précise facilite la recherche sans renoncer aux droits. Conservez la preuve de réception.
Il n’est pas nécessaire de motiver le droit d’accès par un procès. Néanmoins, une demande structurée évite la qualification d’excessive et permet de contrôler la réponse. Demandez un format électronique courant si les données ont été sollicitées par voie électronique. Ne transmettez pas de mot de passe. Si un mandataire agit, joignez son pouvoir. L’employeur doit communiquer de façon concise, transparente et accessible, sans cacher les informations dans un portail qui expire immédiatement.
4. Délai et vérification d’identité
Le responsable répond sans tarder et au plus tard dans le mois. Il peut prolonger de deux mois compte tenu de la complexité ou du nombre, mais informe dans le premier mois avec les motifs. S’il a des doutes raisonnables sur l’identité, il peut demander des informations supplémentaires proportionnées ; une copie intégrale de pièce ne doit pas devenir systématique.
Le délai court à la réception de la demande. Une demande de précision peut influencer le traitement lorsque son périmètre est vaste, mais l’employeur doit dialoguer sans neutraliser le droit. La prolongation maximale porte le délai total à trois mois et n’est pas automatique. Un refus doit être motivé et informer des voies de réclamation. Conservez les dates : accusé, demande d’identité, notification de prolongation, réponse et lien de téléchargement. Relancez dès le dépassement plutôt que d’attendre la fin du contentieux.
5. Limites et droits des tiers
L’article 15 ne doit pas porter atteinte aux droits et libertés d’autrui. L’employeur peut occulter noms, coordonnées, secrets ou passages étrangers, mais doit chercher une solution permettant l’accès aux données du salarié. Une demande manifestement infondée ou excessive peut être refusée ou facturée dans les conditions strictes du RGPD, avec justification.
Le caractère excessif peut résulter de demandes répétitives sans évolution, mais il appartient au responsable de le démontrer. La première copie est gratuite ; des copies supplémentaires peuvent donner lieu à des frais raisonnables. L’occultation doit être proportionnée : masquer tout le contenu parce qu’un collègue est cité prive parfois le salarié de son droit. Une synthèse, un extrait ou une pseudonymisation peut concilier les intérêts. Le droit d’accès ne permet pas de rectifier une opinion ; un droit de rectification peut viser les données factuellement inexactes.
6. Plainte CNIL et articulation prud’homale
En cas de silence, relancez et saisissez la CNIL avec la demande et la preuve de réception. Le conseil peut aussi ordonner des documents utiles au litige. L’exercice du droit d’accès n’interrompt pas automatiquement la prescription prud’homale. Ne l’utilisez pas pour retarder la saisine et ne présentez pas la CNIL comme juge du rappel de salaire.
La plainte décrit l’organisme, les dates, les catégories demandées et la réponse insuffisante ; joignez les fichiers sans données inutiles. La CNIL peut contrôler et prendre des mesures au titre du RGPD, mais le juge prud’homal apprécie la production nécessaire au procès et la réparation contractuelle. Si une audience approche, demandez parallèlement au BCO ou au bureau de jugement une injonction ciblée. Les données obtenues restent soumises au contradictoire : elles doivent être versées et communiquées comme toute autre pièce.
Exemple pratique
Un salarié conteste une évaluation qui aurait conduit à son licenciement. Il demande au DPO les données d’évaluation, commentaires, historiques de modification et destinataires pour la période concernée. L’employeur répond avec une copie et occulte les coordonnées personnelles de collègues. Le salarié utilise les éléments utiles dans son dossier, les communique à l’adversaire et ne diffuse pas le reste. Si la réponse est incomplète, il peut demander des précisions, saisir la CNIL ou solliciter le juge.
À vérifier dans votre cas
- Le responsable de traitement ou le DPO compétent.
- Les catégories et périodes réellement utiles.
- La preuve de réception et le point de départ.
- L’information de prolongation éventuelle.
- La justification d’un refus ou d’une occultation.
- Les données de tiers à protéger.
- La prescription de l’action prud’homale.
Preuves à conserver
- Demande d’accès datée.
- Accusé de réception.
- Réponse du DPO ou des RH.
- Notification de prolongation.
- Copie des données reçues.
- Liste des éléments manquants.
- Relance et plainte CNIL.
- Bordereau des données produites en justice.
Erreurs fréquentes
- Demander tous les documents sans préciser les données.
- Croire que le droit impose chaque document original intégral.
- Exiger les données personnelles de collègues sans protection.
- Envoyer une pièce d’identité excessive sans nécessité.
- Laisser courir la prescription pendant le délai RGPD.
- Diffuser les données reçues hors du procès.
- Demander à la CNIL de condamner l’employeur à un salaire.
Questions fréquentes
Quel est le délai de réponse ?
Un mois en principe. Il peut être prolongé de deux mois pour complexité ou nombre, à condition d’en informer le demandeur dans le premier mois.
Puis-je demander tous mes emails ?
Le droit porte sur vos données, qui peuvent figurer dans des emails. Une copie de toute la messagerie sans filtre n’est pas automatique ; précisez comptes, période et objet.
L’employeur peut-il demander ma carte d’identité ?
Il peut vérifier l’identité en cas de doute raisonnable, avec une demande proportionnée. Une copie intégrale systématique n’est pas toujours justifiée.
Peut-il invoquer le secret des affaires ?
Les secrets et droits de tiers peuvent limiter la forme de la copie, par occultation ou tri. Ils ne justifient pas nécessairement un refus global.
La demande est-elle gratuite ?
La première copie est en principe gratuite. Des frais raisonnables peuvent être demandés pour des copies supplémentaires ou une demande manifestement excessive selon le RGPD.
La CNIL peut-elle obtenir mon salaire ?
Non. Elle contrôle la protection des données. Le conseil de prud’hommes tranche la créance salariale et peut ordonner une communication.
Le droit d’accès suspend-il la prescription ?
Pas automatiquement. Préservez séparément le délai de saisine du conseil et utilisez, si nécessaire, une demande judiciaire.
Sources utiles
- CNIL — droit d’accès des salariés — données et courriels professionnels.
- Règlement général sur la protection des données — articles 12 et 15 sur modalités, délais et copie.
- CNIL — le droit d’accès — démarche et recours.
- Code de procédure civile, article 145 — mesure de preuve distincte avant procès.
- Code de procédure civile — production judiciaire des pièces.