La charge de travail n’est pas une excuse : l’APD confirme la large portée du droit d’accès

Dans une décision du 6 mai 2026 (n° 97/2026), l’Autorité de protection des données (APD) confirme une nouvelle fois la large portée du droit d’accès. Elle souligne en particulier que les demandes d’accès ne peuvent être refusées que dans des cas exceptionnels, en raison de leur caractère “manifestement infondé” ou “excessif”. Selon l’APD, le droit d’accès ne peut pas être limité au seul motif des charges pratiques ou organisationnelles que son exécution entraîne pour l’employeur.

Faits

Un technicien a demandé à son employeur l’accès et une copie de l’ensemble de ses formulaires de prestations sur une période de cinq ans (un formulaire par semaine). Ces formulaires contenaient, pour chaque jour de travail effectué, un récapitulatif des prestations réalisées et des déplacements effectués, sur la base de notes manuscrites du travailleur. Par sa demande d’accès, le travailleur souhaitait vérifier si ses prestations avaient été correctement enregistrées et rémunérées. 

L’employeur n’archivait pas ces formulaires par travailleur, mais par jour de travail, répartis dans différents classements. Il n’a fourni qu’un seul formulaire de prestations et a fait valoir que la collecte et la copie des autres documents représenteraient une charge de travail considérable. À titre alternatif, il a proposé une consultation sur place, lors de laquelle le travailleur devrait lui-même identifier les formulaires pertinents. Estimant cela insuffisant, le travailleur déposa une plainte auprès de l’APD.

Décision de la Chambre contentieuse de l’APD

Demande valable et suffisamment délimitée 

L’employeur a fait valoir que la demande était peu claire et insuffisamment motivée. L’APD n’a pas suivi ce point de vue et a rappelé que la personne concernée n’était pas tenue de fournir de justification pour exercer son droit d’accès. La demande était par ailleurs clairement délimitée, puisqu’elle portait sur une catégorie bien déterminée de documents (formulaires de prestations) et sur une période définie (cinq ans).

L’APD a également souligné l’obligation active de coopération de l’employeur. Si une demande est peu claire, l’employeur doit demander des précisions. S’il refuse (totalement ou partiellement) de donner suite à la demande d’accès, l’employeur doit en informer la personne concernée dans un délai d’un mois et motiver ce refus. En ne communiquant pas de refus formel et en laissant la demande de facto sans réponse en se contentant de proposer une consultation sur place, l’employeur a enfreint  les obligations imposées par le RGPD.

L’APD a rappelé que le droit d’accès comprenait également l’obtention d’une copie, qui constitue un élément essentiel de ce droit et suppose que la personne concernée reçoive ses données à caractère personnel sous une forme durable. La proposition de l’employeur d’organiser uniquement une consultation sur place, sans remise effective d’une copie, ne suffit donc en principe pas.

Demande ni manifestement infondée ni excessive

L’employeur a soutenu que la demande était excessive en raison de la charge de travail considérable que représenteraient la collecte, la reproduction et l’anonymisation des documents, notamment eu égard au système d’archivage. Il a fait valoir qu’il faudrait recruter du personnel supplémentaire pour satisfaire à de telles demandes.

L’APD a rappelé qu’une demande ne peut être considérée comme manifestement infondée ou excessive que dans des cas exceptionnels d’abus de droit, à savoir lorsque la demande est introduite dans le seul but de causer un préjudice au responsable du traitement (l’employeur). 

Selon l’APD, l’abus de droit requiert à la fois un élément objectif et un élément subjectif. S’agissant de l’élément objectif, elle a constaté que la finalité du droit d’accès était bien poursuivie en l’espèce : le travailleur souhaitait prendre connaissance de ses données à caractère personnel et en vérifier l’exactitude. Quand bien même la demande aurait été (partiellement) motivée par un autre objectif, par exemple dans le cadre d’un litige en droit du travail, cela ne porte pas atteinte au droit d’accès.

S’agissant de l’élément subjectif, l’employeur n’a pas réussi à démontrer que le travailleur avait artificiellement créé les conditions d’application du RGPD afin d’en tirer un avantage illégitime. Les formulaires de prestations avaient été établis dans le cadre d’une relation de travail de longue date et la demande d’accès n’est intervenue que plusieurs années plus tard. Il n’y avait donc pas d’abus intentionnel.

Enfin, l’APD a souligné que la charge de travail liée à l’exécution d’une demande d’accès ne peut pas, en elle-même, conférer un caractère excessif à cette demande, en particulier lorsque cette charge découle de l’organisation interne ou du mode d’archivage de l’employeur. Le RGPD ne contient pas de limitation générale de proportionnalité qui permettrait de restreindre le droit d’accès pour des raisons d’efficacité ou de considérations de coût. Au contraire, l’employeur est tenu de faciliter l’exercice des droits des personnes concernées et de s’organiser d’une telle manière que ces droits puissent effectivement être exercés.

Données de tiers 

L’employeur a fait valoir que les formulaires de prestations pouvaient contenir des données relatives à des tiers, notamment des clients et des collègues du travailleur. L’APD a admis que cela pouvait donner lieu à des limitations du droit d’accès, mais a souligné que cela ne pouvait pas justifier un refus total de la demande d’accès. L’employeur doit, le cas échéant, prendre des mesures appropriées, telles que l’anonymisation des données relatives à des tiers, de manière à pouvoir néanmoins fournir une copie. 

Par ailleurs, l’APD a fait observer qu’une consultation sur place de l’ensemble des classements créerait précisément le risque que des données à caractère personnel de tiers soient exposées de manière illicite au travailleur.

Sanction

Dans cette affaire, l’APD a infligé un avertissement et a enjoint l’employeur de  transmettre au travailleur une copie des formulaires de prestations demandés dans un délai d’un mois. 

Point d’attention

Cette décision confirme le fait que l’APD laisse peu de place à l’invocation de motifs de refus dans le cadre des demandes d’accès. Les employeurs ne peuvent pas invoquer l’impact pratique, la charge administrative ou leur organisation interne pour restreindre le droit d’accès. 

Cette décision souligne également l’importance d’une organisation interne adéquate, afin que les demandes d’accès puissent être traitées de manière efficace et conformément au RGPD. Le seuil pour qualifier une demande de manifestement infondée ou excessive est en effet particulièrement élevé.