Droit d’accès aux données personnelles conservées sur supports de sauvegarde

La CNIL rappelle que l’article 34 de la loi n° 78-17 du 6 janvier 1978 reconnaît à toute personne justifiant de son identité le droit d’obtenir communication des informations la concernant. Selon l’article 35, cette communication doit être complète et conforme aux enregistrements existants au jour de la demande, quel que soit le procédé ou le lieu de conservation, notamment les fichiers de sauvegarde.

Le responsable du traitement et le prestataire participant à sa mise en œuvre doivent conjointement prendre les dispositions nécessaires pour satisfaire le droit d’accès. La conservation des données sur sauvegarde ne permet donc pas de les soustraire à la communication lorsqu’elles sont encore détenues.

La CNIL rappelle également que la mise en œuvre d’un traitement automatisé est soumise aux formalités préalables prévues par l’article 16. La déclaration doit notamment préciser, conformément à l’article 19, la durée de conservation des informations et les mesures destinées à faciliter l’exercice du droit d’accès. Le défaut de réponse au titulaire, l’insuffisance des déclarations et l’absence de ces mentions peuvent justifier un avertissement sur le fondement de l’article 21-4°).

⬇️Télécharger la décision version officielle

Un visiteur médical demandait l’accès aux données relatives à son activité, conservées par un prestataire pour vingt-quatre mois et sauvegardées régulièrement. Malgré les refus fondés sur des contraintes techniques, la CNIL a établi que les informations restaient disponibles et que les deux sociétés devaient permettre leur accès. Elle a aussi relevé des formalités déclaratives incomplètes.

Un visiteur médical a demandé l’accès aux informations nominatives relatives à son activité, afin de les produire dans un contentieux prud’homal l’opposant à son ancien employeur. Le prestataire chargé d’exploiter les comptes rendus de visite a d’abord invoqué des contraintes techniques, puis l’impossibilité de répondre sans l’accord du responsable du traitement et une conservation limitée à trois mois.

Les vérifications de la CNIL ont toutefois établi que les données étaient conservées vingt-quatre mois en ligne et sauvegardées chaque semaine, y compris pour la période demandée. Le responsable du traitement soutenait ne plus les détenir. La CNIL a constaté que les deux sociétés devaient permettre l’accès aux données conservées et que les formalités déclaratives relatives aux traitements étaient incomplètes.

• Demande présentée par une personne justifiant de son identité
• Informations nominatives conservées au jour de la demande
• Communication conforme à l’intégralité des enregistrements
• Inclusion des données conservées sur supports de sauvegarde
• Participation conjointe du responsable et du prestataire au traitement
• Déclaration mentionnant la durée de conservation et les mesures d’accès

• Comptes rendus des vérifications réalisées sur place
• Constat de conservation des données pendant vingt-quatre mois
• Existence de sauvegardes régulières effectuées chaque semaine
• Courriers échangés au sujet de la demande d’accès
• Déclaration CNIL limitée au fichier des médecins

Le titulaire du droit d’accès peut obtenir les informations le concernant, y compris celles conservées dans les sauvegardes. Le responsable du traitement et son prestataire doivent répondre dans le délai fixé et régulariser les formalités déclaratives incomplètes.

• Communiquer les données conservées au titulaire
• Rechercher les informations dans les sauvegardes
• Répondre dans le délai maximal d’un mois
• Déclarer le traitement de visite médicale
• Préciser durée de conservation et modalités d’accès

À faire

• Identifier le responsable de chaque traitement
• Recenser les données en ligne et sauvegardées
• Vérifier l’identité du demandeur
• Répondre dans le délai applicable
• Déclarer les traitements auprès de la CNIL

À éviter

• Limiter la recherche aux données en ligne
• Refuser l’accès sans accord du client
• Déclarer seulement une partie du traitement
• Omettre la durée de conservation
• Négliger les mesures facilitant l’accès

Le droit d’accès aux données conservées sur sauvegarde

La communication doit être complète et conforme aux enregistrements existants au jour de la demande, quel que soit le procédé technique ou le lieu de conservation, conformément aux articles 34 et 35 de la loi n° 78-17. Les fichiers de sauvegarde sont donc inclus lorsqu’ils conservent les informations demandées.

Les obligations conjointes du responsable et du prestataire

Le responsable du traitement et le prestataire qui exploite les données doivent prendre ensemble les dispositions nécessaires pour satisfaire la demande d’accès. Le prestataire ne peut s’y soustraire en invoquant sa seule absence de qualité de responsable du traitement.

Les formalités préalables des traitements automatisés

La mise en œuvre d’un traitement impose les formalités prévues par l’article 16. La déclaration doit notamment mentionner, selon l’article 19, la durée de conservation et les mesures facilitant l’exercice du droit d’accès. Une déclaration limitée à un seul fichier ne suffit pas lorsque le traitement déclaré est plus large.

Article 16 de la loi n° 78-17 du 6 janvier 1978, Article 19 de la loi n° 78-17 du 6 janvier 1978, Article 21 de la loi n° 78-17 du 6 janvier 1978, Article 34 de la loi n° 78-17 du 6 janvier 1978, Article 35 de la loi n° 78-17 du 6 janvier 1978