Le droit d’accès prévu par le RGPD permet à un salarié de savoir si son employeur traite ses données personnelles et d’en obtenir une copie. Il ne donne toutefois pas automatiquement accès à tous les documents professionnels, comme l’intégralité d’une messagerie ou des dossiers internes.
Une demande d’accès précise, adressée au bon interlocuteur et conservée avec sa preuve d’envoi, facilite les recherches et le suivi. Les points essentiels concernent le périmètre des données, le délai de réponse et la protection des informations relatives aux tiers.
À retenir : le droit d’accès du salarié
- Données personnelles effectivement traitées par l’employeur
- Informations sur les finalités, destinataires et durées de conservation
- Réponse sous un mois, prolongation motivée si nécessaire
- Protection des tiers par tri ou occultation proportionnée
Quelles données le salarié peut-il demander à son employeur ?
Ce droit couvre les données personnelles détenues dans le cadre du travail, qu’elles figurent dans un outil RH ou dans un système de contrôle. Selon la CNIL, il permet aussi d’obtenir des informations sur leur traitement, au-delà de la simple copie des données.
Dossier RH, évaluations et traces professionnelles
Dans cette première catégorie, une demande peut viser des coordonnées, éléments de rémunération, évaluations, sanctions ou données de carrière. Elle peut également concerner des historiques de badge, des journaux de connexion ou des informations de géolocalisation, si l’employeur les traite.
Le salarié peut demander les finalités, les catégories de données, les destinataires et la durée de conservation, ainsi que leur source lorsqu’elle est disponible. Une appréciation écrite qui le concerne peut constituer une donnée personnelle, même si son exactitude ou son interprétation est contestée.
« La personne concernée a le droit d’obtenir […] la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées. »
Règlement général sur la protection des données, article 15
Courriels et documents professionnels : une distinction utile
Le droit d’accès vise les données personnelles, pas nécessairement les documents qui les contiennent. Selon la CNIL, des courriels professionnels peuvent relever de ce droit lorsque leur contenu concerne effectivement le demandeur, mais la remise de toute une boîte n’est pas automatique.
Élément visé
Exemple de donnée
Point de vigilance
Dossier RH
Évaluation, rémunération, carrière
Vérifier le périmètre demandé
Contrôle d’accès
Historique de badge
Préciser la période utile
Outils numériques
Traces de connexion
Identifier les systèmes concernés
Messagerie professionnelle
Informations personnelles présentes dans certains messages
Protéger les données de tiers
Un message peut mêler les données du salarié, celles de collègues ou des informations confidentielles. L’employeur doit alors examiner les possibilités de tri, d’extrait ou d’occultation, plutôt que traiter toute la correspondance comme un ensemble indivisible.
Catégories de données professionnelles :
- Dossier individuel, carrière et évaluations du salarié
- Traces de badge, connexion et outils de contrôle
- Informations personnelles présentes dans certains courriels professionnels
Une fois les catégories repérées, la précision de la demande aide l’entreprise à mener une recherche utile sans transformer le droit d’accès en demande générale de pièces.
Comment rédiger et envoyer une demande d’accès RGPD ?
Pour rendre la recherche plus efficace, adressez la demande au responsable de traitement, au service RH ou au délégué à la protection des données. Selon la CNIL, aucun motif particulier n’est nécessaire pour exercer ce droit.
Délimiter les données et conserver une preuve
Indiquez les catégories, les périodes et, si possible, les outils concernés : par exemple, les évaluations des dernières années ou les historiques de badge d’une période déterminée. Cette précision facilite les recherches sans obliger le salarié à renoncer à des données pertinentes.
Demandez une copie électronique d’usage courant lorsque la démarche est faite par voie électronique, et conservez une preuve de réception. En cas de doute raisonnable sur l’identité, l’employeur peut demander un élément de vérification proportionné, sans exiger systématiquement une copie complète de pièce d’identité.
