Droit d’accès aux données personnelles et coopération avec la CNIL : sanction d’une société

L’article 39-I de la loi du 6 janvier 1978 impose au responsable du traitement de confirmer l’existence des données personnelles et d’en communiquer une copie sous une forme accessible, avec les informations disponibles sur leur origine. Une simple consultation sur place ne suffit pas lorsque la personne demande la communication des données.

La formation restreinte retient que la société n’a pas communiqué les données de géolocalisation correspondant à la période demandée, malgré les demandes répétées et la mise en demeure. Les documents transmis concernaient une autre période et les explications relatives à la conservation limitée des données étaient contradictoires.

L’article 21 de la même loi impose aux responsables de traitements de ne pas s’opposer à l’action de la CNIL et de prendre toutes mesures utiles pour faciliter sa mission. Le silence répété, l’absence de procédures communiquées et les dysfonctionnements internes invoqués caractérisent un manquement à cette obligation, même en l’absence de mauvaise foi.

Sur le fondement des articles 45 et suivants, la CNIL prononce une sanction pécuniaire de 10 000 euros et ordonne la publicité de la décision. Le comportement dilatoire est aggravé par le risque de disparition d’un moyen de preuve utile au salarié dans le litige relatif à son accident du travail.

⬇️Télécharger la décision version officielle

Un salarié demandait l’accès aux données personnelles de son dossier, notamment aux données de géolocalisation du véhicule de service utilisé lors d’un accident. La société n’a pas répondu dans les délais et a fourni des informations ne correspondant pas à la période sollicitée. Après relances et mise en demeure, la CNIL a constaté l’absence de communication complète et de réponse sur les procédures internes de traitement des demandes d’accès. Deux manquements ont été retenus et sanctionnés.

Un salarié en contrat à durée déterminée, victime d’un accident de la circulation pendant sa période d’emploi, a demandé à la société qui l’employait l’accès aux données personnelles de son dossier, notamment aux données de géolocalisation du véhicule de service utilisé le jour de l’accident.

La société n’a pas répondu aux demandes de communication et a refusé de remettre une copie des informations, en invoquant notamment leur conservation limitée, des difficultés internes et un dysfonctionnement du dispositif. Elle a ensuite transmis des données ne correspondant pas à la période sollicitée.

Après plusieurs relances et une mise en demeure, la CNIL a constaté l’absence de communication complète au salarié ainsi que l’absence de réponse de la société concernant ses procédures de traitement des demandes d’accès. Une procédure de sanction a été engagée. La formation restreinte a retenu deux manquements et prononcé une sanction pécuniaire assortie de la publicité de la décision.

• Demande d’accès portant sur des données personnelles identifiables
• Obligation de communication sous une forme accessible
• Correspondance des données transmises avec la période demandée
• Réponse effective aux mises en demeure de la CNIL
• Communication de procédures internes relatives au droit d’accès
• Prise de mesures utiles pour faciliter le contrôle de la CNIL

• Courrier de demande d’accès du salarié
• Relances et courriers recommandés de la CNIL
• Mise en demeure de communiquer les données
• Réponse refusant la remise d’une copie
• Courriels transmettant des données d’une autre période
• Absence de procédures communiquées à la CNIL

La société est sanctionnée pour défaut de communication des données personnelles et défaut de coopération avec la CNIL. Le salarié conserve la possibilité de se prévaloir du manquement dans le contexte probatoire de son litige, tandis que la décision est rendue publique.

• Sanction pécuniaire de 10 000 euros pour la société
• Publicité de la décision sur les sites désignés
• Communication des données personnelles sous une forme accessible
• Formalisation de procédures internes de traitement des demandes d’accès
• Préservation des données utiles avant l’expiration de leur durée de conservation

À faire

• Identifier toutes les données personnelles détenues sur le demandeur
• Vérifier la période exacte couverte par la demande
• Communiquer les données sous une forme accessible
• Documenter les procédures de réponse au droit d’accès
• Répondre rapidement à chaque demande de la CNIL

À éviter

• Limiter la réponse à une consultation sur place
• Transmettre des données étrangères à la période demandée
• Ignorer les relances ou mises en demeure
• Invoquer une désorganisation interne sans mesure corrective
• Laisser disparaître les données avant leur communication

Le droit de communication des données personnelles

L’article 39-I de la loi du 6 janvier 1978 impose la confirmation de l’existence des données et leur communication sous une forme accessible. La consultation sur place ne répond pas à une demande de copie. La société n’a pas communiqué les données de géolocalisation correspondant à la période demandée, les éléments transmis concernant une autre période.

L’obligation de coopération avec la CNIL

L’article 21 de la loi du 6 janvier 1978 interdit de s’opposer à l’action de la CNIL et impose de prendre toutes mesures utiles pour faciliter sa mission. Les relances répétées, le silence de la société et l’absence de communication de procédures internes caractérisent un manquement, même sans mauvaise foi établie.

Les sanctions des manquements aux obligations légales

Sur le fondement des articles 45 et suivants de la loi du 6 janvier 1978, la formation restreinte prononce une sanction pécuniaire de 10 000 euros et rend la décision publique. Le risque de disparition d’un moyen de preuve essentiel a été retenu pour justifier la publicité.

Article 39-I de la loi n° 78-17 du 6 janvier 1978, Article 21 de la loi n° 78-17 du 6 janvier 1978, Articles 45 et suivants de la loi n° 78-17 du 6 janvier 1978