L’exportation des informations du profil peut contribuer à l’exercice du droit d’accès, mais un fichier téléchargé ne suffit pas toujours. Selon l’article 15 du RGPD, la personne peut obtenir ses données personnelles et les informations nécessaires pour comprendre comment elles sont utilisées.
Pour l’organisme, le travail consiste à retrouver les éléments pertinents, les rendre intelligibles et protéger les droits d’autrui. Une réponse utile relie donc l’exportation des données au contexte du traitement, plutôt que de remettre un profil brut sans explication.
A retenir :
- Copie des données réellement traitées et informations propres au dossier
- Explication des codes, des finalités et des durées applicables
- Recherche documentée, occultation ciblée et protection de la vie privée
- Respect du délai, de la gratuité initiale et des motifs de refus
Exportation des informations du profil et contenu du droit d’accès
Cette distinction entre fichier et droit explique pourquoi une exportation seule peut laisser la demande incomplète. L’article 15 prévoit une copie des données personnelles ainsi que des renseignements adaptés aux traitements concernant la personne.
Les éléments à communiquer avec la copie
Dans le périmètre de cet article, l’organisme confirme si des données sont traitées et communique celles qui concernent le demandeur. Il précise aussi les finalités, les catégories de données, les destinataires et les durées de conservation ou leurs critères.
La réponse informe également la personne de ses droits, de la possibilité de saisir une autorité de contrôle et, lorsque c’est pertinent, de la source des données. Pour les situations visées par l’article 15(1)(h), elle présente les informations utiles sur la décision automatisée, sa logique et ses conséquences.
Les informations doivent correspondre au dossier réel, non à toutes les activités théoriques de l’entreprise. Un registre des traitements peut aider à localiser les systèmes, mais il ne remplace pas la copie des données individuelles.
Éléments de réponse à vérifier :
- Confirmation de l’existence d’un traitement concernant la personne
- Copie des données et contexte nécessaire à leur compréhension
- Finalités, catégories, destinataires et conservation applicables
- Source des données et informations sur les droits ouverts
Une copie intelligible plutôt qu’un export brut
Cette exigence de contenu implique une présentation compréhensible. Dans l’arrêt C-487/21 du 4 mai 2023, la Cour de justice de l’Union européenne distingue les données des documents qui les contiennent : un extrait ou un document entier peut être nécessaire si le contexte permet l’exercice effectif des droits.
Supposons qu’un profil affiche le code « R7 » et une date, sans préciser ce que ce classement signifie. L’organisme doit expliquer le code et son usage ; un fichier techniquement lisible mais incompréhensible n’éclaire pas la personne.
Les courriels, notes et historiques ne sont pas automatiquement exclus parce qu’ils sont internes. Il faut rechercher les données dans les systèmes réellement utilisés, avec les équipes concernées et, si nécessaire, les sous-traitants.
Exemples de données et de contexte :
| Élément retrouvé | Information utile à joindre |
|---|---|
| Code de classement | Signification et contexte d’utilisation |
| Commentaire de dossier | Présentation comme mention enregistrée, non comme fait admis |
| Date associée à une opération | Nature de l’opération correspondante |
| Échange avec un réparateur | Extrait ou document si le contexte est nécessaire |
Accès aux données, destinataires et protection des tiers
Une copie intelligible révèle parfois des informations concernant d’autres personnes. Il faut alors préserver le droit d’accès sans communiquer inutilement des coordonnées ou des éléments privés étrangers à la demande.
Identifier les destinataires et limiter les occultations
Selon l’arrêt C-154/21 du 12 janvier 2023, la personne doit pouvoir connaître l’identité des destinataires spécifiques lorsque celle-ci peut être établie. Donner seulement des catégories ne répond donc pas toujours à la demande.
L’article 15(4) impose de tenir compte des droits et libertés d’autrui. Cette limite ne justifie pas l’effacement automatique de tous les noms : une extraction ciblée ou une occultation peut protéger un tiers tout en conservant le sens des données communiquées.
Dans un dossier de réparation fictif, un export partagé contenant les lignes de tous les clients exposerait des informations étrangères à la demande. La bonne méthode consiste à isoler le dossier demandé, puis à vérifier que les masquages restent efficaces dans le fichier remis.
Mesures de protection du dossier :
- Identification des destinataires effectivement concernés
- Extraction limitée aux données de la personne
- Occultation ciblée des coordonnées privées de tiers
- Contrôle du fichier final et de ses éventuelles feuilles annexes
Expliquer les restrictions sans répondre par un refus automatique
La gestion du profil doit préserver les éléments nécessaires pour comprendre les décisions et l’historique. Une mention contestée peut être communiquée comme donnée enregistrée par l’organisme, sans la présenter comme une vérité reconnue par la personne.
Un litige avec le demandeur ne supprime pas, à lui seul, son droit d’accès. Toute restriction doit reposer sur une base juridique applicable et être expliquée, avec les possibilités de réclamation et de recours prévues par le RGPD.
Une réponse transparente distingue ainsi les données communiquées, les éléments masqués et les raisons précises de cette occultation. Cette démarche protège les tiers tout en permettant à la personne de vérifier l’exactitude de son dossier.
Délais et préparation pratique d’une réponse conforme au RGPD
Après avoir délimité le contenu et protégé les tiers, l’organisme doit organiser les recherches dans les délais légaux. Une procédure claire évite qu’un export généré soit confondu avec une réponse achevée.
Vérifier l’identité, le délai et les frais
Selon l’article 12(3), la réponse intervient dans les meilleurs délais et, en principe, au plus tard un mois après réception. Une prolongation de deux mois peut être nécessaire en raison de la complexité ou du nombre de demandes ; ses motifs doivent être communiqués pendant le premier mois.
En cas de doute raisonnable sur l’identité, l’article 12(6) permet de demander les informations supplémentaires nécessaires. Il ne justifie pas de réclamer systématiquement une pièce d’identité lorsque les éléments déjà disponibles suffisent à vérifier la personne.
La première copie est en principe gratuite. Des frais raisonnables peuvent concerner des copies supplémentaires ; pour une demande manifestement infondée ou excessive, l’organisme doit pouvoir démontrer cette qualification, plutôt que d’invoquer simplement le coût de la recherche.
Repères de traitement à inscrire au dossier :
| Étape | Vérification pratique |
|---|---|
| Réception | Date de départ et périmètre demandé |
| Identité | Doute raisonnable et contrôle proportionné |
| Recherche | Systèmes consultés et interlocuteurs sollicités |
| Remise | Copie accessible, complète dans son périmètre et lisible |
Documenter les recherches et finaliser la remise
Pour une demande fictive reçue le 6 octobre, l’échéance de principe se situe le 6 novembre. Si une pièce détenue par un sous-traitant manque encore, l’organisme poursuit les recherches et consigne le document attendu ainsi que les démarches effectuées.
L’article 28(3)(e) prévoit l’assistance du sous-traitant pour permettre au responsable du traitement de répondre aux demandes de droits. Un retard interne ne déclenche pas, à lui seul, une prolongation automatique ni un nouveau délai.
Avant l’envoi, l’équipe vérifie que le fichier s’ouvre, que les codes sont expliqués, que les tiers sont protégés et que les éléments annoncés sont effectivement joints. L’exportation des données devient alors un moyen concret d’exercer le droit d’accès, et non un simple geste technique.
Source : Règlement (UE) 2016/679, articles 12, 15, 28 et 46 ; Cour de justice de l’Union européenne, affaire C-487/21, 4 mai 2023 ; Cour de justice de l’Union européenne, affaire C-154/21, 12 janvier 2023.