« Le responsable du traitement fournit des informations sur les mesures prises […] dans les meilleurs délais et en tout état de cause dans un délai d’un mois. »
Règlement général sur la protection des données, article 12
Délai de réponse et prolongation éventuelle
Le délai de réponse court à partir de la réception de la demande et s’établit en principe à un mois. Pour une demande complexe ou nombreuse, l’employeur peut ajouter deux mois, à condition d’en informer le salarié et d’expliquer les motifs pendant le premier mois.
Étape
Action utile
Repère
Envoi
Préciser les données et périodes
Conserver la preuve de réception
Vérification
Répondre à une demande d’identité proportionnée
Ne pas transmettre de mot de passe
Prolongation
Informer et motiver le délai supplémentaire
Notification dans le premier mois
Réponse
Communiquer les données et informations requises
Format accessible et sécurisé
La première copie est en principe gratuite ; des frais raisonnables sont prévus dans certaines situations, notamment pour des copies supplémentaires. Garder les échanges datés permet de vérifier le délai et de relancer sans perdre la trace des démarches.
Étapes pour une demande exploitable :
- Destinataire compétent, catégories ciblées et périodes définies
- Format de copie accessible et preuve d’envoi conservée
- Échanges datés sur identité, prolongation et réponse
Une réponse dans les délais ne signifie pas que chaque document sera transmis sans filtre : l’employeur doit encore concilier l’accès du demandeur et les droits d’autres personnes.
Limites du droit d’accès et recours du salarié
Cette conciliation repose sur une règle centrale : le droit de copie ne doit pas porter atteinte aux droits et libertés d’autrui. Cela appelle un examen concret des données, plutôt qu’un refus général fondé sur la présence d’informations confidentielles.
Occultation des tiers et refus motivé
Si un document mentionne des collègues, des clients ou des secrets d’affaires, l’employeur peut masquer certains passages ou fournir un extrait intelligible. Selon la CNIL, la protection des tiers doit être conciliée avec l’accès aux données du demandeur, et ne justifie pas automatiquement une réponse entièrement négative.
« Le droit d’obtenir une copie […] ne porte pas atteinte aux droits et libertés d’autrui. »
Règlement général sur la protection des données, article 15
Une demande manifestement excessive ou répétitive peut, dans les conditions prévues par le RGPD, donner lieu à un refus ou à des frais raisonnables. L’employeur doit justifier cette appréciation ; une motivation liée uniquement à un conflit professionnel ne suffit pas à écarter le droit.
Relance, CNIL et procédure prud’homale
En l’absence de réponse, commencez par relancer en joignant la demande initiale et la preuve de réception. Vous pouvez ensuite saisir la CNIL, qui contrôle le respect des règles de protection des données, mais ne tranche pas une créance salariale.
« La personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle. »
Règlement général sur la protection des données, article 15
Si un litige exige la production de pièces, le droit d’accès ne remplace pas les procédures judiciaires de communication, notamment une demande fondée sur l’article 145 du Code de procédure civile. Il ne suspend pas automatiquement le délai pour saisir le conseil de prud’hommes.
Éléments à conserver pour vos recours :
- Demande datée, preuve de réception et relances adressées
- Notification éventuelle de prolongation et réponse reçue
- Liste des éléments manquants et motif de contestation
- Délais prud’homaux suivis séparément de la démarche RGPD
Source : Règlement (UE) 2016/679, articles 12 et 15 ; CNIL, « Les droits des personnes au travail » ; Code de procédure civile, article 145.
Transformer l’analyse en décision
Les meilleures décisions reposent sur un cadre compréhensible, quelques critères vérifiables et une étape suivante clairement définie. Testez la méthode à petite échelle, mesurez le résultat puis ajustez avant de généraliser.
Votre checklist
- Définir le résultat attendu
- Identifier trois critères prioritaires
- Prévoir une mesure de contrôle
- Fixer une date de réévaluation
