Expertises des Systèmes d'information - Juillet/Août 2021 - N°470 - Le mensuel du droit de l'informatique et du multimédia - 277

DOCTR INE
RGPD
Droit d'accès d'un salarié
L'employeur doit-il communiquer
la copie des courriels ?
Chaque mois, le cabinet Derriennic Associés
tente d'apporter des réponses aux questions que
tout le monde se pose en matière de protection
des données personnelles, en s'appuyant sur les
décisions (publications) rendues par les autorités
nationales de contrôle de protection des
données personnelles au niveau européen. Ce
mois-ci, la question porte sur l'exercice du droit
d'accès d'un salarié (ou ancien salarié). Son nom
et son adresse électronique figurent dans un
nombre considérable de courriels. L'employeur
doit-il extraire de la messagerie électronique
professionnelle dudit salarié l'intégralité de ces
courriers et les lui communiquer ?
E
n application de l'article 15
du RGPD, le droit d'accès
permet à toute personne
de savoir si des données
personnelles la concernant sont
traitées par un organisme déterminé
et d'en obtenir la communication
dans un format compréhensible.
Il est précisé que l'exercice de ce
droit n'est pas conditionné, ce qui
signifie que la personne concernée
n'a pas à motiver sa demande.
Ainsi, celle-ci peut exercer ce
droit, comme le confirme la
Cnil, « en parallèle d'une procédure
contentieuse (devant le conseil des
prud'hommes par exemple) ou
administrative en cours »1
.
Dans la pratique, la gestion des
demandes d'exercice de droit
d'accès pose de nombreuses
questions, notamment lorsque
ces
par des salariés ou anciens salariés
: quels efforts l'organisme doit-il
faire pour trouver les données ? Quid
si les données ne sont pas facilement
accessibles ? Qu'en est-il des
données archivées et des fichiers
de sauvegarde ? L'organisme doit-il
communiquer tous les documents
dans lesquels figurent des données
personnelles du salarié ? A ce
propos, doit-il lui fournir le contenu
de tous les courriels stockés dans
lesquels son nom apparaît ?
demandes sont formulées
La Cnil n'a jamais pris une position
officielle sur cette dernière question.
C'est pourquoi, nous nous
sommes tournés vers d'autres
autorités nationales de contrôle.
Par chance, l'autorité britannique
de protection des données (l'ICO)
a eu l'occasion de se prononcer
sur le sujet, mais également sur
d'autres points...
EXPERTISES JUILLET 2021
La position de l'ICO2
L'employeur doit
faire des efforts
raisonnables pour récupérer les
données concernant la personne
qui a exercé son droit d'accès, même
s'agissant de données archivées ou
sauvegardées électroniquement. En
revanche, aucune démarche n'est à
entreprendre pour des données qui
auraient été supprimées. En ce sens,
l'ICO indique que si l'employeur
a supprimé les données,
le fait
qu'une mesure technique coûteuse
puisse lui permettre de les recréer
ne signifie pas que l'employeur
doit déployer de tels efforts pour
répondre à une demande de droit
d'accès : « L'ICO ne cherchera pas
à prendre des mesures d'exécution
à l'encontre d'une organisation qui
n'a pas pris de mesures extrêmes
pour recréer des données personnelles
précédemment supprimées
277

Expertises des Systèmes d'information - Juillet/Août 2021 - N°470 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Juillet/Août 2021 - N°470 - Le mensuel du droit de l'informatique et du multimédia