Savoir qui détient nos données, à quelles fins elles sont exploitées et à qui elles sont transmises — telle est la première des libertés informationnelles. Le droit d’accès en constitue la clef de voûte : il permet à toute personne d’obtenir du responsable d’un traitement la confirmation que des données la concernant sont traitées et, le cas échéant, la communication de ces données ainsi que des informations qui en éclairent l’usage. Sans cette faculté de regard, les autres prérogatives — rectification, effacement, opposition, limitation — resteraient lettre morte, faute pour la personne concernée de pouvoir constater l’existence et la teneur du traitement.
Consacré dès la loi informatique et libertés du 6 janvier 1978, précisé par la directive du 24 octobre 1995, ce droit a été élevé au rang de droit fondamental par le règlement général sur la protection des données (RGPD), dont l’article 15 en organise aujourd’hui le contenu et les modalités. Le principe est libéral : la demande est gratuite, n’a pas à être motivée et s’exerce sine die à des intervalles raisonnables — la seule contrainte pesant sur le demandeur étant de justifier de son identité.
Encore faut-il distinguer deux régimes. Le plus souvent, le droit d’accès s’exerce directement auprès du responsable du traitement ; mais lorsque les fichiers en cause touchent à la sûreté de l’État ou à des intérêts particulièrement sensibles, il devient indirect et passe par l’entremise d’un tiers, la CNIL. C’est cette summa divisio qui commande l’ensemble des développements qui suivent.
Prérogative reconnue à la personne concernée par un traitement de données à caractère personnel d’obtenir du responsable de ce traitement, d’une part, la confirmation que des données la concernant sont ou ne sont pas traitées et, d’autre part, lorsqu’elles le sont, la communication de ces données accompagnée des informations relatives à leur traitement (finalités, destinataires, durée de conservation, origine, logique d’un éventuel traitement automatisé).
I) Le droit d'accès direct
A) A)Le principe du droit d’accès
1) La reconnaissance d'un droit d'accès
a) La loi informatique et libertés
Dès 1978, le droit d’accès aux données à caractère personnel avait été envisagé par le législateur.
L’ancien article 35, al. 1er de la loi informatique et libertés prévoyait en ce sens que « le titulaire du droit d’accès peut obtenir communication des informations le concernant. La communication, en langage clair, doit être conforme au contenu des enregistrements ».
b) La directive du 24 octobre 1995
Ce droit d’accès a, par suite, été reconnu et précisé par le législateur européen lors de l’adoption de la directive du 24 octobre 1995.
L’article 12 de ce texte prévoyait, en effet, que :
« Les États membres garantissent à toute personne concernée le droit d’obtenir du responsable du traitement :
a) sans contrainte, à des intervalles raisonnables et sans délais ou frais excessifs :
– la confirmation que des données la concernant sont ou ne sont pas traitées, ainsi que des informations portant au moins sur les finalités du traitement, les catégories de données sur lesquelles il porte et les destinataires ou les catégories de destinataires auxquels les données sont communiquées,
– la communication, sous une forme intelligible, des données faisant l’objet des traitements, ainsi que de toute information disponible sur l’origine des données,
– la connaissance de la logique qui sous-tend tout traitement automatisé des données la concernant, au moins dans le cas des décisions automatisées visées à l’article 15 paragraphe 1 ».
c) Le RGPD
Le RGPD a poursuivi dans cette voie en énonçant au considérant 63 que la personne concernée doit avoir le droit d’accéder aux données à caractère personnel qui ont été collectées à son sujet et d’exercer ce droit facilement et à des intervalles raisonnables, afin de prendre connaissance du traitement et d’en vérifier la licéité.
Cela inclut le droit des personnes concernées d’accéder aux données concernant leur santé, par exemple les données de leurs dossiers médicaux contenant des informations telles que des diagnostics, des résultats d’examens, des avis de médecins traitants et tout traitement ou intervention administrés.
Le législateur européen en a tiré la conséquence que toute personne concernée par un traitement devait avoir le droit de connaître et de se faire communiquer, en particulier, les finalités du traitement des données à caractère personnel, si possible la durée du traitement de ces données, l’identité des destinataires, la logique qui sous-tend leur éventuel traitement automatisé et les conséquences que ce traitement pourrait avoir, au moins en cas de profilage.
