Droit d’accès en vertu du RGPD : champ d’application de l’article 15.

Le droit d'accès prévu à l'article 15 du Règlement général sur la protection des données (RGPD), connu aux Pays-Bas sous le nom d'Algemene Verordening Gegevensbescherming (AVG), permet à toute personne de demander à un organisme si celui-ci traite des données personnelles la concernant, d'en recevoir une copie et d'être informée des finalités du traitement, des destinataires, de la durée de conservation et de la source. Le responsable du traitement est tenu de répondre gratuitement dans un délai d'un mois et ne peut limiter l'accès que si cela est nécessaire à la protection des droits et libertés d'autrui. Aux Pays-Bas, un refus peut faire l'objet d'un recours devant le tribunal de grande instance dans un délai de six semaines, conformément à l'article 35 de la loi de mise en œuvre du RGPD (Uitvoeringswet AVG).

L'AVG n'est pas une loi néerlandaise distincte : il s'agit du nom néerlandais du règlement lui-même, qui s'applique directement. Le droit néerlandais y ajoute la loi d'application de l'AVG (Uitvoeringswet AVG), qui complète les choix laissés par le règlement aux États membres et précise comment le droit est exercé devant l'Autorité de protection des données (Autoriteit Persoonsgegevens) et les tribunaux. Cet article traite de la portée de l'article 15, de ses limites et de la procédure applicable en cas de refus.

Que vous apporte concrètement l'article 15 ?

L’article 15, paragraphe 1, prévoit deux droits souvent confondus. Le premier est la confirmation : une réponse par oui ou par non à la question de savoir si des données personnelles vous concernant sont traitées. Le second, qui n’est accordé que si la réponse est affirmative, est l’accès à ces données ainsi qu’à huit informations complémentaires. L’article 15, paragraphe 3, ajoute ensuite l’obligation de fournir une copie.

L’article 15, paragraphe 2, précise que lorsque des données à caractère personnel sont transférées vers un pays tiers ou une organisation internationale, vous avez le droit d’être informé des garanties appropriées mises en œuvre pour ce transfert. C’est pourquoi une simple transmission de données brutes n’est pas conforme : une copie sans contexte ne satisfait pas aux exigences de l’article 15.

Les données personnelles constituent une catégorie vaste, et les responsables du traitement les définissent souvent de manière trop restrictive. Elles englobent bien plus qu'un nom et une adresse : profils comportementaux, évaluations et opinions enregistrées à votre sujet, images de caméra, enregistrements d'appels, identifiants d'appareil, horodatages de connexion, adresses IP et déductions vous concernant sont tous concernés dès lors qu'ils peuvent être liés, directement ou indirectement, à votre identité. La définition du RGPD est volontairement large, et il incombe au responsable du traitement d'expliquer pourquoi une donnée n'y entre pas.

Qui peut poser la question, et qui doit y répondre.

Ce droit appartient à la personne concernée : une personne physique vivante, identifiée ou identifiable. L’âge, la nationalité et le lieu de résidence sont sans incidence. Un parent ou un tuteur légal peut agir au nom d’un mineur, et un représentant désigné par un tribunal peut agir au nom d’un adulte incapable. Toute autre personne doit fournir une autorisation écrite, que le responsable du traitement est en droit de vérifier. Ce droit ne survit pas au décès, car le Règlement ne s’applique pas aux données des personnes décédées. Toutefois, les règles néerlandaises relatives au secret professionnel et à l’accès au dossier médical d’un patient décédé peuvent offrir une possibilité aux proches.

La demande est adressée au responsable du traitement : l’entité qui détermine les finalités et les moyens du traitement. Un prestataire de services de paie, un hébergeur ou un fournisseur de logiciels agissant sur instruction est un sous-traitant et doit transmettre la demande plutôt que d’y répondre. Lorsque deux organisations déterminent conjointement les finalités et les moyens du traitement, l’article 26 les désigne comme responsables conjoints du traitement ; elles doivent convenir entre elles de la personne chargée de traiter les demandes d’accès et rendre public l’essentiel de cet accord, mais la personne concernée peut exercer son droit à l’encontre de chacune d’elles.

La géographie constitue rarement un obstacle. Le règlement s'applique aux responsables du traitement établis dans l'UE, ainsi qu'à ceux établis hors de l'UE qui proposent des biens ou des services à des personnes résidant dans l'UE ou qui surveillent leur comportement. Un résident néerlandais peut donc adresser une demande à une plateforme étrangère, et le délai d'un mois court à compter de la réception de cette demande par le responsable du traitement.

