Droits d’accès et de rectification des données personnelles auprès d’un téléservice administratif

Les articles 15 et 16 du RGPD garantissent respectivement l’accès aux données personnelles et la rectification des données inexactes. L’exercice de ces droits doit être apprécié au regard des données effectivement traitées par le responsable du traitement et de ses compétences réglementaires.

Le Conseil d’État relève que la DILA a communiqué les données accessibles rattachées au dossier identifié, précisé qu’elle ne pouvait accéder à l’espace personnel de stockage sécurisé, et orienté l’intéressé vers le service compétent pour les données relatives à son emploi diplomatique. L’article 2 de l’arrêté du 24 février 2016 plaçait cet espace sous le contrôle et la responsabilité de son titulaire, lequel pouvait modifier directement les données qui y figuraient.

Compte tenu de ces diligences et de l’absence de compétence de la DILA sur les dossiers invoqués, aucun manquement aux articles 15 et 16 du RGPD n’est caractérisé. La clôture de la plainte par la CNIL n’est donc entachée ni d’erreur de droit ni d’erreur d’appréciation. La requête est rejetée, sans qu’il soit nécessaire d’examiner la fin de non-recevoir.

⬇️Télécharger la décision version officielle

Saisie d’une plainte concernant l’accès et la rectification de données personnelles détenues par la DILA, la CNIL avait clôturé le dossier. La DILA avait communiqué les informations accessibles, précisé ses limites concernant l’espace sécurisé et orienté le demandeur vers les interlocuteurs compétents. Le Conseil d’État a retenu l’absence de manquement aux droits invoqués.

Un demandeur a saisi la CNIL après avoir estimé que la DILA n’avait pas correctement satisfait ses droits d’accès et de rectification concernant ses données personnelles. Il demandait notamment la communication complète des informations détenues, l’ajout de la mention de son acquittement et la reconnaissance de son statut de diplomate.

La DILA a identifié le dossier comme une demande d’inscription au Registre des Français établis hors de France, et non comme un dossier d’emploi diplomatique. Elle a communiqué les données auxquelles elle pouvait accéder, indiqué qu’elle ne pouvait consulter l’espace personnel de stockage sécurisé et orienté le demandeur vers les délégués à la protection des données compétents.

La CNIL a clôturé la plainte. Le Conseil d’État juge que les diligences accomplies et les compétences limitées de la DILA excluent tout manquement aux droits d’accès et de rectification.

• Identifier les données effectivement traitées par le responsable
• Vérifier les compétences réglementaires de l’organisme saisi
• Communiquer l’ensemble des données auxquelles l’organisme peut accéder
• Distinguer l’espace personnel placé sous le contrôle de l’usager
• Orienter l’intéressé vers le responsable de traitement compétent
• Apporter des réponses précises aux demandes d’accès et de rectification

• Demandes d’accès et de rectification adressées à la DILA
• Réponse de la DILA du 3 juin 2025
• Données rattachées au numéro de télédossier identifié
• Dispositions de l’article 2 de l’arrêté du 24 février 2016
• Coordonnées communiquées des délégués à la protection des données

La DILA n’est pas tenue de rectifier des données auxquelles elle n’a pas accès ou qui relèvent d’un autre responsable de traitement. Le titulaire de l’espace personnel conserve la maîtrise des données qui y sont stockées, tandis que le demandeur doit saisir l’organisme compétent pour les informations étrangères au périmètre de la DILA.

• Accès limité aux données effectivement traitées par la DILA
• Modification directe des données dans l’espace personnel sécurisé
• Saisine du délégué à la protection des données compétent
• Conservation des réponses précises apportées aux demandes
• Rejet du recours en l’absence de manquement démontré

À faire

• Identifier précisément le dossier et le responsable du traitement
• Demander les données effectivement accessibles à l’organisme
• Vérifier les fonctionnalités de l’espace personnel sécurisé
• Modifier directement les données sous contrôle de l’usager
• Saisir le délégué à la protection des données compétent

À éviter

• Attribuer à la DILA des données qu’elle ne gère pas
• Confondre dossier administratif et espace personnel de stockage
• Demander une rectification à un responsable non compétent
• Omettre de préciser les données personnelles concernées
• Contester sans produire les réponses ou démarches effectuées

Le droit d’accès aux données personnelles

nLa DILA a satisfait à l’article 15 du RGPD en communiquant l’ensemble des données liées au dossier auxquelles elle pouvait accéder. Le Conseil d’État tient compte de son périmètre de responsabilité et relève qu’elle a communiqué les coordonnées du délégué à la protection des données compétent pour les informations relatives à l’emploi diplomatique invoqué.n

La rectification des données personnelles inexactes

nL’article 16 du RGPD permet d’obtenir la rectification des données inexactes auprès du responsable du traitement. Aucun manquement n’est établi dès lors que les données sollicitées ne relevaient pas de la DILA ou figuraient dans un espace personnel placé sous le contrôle de son titulaire, qui pouvait les modifier directement.n

La responsabilité du gestionnaire du téléservice

nL’article 2 de l’arrêté du 24 février 2016 encadre l’espace de stockage sécurisé : hors les cas prévus par la loi, seul l’usager peut accéder aux données qui y sont conservées. La DILA, gestionnaire du site, n’était donc pas responsable de dossiers individuels de fonctionnaires ni de la tenue du registre invoqué.

Article 12 du règlement (UE) 2016/679 (RGPD), Article 15 du règlement (UE) 2016/679 (RGPD), Article 16 du règlement (UE) 2016/679 (RGPD), Loi n° 78-17 du 6 janvier 1978