2) Le contenu du droit d'accès
Désormais, l’article 15 du RGPD prévoit que la personne concernée a le droit d’obtenir du responsable du traitement :
- D’une part, la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées ;
- D’autre part, lorsque les données la concernant font l’objet d’un traitement, l’accès auxdites données ainsi que les informations suivantes :
- Les finalités du traitement ;
- Les catégories de données à caractère personnel concernées ;
- Les destinataires ou catégories de destinataires auxquels les données ont été ou seront communiquées, en particulier les destinataires établis dans des pays tiers ou les organisations internationales ;
- Lorsque cela est possible, la durée de conservation envisagée ou, lorsque ce n’est pas possible, les critères utilisés pour déterminer cette durée ;
- L’existence du droit de demander la rectification ou l’effacement des données, ou une limitation du traitement, ou du droit de s’opposer à ce traitement ;
- Le droit d’introduire une réclamation auprès d’une autorité de contrôle ;
- Lorsque les données ne sont pas collectées auprès de la personne concernée, toute information disponible quant à leur source ;
- L’existence d’une prise de décision automatisée, y compris un profilage, visée à l’article 22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la logique sous-jacente, ainsi que l’importance et les conséquences prévues de ce traitement pour la personne concernée ;
- Lorsque les données sont transférées vers un pays tiers ou à une organisation internationale, le droit d’être informée des garanties appropriées, en vertu de l’article 46, encadrant ce transfert.
On mesure ainsi l’ampleur de la prérogative : le droit d’accès ne se limite pas à la restitution brute des données, il commande la transparence de tout l’écosystème du traitement — d’où il vient, où il va, combien de temps il dure et selon quelle logique il opère.
3) Les modalités d'exercice du droit d'accès
a) Qui ?
Le droit d’accès est un droit personnel qui s’exerce, à la demande, par la personne concernée par le traitement ou ses ayants droit.
Il peut être observé que le titulaire de ce droit n’a pas à motiver sa demande : il lui faudra simplement justifier de son identité — nul ne plaide son intérêt à se connaître.
Par ailleurs, l’exercice du droit d’accès est gratuit, de sorte qu’il ne saurait être subordonné à la fourniture d’une contrepartie de quelque nature que ce soit.
b) Auprès de qui ?
Le droit d’accès s’exerce directement auprès du responsable du traitement et non auprès de l’autorité de contrôle (la CNIL).
Pour identifier la personne ou le service à contacter, il conviendra de se reporter aux mentions légales du site web du responsable du traitement et, plus précisément, à sa politique de confidentialité.
c) Comment ?
Le droit d’accès peut, dans tous les cas, s’exercer par écrit. Il peut également s’exercer sur place.
- Par écrit
- L’exercice du droit d’accès peut être effectué par courrier ou par voie électronique ;
- Il conviendra d’adresser le courrier directement au service ou à la personne concernée et de définir une adresse de réponse.
- Sur place
- Il conviendra de se munir d’une pièce d’identité ;
- Lorsque le responsable du traitement permet la consultation des données sur place, celle-ci n’est possible que sous réserve de la protection des données personnelles des tiers ;
- Une copie des données à caractère personnel du demandeur peut être obtenue immédiatement ;
- Afin que le demandeur puisse en prendre pleinement connaissance, le responsable de traitement met à sa disposition toutes les données qui le concernent et pendant une durée suffisante ;
- Lors de la délivrance de la copie demandée, le responsable de traitement atteste, le cas échéant, du paiement de la somme perçue à ce titre.
d) Délivrance d'une copie
L’article 39 de la loi informatique et libertés prévoit qu’une copie des données à caractère personnel est délivrée à l’intéressé à sa demande.
Le responsable du traitement peut subordonner la délivrance de cette copie au paiement d’une somme qui ne peut excéder le coût de la reproduction.
Dans le même sens, l’article 15 du RGPD dispose que le responsable du traitement peut exiger le paiement de frais raisonnables basés sur les coûts administratifs pour toute copie supplémentaire demandée par la personne concernée — la première copie demeurant, elle, gratuite.
Lorsque la personne concernée présente sa demande par voie électronique, les informations sont fournies sous une forme électronique d’usage courant, à moins qu’elle ne demande qu’il en soit autrement.