Dans le contexte de l'emploi, la demande émane personnellement du salarié et constitue un droit, et non une faveur. Les employeurs doivent s'attendre à ce que des demandes d'accès soient formulées dans le cadre d'entretiens de licenciement ou de litiges relatifs à la performance, et ne doivent pas considérer le moment choisi comme un motif de réponse différente.

Que signifie une copie ?

La Cour de justice a tranché cette question dans l’affaire C-487/21 du 4 mai 2023. La copie visée à l’article 15, paragraphe 3, doit être une reproduction fidèle et intelligible de toutes les données à caractère personnel traitées. Un résumé, un tableau par catégories ou une description générale des données détenues par l’organisation ne suffisent pas à satisfaire à cette obligation.

Le même arrêt a tranché la question plus complexe de la communication intégrale des documents. En principe, l'obligation porte sur les données elles-mêmes, et non sur le fichier qui les contient. La Cour a toutefois jugé que des extraits de documents, des documents complets ou des extraits de bases de données doivent être fournis lorsque cela est indispensable pour permettre à la personne concernée de comprendre les données et d'exercer efficacement ses droits. Le contexte peut contribuer à la compréhension : une évaluation n'a de sens que dans le document qui la contient, et un champ vide peut lui-même être informatif. Le critère pratique pour un responsable du traitement n'est donc pas de savoir si un document est facile à communiquer, mais si les données restent intelligibles sans lui.

Un second arrêt, affaire C-307/22 du 26 octobre 2023, a écarté deux arguments invoqués par les responsables du traitement. La personne concernée n'est pas tenue de justifier sa demande, et un motif sans lien avec la protection des données, tel que la préparation d'une action en justice, ne rend pas la demande abusive. Enfin, la première copie doit être gratuite, même si la législation nationale autoriserait la facturation de la production de documents.

La rédaction reste légitime lorsqu'un document contient également des données personnelles d'autres personnes. Un compte rendu de réunion relatant les propos de plusieurs employés peut être diffusé après suppression ou neutralisation des passages concernant leurs collègues, à condition que le texte reste compréhensible. Un document qui vous concerne uniquement, tel que votre contrat et les conditions générales qui vous sont applicables, ne se prête en aucun cas à la rédaction.

Délais, format et coût

L’article 12, paragraphe 3, accorde au responsable du traitement un délai d’un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois supplémentaires au maximum si la demande est complexe ou si le responsable du traitement a reçu plusieurs demandes. Toutefois, cette prolongation, ainsi que ses motifs, doivent être communiqués dans le premier mois. Le silence ne vaut pas prolongation. Si le responsable du traitement ne donne pas suite à la demande, l’article 12, paragraphe 4, l’oblige à le signaler dans un délai d’un mois et à informer la personne concernée de son droit d’introduire une réclamation auprès d’une autorité de contrôle et d’exercer un recours juridictionnel.

Il n'existe pas de formulaire type. Une demande formulée par courriel , par courrier, via un formulaire en ligne ou oralement est tout aussi valable, et le responsable du traitement ne peut exiger son propre modèle comme condition. Lorsque la demande est faite par voie électronique, les informations doivent être fournies dans un format électronique couramment utilisé, sauf demande contraire de la personne concernée.

L’accès est gratuit. L’article 15, paragraphe 3, autorise la perception de frais raisonnables, fondés sur les coûts administratifs, uniquement pour les copies supplémentaires des mêmes données. L’article 12, paragraphe 5, autorise la perception de frais raisonnables ou le refus de la demande lorsqu’elle est manifestement infondée ou excessive, notamment en raison de son caractère répétitif. Il incombe au responsable du traitement de démontrer ce caractère répétitif, et depuis la jurisprudence de 2023, le seuil est élevé : la simple répétition ne suffit pas.

La vérification d'identité est autorisée, mais encadrée. L'article 12(6) autorise le responsable du traitement à demander des informations complémentaires s'il a des doutes raisonnables quant à l'identité du demandeur, et rien de plus. Lorsque la demande provient d'un compte connu, la comparaison avec les informations du compte existant est généralement suffisante. Lorsqu'un document d'identité est réellement nécessaire, le numéro d'identification national, la photographie et la zone de lecture optique doivent être masqués, et toute copie conservée uniquement le temps nécessaire à la vérification. Exiger systématiquement une numérisation complète du passeport constitue en soi une infraction, et les documents d'identité contenant des données biométriques sont soumis à des règles plus strictes.

La transmission doit être sécurisée. Envoyer un fichier non protégé contenant un dossier personnel complet à une adresse électronique privée constitue une fuite de données potentielle ; utilisez un fichier protégé avec une clé partagée séparément, ou un portail avec authentification à deux facteurs.

