Cas d’usage · Cas d'usage · DPO
Demandes de droit d'accès : transmettre la copie et protéger les tiers
Équipe Anonimatum
En bref
L'article 15 du RGPD impose de remettre à la personne une copie de ses données dans un délai d'un mois, sans porter atteinte aux droits d'autrui (art. 15.4). La bonne pratique : tout transmettre et n'occulter que ce qui concerne les tiers.
Un ancien salarié demande « toutes les données que vous détenez sur moi ». Un patient souhaite une copie de son dossier. Un client en litige réclame les courriels où il est question de lui. Pour le responsable de traitement, chacune de ces demandes relève du droit d'accès de l'article 15 du RGPD, avec un délai légal et un risque moins visible : les informations du demandeur sont presque toujours mêlées à celles de collègues, d'autres patients, de fournisseurs ou de témoins.
Cette page présente ce qu'exige la réglementation, comment organiser la réponse dans les délais et comment préparer une copie utile sans divulguer les données des tiers. Il s'agit d'un guide pratique et non d'un conseil juridique : en cas de doute, consultez votre délégué à la protection des données.
Ce que l'article 15 du RGPD oblige à communiquer
Le droit d'accès comporte trois volets : la confirmation que des données sont traitées, l'accès à ces données sous forme de copie, et les informations sur le traitement (finalités, catégories, destinataires, durée de conservation, source, prise de décision automatisée, droit de saisir la CNIL). Comme le rappelle la CNIL, l'accès est gratuit ; des frais raisonnables ne peuvent être demandés que pour des copies supplémentaires.
Les lignes directrices 01/2022 du Comité européen de la protection des données (CEPD) précisent que la copie doit être complète sauf si la personne limite sa demande, et que le responsable ne peut pas exiger de motif. Dans l'arrêt C-307/22 du 26 octobre 2023, la Cour de justice de l'Union a jugé qu'un patient a droit à une première copie gratuite de son dossier médical, même pour un objectif étranger à la protection des données.
Délais : un mois, porté à trois
L'article 12.3 fixe un délai d'un mois à compter de la réception. Il peut être prolongé de deux mois pour une demande complexe ou en cas de demandes nombreuses, à condition d'en informer la personne dans le premier mois. Pour le dossier médical, le code de la santé publique (art. L1111-7) prévoit en outre une communication sous huit jours, ou deux mois pour les informations de plus de cinq ans.
La limite de l'article 15.4 : les droits d'autrui
Selon l'article 15.4, le droit d'obtenir une copie ne porte pas atteinte aux droits et libertés d'autrui. La CNIL le résume ainsi : seules vos données peuvent être communiquées, afin de protéger les tiers. Le CEPD souligne toutefois que cette limite ne justifie pas un refus global : il faut apprécier au cas par cas et, lorsque c'est possible, transmettre le document en occultant uniquement les éléments qui nuiraient à autrui. La même logique d'occultation existe pour les documents administratifs (article L311-7 du code des relations entre le public et l'administration).
- Courriels internes : noms, adresses et signatures des collègues qui ne sont pas le demandeur.
- Dossiers médicaux : informations recueillies auprès de tiers et données d'autres patients.
- Enquêtes internes ou procédures disciplinaires : identité des plaignants et des témoins.
- Échanges avec le service client : données d'autres clients dans les transferts ou captures.
- Secret des affaires et propriété intellectuelle, cités par le considérant 63.
Une méthode pour tenir le délai
De l'enregistrement de la demande à l'envoi
- Enregistrer la date de réception et calculer l'échéance d'un mois.
- Vérifier l'identité seulement en cas de doute raisonnable, sans exiger de pièce disproportionnée.
- Recenser les sources : SIRH, CRM, dossier patient, messageries, partages réseau, archives papier.
- Extraire les documents et courriels pertinents avec leurs pièces jointes.
- Repérer les données des tiers et appliquer la mise en balance de l'article 15.4 en consignant le raisonnement.
