Demande de données par la gendarmerie : faut-il répondre à un simple email ?

Recevoir un email d’une gendarmerie demandant des informations personnelles sur un salarié (par exemple son numéro de téléphone) peut susciter un réflexe immédiat de coopération. Pourtant, le simple fait qu’un courriel provienne d’une adresse institutionnelle ne suffit pas à rendre la demande légitime au regard du RGPD. Le responsable de traitement engage sa responsabilité s’il transmet des données sans base légale claire.

Demande de données par la gendarmerie, les principes à respecter

1. Vérification de l’identité et de l’authenticité de la demande
   Un email peut être falsifié. Avant toute transmission, il faut vérifier que l’agent est bien en fonction et que la demande émane réellement du service indiqué. Cela passe par un contre-appel via un numéro officiel public (standard du commissariat ou de la brigade, jamais celui indiqué dans le mail).

2. Exigence d’un fondement légal clair
   Le RGPD (article 6) impose une base légale pour tout traitement. La gendarmerie ou la police peuvent accéder à certaines données, mais uniquement dans le cadre prévu par la loi : commission rogatoire, réquisition judiciaire, enquête formalisée.
   Un simple mail sans référence à un texte, ni document joint, ne constitue pas une base légale suffisante.

3. Principe de minimisation
   Même en cas de réquisition légitime, seules les données strictement nécessaires doivent être transmises. Fournir plus d’informations que demandé expose l’entreprise à un risque de violation.

4. Traçabilité
   Chaque demande doit être documentée : copie de la demande reçue, vérifications effectuées, réponse apportée. Cela permet de démontrer la conformité en cas de contrôle ultérieur de la CNIL.

Les bonnes pratiques à adopter

• Ne jamais répondre immédiatement à un simple email.

• Demander un document officiel : réquisition judiciaire, référence de l’enquête, ou tout texte fondant la demande.

• Contacter directement le service émetteur pour confirmer la légitimité.

• Informer en interne le DPO, le service juridique ou la direction avant de transmettre la moindre donnée.

• Conserver un dossier de la demande et de la réponse.

Risques en cas de transmission illégitime

• Violation de données : transmission non autorisée = violation du RGPD.

• Responsabilité du responsable de traitement : la gendarmerie ne sera pas tenue responsable si vous transmettez sans réquisition.

• Sanctions CNIL : amende administrative, mise en demeure.

• Atteinte à la confiance interne : un salarié informé que ses données ont été transmises sans cadre légal peut engager un recours.

Le fait qu’une demande émane d’un tiers autorisé (police, gendarmerie) ne dispense pas de vérifier sa légalité. Le réflexe à avoir est simple : pas de document officiel, pas de transmission. Coopérer avec les autorités est un devoir, mais toujours dans le respect du cadre juridique. C’est ainsi que l’on protège à la fois les droits des salariés et la responsabilité de l’organisation.

Gérer vos registres avec DPO FRANCE