Lorsque l'accès peut être limité ou refusé

L’article 15 n’est pas absolu. Son paragraphe 4 précise que le droit d’obtenir une copie ne doit pas porter atteinte aux droits et libertés d’autrui, et son considérant 63 mentionne les secrets d’affaires et la propriété intellectuelle, notamment les droits d’auteur sur les logiciels, parmi les intérêts susceptibles d’être pris en compte. La limitation est circonscrite à deux égards : elle s’applique à la copie et non au droit sous-jacent à l’information, et elle ne peut donner lieu à un refus général. En cas de conflit, le responsable du traitement doit privilégier la solution la moins restrictive, généralement la communication partielle assortie d’une occultation.

Données tierces

La correspondance, les comptes rendus de réunion et les dossiers de réclamation contiennent généralement des données personnelles de plusieurs personnes. Le responsable du traitement doit concilier les intérêts en présence et ne pas se contenter de les masquer. Concrètement, cela implique de supprimer les noms et coordonnées des tiers, de remplacer une identité par une description neutre lorsque l'identité elle-même n'est pas pertinente, ou de fournir un extrait plutôt que l'intégralité du document. Le responsable du traitement ne peut en aucun cas refuser un document entier au seul motif qu'un tiers y figure.

Information confidentielle et privilège professionnel

Les secrets commerciaux, les modèles de tarification et le code source peuvent être protégés, mais la solution réside dans la transparence plutôt que dans le silence. Lorsqu'une décision automatisée est en jeu, le responsable du traitement doit fournir des informations pertinentes sur la logique appliquée et ses conséquences pour la personne concernée, ce qui est différent de la divulgation de l'algorithme. Par ailleurs, les informations couvertes par le secret professionnel sont protégées, et l'articulation entre obligations de divulgation et secret professionnel est une problématique récurrente pour les conseillers, que nous abordons dans notre article sur les obligations de déclaration et le secret professionnel.

Restrictions en droit néerlandais

La loi allemande sur la protection des données (AVG) prévoit plusieurs restrictions aux droits des personnes concernées, conformément à son article 23, notamment pour la prévention et la répression des infractions pénales, le contrôle exercé par les autorités publiques et la protection des droits de la personne concernée ou d'autrui. Le responsable du traitement qui invoque l'une de ces restrictions doit l'identifier, l'appliquer à la demande spécifique et être en mesure de la justifier. Une déclaration générale selon laquelle la divulgation n'est dans l'intérêt de personne ne constitue pas une restriction.

Les dossiers médicaux suivent un parcours partiellement distinct. Parallèlement à l'article 15, les dispositions relatives à la convention de soins du Code civil néerlandais confèrent au patient le droit de consulter son dossier et d'en obtenir une copie ; les deux voies coexistent plutôt qu'elles ne s'opposent.

Gérer une requête en tant que contrôleur

La plupart des manquements sont d'ordre organisationnel plutôt que juridique. Une demande, qu'elle soit reçue par le service commercial, une agence ou par téléphone, déclenche le délai de traitement. Il est donc primordial que le personnel la reconnaisse et la transmette. Ensuite, l'organisation doit savoir où se trouvent les données personnelles : le registre des activités de traitement exigé par l'article 30 constitue le fondement pratique de leur localisation. Un responsable du traitement incapable de rechercher dans ses propres systèmes ne respectera pas le délai, quelles que soient ses bonnes intentions.

À partir de là, la procédure est automatique. Accusez réception de la demande et notez la date. Vérifiez l'identité de manière proportionnée. Définissez la portée de la demande avec le demandeur si celle-ci est très large, sans pour autant utiliser cette conversation comme un moyen de gagner du temps. Effectuez une recherche dans les systèmes, y compris les boîtes aux lettres archivées et les outils de gestion des tickets. Faites occulter les données de tiers sous la supervision d'une seconde personne. Transmettez la copie, accompagnée des informations requises au titre de l'article 15(1), par écrit, et conservez une trace écrite des informations divulguées et non divulguées, ainsi que des motifs de leur non-divulgation. C'est ce dossier que l'Autorité de protection des données personnelles (Autoriteit Persoonsgegevens) demandera en cas de plainte ultérieure.

Deux habitudes permettent de réduire durablement la charge de travail : l’application des délais de conservation, car les données légalement supprimées n’ont jamais à être divulguées, et la rédaction de notes internes en supposant que la personne concernée puisse les lire.

Que faire si la manette ne répond pas ?

Commencez par envoyer un rappel daté qui mentionne la demande initiale, indique sa date d'envoi et précise que le délai prévu à l'article 12(3) est expiré. Un délai court d'une ou deux semaines est raisonnable. Une part importante des demandes reçoivent une réponse à ce stade, et le rappel constitue également une trace écrite qui vous sera utile ultérieurement.

