Droit d'accès aux données personnelles : quelles sont les limites ?

Lorsqu'une personne exerce son droit d'accès aux données personnelles, votre entreprise ne doit ni tout transmettre sans discernement, ni opposer un refus par précaution. Il est vrai que l’article 15 du RGPD impose de communiquer les données concernées et plusieurs informations sur leur traitement. Cette obligation connaît toutefois des limites, notamment lorsque la réponse risque de porter atteinte aux droits d'un tiers, au secret des affaires ou à la propriété intellectuelle. Pour répondre correctement, vous devez donc identifier ce qui relève réellement du droit d'accès, afin de permettre un arbitrage objectif entre votre obligation de transparence et les informations que vous devez protéger. Les avocats RGPD de TLMR Avocats vous expliquent où se situent les limites de ce droit et comment sécuriser le traitement d'une demande d'accès aux données personnelles.

L'essentiel à retenir sur les limites du droit d’accès aux données personnelles

• Lorsqu'une personne exerce son droit d'accès, vous devez lui indiquer si votre entreprise traite des données personnelles la concernant. Si tel est le cas, elle peut en obtenir une copie ainsi que les informations prévues par l'article 15 du RGPD (finalités du traitement, catégories de données concernées, destinataires et durée de conservation).
• Le droit d'accès porte sur les données personnelles du demandeur. Il ne lui confère pas, par principe, un droit d'accès à l'intégralité de vos documents, de vos dossiers, de vos courriels ou de vos bases de données. La remise d'un document ou d'un extrait peut toutefois s'imposer par exemple pour rendre les données compréhensibles.
• Vous devez aussi tenir compte des droits et des libertés des tiers. La propriété intellectuelle ou encore le secret des affaires peuvent imposer de restreindre certaines communications.
• La présence d'informations protégées ne justifie pas automatiquement le rejet de la demande d’accès aux données personnelles. Selon le contenu concerné, vous devrez examiner si une occultation, une extraction ou une autre modalité de communication permet de répondre au demandeur sans exposer les droits des tiers. Pour vous accompagner, faites appel à un avocat en données personnelles.
• Enfin, si vous estimez qu'une demande est manifestement infondée ou excessive, le RGPD vous autorise, sous conditions, à refuser d'y donner suite. La charge de démontrer ce caractère manifestement infondé ou excessif vous incombe.

Que permet réellement le droit d'accès aux données personnelles ?

Le droit d'accès permet à une personne d'obtenir la copie des données personnelles la concernant que vous traitez ainsi que des informations précises sur leur utilisation. Ce droit ne lui ouvre pas l'accès à l'ensemble de vos documents. Avant de répondre à une demande, vous devez donc en déterminer le périmètre.

Votre réponse doit notamment indiquer :

• les finalités du traitement ;
• les catégories de données traitées ;
• les destinataires ou catégories de destinataires ;
• la durée de conservation envisagée ou, lorsque ce n’est pas possible, les critères utilisés pour la déterminer.

Vous devez aussi informer le demandeur de plusieurs droits associés, dont la rectification ou l'effacement de ses données et la possibilité d'introduire une réclamation auprès d'une autorité de contrôle.

Le droit d'accès ne se résume donc pas à rechercher le nom d'une personne dans votre système d'information et à lui transmettre les résultats. Vous devez identifier les données à caractère personnel qui la concernent, y compris lorsqu'elles apparaissent dans des supports ou des échanges internes.

Quelles données et informations doit-on communiquer en réponse à une demande d’accès ?

L’article 4, 1) du RGPD définit les données à caractère personnel de la manière suivante : « toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée « personne concernée”) ; est réputée être une « personne physique identifiable » une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale. »

Par conséquent, sont concernées par le droit d’accès :

• toutes les données, qu’elles soient objectives (un nom, une adresse) ou subjectives (une appréciation, une opinion sur la personne) ;
• se rapportant à une personne physique ;
• identifiée ou identifiable, directement ou indirectement : une donnée reste donc personnelle même si l'identification passe par un recoupement avec d'autres informations, dès lors que ce recoupement est raisonnablement possible.

Une demande peut donc concerner des données présentes dans un logiciel métier, un CRM, un dossier RH, des échanges électroniques ou d'autres fichiers utilisés par votre entreprise. Le support importe moins que la nature de l'information concernée.

Analysez aussi la demande dans son contexte. La personne n'a pas à savoir où ses données sont stockées pour exercer son droit. C'est à votre entreprise de les rechercher là où elles se trouvent. En revanche, si vous traitez un volume important d'informations la concernant, vous pouvez lui demander de préciser sur quelles données ou quelles activités de traitement porte sa demande. Cette précision concerne le périmètre de la demande, pas l'emplacement technique des données. La question de l’emplacement des données ne vous autorise ni à refuser la demande ni à la retarder.

