Demandes de droit d'accès
En tant que boutique en ligne, est-ce que je peux demander une copie de sa pièce d’identité à un client qui souhaite exercer son droit d’accès ?
Oui, mais uniquement lorsqu’il n’y pas d’autres moyens d’identifier le client. La copie d’une pièce d’identité ne doit être demandée qu’en dernier ressort.
Le responsable du traitement ne doit en effet pas demander plus de données personnelles que ce qui est nécessaire pour permettre d’authentifier la personne formulant la demande. Il ne doit pas subordonner un droit d’accès à la fourniture de pièces justificatives disproportionnées ou non pertinentes par rapport à la demande.
Un client peut en général facilement s’identifier en fournissant son numéro client ou son numéro d’abonnement à un contrat, ou en se connectant à son compte client s’il en a créé un, ou encore en répondant à des questions de sécurité (non intrusives) dont lui seul connait les réponses.
Si nécessaire, le responsable du traitement peut utiliser une authentification multifactorielle configurée lorsque le client a enregistré son compte, ou d’autres moyens de communication existants connus comme appartenant audit client (adresse e-mail ou numéro de téléphone notamment) afin de lui envoyer un code à usage unique.
Pour en savoir plus :
- fiche pratique Le droit d’accès et ses modalités d’exercice
Est-ce que je peux demander à un ancien salarié qui exerce son droit d’accès de justifier son identité ?
Oui, conformément à l’article 12 de la Loi n° 1.565 du 3 décembre 2024, toute personne physique souhaitant exercer son droit d’accès doit justifier de son identité. Cela vaut donc également pour un ancien salarié.
Toutefois, en vertu du principe de minimisation des données, un responsable du traitement ne doit pas demander plus de données personnelles que ce qui est nécessaire pour permettre d’authentifier la personne formulant la demande. Il ne doit pas subordonner un droit d’accès à la fourniture de pièces justificatives disproportionnées ou non pertinentes par rapport à la demande.
Un ancien salarié pourra ainsi prouver son identité en indiquant simplement son ancien identifiant professionnel ou tout autre renseignement le concernant connu par son ancien employeur.
Pour en savoir plus :
- fiche pratique Le droit d’accès et ses modalités d’exercice
Quelles informations doivent être envoyées à un candidat non retenu lors d’une procédure d’embauche qui exerce son droit d’accès ?
Tout candidat qui exerce son droit d’accès après avoir passé un entretien d’embauche doit recevoir non seulement les informations qu’il a fournies initialement (son cv, sa lettre de candidature par exemples) mais également les commentaires qu’a pu rédiger la personne ayant mené l’entretien, les informations relatives au traitement de ces données (finalité(s) du traitement, destinataire(s), durée de conservation des données, etc.) et les droits dont il dispose (droits de rectification ou d’effacement des données, de limitation du traitement ou d’opposition à ce traitement, droit d’introduire une réclamation auprès de l’APDP).
Est-ce que je dois communiquer à un ancien salarié qui m’en fait la demande tous ses anciens e-mails ?
Oui, en principe, un ancien salarié peut demander une copie de ses e-mails professionnels à son ancien employeur en vertu de l’article 12 de la Loi n° 1.565 du 3 décembre 2024. En fonction de la demande, ce droit d’accès peut concerner aussi bien les données personnelles contenues dans les e-mails que les métadonnées (horodatage, destinataires, etc.).
L’employeur peut néanmoins refuser une demande d’accès à condition de le justifier.
Le droit d’accès est limité par le respect du droit des tiers. Il ne peut pas porter non plus atteinte au secret des affaires ou à la propriété intellectuelle.
Ainsi, pour la copie de courriers professionnels dont le demandeur est l’expéditeur ou le destinataire, il est recommandé au responsable du traitement d’essayer dans un premier temps de supprimer, d’anonymiser ou de pseudonymiser les données concernant les tiers ou portant atteinte à un secret.
Lorsque le demandeur n’est pas l’expéditeur ou le destinataire mais qu’il est mentionné dans des courriers, il convient de faire une analyse au cas par cas de ces courriers qu’il lui serait transmissibles, en tenant compte du droit des tiers, du secret des affaires et de la propriété intellectuelle.
