Répondre à une demande de droit d'accès sans divulguer les données de tiers

Un ancien salarié écrit au service RH : « Je souhaite obtenir une copie de toutes mes données personnelles, y compris les courriels qui me concernent. » La demande est recevable et le délai court dès sa réception. Puis quelqu'un ouvre la messagerie : les échanges mentionnent aussi des collègues, un client mécontent, la responsable qui a géré un différend et un fournisseur dont le portable figure dans la signature. Tout transmettre tel quel porterait atteinte à leurs droits ; tout noircir viderait la réponse de son sens et exposerait l'organisme à une plainte auprès de la CNIL.

Voici une méthode reproductible pour trouver le bon équilibre : ce qu'impose le texte, où se cachent les données des tiers, comment les occulter réellement et quelles traces conserver pour prouver ensuite que la demande a été bien traitée.

Ce qu'impose le droit d'accès, et ses limites

L'article 15 du RGPD permet à toute personne de savoir si ses données sont traitées, d'obtenir des informations sur ce traitement (finalités, catégories, destinataires, durée de conservation, source) et de recevoir une copie des données faisant l'objet du traitement. Le paragraphe 4 apporte le contrepoids : ce droit d'obtenir une copie ne doit pas porter atteinte aux droits et libertés d'autrui.

La Cour de justice de l'Union européenne a précisé dans l'arrêt C-487/21 (mai 2023) que la copie doit être une reproduction fidèle et intelligible des données. Elle peut inclure des extraits de documents, voire des documents entiers, lorsque c'est indispensable pour permettre à la personne de comprendre ses données et d'exercer ses droits, en tenant compte des droits des tiers. Concrètement, il faudra souvent remettre le courriel lui-même, avec les informations relatives aux autres personnes masquées.

La fiche de la CNIL destinée aux professionnels rappelle de vérifier que la demande ne touche pas les droits d'un tiers (conjoint, collègue, secret des affaires, propriété intellectuelle). Les lignes directrices 01/2022 du Comité européen de la protection des données complètent ce cadre. Attention à ne pas confondre avec la communication de documents administratifs au titre du code des relations entre le public et l'administration, qui obéit à d'autres règles et relève de la CADA.

Les délais à inscrire au calendrier

• Un mois à compter de la réception pour répondre (art. 12.3 RGPD).
• Deux mois supplémentaires au maximum si la demande est complexe ou si les demandes sont nombreuses, à condition d'en informer la personne, motifs à l'appui, dans le premier mois.
• Pour l'accès au dossier médical, le code de la santé publique prévoit des délais plus courts, que la CNIL rappelle dans sa fiche.
• La réponse est gratuite ; seules les copies supplémentaires ou les demandes manifestement infondées ou excessives permettent de facturer des frais raisonnables ou de refuser, de façon motivée et avec mention des voies de recours.

Où se cachent les données des tiers

Les noms dans le corps d'un courrier sautent aux yeux. Ce qui échappe à la relecture se trouve dans les zones que personne ne regarde parce qu'elles « ne sont pas du contenu » :

• En-têtes de courriel : destinataires en copie et en copie cachée, listes de diffusion, adresses de transfert et fil des réponses citées en bas du message.
• Signatures avec ligne directe, fonction ou portable personnel de collègues et de prestataires.
• Pièces jointes : tableaux comportant des colonnes sur d'autres salariés, comptes rendus de réunion avec la liste des participants, arrêts de travail mentionnant un proche.
• Commentaires et suivi des modifications dans Word, notes de l'orateur dans les présentations.
• Métadonnées : auteur, dernier modificateur, chemins réseau contenant un identifiant.
• Images et numérisations : la pièce d'identité d'un autre usager dans le même fichier, un tampon nominatif, une capture d'écran de messagerie instantanée.

Une méthode en six étapes

1. Cadrer et rechercher

Vérifiez l'identité de manière proportionnée et ne demandez des précisions que si c'est réellement nécessaire. Cherchez dans tous les systèmes : messagerie, CRM, paie, GED, outils métier. Notez ce que vous avez interrogé, où et avec quels mots-clés : cette note sera votre meilleur argument en cas de contestation.

2. Trier chaque document

Constituez trois piles : les documents ne concernant que le demandeur (à communiquer), ceux qui ne le concernent pas (hors périmètre) et les documents mixtes, qui demandent du travail. Pour ces derniers, déterminez si un extrait suffit ou si le document complet est nécessaire pour comprendre le contexte.

3. Arbitrer ce qui doit être occulté

Toute donnée d'un tiers n'est pas automatiquement masquée. Demandez-vous si le demandeur la connaît déjà, si la personne agissait dans le cadre de ses fonctions et quel préjudice la divulgation pourrait causer. L'appréciation d'un collègue sur le demandeur est une donnée des deux : on communique généralement le contenu de l'appréciation et on occulte l'identité de son auteur lorsqu'il existe un risque pour lui.

4. Occulter de façon irréversible

Un rectangle noir posé sur le texte ne supprime rien : les mots restent dessous et peuvent être copiés. Utilisez un outil qui efface réellement le contenu, aplatissez le résultat et supprimez les métadonnées du PDF avant l'envoi. Pour les documents numérisés, contrôlez aussi la couche de texte OCR invisible.

5. Faire relire par une autre personne

Un collègue ouvre le fichier final, recherche avec Ctrl+F les noms des tiers présents dans l'original et copie-colle quelques zones occultées. Si un mot réapparaît, retour à l'étape 4.

6. Transmettre de manière sécurisée

Si la demande a été faite par voie électronique, la réponse est fournie sous une forme électronique d'usage courant, sauf demande contraire. Privilégiez un lien à durée limitée ou un fichier protégé dont le mot de passe est communiqué par un autre canal, et évitez les noms de fichier du type « Acces_Jean_Dupont_plainte_de_Marie.pdf ».

Courriels et pièces jointes : le cas le plus fréquent

La plupart des demandes de salariés et de clients aboutissent à la messagerie. Imprimer chaque message en PDF puis noircir à la main est lent et source d'oublis, car la même personne apparaît des dizaines de fois sous des formes différentes (« Claire », « C. Martin », « cmartin@… »). Mieux vaut partir du message d'origine (.eml ou .msg) pour conserver en-têtes et pièces jointes, appliquer une règle unique à tout le fil et traiter chaque pièce jointe comme un document à part entière. Notre guide pour anonymiser des courriels et leurs pièces jointes détaille la démarche.

Ce qu'il faut tracer pour pouvoir le prouver

Le principe de responsabilité impose de pouvoir démontrer que la demande a été correctement traitée. Un dossier minimal par demande devrait contenir :

Où intervient Anonimatum

Anonimatum détecte, grâce à une IA propre exécutée sur des serveurs situés dans l'UE, les noms, organisations, adresses, numéros de téléphone, identifiants et IBAN, et propose un aperçu pour relecture humaine avant d'appliquer une occultation irréversible. Depuis la version 1.9.0, il traite les courriels .eml et .msg avec leurs pièces jointes : en-têtes, objet et corps sont anonymisés, et les pièces jointes impossibles à anonymiser ne sont jamais incluses dans le résultat. La liste blanche laisse visibles les données du demandeur, les dossiers regroupent tous les documents d'une même demande et le journal d'audit du groupe enregistre chaque opération sans conserver le nom ni le contenu des documents. Voir aussi notre cas d'usage sur les demandes d'accès aux données personnelles.