Le périmètre concerne aussi les destinataires. La CJUE a précisé, dans l'arrêt Österreichische Post du 12 janvier 2023 (affaire C-154/21), que lorsque des données ont été ou seront communiquées à des destinataires, la personne concernée dispose en principe du droit de connaître leur identité, et non de simples catégories. Vous pouvez toutefois limiter votre réponse aux catégories de destinataires lorsqu'il est réellement impossible d'identifier ces derniers, ou lorsque la demande est manifestement infondée ou excessive.

Pour votre entreprise, cette exigence suppose de conserver une connaissance suffisamment précise des flux de données. Une demande d'accès révèle vite les lacunes d'une organisation incapable d'identifier à qui les informations ont effectivement été transmises.

Devez-vous fournir une copie des données ou des documents complets ?

C'est l'une des distinctions les plus importantes à opérer lorsque vous traitez une demande d’accès à des données personnelles. L'article 15 du RGPD accorde un droit à une copie des données personnelles. En revanche, il n’existe pas de droit général à la communication de tous les documents qui les contiennent.

Vous n'avez donc pas à transmettre automatiquement un contrat en entier, une chaîne entière d’emails ou un dossier interne au seul motif que le nom du demandeur y figure. Vous devez d'abord identifier les données personnelles auxquelles son droit d'accès s'applique.

Cette règle ne signifie pas que vous pouvez systématiquement extraire quelques informations de leur contexte. Dans son arrêt CRIF du 4 mai 2023 (affaire C-487/21), la CJUE a précisé que la copie doit constituer une reproduction fidèle et intelligible des données traitées. Par conséquent, la remise d'extraits de documents, voire de documents entiers, s'impose lorsque leur communication est nécessaire pour permettre à la personne de comprendre ses données.

Prenons le cas d'un échange interne contenant des informations sur un salarié. Si les données qui le concernent restent parfaitement compréhensibles après extraction, vous pouvez privilégier cette modalité de communication. Si leur sens dépend du reste de l'échange, une communication plus large peut être requise. Il faudra alors vérifier que le document ne révèle pas des informations protégées concernant d'autres personnes.

Quelles sont les limites du droit d'accès aux données personnelles ?

Le droit d'accès aux données personnelles n'est pas absolu. L'article 15, paragraphe 4, du RGPD précise que le droit d'obtenir une copie ne doit pas porter atteinte aux droits et libertés d'autrui.

Cette règle vous impose un arbitrage. Vous devez permettre au demandeur d'accéder aux données qui le concernent tout en protégeant les informations qu'il n'a pas vocation à recevoir. Plusieurs motifs peuvent justifier une restriction.

Les limites relatives aux droits et aux libertés des tiers

Une demande d'accès peut faire apparaître des données concernant d'autres personnes.

C'est le cas, par exemple, des demandes d’accès portant sur :

• des emails ;
• des dossiers RH ;
• des comptes rendus ;
• des réclamations clients ;
• des échanges entre collaborateurs.

Sur ce point, voici la règle à suivre : ne jamais communiquer ces informations sans examiner les conséquences pour les personnes concernées. Leur vie privée et la confidentialité de leurs données restent en effet protégées.

La présence de données relatives à un tiers ne vous autorise toutefois pas à écarter l'ensemble de la demande d’accès aux données personnelles. Vous devez déterminer si les informations peuvent être dissociées. L'occultation des données du tiers permet souvent de communiquer le reste du contenu sans porter atteinte à ses droits.

Cet examen doit être réalisé au cas par cas. Il faut écarter automatiquement tout document dans lequel apparaît un tiers expose votre entreprise à une réponse incomplète. À l'inverse, en transmettant le document sans aucun contrôle, vous risquez de divulguer des données que vous deviez en réalité protéger.

Les limites au droit d'accès relatives au secret des affaires et à la propriété intellectuelle

L'exercice d'un droit prévu par le RGPD ne donne pas au demandeur un accès illimité aux informations confidentielles de votre entreprise. L’article 15, § 4, lu à la lumière du considérant 63 du règlement, impose de tenir compte du secret des affaires et des droits de propriété intellectuelle des tiers (y compris le droit d'auteur protégeant un logiciel).

Cette limite prend une importance particulière lorsque les données demandées figurent dans un document contenant des informations commerciales, techniques ou économiques confidentielles.

