Dans une note datée du 5 janvier 2022, la CNIL (Commission Nationale de l’Informatique et des Libertés) a précisé que le droit d’accès ne concerne que les données personnelles et non les documents, elle limites au droit d’accès d’un salarié.

Ainsi, une personne ne peut réclamer la communication d’un document en vertu du droit d’accès. Cette décision vise à éviter les abus, notamment en ce qui concerne les demandes d’accès à des mails internes contenant le nom du plaignant mais sans que ce dernier soit ni l’émetteur ni le destinataire.

Dans cette situation, l’employeur est autorisé à s’assurer que la communication du document ne porte pas atteinte aux droits des autres salariés de l’organisme avant de prendre une décision.

La CNIL souligne également que les documents communiqués ne peuvent contenir des informations personnelles portant atteinte aux droits d’un tiers. Dans ce cas, l’employeur doit effacer ces données avant de communiquer le document.

Le droit d’accès est également limité par le respect de la propriété intellectuelle, du secret des affaires et du secret des correspondances.

Pourquoi les salariés demandent-ils l’accès à ces données ?

La loi française relative à la protection des données personnelles (RGPD) prévoit que les salariés ont le droit d’accéder à leurs données personnelles traitées par leur employeur et de les faire rectifier ou effacer en cas d’inexactitude ou d’utilisation illégale. Cependant, cette demande d’accès doit être limitée pour éviter les abus et doit respecter certaines conditions, notamment en matière de propriété intellectuelle et de secret des affaires. Nous rappelons que la CNIL a publié une note le 5 janvier 2022 pour préciser les modalités de mise en œuvre de ce droit d’accès des salariés.

• Vérifier l’exactitude des données et, si nécessaire, les rectifier ou les faire effacer ;
• Récolter des éléments de preuve dans le cadre d’un contentieux l’opposant à son employeur ou ancien employeur. A titre d’exemple, un collaborateur souhaitant contester un licenciement ou une sanction peut solliciter l’accès à des données issues d’un dispositif de géolocalisation ou de vidéosurveillance de l’entreprise ou à des mails professionnels pour étayer sa version des faits.

Que dit le RGPD sur l’accès aux données personnelles ?

L’article 15 du RGPD autorise chacun à recevoir une copie des données personnelles le concernant. Dans sa fiche publiée le 9 mai 2019, la CNIL explique que « tout salarié ou ancien salarié a le droit d’accéder aux données de son dossier professionnel en s’adressant au service concerné qui peut être, selon les cas, le service chargé de la gestion des ressources humaines ou encore le délégué à la protection des données. Il peut obtenir l’ensemble des données le concernant, qu’elles soient conservées sur support informatique ou papier, relatives à :

• Son recrutement ;
• Son historique de carrière ;
• L’évaluation de ses compétences professionnelles (entretiens annuels d’évaluation, notation…) ;
• Ses demandes de formation et les éventuelles évaluations de celles-ci ;
• Son dossier disciplinaire ;
• L’utilisation de son badge de contrôle d’accès aux locaux ;
• Ses données issues d’un dispositif de géolocalisation ;
• Tout élément ayant servi à prendre une décision à son égard (une promotion, une augmentation, un changement d’affectation, une sanction). »

Limites au droit d’accès d’un salarié : Dans quel cadre les entreprises utilisent-elles ces données ?

Les services RH ont besoin de collecter des données personnelles auprès de leurs collaborateurs pour mener à bien différentes missions :

• Lors du recrutement, l’entreprise recueille les informations personnelles du collaborateur, notamment celles présentes sur son CV (nom, prénom, numéro de téléphone…) et celles collectées au cours de l’entretien d’embauche ;
• D’autres informations sont nécessaires à la gestion du personnel : le RIB et le numéro de Sécurité sociale pour la rémunération et les déclarations sociales obligatoires, le type de permis de conduire et les coordonnées de la personne à prévenir en cas d’urgence pour la gestion administrative du personnel, les informations concernant les ayants-droits de l’employé pour la mutuelle d’entreprise.

Les entreprises sont tenues de respecter le Règlement Général sur la Protection des Données (RGPD) pour traiter les données personnelles de leurs collaborateurs. Elles doivent notamment ne demander que les informations visant à répondre à l’objectif poursuivi.

Qu’est-ce qu’une donnée personnelle ? Si on se réfère à la définition de la CNIL une donnée personnelle est « toute information se rapportant à une personne physique identifiée ou identifiable ». Elle désigne donc à la fois le nom et le prénom, l’identifiant, le numéro de téléphone, le numéro de Sécurité sociale, la voix, l’image de la personne, son adresse, sa localisation, son âge, ses goûts et habitudes de consommation ou un élément spécifique propre à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.