Droit d’accès des salariés à leurs données et courriels professionnels

CONTEXTE

En date du 31 janvier 2025, la Commission nationale de l'informatique et des libertés (CNIL) a mis à jour sa fiche « Le droit d’accès des salariés à leurs données et aux courriels professionnels ».

Essentielle pour les employeurs, et plus largement tout acteur confronté à des demandes de droit d’accès de la part de leurs salariés et anciens salariés, cette fiche n’avait pas été actualisée depuis janvier 2022.

La mise à jour découle des constats faits lors des contrôles menés par la CNIL et le Comité européen de la protection des données (CEPD), notamment sur l’instrumentalisation du droit d’accès par certains salariés, ainsi que des demandes trop larges.

NOUVEAUX POINTS CLÉS DE LA MISE À JOUR
 
L’actualisation de la fiche traite spécifiquement des demandes d’accès de salariés ou anciens salariés aux courriels dont ils sont expéditeurs, destinataires, en copie ou dans lesquels ils sont uniquement cités ou visés, ce qui représente un très grand nombre de courriels.  
 
La CNIL rappelle qu’en cas de demande d’accès d’un salarié ou ancien salarié, les employeurs doivent impérativement fournir :  

• les métadonnées des courriels (horodatage, destinataires) ;
• les données personnelles contenues dans ces courriels (pour rappel : toute information se rapportant à une personne physique identifiée ou identifiable).

Il est à noter que cette position diverge de celle de la CJUE, qui ne considère pas les métadonnées comme relevant du droit d’accès (CJUE, n° C-487/21, Arrêt de la Cour, F.F. contre Österreichische Datenschutzbehörde, 4 mai 2023).  

MÉTHODOLOGIE RECOMMANDÉE PAR LA CNIL

Par cette mise à jour, la CNIL fournit une méthodologie pour les employeurs devant répondre à des demandes d’accès ayant pour objet un nombre considérable de messages : 

1. Transmission d’un tableau récapitulatif listant les messages conservés dont le salarié (ou ancien salarié) est l’expéditeur, le destinataire et ceux où son nom apparaît ; 
2. L’employeur peut inviter le demandeur à préciser sa demande, en indiquant que l’extraction de ses données et métadonnées représente une charge importante ;  
3. Selon la réponse du salarié (ou ancien salarié), fournir les données personnelles contenues dans les courriels.  

Il est à noter que cette méthodologie reste floue, notamment sur la conduite à tenir si le salarié refuse de préciser sa demande.
De même, la charge de travail pour extraire les données personnelles des courriels pourrait être tout aussi lourde qu’un caviardage intégral.  
 
Enfin, la CNIL rappelle que la communication d’une copie de l’intégralité des courriels peut sembler être la solution la plus aisée à mettre en œuvre, mais n’est pas obligatoire pour autant. 
 
CONCLUSION
 
Grâce à cette mise à jour, la CNIL rappelle le principe fondamental selon lequel un employeur se doit de répondre à toute demande d’accès de son salarié ou ancien salarié, tout en donnant une méthodologie de réponse à la demande, qui a certes le mérite d’exister mais reste complexe et source de lourdeurs administratives. 
 
Des clarifications de la CNIL sont attendues par les professionnels pour une mise en application pratique et pragmatique de cette méthodologie.