Vous devez alors distinguer les données personnelles accessibles du contenu protégé. Le secret des affaires ne constitue pas, à lui seul, un motif suffisant pour fermer d’office l'accès à toutes les données. Là encore, une extraction, une occultation ou une communication partielle peut permettre de concilier les droits en présence.

Apposer la mention « confidentiel » sur un document ne suffit pas à vous dispenser de vos obligations en matière d'accès aux données personnelles. Si vous refusez de communiquer certaines informations, vous devez identifier précisément lesquelles et expliquer en quoi leur divulgation porterait atteinte à un droit qui justifie ce refus.

Votre entreprise ne reste d’ailleurs pas seule juge de cet arbitrage. Dans son arrêt Dun & Bradstreet Austria du 27 février 2025 (affaire C-203/22), rendu à propos d’une évaluation automatisée de solvabilité, la CJUE a écarté toute exclusion de principe du droit d’accès au nom du secret des affaires. Elle a précisé que le responsable du traitement qui estime certaines informations protégées doit les communiquer à l’autorité de contrôle ou au juge compétent. Il revient alors à ces derniers de mettre en balance les droits en présence et de déterminer l’étendue de l’accès dû au demandeur.

Le cas particulier des e-mails

Examinez le contenu des emails avant de les transmettre en réponse à une demande d'accès. Une simple recherche par nom ou par adresse électronique du demandeur permet de retrouver les messages, mais pas de décider ce qui doit lui être communiqué. Un même message peut en effet contenir ses données personnelles et, en même temps, des informations relatives à des tiers ou des éléments qui n'ont pas à être divulgués. Chaque message doit donc être examiné individuellement pour déterminer ce qui est communiqué, en totalité ou en partie.

Là encore, il est possible d'occulter certaines informations ou d’extraire certaines données des messages. Par ailleurs, dans certaines situations, le contexte de l’email devra au contraire être conservé afin que les données remises restent intelligibles.

Une demande manifestement infondée ou excessive

L'article 12 du RGPD prévoit une autre limite. Lorsqu'une demande présente un caractère manifestement infondé ou excessif, notamment en raison de son caractère répétitif, vous pouvez refuser d'y donner suite ou exiger le paiement de frais raisonnables tenant compte des coûts administratifs.

Cette exception doit rester maniée avec prudence. Le volume de travail nécessaire pour traiter une demande ne suffit pas, à lui seul, à établir son caractère excessif.

Surtout, la charge de la preuve repose sur votre entreprise. Si vous invoquez cette exception, vous devez être en mesure d'expliquer les circonstances précises qui justifient votre décision. La fréquence des demandes, leur périmètre et leur contexte doivent donc être documentés.

Enfin, la CJUE a jugé que la première copie est gratuite et due même si la demande poursuit un but étranger à la protection des données (26 oct. 2023, FT, C-307/22 ; art. 15, § 3).

Les restrictions prévues par des textes particuliers

L’article 23 du RGPD permet au droit de l’Union ou au droit national de limiter le droit d’accès pour préserver certains intérêts limitativement énumérés. Il s’agit notamment de la sécurité publique, de la prévention et de la poursuite des infractions pénales, de certains objectifs importants d’intérêt public, en particulier économiques ou financiers, ou encore de la protection des droits et libertés d’autrui. Une telle limitation doit être prévue par une mesure législative, respecter l’essence des droits fondamentaux et rester nécessaire et proportionnée.

Ces restrictions ne relèvent donc pas de l’appréciation de votre entreprise : elles ne peuvent résulter que d’un texte. Une politique interne, une clause contractuelle ou une mention de confidentialité ne suffit pas à en créer une.

Les entreprises soumises aux obligations de lutte contre le blanchiment des capitaux et le financement du terrorisme en offrent l’illustration la plus courante. Pour les données traitées aux seules fins de ces obligations, le droit d’accès ne s’exerce pas auprès d’elles mais auprès de la CNIL (article L. 561-45 du Code monétaire et financier). Ce mécanisme d’accès indirect permet notamment d’éviter que la personne apprenne qu’une déclaration de soupçon a été effectuée à son sujet.

Avant de limiter votre réponse sur un tel fondement, identifiez le texte précis qui la prévoit et vérifiez que votre traitement entre réellement dans son champ. À défaut, le régime général de l’article 15 s’applique et vous devez répondre à la demande.

Comment répondre à une demande d'accès aux données personnelles sans porter atteinte aux droits des tiers ?

Votre entreprise doit d'abord identifier les données accessibles, repérer les informations protégées, puis déterminer la forme de communication appropriée. Il s’agit avant tout de réduire le risque d'une réponse trop large ou, à l'inverse, injustement restrictive.

