La première phrase du considérant 63 du RGPD est : « Une personne concernée devrait avoir le droit d'accéder aux données à caractère personnel qui ont été collectées à son sujet et d'exercer ce droit facilement et à des intervalles raisonnables, afin de prendre connaissance du traitement et d'en vérifier la licéité. »

Dans cet esprit, le RGPD consacre donc en son article 15 un droit d’accès de chacun à ses données personnelles pour vérifier que celles-ci sont traitées conformément à la finalité annoncée ou présumée.

Néanmoins, l’esprit de ce texte est aujourd’hui largement dévoyé.

Il n’est plus rare qu’un salarié à l’approche d’un contentieux exerce son droit d’accès afin d’obtenir une copie de sa boîte mail voire de tous les documents mentionnant son nom dans le seul et unique objectif de se constituer des éléments pour alimenter son dossier prud’homal.

Face à cet usage détourné et abusif qui se démocratise, la CNIL n’est pas d’un grand secours aux Sociétés pour rappeler l’esprit du texte puisque l’on peut toujours lire sur sa page internet consacrée au droit d’accès des salariés : « L’exercice du droit d’accès n’est pas conditionné. Cela signifie qu’une personne n’a pas à motiver sa demande et qu’elle peut exercer son droit d’accès en parallèle d’une procédure contentieuse (devant le conseil de prud’hommes par exemple) (…) ».

Dans ce contexte, la seule échappatoire des Sociétés est de faire valoir que la transmission de plusieurs éléments est attentatoire « aux droits et libertés d'autrui » en application de l’article 15 du RGPD sans réellement savoir si en cas de recours du salarié, la CNIL leur donnerait raison ou non.

Fort heureusement, nos voisins européens commencent à sonner le glas de telles pratiques.

Dans une décision du 8 juillet 2024, le tribunal administratif autrichien n’a pas hésité à faire échec à une demande de droit d’accès émanant d’un salarié à l’encontre de son employeur (Tribunal administratif fédéral autrichien, W137 2278780-1, 8 juillet 2024).

Le salarié en question était en litige avec son employeur et avait déposé une plainte auprès de l’autorité autrichienne de protection des données au motif que la transmission de copies de ses données personnelles par son employeur était incomplète.

L’employeur avait en effet décidé de ne fournir aucune copie de documents pouvant porter atteinte aux droits et libertés d’autrui et celles qui n’entravaient pas la procédure judiciaire en cours : « les échanges de courriels et prises de position » concernant cet ancien salarié.

L’autorité autrichienne de protection des données avait alors donné gain de cause à l’employeur.

Elle avait considéré que : « Le droit d’obtenir une copie ne doit pas porter atteinte aux droits et libertés d’autres personnes. Par conséquent, le refus de fournir une copie des données serait justifié si les intérêts de la personne concernée ou de tiers en matière de confidentialité l’emportaient sur l’intérêt du plaignant à obtenir des informations. Comme il ressort des constatations, une procédure civile est en cours et il convient de reconnaître à [l’employeur] un intérêt à la confidentialité d’éventuels moyens de preuve, d’autant plus qu’il y aurait lieu de craindre une détérioration de sa position en justice. Une copie des dossiers n’est donc pas couverte par le droit d’accès. ».

En d’autres termes, l’autorité autrichienne avait reconnu que le salarié ne pouvait user du droit d’accès pour obtenir des éléments dans le cadre de son contentieux car cela porterait une atteinte disproportionnée à la confidentialité des éléments sollicités et détériorait la position de l’employeur devant la justice.

La juridiction d’appel a confirmé cette position en estimant que l’employeur avait fait valoir un intérêt légitime « au maintien du secret ».

Selon le tribunal fédéral : « l’obtention d’informations renforçant la procédure du requérant va au-delà de l’objectif de protection de la règlementation » et « l’intérêt de [l’employeur] à la confidentialité des historiques de courriels et des prises de position susmentionnés l’emporte sur l’intérêt du requérant ».

Espérons que la CNIL prendra connaissance de cette décision et qu’elle vienne à appliquer de façon plus restrictive le droit d’accès aux données personnelles.

Il n’en demeure pas moins que cette décision offre déjà des perspectives de réponses aux demandes parfois exagérées qui peuvent être faites aux employeurs…