Pour répondre à la demande d’accès d’un salarié à ses données personnelles, vous vérifiez d’abord son identité, vous définissez le périmètre des données concernées, puis vous communiquez les informations dans le délai légal, en occultant les éléments qui exposent des tiers. La réponse prend la forme d’un dossier structuré et d’un courrier clair qui rappelle les droits du salarié et les limites de la communication.
Vous devez gérer cette démarche comme un mini-projet : enregistrement de la demande, tri des données pertinentes (dossier RH, évaluations, e-mails liés à la relation de travail), contrôle de la confidentialité et traçabilité de chaque étape pour limiter le risque de contentieux RGPD.
Cet article complète le guide pilier sur la mise en conformité RGPD des données RH. Le recensement doit reprendre les traitements décrits dans le registre RH et respecter les règles d’habilitation et d’accès.
Qualifier la demande d’accès et sécuriser sa réception
Une demande d’accès est valable dès que le salarié demande à voir ou obtenir une copie des informations que vous détenez sur lui, même sans citer le RGPD ni les « données personnelles ». Le simple fait d’écrire « je souhaite connaître les informations que vous avez sur moi » ou « merci de me communiquer mon dossier personnel » suffit.
La demande peut prendre plusieurs formes : e-mail à un interlocuteur RH, message à un manager, courrier papier, formulaire interne, voire message adressé à une adresse générique. Le salarié n’a pas à utiliser un modèle ni une adresse spécifique pour que son droit soit ouvert.
En pratique, toute personne qui reçoit ce type de message engage l’entreprise : manager de proximité, RH, dirigeant, DPO, service juridique, support informatique, voire une boîte de contact générale accessible et consultée. Vous ne pouvez pas écarter une demande au motif qu’elle n’est pas adressée au « bon » service.
-
Identifier la demande et sa date de réception
Considérez la demande comme reçue dès qu’elle arrive sur un canal effectivement consulté pendant les heures d’ouverture habituelles. Pour un courrier, la date de distribution au siège ou sur le site compte. Pour un e-mail, retenez la date d’arrivée dans une boîte relevée par un collaborateur ou un service.
-
Enregistrer et tracer
Ouvrez un enregistrement interne dès la première lecture : date de réception, identité du salarié, canal, service ou personne destinataire. Attribuez une référence simple (par exemple
DA-2026-001) et centralisez le traitement auprès du référent RH ou du contact RGPD désigné. -
Sécuriser la preuve de réception
Conservez une copie fidèle de la demande : scan du courrier, export de l’e-mail en pièce jointe, capture du formulaire transmis. Envoyez un accusé de réception par e-mail ou courrier pour figer une date certaine et rappeler à quel adresse ou interlocuteur le salarié peut répondre.
Exemple hypothétique : un salarié écrit à son manager « je veux tout voir sur ce que vous notez sur moi depuis mon embauche ». Vous traitez ce message comme une demande d’accès et vous pouvez répondre au salarié : « Votre message du [date] est enregistré comme demande d’accès à vos données personnelles. Nous allons y répondre dans le délai légal. » Sans exiger de reformulation ni de référence au RGPD.
Gérer l’accusé de réception, l’identité du salarié et les délais de réponse
Dès la réception, vous fixez un cadre clair : qui demande, sur quoi porte la demande, comment et quand vous allez répondre. Cela réduit le risque de litige sur les délais ou sur l’identité.
- Contrôler les informations de base
- Identité apparente du demandeur : nom, prénom, fonction, service.
- Périmètre visible de la demande : « tout mon dossier », « mes évaluations », « mes e-mails ».
- Coordonnées de réponse : adresse e-mail, adresse postale, téléphone de contact interne.
- Apprécier l’existence d’un doute raisonnable
Vous pouvez demander un justificatif si un doute raisonnable existe sur l’identité :
- demande envoyée depuis une adresse privée inconnue sans autre élément d’identification ;
- conflit ouvert, départ récent, usurpation possible ;
- tiers qui se présente comme avocat, syndicat ou membre de la famille sans mandat écrit.