Identifiez précisément les données concernées par la demande d’accès

Commencez par déterminer les traitements et les supports susceptibles de contenir des données sur le demandeur. Selon votre activité, la recherche peut par exemple concerner :

• un CRM ;
• un logiciel RH ;
• une messagerie professionnelle ;
• un outil de support client ;
• des dossiers internes.

Ne limitez pas cette recherche aux informations fournies directement par la personne. Des appréciations, des observations ou des informations produites dans le cadre de votre relation avec elle peuvent aussi constituer des données personnelles dès lors qu'elles se rapportent à cette personne.

Vous devez ensuite distinguer ces données du support qui les contient. Cette étape évite de traiter chaque fichier ou email identifié comme un document automatiquement communicable dans son intégralité.

Triez et occultez plutôt que de refuser par principe

Une fois les données identifiées, examinez les informations qui les entourent. Comme nous l’avons vu, certaines peuvent concerner un tiers ou relever d'un intérêt protégé, tel que le secret des affaires. Dans ce cas, cherchez d'abord une modalité de communication qui préserve les deux droits. Vous pouvez notamment extraire les données concernées ou occulter les passages dont la divulgation porterait atteinte aux droits d'autrui.

L'occultation ne doit toutefois pas vider la réponse de son sens. Les données remises doivent rester intelligibles. Si le contexte permet seul de comprendre une information, vous devez en tenir compte pour déterminer l'étendue de la copie à fournir.

Lorsque les données du demandeur et celles d'un tiers sont étroitement liées, l'arbitrage devient plus délicat. Un avocat en protection des données peut vous aider à déterminer les informations communicables et celles dont la divulgation porterait atteinte aux droits d'autrui.

Documentez l'arbitrage effectué

Conservez une trace des recherches menées et des décisions prises. Si vous écartez un document, masquez un passage ou refusez une partie de la demande, consignez le motif correspondant.

Cette précaution devient particulièrement utile en cas de réclamation auprès de la CNIL. Votre entreprise doit alors être capable d'expliquer pourquoi elle a limité l’accès aux données personnelles et sur quel fondement repose son choix.

La traçabilité aide aussi à harmoniser le traitement des demandes successives. Une procédure interne claire permet aux équipes juridiques, RH et informatiques ou au DPO de savoir quelles sources interroger et quels points contrôler avant l'envoi de la réponse.

Face à une demande sensible ou particulièrement étendue, l'enjeu n'est donc pas seulement de retrouver les données. Vous devez pouvoir justifier la manière dont vous avez décidé de les communiquer, de les occulter ou de ne pas les transmettre.

Que faire en cas de désaccord sur une demande de droit d'accès ?

Une personne peut considérer votre réponse incomplète, contester une occultation ou estimer que certaines données auraient dû lui être communiquées. Dans cette situation, votre entreprise doit être capable de retracer le traitement de la demande et d'expliquer les restrictions appliquées.

Vérifiez d'abord le périmètre des recherches effectuées.

• Une donnée a-t-elle été omise ?
• Certains traitements n'ont-ils pas été interrogés ?
• Une restriction reste-t-elle justifiée au regard des droits d'un tiers, du secret des affaires ou d'un autre intérêt protégé ?

Cette nouvelle analyse permet de corriger une réponse incomplète sans attendre que le différend s'aggrave.

Si le demandeur maintient sa contestation, il peut saisir la CNIL. Votre dossier doit alors permettre de comprendre les recherches réalisées, les données identifiées, les informations transmises et les raisons précises ayant conduit à limiter certains accès.

Le respect des délais compte aussi. En principe, vous devez répondre à une demande d'exercice de droits dans un délai d'un mois à compter de sa réception. Ce délai peut être prolongé de deux mois lorsque la complexité ou le nombre de demandes le justifie. Vous devez toutefois informer la personne de cette prolongation et de ses motifs dans le premier mois.

Si vous refusez de donner suite à la demande, vous devez aussi informer la personne des motifs de votre décision dans le même délai d’un mois. Dans le même temps, vous devez l’informer de la possibilité d'introduire une réclamation auprès de la CNIL et de former un recours devant les tribunaux.

Lorsque la demande porte sur un volume important de données, des échanges confidentiels ou des informations concernant des tiers, l'arbitrage exige une lecture précise du RGPD et des intérêts en présence.

Les avocats en protection des données de TLMR Avocats accompagnent les entreprises dans l'analyse et le traitement des demandes de droit d'accès, notamment lorsqu'elles soulèvent des questions de confidentialité, de secret des affaires ou un risque contentieux. L'intervention d'un avocat en protection des données vous aide à déterminer les informations à communiquer, à motiver les restrictions nécessaires et à sécuriser votre réponse avant qu'un désaccord ne conduise à une procédure devant la CNIL ou à un contentieux. Pour un accompagnement sur une demande en cours, contactez le cabinet.