Si cette solution échoue, deux voies de recours sont possibles et peuvent être utilisées simultanément. La première consiste à déposer une plainte auprès de l'Autorité de protection des données (Autoriteit Persoonsgegevens) en vertu de l'article 77. Cette autorité peut enquêter, ordonner au responsable du traitement de se conformer à la loi, prononcer une injonction assortie d'une amende et, dans les cas les plus graves, d'une amende administrative. Elle ne vous accordera toutefois aucune indemnisation à titre personnel, et le délai de traitement est celui d'une instance de régulation, et non celui d'une procédure contentieuse.

La seconde voie est le recours judiciaire, et aux Pays-Bas, elle est particulièrement accessible. L'article 35 de la loi néerlandaise sur la protection des données (Uitvoeringswet AVG) permet à toute personne intéressée de saisir le tribunal de grande instance par requête afin d'obtenir une ordonnance enjoignant au responsable du traitement d'accéder à sa demande ou de la refuser. Trois aspects de cette disposition sont importants en pratique. La requête doit être déposée dans un délai de six semaines à compter de la réception de la réponse du responsable du traitement. Si ce dernier n'a pas répondu dans les délais prévus à l'article 12, paragraphe 3, aucun délai ne s'applique. Enfin, l'article 35, paragraphe 4, dispose expressément que la requête n'a pas besoin d'être déposée par un avocat, ce qui rend la procédure accessible aux particuliers non représentés, même si, en règle générale, le recours à un avocat est préférable.

Les affaires urgentes peuvent également être portées devant les tribunaux selon une procédure sommaire, et une demande d'indemnisation au titre de l'article 82 peut être jointe à une action au fond. Concernant les dommages et intérêts, il convient d'être réaliste : la Cour de justice a jugé qu'une violation ne crée pas en soi un droit à indemnisation et que le demandeur doit démontrer un préjudice réel, même si un préjudice moral peut être pris en compte et qu'il n'existe pas de seuil minimal de gravité. Les indemnités accordées dans les affaires d'accès sont modestes, et l'intérêt de la procédure réside dans l'obtention des données. Notre aperçu de la préparation d'une procédure devant un tribunal néerlandais vous permettra de savoir à quoi vous attendre.

Faire une demande qui fonctionne

Une demande n'a pas besoin d'être complexe, mais une demande bien ciblée est traitée plus rapidement et il est beaucoup plus difficile de la retarder. Indiquez votre identité et votre rôle au sein de l'organisation, en mentionnant un numéro de client ou de personnel. Faites explicitement référence à l'article 15 afin d'éviter toute contestation ultérieure. Si votre demande porte sur un point précis, indiquez la période et les systèmes concernés : par exemple, la correspondance avec un service nommé entre deux dates, ou les données d'une application spécifique. Demandez expressément les informations complémentaires visées à l'article 15(1), et non pas seulement les données. Précisez également le mode de communication souhaité.

Subject: Request for access under article 15 GDPR / AVG

Dear Sir or Madam,

Under article 15 of the General Data Protection Regulation I request confirmation
whether you process personal data concerning me and, if so, a copy of those data
together with the information listed in article 15(1)(a) to (h) and, where relevant,
article 15(2).

My request concerns the period from [date] to [date] and in particular [systems,
departments or types of record].

I am known to you as [name, date of birth, customer or personnel number]. Please
provide the information electronically, in a secure manner, within the period of
one month laid down in article 12(3).

Yours faithfully,
[Name and contact details]

Conservez le document envoyé, notez la date et inscrivez la date limite dans votre agenda. À réception de la réponse, examinez-la au regard des huit points énoncés à l'article 15(1) plutôt que de vous contenter d'examiner les pièces jointes ; les informations complémentaires incomplètes constituent le défaut le plus fréquent et le plus facile à contester. Si les données s'avèrent inexactes ou excessives, la démarche suivante consiste naturellement à introduire une demande de rectification ou d'effacement, en s'appuyant sur les mêmes éléments de preuve.

Le droit d'accès est simple en principe et technique dans son application, des deux côtés de la demande. Law & More Elle conseille les personnes qui n'obtiennent pas de réponses, notamment les employés et anciens employés confrontés à un dossier personnel, ainsi que les organisations qui ont besoin d'un processus défendable pour traiter les demandes, les omissions et les refus. Parlez-nous de votre situationNous vous ferons connaître vos options sous un jour ouvrable.

Comment Law & More Nous pouvons vous aider. Tout est expliqué sur notre site web. avocat en technologies de l'information .