- Demander une pièce d’identité ou un mandat
La demande doit rester ciblée : copie d’un document d’identité flouté pour la photo et les données non utiles, ou pouvoir signé pour un mandataire. Exemple de formule courte :
« Pour sécuriser votre demande d’accès à vos données personnelles, nous vous remercions de nous adresser un justificatif d’identité / un mandat écrit signé. Le délai de réponse sera suspendu jusqu’à réception de ces éléments. »
Attention toutefois si vous réclamez un justificatif d’identité, une prolongation du délai peut être envisagé :
-
Formule de calcul : Date limite initiale = date de réception + 1 mois. En cas de vérification d’identité, nouvelle date limite = date limite initiale + durée de suspension.
-
Exemple :
- Demande reçue le 3 septembre : échéance initiale le 3 octobre.
- Justificatif demandé le 13 septembre, reçu le 20 septembre : suspension de 7 jours.
- Nouvelle échéance : 10 octobre.
Le justificatif ne peut pas être demandé systématiquement : il faut un doute raisonnable sur l’identité du demandeur. Le délai est alors suspendu pendant cette vérification (art. 77 du décret n° 2019-536).
- Fixer et suivre le délai d’un mois
Vous répondez en principe dans le mois suivant la réception de la demande. En cas de demande de justificatif d’identité complémentaire, le délai est suspendu jusqu’à réception des pièces, à condition qu’un doute raisonnable existe sur l’identité du demandeur.
| Événement | Date | Effet sur le délai |
|---|---|---|
| Réception de la demande | [JJ/MM] | Point de départ du délai d’un mois |
| Demande de justificatif | [JJ/MM] | Délai suspendu |
| Réception du justificatif | [JJ/MM] | Reprise du calcul pour la durée restante |
| Nouvelle date limite théorique | [JJ/MM] | À consigner |
Conservez dès le départ la preuve de réception de la demande, des échanges sur l’identité et de l’envoi de la réponse.
Vous pouvez prolonger le délai lorsque la demande est particulièrement large ou complexe : forte volumétrie de données, recherches dans plusieurs outils, nombreux courriels à examiner ou données de tiers à occulter. La prolongation ne peut pas dépasser deux mois supplémentaires et doit être notifiée au salarié, avec ses motifs, avant l’expiration du premier mois.
- Structurer l’accusé de réception
L’accusé de réception n’est pas obligatoire pour une demande d’accès RGPD, mais il est fortement recommandé : il prouve la date de réception et sécurise le suivi du délai d’un mois prévu par l’art. 12 du RGPD. Son contenu proposé est adapté, sous réserve de ne pas présenter la prolongation ou la demande de justificatif comme automatiques. Le justificatif ne se demande qu’en cas de doute raisonnable sur l’identité ; le délai est alors suspendu pendant la vérification
Un accusé de réception écrit peut contenir :
- la date de réception retenue comme point de départ ;
- le droit exercé : droit d’accès aux données personnelles ;
- la date limite prévisionnelle de réponse ;
- la possibilité d’une prolongation, uniquement si la demande est complexe ou si les demandes sont nombreuses ;
- le cas échéant, la demande de précisions ou de justificatifs nécessaires ;
- le contact compétent, notamment le délégué à la protection des données s’il est désigné.
- Mesurer les risques d’un retard
Un silence, un retard non justifié ou une absence de suivi des suspensions expose à une plainte auprès de la CNIL, à un incident dans un contentieux prud’homal et à une dégradation de la confiance interne. Un suivi daté et tracé réduit ces risques.
Recenser les données personnelles à communiquer, y compris les e-mails
Commencez par une règle simple : recensez toute information qui permet d’identifier le salarié ou qui se rapporte à lui dans le cadre de son travail, quel que soit le support ou l’outil utilisé.