- Produire la copie avec les données des tiers occultées ou pseudonymisées et sans métadonnées superflues.
- Joindre les informations de l'article 15.1.
- Transmettre par un canal sécurisé et conserver la preuve de la réponse.
Courriels et pièces jointes
La messagerie est souvent la source la plus lourde : en-têtes avec des dizaines de destinataires, fils transférés, pièces jointes PDF, Word ou Excel. Imprimer et caviarder chaque message à la main prend des jours et laisse passer des données, notamment dans les en-têtes. Exporter les messages au format .eml ou Outlook .msg puis les traiter par lot est plus sûr ; voir notre guide pour anonymiser des courriels et leurs pièces jointes.
Occulter ou pseudonymiser : garder une copie lisible
Un fil de vingt messages où tous les noms des tiers sont noircis devient illisible : le demandeur ne sait plus si deux messages viennent de la même personne. La pseudonymisation cohérente règle ce problème : chaque tiers reçoit toujours le même substitut (« Personne A », « Personne B »). La différence avec l'anonymisation est expliquée dans la fiche pseudonymisation.
| Technique | Quand l'utiliser | Point de vigilance |
|---|---|---|
| Occultation irréversible | Données sans intérêt pour le demandeur (numéros de téléphone, adresses, identifiants de tiers) | Texte resté sous le rectangle noir dans le PDF |
| Substitution cohérente | Fils de courriels et dossiers impliquant plusieurs personnes | Contexte permettant de deviner qui est qui |
| Retrait d'un document | Documents ne contenant que des données de tiers | Justifier et tracer la décision |
Ce qu'apporte Anonimatum
Anonimatum détecte, grâce à sa propre IA exécutée sur des serveurs situés dans l'Union européenne, les noms, organisations, adresses, dates et montants, et par motifs les adresses électroniques, numéros de téléphone, IBAN ou identifiants. Pour un droit d'accès, la fonction clé est la liste blanche : on y ajoute le nom, l'adresse électronique et les identifiants du demandeur pour que ses données restent visibles pendant que celles des autres sont masquées. Tout est prévisualisé et vérifié avant application.
- Depuis la version 1.9.0, les courriels .eml et Outlook .msg sont traités : en-têtes, objet, corps et pièces jointes compatibles, avec le même substitut pour la même donnée. Les pièces jointes impossibles à anonymiser ne sont jamais incluses.
- La pseudonymisation remplace chaque tiers de façon cohérente et conserve la table de correspondance chiffrée.
- Les documents numérisés passent par l'OCR ; les fichiers Word, Excel et PDF ressortent dans leur format, sans métadonnées résiduelles.
- Les dossiers avec historique regroupent tout ce qui a été transmis pour une demande.
Dans les établissements de santé, la même démarche permet de remettre une copie du dossier sans les informations des proches ni d'autres patients ; voir anonymiser des dossiers médicaux.
Questions fréquentes
Puis-je refuser un document parce qu'il contient des données de tiers ?
Pas automatiquement. L'article 15.4 impose une mise en balance et, si possible, la communication du document avec occultation des seules informations qui porteraient atteinte à autrui.
Quel est le délai pour répondre ?
Un mois à compter de la réception, prolongeable de deux mois pour une demande complexe ou nombreuse, en informant la personne dans le premier mois (art. 12.3 RGPD).
Peut-on facturer la copie ?
Non pour la première copie. Des frais raisonnables peuvent s'appliquer aux copies supplémentaires. La CJUE a confirmé dans l'affaire C-307/22 la gratuité de la première copie du dossier médical.
Dois-je transmettre les courriels qui parlent du demandeur ?
Les données du demandeur contenues dans ces courriels relèvent du droit d'accès. On transmet en général les messages ou extraits pertinents en occultant les données des tiers.
Beaucoup de demandes de droit d'accès ?
Consultez les offres et commencez à préparer des copies de courriels et de dossiers où les tiers sont protégés et les données du demandeur restent lisibles.