Droit d'accès : comment doit-il être interprété ?

À ce jour, l'Autorité belge de protection des données (APD) n'a pas publié de directives concernant l'exercice du droit d'accès aux données à caractère personnel. Dans une décision récente, elle  a cependant fourni des précisions à ce sujet, confirmant que le droit d'accès n'est pas absolu et qu'il convient (également) de tenir compte des droits et libertés des autres travailleurs.

Les faits

À la suite d'un incident impliquant un bénévole, une travailleuse au sein d’une organisation active dans le secteur du bien-être a reçu une lettre d'avertissement. Quelques mois plus tard, une concertation a eu lieu entre la travailleuse, d'une part, et le directeur général et le directeur des ressources humaines, d'autre part. 

À l'issue de cette concertation, la travailleuse a demandé à son employeur l’accès à son dossier personnel. Estimant que son dossier était incomplet, elle a introduit une plainte auprès de l'APD. L'APD a estimé que l'employeur devait respecter le droit d’accès et accorder à la travailleuse l’accès à son dossier personnel, y compris à ses évaluations. À la suite de cette décision, la travailleuse a indiqué qu'elle préférait recevoir une copie de son dossier personnel plutôt que de le consulter (uniquement) sur place. 

Après réception de cette copie, la travailleuse a constaté que, notamment, (1) le compte-rendu de la réunion d'évaluation et (2) le rapport contenant des plaintes de collègues concernant son comportement, étaient manquants. Elle a alors demandé à nouveau une copie de ces documents. 

L'employeur a refusé de donner suite à cette demande. Après la rupture de son contrat de travail en raison de son accès à la pension, la travailleuse a estimé que son (ex-)employeur n'avait pas donné une suite suffisante à sa demande d'accès. Elle a introduit une nouvelle plainte auprès de l’APD.

Décision de la chambre contentieuse de l’APD

Dans sa décision, l’APD a précisé la manière dont l'employeur doit traiter une demande d'accès et/ou de copie de données à caractère personnel, sans porter atteinte aux droits et libertés d'autrui. L’APD avait auparavant déjà souligné que cette mise en balance des intérêts ne pouvait en aucun cas conduire à priver le travailleur concerné de toutes les informations. En premier lieu, il convient de vérifier si les droits des tiers ne peuvent pas être suffisamment respectés en anonymisant leurs données à caractère personnel dans la réponse à la demande d’accès.

1. Droit de consulter les notes figurant dans le dossier personnel

En outre, la travailleuse a demandé à consulter le compte-rendu de la réunion d'évaluation, pour laquelle le directeur général et le directeur des ressources humaines auraient pris des notes personnelles. L'employeur a reconnu que la réunion avait eu lieu quelques mois après la lettre d'avertissement, mais a soutenu que les notes personnelles du directeur général et du directeur des ressources humaines ne faisaient pas partie du dossier personnel et ne constituaient pas des documents d'évaluation formels.

Selon l'APD, des notes rédigées dans un contexte professionnel par un représentant de l'employeur et susceptibles d'avoir une incidence sur l'évaluation professionnelle d’un travailleur doivent bel et bien être considérées comme des données à caractère personnel.

Bien que l'employeur doive veiller à ce que le droit d'accès ne porte pas atteinte aux droits et libertés d'autrui, l'APD a estimé qu’en l’espèce, aucune raison valable n'avait été invoquée pour refuser la communication des notes à la travailleuse. Afin de respecter l'objectif du droit d'accès, l'employeur aurait dû justifier la raison pour laquelle les notes ne pouvaient être communiquées. En ne justifiant pas ce refus, l'employeur a enfreint le droit d'accès.

2. Droit de consultation des plaintes des collègues

Enfin, la travailleuse a demandé à consulter un rapport compilant des plaintes de collègues, dans lequel les conflits avec la travailleuse étaient décrits en détail. Selon l’APD, l'employeur avait à juste titre fait valoir que les plaintes des (ex-)collègues de la travailleuse ne devaient pas être communiquées dans toutes les circonstances dans le cadre d’une demande d'accès. En effet, l'employeur doit également tenir compte des droits et libertés d'autrui (tels que ceux des autres travailleurs).

L’APD a pris en considération le fait que les collègues avaient fait leurs déclarations dans l'attente qu'elles restent confidentielles. Elle a toutefois relevé qu'il pouvait exister des situations particulières dans lesquelles les déclarations de collègues peuvent avoir des conséquences importantes pour le travailleur concerné, en particulier s’il risque de subir un préjudice parce qu’il ne peut pas prendre connaissance des déclarations ni y réagir. 

Dans ce dossier, les conséquences pour la travailleuse sont restées limitées, dès lors qu'aucune procédure formelle de licenciement n'avait été engagée. L'APD a souligné que, dans de telles circonstances, des services externes de prévention spécialisés peuvent remplir une fonction de filtrage légitime et proportionnée.

Bien que les limitations au droit d’accès doivent être interprétées de manière restrictive, l'APD a conclu, compte tenu des circonstances concrètes du dossier, qu’aucune violation ne pouvait être constatée. 

Sanction

Étant donné que l'employeur n'avait pas donné accès aux notes du directeur général et du directeur des ressources humaines, l'APD a décidé d'infliger un blâme. Il a également été décidé de publier l'identité de l'employeur, celui-ci étant financé de manière significative par des fonds publics.

Point d’attention

À ce jour, l'APD n'a pas édicté de lignes directrices concernant l'exercice du droit d'accès. De plus en plus d’(ex-)travailleurs demandent à leur employeur l'accès et/ou une copie de leurs données à caractère personnel. La décision précitée apporte davantage de précisions sur la manière dont une demande d’accès peut être limitée sur la base des droits et libertés d’autres travailleurs.

Lorsque l'employeur, en donnant suite à une demande d'accès, risque de porter atteinte aux droits et libertés d'autrui, il est recommandé de commencer par anonymiser les données à caractère personnel des tiers. L’APD a toutefois confirmé que le droit d'accès peut être limité dans certains cas, par exemple lorsque des collègues ont formulé, à titre confidentiel, des plaintes concernant le comportement du travailleur. Une autre méthode pourrait consister à paraphraser les plaintes afin de garantir l'anonymat des collègues.