Quid des courriers personnels
Pour la copie de ses courriels personnels en revanche, l’employeur ne peut accéder aux messages identifiés comme privés ou dont le contenu s’avère être privé, même quand ils n’ont pas été identifiés comme tels, envoyés ou reçus à partir de la messagerie professionnelle. Il devra donc fournir les courriers en l’état au demandeur dès lors que celui-ci en est bien l’expéditeur ou le destinataire.
Est-ce que je dois protéger les propos tenus par une autre personne lorsqu’un client me demande la copie d’une conversation téléphonique qu’il a eue avec un agent du service clientèle ?
Non. Si le droit d’accès est limité par le respect du droit des tiers en vertu duquel une personne ne peut avoir accès qu’aux seules données la concernant, une exception existe en matière d’enregistrement des conversations téléphoniques. Dans un tel cas en effet, une personne prenant part à une conversation téléphonique n’est pas considérée comme un tiers.
Avant de répondre à une demande de droit d’accès impliquant une autre personne, le responsable du traitement se doit de mettre en balance deux intérêts contradictoires, à savoir en l’espèce d’un côté le droit du demandeur à obtenir une copie de la conversation et de l’autre la probabilité et la gravité des risques éventuels pour les droits et libertés de son interlocuteur.
Dans ce cas précis, les données personnelles relatives à ce tiers sont très limitées puisque le contenu de la discussion est de nature professionnelle et seule sa voix est collectée.
En tant que médecin installé à mon compte, est-ce que je dois également répondre dans un délai d’un mois à un patient qui me demande l’accès aux informations de santé que je détiens ?
Non. L’article 12 de la Loi n° 1.565 du 3 décembre 2024 prévoit que l'accès de la personne concernée aux informations concernant sa santé s'effectue dans les conditions prévues par la législation relative au consentement et à l'information en matière médicale.
Ainsi, en vertu de l’article 12 de la Loi n° 1.454 du 30 octobre 2017 relative au consentement et à l'information en matière médicale, toute personne peut demander l'accès à l'ensemble des informations concernant sa santé détenues, à quelque titre que ce soit, par des professionnels ou établissements de santé, à l’exception cependant des informations concernant des tiers et des annotation personnelles des professionnels de santé, dans les quinze jours suivant sa demande ou, lorsque ces informations datent de plus de cinq ans, dans les deux mois.
Toutefois, à la demande du professionnel ou de l'établissement de santé, le président de l’APDP peut, après avis favorable de celle-ci, accorder des délais de réponse ou dispenser de l'obligation de répondre à des demandes abusives par leur nombre, leur caractère répétitif ou systématique. La personne concernée doit alors en être informée.
A défaut de réponse dans le délai imparti, la demande d’accès est réputée rejetée.
Un client à qui j’avais envoyé l’ensemble des échanges que nous avions eus l’année dernière, exerce à nouveau son droit d’accès pour obtenir cette fois les échanges ayant eu lieu cette année. Est-ce que je peux le facturer pour cette copie supplémentaire ?
Non, car il s’agit d’une nouvelle demande.
En effet, si l’article 12 de la Loi n° 1.565 du 3 décembre 2024 prévoit qu’un responsable du traitement peut exiger le paiement de frais raisonnables basé sur les coûts administratifs pour toute copie supplémentaire demandée, la première copie doit toujours être gratuite même si le responsable du traitement estime que le coût de reproduction est élevé.
En conséquence, dès lors qu’une personne concernée demande à nouveau une copie, le responsable du traitement doit se poser la question de savoir si la personne concernée souhaite simplement une copie supplémentaire ou s’il s’agit effectivement d’une nouvelle demande.
Ainsi, si la durée et la portée de la nouvelle demande sont identiques à la première, le responsable du traitement pourra exiger le paiement de frais raisonnables. En revanche, si cette nouvelle demande porte sur des données traitées à un moment différent ou concerne un ensemble de données différent de la requête initiale, le droit d’obtenir gratuitement une copie des données s’applique à nouveau.
En l’espèce, cette deuxième demande du client porte sur une autre période et des données différentes de sa première requête, à savoir les échanges ayant eu lieu depuis la première copie reçue.