Listez les principales catégories de données concernant le salarié :
- dossier individuel : formulaires d’embauche, pièces du dossier salarié, coordonnées, situation familiale déclarée, historique des postes ;
- contrat de travail et avenants : les clauses et informations relatives au salarié ; les annexes générales ne sont utiles que si elles comportent des données le concernant ;
- paie : bulletins de paie, éléments variables, avantages, historique de rémunération ;
- temps de travail et absences : plannings nominatifs, relevés de temps, compteurs, congés, justificatifs d’absence ;
- formation : demandes, validations, convocations, feuilles de présence, résultats ou évaluations éventuels ;
- évaluations et objectifs : entretiens annuels, objectifs fixés, auto-évaluations, comptes rendus managériaux ;
- disciplinaire : avertissements, mises à pied, convocations, comptes rendus d’entretien préalable, courriers échangés ;
- badgeage et contrôle : relevés de pointage, données de contrôle d’accès et extraits de journalisation rattachés au salarié ;
- registres et documents collectifs : extraits du registre du personnel ou de documents santé-sécurité lorsque le salarié y est nommé ;
- messagerie professionnelle : e-mails émis ou reçus par le salarié, avec leurs métadonnées utiles — date, heure, expéditeur, destinataires — et leur contenu lorsqu’il se rapporte à lui.
Organisez ensuite la recherche par système :
- SIRH / dossier RH électronique : responsable RH référent
- logiciel de paie : gestionnaire ou prestataire paie
- outil de badgeage / contrôle d’accès : service sécurité ou services généraux
- outil d’évaluation / formation : responsable formation ou manager selon l’organisation
- coffre-fort numérique salarié : support informatique / prestataire
- archives papier : gestionnaire RH ou responsable d’archives
Pour chaque document, transmettez une copie des données personnelles demandées dans un format compréhensible. Une extraction ou un extrait est suffisant lorsqu’un document contient également des informations neutres, confidentielles ou relatives à d’autres personnes.
Les données de tiers ne doivent pas conduire à écarter tout un document ou un e-mail. Occultez ou anonymisez les éléments qui ne sont pas nécessaires à l’exercice du droit d’accès, tout en conservant les informations utiles au salarié.
Protéger les tiers et filtrer les informations qui ne sont pas automatiquement communicables
Vous préparez les documents en deux temps : protection des tiers, puis filtrage des éléments qui ne concernent pas le salarié demandeur.
Le droit d’accès du salarié porte sur les données personnelles le concernant, y compris lorsqu’elles figurent dans un document ou un e-mail concernant aussi d’autres personnes. Avant toute transmission, l’employeur vérifie si une occultation, une anonymisation ou une extraction ciblée permet de préserver les droits et libertés d’autrui. Un refus total ne se justifie que si aucune de ces mesures ne permet une communication proportionnée.
Pour chaque document, posez-vous les questions suivantes :
- Les noms, fonctions, coordonnées ou autres éléments concernant des collègues, clients ou partenaires sont-ils nécessaires pour comprendre la situation du salarié demandeur ? Si non, masquez-les.
- Le document contient-il des données sensibles ou personnelles concernant un tiers, telles que des informations de santé, familiales, disciplinaires ou des coordonnées privées ? Occultez les passages qui ne sont pas nécessaires.
- Les appréciations sur un autre salarié sont-elles utiles pour comprendre une décision, une évaluation, une organisation de travail ou un échange concernant le demandeur ? Si non, retirez-les.
- Le document contient-il des éléments concernant le salarié parmi d’autres informations ? Transmettez un extrait ou une copie partiellement occultée lorsque cela permet de préserver le contexte utile.
Sur les documents « mixtes » — comptes rendus, e-mails de groupe, notes de projet — isolez les éléments relatifs au salarié. Vous pouvez transmettre un compte rendu d’entretien en laissant visibles les passages sur ses performances, tout en masquant une ligne sans lien avec lui, par exemple : « Échange avec [Nom du collègue] sur ses retards répétés », remplacée par la mention : [informations concernant un tiers occultées].
Pour les e-mails collectifs, recherchez les messages qui contiennent des données relatives au salarié, qu’il soit ou non auteur, destinataire ou mentionné dans l’objet. Transmettez les éléments qui le concernent, après anonymisation des autres participants lorsque cela suffit. Les messages ou notes qui ne contiennent aucune donnée le concernant peuvent être écartés, même s’ils figurent dans la même chaîne ou le même dossier.
Expliquez brièvement les limites dans le courrier de réponse : « Certaines informations ont été occultées afin de protéger les données personnelles et les droits de tiers. »