FAQ sur les limites du droit d'accès aux données personnelles

Une entreprise peut-elle refuser une demande de droit d'accès RGPD ?

Oui, mais seulement dans des cas strictement encadrés. Le principal est celui d'une demande manifestement infondée ou excessive, par exemple répétitive ou abusive. L’impossibilité d’identifier le demandeur (art. 11, § 2, et 12, § 2) et la faculté de demander des informations complémentaires en cas de doute raisonnable (art. 12, § 6) sont deux autres cas notables. En dehors de ces cas, un refus complet n'est presque jamais justifié. En tout état de cause, la charge de la preuve vous incombe et un refus non motivé vous expose à une réclamation. La seule présence d'informations protégées dans un document, comme des données concernant un tiers, ne permet pas d'écarter toute la demande. Vous devez d'abord vérifier si une communication partielle ou une occultation des passages sensibles suffit à y répondre. Le refus total est l'exception, à réserver aux situations où aucune communication, même aménagée, n'est possible.

Le droit d'accès oblige-t-il à transmettre tous les documents concernant le demandeur ?

Non, le droit d'accès porte sur les données personnelles et non sur l'ensemble des documents dans lesquels elles apparaissent. Un document complet ou un extrait doit néanmoins être communiqué lorsque son contexte est nécessaire pour rendre les données compréhensibles.

Peut-on transmettre les données personnelles d'un tiers pour répondre à une demande d'accès ?

Vous devez protéger les droits et les libertés des tiers lorsque vous répondez à une demande. Si un document contient à la fois les données du demandeur et celles d'une autre personne, examinez si ces dernières peuvent être occultées. La présence de données concernant un tiers ne permet pas, à elle seule, de rejeter toute la demande. Votre objectif doit être de communiquer les données accessibles sans porter atteinte aux droits d'autrui.

Quel est le délai pour répondre à une demande de droit d'accès ?

Votre entreprise doit, en principe, répondre dans un délai d'un mois à compter de la réception de la demande. Lorsque la complexité ou le nombre de demandes le justifie, ce délai peut être prolongé de deux mois. Vous devez informer le demandeur de cette prolongation et de ses motifs dans le mois suivant la réception de sa demande.

Un salarié peut-il demander l'accès à ses emails professionnels ?

Un salarié peut exercer son droit d'accès sur les données personnelles qui le concernent et qui figurent dans des emails professionnels. Cela ne signifie pas pour autant que votre entreprise doit lui remettre automatiquement l'intégralité de sa messagerie. Vous devez identifier les données concernées, vérifier si leur contexte est nécessaire à leur compréhension et protéger les droits des tiers. En fonction des messages, vous pouvez envisager une extraction, une occultation ou une communication plus large.

Le secret des affaires permet-il de refuser un droit d'accès ?

Le secret des affaires peut limiter la communication de certaines informations, mais il ne constitue pas un motif automatique de rejet de l'ensemble de la demande. Vous devez identifier précisément les informations dont la divulgation porterait atteinte à cet intérêt, puis vérifier si les données personnelles du demandeur peuvent être communiquées autrement. Là encore, une occultation ou une extraction permet parfois de préserver la confidentialité sans méconnaître le droit d'accès.

Comment sécuriser le traitement d'une demande de droit d'accès ?

Commencez par identifier les traitements et supports contenant les données du demandeur. Examinez ensuite les informations qui doivent être protégées et choisissez une modalité de communication proportionnée. Enfin, n’oubliez pas de conserver une trace de vos recherches, des données transmises, des éventuelles occultations et des motifs retenus. En cas de contestation ou de saisine de la CNIL, cette documentation permet de justifier les choix opérés par votre entreprise.

Quand faire appel à un avocat compétent en matière de RGPD pour traiter une demande de droit d'accès ?

L'intervention d'un avocat compétent en matière de RGPD est particulièrement utile lorsque la demande porte sur un volume important de données, implique des tiers ou soulève des questions liées au secret des affaires, à la confidentialité ou à un litige en cours. Un avocat en données personnelles peut examiner le périmètre de la demande, identifier les restrictions juridiquement justifiées et vous aider à déterminer les modalités de communication appropriées. Cet accompagnement permet aussi de préparer une réponse argumentée lorsque le demandeur conteste votre décision ou saisit la CNIL.

Les avocats en protection des données de TLMR Avocats accompagnent les entreprises confrontées à ces situations, depuis l'analyse de la demande jusqu'à la gestion d'un éventuel contentieux.