Un salarié adresse à son ancien employeur une demande d’accès à l’ensemble des données le concernant. La première copie, fût-elle volumineuse, doit lui être délivrée gratuitement. S’il sollicite ensuite une seconde copie du même dossier, l’employeur peut lui réclamer des frais raisonnables limités au coût administratif réel — par exemple quelques euros couvrant la reproduction —, mais en aucun cas une somme dissuasive transformant la prérogative en obstacle financier.
e) Cas de dissimulation ou de disparition des données
L’article 39 de la loi informatique et libertés prévoit que, en cas de risque de dissimulation ou de disparition des données à caractère personnel, le juge compétent peut ordonner, y compris en référé, toutes mesures de nature à éviter cette dissimulation ou cette disparition. Le caractère effectif du droit d’accès est ainsi garanti par une protection probatoire d’urgence.
B) Les limites au droit d'accès
Si le droit d’accès est un principe, il n’est pas pour autant absolu. Le législateur l’a assorti de deux limites, qui en dessinent les bornes : les demandes manifestement abusives et les traitements poursuivant certaines finalités statistiques, scientifiques ou historiques.
1) Les demandes manifestement abusives
L’article 39, II de la loi informatique et libertés dispose que le responsable du traitement peut s’opposer aux demandes manifestement abusives, notamment par leur nombre, leur caractère répétitif ou systématique.
En cas de contestation, la charge de la preuve du caractère manifestement abusif des demandes incombe au responsable auprès duquel elles sont adressées — actori incumbit probatio jouant ici à la défaveur de celui qui oppose le refus.
Ainsi, lorsque l’exercice du droit d’accès est abusif, le responsable du traitement peut opposer un refus à la personne concernée, sans s’exposer à des sanctions.
Une personne qui réclamerait au même responsable la copie intégrale d’un enregistrement tous les trois mois, sans justification particulière et de façon purement systématique, présenterait une demande manifestement abusive par sa répétition : le responsable du traitement pourrait alors refuser d’y déférer, à charge pour lui d’établir, en cas de litige, le caractère abusif de cette réitération.
2) Les finalités statistiques, scientifiques ou historiques
L’article 39, II de la loi informatique et libertés prévoit que le responsable du traitement peut refuser de faire droit à la demande de la personne concernée lorsque les données à caractère personnel sont conservées sous une forme excluant manifestement tout risque d’atteinte à la vie privée des personnes concernées et pendant une durée n’excédant pas celle nécessaire aux seules finalités d’établissement de statistiques ou de recherche scientifique ou historique.
Reste que ce refus ne sera fondé qu’à la condition que le responsable du traitement ait porté à la connaissance de la CNIL son intention de limiter le droit d’accès. La dérogation est ainsi enserrée dans une double exigence : matérielle, tenant à la nature et à la durée de la conservation ; procédurale, tenant à l’information préalable de l’autorité de contrôle.
II) Le droit d'accès indirect
L’accès à certaines données spécifiques n’est pas sans soulever, dans certains cas, des difficultés, en ce que les données ou les finalités du traitement sont sensibles au regard des intérêts de la puissance publique ou de la personne elle-même.
Aussi, pour ces cas très particuliers, le législateur a-t-il institué une procédure spécifique qui impose à la personne concernée de s’adresser à un tiers, la CNIL, pour exercer son droit d’accès, lequel devient alors indirect.
Ce droit d’accès, dit indirect, concerne notamment :
- Les fichiers qui intéressent la sûreté de l’État, la défense ou la sécurité publique ;
- Le fichier relatif au Traitement des Antécédents Judiciaires (TAJ) ;
- Les fichiers des services de renseignement des ministères de l’intérieur ;
- Le fichier de gestion informatisée des détenus en établissement pénitentiaire (GIDE) ;
- Le fichier des comptes bancaires dénommé FICOBA ;
- Le fichier du service TRACFIN.
Lorsque le droit d’accès porte sur l’un de ces fichiers (liste non exhaustive), la personne concernée doit s’adresser à la CNIL, qui sera son seul interlocuteur.
Cette dernière ne détenant pas les fichiers visés, elle n’a pas connaissance des informations qui y figurent.
Aussi est-ce un magistrat de la CNIL qui exercera, au nom et pour le compte de la personne concernée, son droit d’accès.
À cet égard, il pourra demander à ce que les informations incomplètes, obsolètes ou non conformes aux textes régissant le fonctionnement des fichiers en cause soient complétées, mises à jour ou supprimées. Le droit d’accès indirect réalise ainsi un équilibre : il préserve le secret attaché à des traitements régaliens tout en garantissant à l’intéressé un contrôle médiatisé, mais réel, de l’exactitude des données le concernant.
