RGPD, l’ENFER est pavé de bonnes intentions : le détournement du droit d’accès

La Loi Informatique et Libertés dès 1978 et le Règlement Européen pour la Protection des Données (#RGPD) depuis 2018 permettent à chacun de vérifier quelles sont les informations qu’une entité (banque, faculté, société commerciale, Mairie, réseau social…) détient sur lui.

L’objectif de ce droit d’accès est pour la personne concernée de vérifier non seulement quelles données l’entité détient mais également, ce qu’elle en fait (finalité du traitement).

La demande est simple, il suffit de préciser que l’on exerce son droit d’accès conformément au RGPD et de fournir une copie de sa pièce d’identité.

 Les conséquences sont insoupçonnées pour l’entité à laquelle on s’adresse :

 ·        Réponse dans un délai d’un mois,

 ·        Communication de l’ensemble des éléments sans effectuer de tri, le droit portant sur TOUS les documents sans exception.

TOUS les documents ?

Ceux dans les lesquels la personne est identifiée directement ou indirectement, notamment par référence à un identifiant, tels qu’un nom, un numéro d’identification, des données de localisation, des éléments spécifiques propres à son identité physique, génétique, psychique, économique, culturelle ou sociale, y compris ceux qui parlent de la personne sans la désigner nommément (lorsqu’on peut l’identifier).

L’effet pervers :

Aujourd’hui fleurissent des demandes de droit d’accès afin de se constituer un dossier appuyant une action judiciaire sans rapport avec l’objectif du droit d’accès ci-dessus rappelé, ce qui est manifestement un détournement de la loi et donc un abus de droit.

Si l’article 9 du Code de procédure civile oblige le demandeur à une action à rapporter la preuve de ce qu’il avance, pour autant, nul ne peut être obligé à produire des éléments contre lui-même, la procédure de la « discovery » n’existant pas en droit français.

Pour exemple, dans le cadre d’un procès entre un salarié et son employeur devant le Conseil de prud’hommes, l’employeur n’est pas obligé de verser aux débats les emails qu’il aura échangés avec le supérieur hiérarchique de son salarié ou le responsable des ressources humaines, la partie au procès choisit les éléments de preuve qu’elle entend produire.

Or, par l’exercice du droit d’accès, le salarié peut contraindre l’employeur à communiquer TOUS les éléments qu’il détient sur lui et notamment, par exemple, les emails qu’il aurait échangés avec d’autres personnes, même si le salarié n’était pas nommément désigné, dans la mesure où on peut deviner son identité.

Le détournement est ici manifeste.

La seule réponse possible qui nous vient à l’esprit :

Le droit d’accès s’insère dans le droit à la protection des données qui lui-même n’est pas un droit absolu : « il doit être considéré par rapport à sa fonction dans la société et être mis en balance avec d’autres droits fondamentaux, conformément au principe de proportionnalité » (considérant 4 du RGPD), et il « ne devrait pas porter atteinte aux droits ou libertés d’autrui » (considérant 63 du RGPD).

Ainsi, sur la question des correspondances émises ou reçues par des tiers (dans notre exemple entre l’employeur et le responsable des ressources humaines), conformément au respect de la vie privée et au secret des correspondances[1], la communication de ces documents nécessiterait l’accord des personnes concernées.

Ce qui devrait faire, en partie, échec au droit d’accès et aux détournements constatés actuellement.

Nathalie Damiano et Benjamin Martin-Tardivat

Avocats

[1] droits qui découlent eux-mêmes du principe de libre communication des pensées et des opinions, qui constitue une des libertés fondamentales reconnues à tous citoyens, ainsi qu’il ressort respectivement de l’article 11 de la Déclaration des droits de l’homme et du citoyen de 1789 et de l’article 8 de la Convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales.