La loi Informatique et Libertés permet à toute personne d’accéder aux données qui la concernent. Ce droit est renforcé avec le Règlement Général sur la Protection des Données (RGPD) qui est entré en application en mai 2018. Toute personne physique qui en fait la demande a le droit d’obtenir la confirmation que des données la concernant sont traitées et peut obtenir la copie de ses données faisant l’objet d’un traitement. Ce droit est renforcé par le Règlement Général sur la Protection des Données (RGPD).
Par exemple, une personne exercer son droit d’accès :
- auprès de son employeur : pour accéder aux données de son dossier personnel ;
- auprès de son médecin : pour obtenir une copie des données de son dossier médical ;
- auprès d’une administration : pour obtenir la confirmation que des données la concernant sont traitées.
En tant que responsable du traitement de données personnelles, vous devez :
- Informer les personnes concernées sur l’existence de leur droit d’accès au moment où vous collectez leurs données ;
- Donner accès aux personnes concernées à des modalités pratiques (formulaire, coordonnées) pour exercer leur droit d’accès facilement ;
- Mettre en place un parcours interne efficace au sein de votre entité pour le traitement des demandes de droit d’accès. Cela nécessite de prévoir des procédures en interne permettant de remonter les demandes de droit d’accès au bon interlocuteur afin d’être en mesure de traiter la demande dans les délais impartis ;
- Prévoir des modalités de réponse auprès des personnes concernées qui soient compréhensibles, accessibles, formulées en des termes clairs et simples.
Qui peut exercer cette demande ?
C’est à la personne voulant accéder à ses données personnelles de vous saisir.Cette personne peut donner un mandat à une personne de son choix pour exercer son droit d’accès.
Les limites au droit d’accès
Le droit d’accès doit s’exercer dans le respect du droit des tiers : par exemple, il n’est pas possible de demander à accéder aux données concernant son conjoint ; un salarié d’une entreprise ne peut obtenir des données relatives à un autre salarié.
Quels justificatifs demander ?
Pour exercer ses droits, la personne doit justifier de son identité. Par principe, cette justification peut intervenir « par tout moyen ». Ainsi, il n’est pas nécessaire de joindre une photocopie d’un titre d’identité en cas d’exercice d’un droit dès lors que l’identité de la personne est suffisamment établie (par exemple, par la présentation d’un numéro client ou des éléments permettant d’identifier des abonnés à un service).
Par ailleurs, dans un environnement numérique, le fait d’exercer ses droits depuis un espace où la personne s’est authentifiée peut être suffisant, en fonction des données d’identité numériques demandées.
Néanmoins, si vous avez un « doute raisonnable » sur l’identité du demandeur, vous pouvez lui demander de joindre tout autre document permettant de prouver son identité, comme par exemple, si cela est nécessaire, une photocopie d’une pièce d’identité. En revanche, vous ne pouvez pas exiger systématiquement de telles pièces justificatives, lorsque le contexte ne le justifie pas.
Les délais pour répondre à une demande
Actuellement, vous devez répondre dans les meilleurs délais à une demande de droit d’accès, dans un délai maximum d’un mois (article 12.3). Cependant, une possibilité de prolonger de deux mois ce délai est prévue, « compte tenu de la complexité et du nombre de demandes », à condition d’en informer la personne concernée dans le délai d’un mois suivant la réception de la demande (article 12.3).
A retenir : que vous répondiez à la demande de droit d’accès ou décidiez de prolonger le délai de deux mois, il vous faudra nécessairement revenir vers la personne concernée dans un délai maximum d’un mois.
Focus sur le droit d’accès à des données de santé : En ce qui concerne l’accès aux données de santé, les délais sont différents. La communication des données de santé (exemple : dossier médical) doit être faite au plus tard dans les 8 jours suivant la demande et au plus tôt – compte tenu du délai de réflexion prévu par la loi dans l’intérêt de la personne – dans les 48 heures. Si les informations remontent à plus de cinq ans, le délai est porté à 2 mois (article L.1111-7 du code de la santé publique).
Les modalités de la communication des données
Les demandes peuvent être faites sur place ou par écrit (voie postale ou électronique).
- Si la demande est formulée sur place et que vous ne pouvez pas y apporter une réponse immédiatement, vous devez remettre au demandeur un avis de réception daté et signé.
- Si la demande est formulée par voie électronique, les informations sont fournies sous une forme électronique d'usage courant, à moins que la personne concernée ne demande qu'il en soit autrement (article 12.3). Dans ce cas, attention aux modalités de transmission des informations qui doivent se faire de manière sécurisée.
- Si la demande est faite par écrit et que vous avez besoin de précisions ou de compléments pour y répondre, vous devez prendre contact avec le demandeur (courrier postal ou électronique).
- Si vous envoyez les données personnelles par voie postale, il est souhaitable de le faire par le biais d’un courrier recommandé avec accusé de réception.
Et mon sous-traitant ?
Le règlement prévoit que le sous-traitant aide le responsable de traitement à s’acquitter de ses obligations en matière de droit d’accès (article 28 e). Par exemple : un employeur pourrait demander à son sous-traitant lui ayant fourni un dispositif de géolocalisation, son appui afin de fournir aux employés qui en feraient la demande, des données de géolocalisations « sous une forme accessible » ; lorsque le responsable de traitement ne dispose que d’une analyse des données, il pourrait se rapprocher du sous-traitant qui aurait conservé les données identifiantes.
Les refus
Vous n’êtes pas tenus de répondre aux demandes de droit d’accès si :
- elles sont manifestement infondées ou excessives notamment par leur caractère répétitif (par exemple, demandes multiples et rapprochées dans le temps d’une copie déjà fournie) ;
- les données ne sont plus conservées / ont été effacées : dans ce cas, l’accès est impossible (ex : les enregistrements réalisés par un dispositif de vidéosurveillance sont conservés normalement 30 jours maximum. Ils sont détruits à l’issue de ce délai).
A noter : le fait qu’une personne demande de nouveau communication de ses données auxquelles elle a déjà eu accès ne doit pas être considéré systématiquement comme une demande excessive. En effet, il faut notamment apprécier le délai entre les deux demandes, la possibilité que des nouvelles données aient été collectées etc.
Si vous ne donnez pas suite à une demande, vous devez motiver votre décision et informer le demandeur des voies et délais de recours pour contester cette décision.