Demander la copie des messages échangés avec un service client peut révéler des informations personnelles utiles pour vérifier un dossier ou contester une réponse. Le droit d’accès prévu par le RGPD concerne aussi les données figurant dans des courriels professionnels.
Ce droit n’impose toutefois pas la remise automatique de toutes les correspondances ni l’effacement des informations concernant d’autres personnes. Comprendre les règles de communication, de protection des tiers et de délai aide à obtenir une réponse réellement exploitable.
A retenir :
- Accès aux données personnelles détenues par l’organisme
- Copie fidèle et intelligible lorsque nécessaire
- Réponse gratuite dans le délai réglementaire applicable
- Protection des tiers examinée au cas par cas
Copie des messages et droit d’accès : ce que l’organisme doit communiquer
Une demande de copie appelle d’abord une recherche précise : l’organisme doit déterminer quelles données personnelles il traite et où elles se trouvent. Selon la CNIL, ce droit permet également de connaître les finalités, les catégories de données et les destinataires concernés.
Accès aux données dans les courriels
Dans une entreprise, une salariée peut demander les informations personnelles présentes dans ses messages électroniques, son dossier RH ou un outil interne. La demande porte juridiquement sur les données, mais l’envoi des courriels eux-mêmes peut en faciliter la compréhension.
Selon la Cour de justice de l’Union européenne, une copie d’extraits ou d’un document entier peut être nécessaire si elle permet de comprendre les données et d’exercer effectivement ses droits. La validation du droit dépend donc du contenu demandé et de son intelligibilité, pas seulement du format choisi.
Élément demandé
Exemple
Point à vérifier
Données du message
Nom ou coordonnées mentionnés
Lien avec la personne
Métadonnées
Date et destinataires
Utilité pour comprendre l’échange
Contexte
Courriel ou extrait pertinent
Intelligibilité de la copie
Informations associées
Finalités et destinataires
Éléments prévus par le RGPD
Une simple liste de codes ou un résumé trop vague risque de ne pas rendre les informations compréhensibles. La copie des messages peut alors constituer une preuve d’accès utile, sans devenir une obligation systématique pour chaque dossier.
Les formats de communication varient selon les données retrouvées :
- Copie des courriels contenant les données concernées
- Tableau intelligible des informations et métadonnées utiles
- Extraits expurgés lorsque des tiers sont concernés
« Je souhaite recevoir les données me concernant dans les messages, avec les éléments nécessaires pour comprendre leur contexte. »
Exemple de formulation
Cette formulation est un exemple pratique, non un témoignage rapporté. Pour répondre correctement, l’organisme doit ensuite examiner les informations relatives aux autres personnes présentes dans les échanges.
Courriels professionnels : protéger les tiers sans refuser en bloc
Lorsque la copie contient des informations sur des collègues, des clients ou des partenaires, l’accès doit être concilié avec leurs droits. Selon la CNIL, l’organisme doit apprécier concrètement ce qui peut être transmis, plutôt que rejeter toute la demande.
Examiner chaque correspondance utile
Un courriel peut mêler les données du demandeur, des coordonnées professionnelles et des éléments confidentiels concernant une autre personne. L’employeur peut analyser les messages un par un, puis occulter les passages dont la communication porterait une atteinte disproportionnée aux droits d’autrui.
Le secret des correspondances, la vie privée ou le secret des affaires peuvent justifier certaines restrictions, mais pas une suppression automatique de tout le contenu. Selon la CJUE, la reproduction doit rester fidèle et intelligible, tout en tenant compte des libertés des tiers.
Situation
Réponse à envisager
Précaution
Demandeur expéditeur
Rechercher ses données et l’échange
Examiner les informations de tiers
Demandeur destinataire
Vérifier le message et ses métadonnées
Préserver les éléments confidentiels
Demandeur mentionné
Repérer les données personnelles pertinentes
Éviter une copie sans rapport
Message mixte
Communiquer une version adaptée
Motiver les occultations nécessaires
Dans un exemple fictif, une salariée demande les échanges où son nom apparaît après une réorganisation. Une communication partielle, accompagnée d’explications sur les passages masqués, peut préserver la transparence sans exposer inutilement ses collègues.
Pour traiter ces cas, l’examen doit rester documenté et proportionné :
- Identifier les données personnelles du demandeur
- Repérer les droits des personnes citées
- Justifier les occultations au cas par cas
- Maintenir une copie compréhensible et fidèle
« Nous transmettons les éléments qui vous concernent et expliquons les occultations nécessaires à la protection d’autres personnes. »
Exemple de formulation
Cette réponse modèle ne rapporte pas un cas réel ; elle illustre une manière claire d’exposer une restriction. Une fois le périmètre établi, le respect des délais et la sécurité de l’envoi deviennent déterminants.
Demande d’accès : délais, identité et transmission sécurisée
Après l’identification des données et des restrictions, l’organisme doit organiser une réponse complète dans le délai prévu. Le RGPD fixe un délai de principe d’un mois à compter de la réception, avec une prolongation possible sous conditions.
Vérifier l’identité et calculer l’échéance
Une pièce d’identité ne doit pas être exigée systématiquement si les informations déjà disponibles suffisent à reconnaître la personne. En cas de doute raisonnable, l’organisme peut demander des éléments supplémentaires, mais leur collecte doit rester proportionnée.
Une prolongation pouvant atteindre deux mois supplémentaires doit être justifiée par la complexité ou le nombre de demandes, et annoncée pendant le premier mois. La première copie est en principe gratuite ; des frais raisonnables peuvent concerner certaines copies supplémentaires.
Les étapes utiles avant l’envoi sont les suivantes :
- Enregistrer la date de réception et le périmètre demandé
- Rechercher les systèmes et prestataires concernés
- Contrôler la lisibilité et les restrictions appliquées
- Transmettre par un canal adapté à la sensibilité des données
« Votre demande a été reçue ; nous vérifions les données concernées et vous répondrons dans le délai applicable. »
Exemple de formulation
Transmettre une copie intelligible et sûre
Un export doit expliquer les champs techniques, les abréviations et, lorsque cela s’applique, les finalités du traitement, les destinataires et les durées de conservation. Un lien sécurisé ou un espace protégé peut limiter le risque d’envoi à un mauvais destinataire.
Selon la CNIL, un salarié peut exercer son droit d’accès auprès de son employeur, y compris pour des données contenues dans sa messagerie professionnelle. Cette faculté ne transforme cependant pas le droit d’accès en droit général de consulter tous les documents internes.
« La réponse est utile si je peux lire les données, comprendre leur origine et savoir comment demander leur rectification. »
Avis illustratif
Cette appréciation est un exemple fictif, et non un avis attribué à une personne réelle. Une réponse claire permet toutefois au demandeur de vérifier ses informations et, si nécessaire, d’exercer séparément un droit de rectification ou d’effacement.
La communication d’une copie engage donc à la fois la transparence, la confidentialité et la qualité de l’information fournie. Une recherche traçable et une transmission adaptée rendent l’accès aux données plus compréhensible pour chacun.
Source : CNIL, « Le droit d’accès des salariés à leurs données et aux courriels professionnels », 31 janvier 2025 ; Cour de justice de l’Union européenne, arrêt C‑487/21, 4 mai 2023 ; Règlement (UE) 2016/679, articles 12 et 15.
