Newsflash
Protection des données et de la vie privée

L’autorité de protection des données (APD) a récemment traité la plainte introduite par une travailleuse contre son employeur pour ne pas avoir donné suite à une demande d’accès à son dossier personnel. L’APD rappelle que l’employeur doit préalablement supprimer ou rendre anonyme les données à caractère personnel de tiers, mais que la présence des données à caractère personnel de tiers ne peut constituer une excuse pour ne pas donner suite à la demande d’accès en temps utile.

Droit d’accès et de copie

En application du RGPD, les travailleurs ont le droit d’accéder et d’obtenir une copie des données à caractère personnel traitées à leur sujet. Suite à un licenciement ou à l’absence de promotion, les travailleurs demandent parfois à avoir accès à leur dossier personnel.

Lorsqu’une telle demande d’accès est faite, l’employeur doit informer le travailleur dans un délai d’un mois à compter de la réception de la demande, des suites qui y sont réservées. En fonction de la complexité de la demande, l’employeur peut également informer le travailleur, dans le même délai, que le délai sera prolongé de deux mois. En outre, l’employeur doit s’assurer que l’accès ne porte pas préjudice aux « droits et libertés d’autrui », par exemple en rendant anonyme les données à caractère personnel qui concernent des tiers.

Faits

Par un e-mail du 28 février 2020, une travailleuse avait demandé à son employeur qu’un rendez-vous soit fixé pour qu’elle puisse consulter tous les documents d’évaluation figurant dans son dossier personnel. L’employeur a répondu que le droit d’accès ne pouvait pas porter atteinte aux droits et libertés d’autrui et qu’il devait d’abord vérifier si les documents d’évaluation contenaient des données permettant d’identifier des tiers.

Par la suite, par un e-mail du 18 juin 2020, l’employeur a annoncé qu’un rendez-vous pouvait être fixé pour la consultation du dossier personnel. Le 1er juillet 2020 la travailleuse a toutefois déposé une plainte auprès de l’APD car elle estimait qu’aucune suite utile n’avait été réservée à sa demande d’accès.

Décision de la chambre contentieuse de l’APD

L’APD souligne que l’employeur doit être transparent et permettre à ses travailleurs d’exercer les droits dont ils disposent en application du RGPD, y compris le droit d’accès aux données à caractère personnel. Le fait que le droit d’accès ne puisse pas porter atteinte aux droits ou aux libertés d’autrui ne peut avoir pour conséquence de priver le travailleur de toute information. Par conséquent, l’employeur doit préalablement supprimer ou rendre anonyme les données à caractère personnel des tiers et cette circonstance ne peut être une raison pour ne pas donner suite (en temps utile) à une demande d’accès.

L’APD a donc jugé que le RGPD avait été violé car l’employeur n’avait pas donné de suite utile à la demande d’accès de la travailleuse dans le mois suivant sa réception (et n’avait pas informé la travailleuse d’une éventuelle prolongation du délai). L’employeur a reçu l’ordre de l’APD de donner, à la travailleuse, l’accès à son dossier personnel, y compris aux formulaires d’évaluation.

Point d'action

 En cas de demande d’accès à un dossier personnel, veillez à procéder le plus rapidement possible à  l’anonymisation ou à la suppression des données à caractère personnel de tiers afin de pouvoir répondre à la demande d’accès en temps utile. Nous vous conseillons également d’inclure une procédure claire dans votre Privacy Policy pour faciliter le droit d’accès. Bien entendu, nous sommes à votre disposition pour vous assister dans l’élaboration de cette Policy.