Sorry, this entry is only available in Français.
DONNÉES PERSONNELLES & COURRIERS PROFESSIONNELS : La CNIL est venue préciser les critères qui permettent à un employeur de concilier le droit d’accès d’un salarié à des courriers professionnels et le respect des droits des tiers (CNIL, Communiqué « Le droit d’accès des salariés à leurs données et aux courriers professionnels », 5 janvier 2022).
Pour mémoire, toute personne dispose, en vertu de l’article 15 du RGPD, d’un droit d’accès à ses données personnelles qui lui permet de demander à un organisme la communication des données qu’il détient sur elle et d’en obtenir une copie. Cette communication est toutefois soumise à plusieurs conditions et ne doit pas, en particulier, porter une atteinte disproportionnée aux droits d’autrui (notamment au secret des affaires, aux droits de propriété intellectuelle et au droit à la vie privée).
Les critères d’appréciation d’une telle atteinte, dans le cas de la réponse par un employeur à la demande d’un salarié d’accéder à des courriels professionnels, c’est-à-dire à leurs métadonnées et à leur contenu, ont récemment été définis par la CNIL. Celle-ci opère une distinction selon que le demandeur est (i) l’expéditeur ou le destinataire de ces courriels ou (ii) seulement mentionné dans leur contenu.
Lorsque le salarié est l’expéditeur ou le destinataire des courriels professionnels demandés et qu’il a eu ou est supposé avoir eu connaissance des informations qui y sont contenues, leur communication est présumée respectueuse des droits des tiers et l’employeur ne peut pas, en principe, s’y opposer. Par exception, si la communication présente un risque réel pour les droits des tiers et que l’anonymisation des données concernées ne permet pas d’écarter ce risque, l’employeur peut refuser la demande d’accès, à condition toutefois d’en justifier.
Il en va différemment si le salarié demande la communication de courriels professionnels dans lesquels il est seulement mentionné. La CNIL préconise de s’assurer que les moyens à mettre en œuvre pour identifier les courriels demandés n’entraînent pas d’atteinte disproportionnée aux droits des tiers et si tel est le cas, le demandeur doit être invité à préciser sa demande. En cas de refus de ce dernier, l’employeur peut s’opposer à la demande d’accès, sous réserve d’en justifier. En revanche, si les indications fournies par le salarié permettent d’identifier les courriels demandés, l’employeur ne doit communiquer, après anonymisation, que ceux qui ne portent pas atteinte aux droits d’autrui. Dans ces conditions, la réponse à une demande d’accès d’un salarié à des courriels professionnels suppose une analyse au cas par cas de la nature des informations contenues dans lesdits courriels.
Settings