Cet article provient du site du syndicat de salariés CFDT.
Alors que la gestion de la crise sanitaire nous entraîne progressivement, avec la généralisation du télétravail, à davantage numériser nos échanges, au point que certains penseurs en viennent à parler de « société machine » (1), la problématique pour le travailleur de l’accès à ses données devient centrale. Surveillé, évalué par des logiciels et des capteurs numériques, le droit d’accès à ses données personnelles lui permet, dans une certaine mesure, de se réapproprier son « identité numérique ». En cas de contentieux avec son employeur, le salarié peut demander que des emails, vidéos, données de géolocalisation, de temps de travail ou encore de classement le concernant, lui soient remis pour démontrer son bon droit en justice.
Pour un salarié, récolter des éléments de preuve, c’est aussi récolter des données personnelles
Bien en peine est le travailleur, qui, une fois évincé de l’entreprise décide de recueillir des preuves en soutien de son action contentieuse à l’encontre de son ancien employeur : chose bien connue, le salarié manque souvent cruellement d’éléments probants pour étayer ses prétentions en justice. C’est là qu’intervient le droit à la protection des données personnelles pour atténuer ses difficultés probatoires. Son intérêt est d’autant plus évident qu’à mesure où l’entreprise se digitalise, les travailleurs laissent de plus en plus de traces numériques témoignant de leurs aptitudes professionnelles, de leurs compétences et de leurs capacités à échanger… autant d’informations qui peuvent nourrir un dossier devant le conseil de prud’hommes.
Un droit d’accès ouvert au travailleur pour deux catégories de données
En vertu de son droit d’accès, (2) le travailleur (peu important qu’il soit ou non salarié (3)) peut obtenir « l’accès et la communication de l’ensemble des données le concernant qu’elles soient conservés sur un support informatique ou papier » selon la Cnil (4). Cela renvoie, pour le travailleur, à deux grandes catégories.
- Ses données personnelles, c’est-à-dire des données qui permettent de l’identifier directement (nom, prénom, image, vidéo, voix) ou indirectement (donnée de localisation, adresse IP, email, données de connexion…).
- Ses données personnelles issues d’un traitement, autrement dit lorsqu’une machine (vidéosurveillance, géolocalisation), un algorithme (logiciel de recrutement, d’évaluation, de gestion de la paie, etc.) capte et utilise des informations sur un ou des travailleurs. De ces données traitées par une machine peut en résulter une prise de décision, un classement pour le travailleur qui sera également en droit de demander l’accès aux résultats, c’est-à-dire aux données produites qui en résultent. Il en ira de même pour la finalité de ce traitement.
Un droit ouvert à tous les stades de la relation contractuelle : du recrutement au licenciement
Plus concrètement, la Cnil admet qu’un salarié puisse demander à son (ancien) employeur des données, et cela, à tous les stades de la relation contractuelle, que les données portent sur :
- la conclusion du contrat : au stade du recrutement, le candidat sera bien fondé à demander quelles données personnelles ont été collectées et lesquelles(s) ont servi à prendre une décision pour écarter ou retenir sa candidature. Par exemple, pour un logiciel de recrutement d’entretiens vidéo différés, le salarié pourra demander la vidéo en question et sur quels critères (voix, débit de parole, richesse grammaticale) s’est fondé le recruteur pour le classer ou le noter en fonction des autres candidats ;
- l’exécution du contrat : là encore, le salarié, selon la Cnil, pourra demander l’accès à son « historique de carrière, l’évaluation de ses compétences professionnelles (entretiens annuels d’évaluation, notation), ses demandes de formation (…), ses données issues d’un dispositif de géolocalisation, tout élément ayant servi à prendre une décision à son égard (une promotion, une augmentation, un changement d’affectation, etc.) » ;
- le dossier disciplinaire et/ou le cas échéant la rupture du contrat : il pourra solliciter l’accès à ses données « issu d’un dispositif de géolocalisation », de vidéosurveillance, ou encore « de son badge de contrôle d’accès au locaux », par exemple pour contester son licenciement ou une sanction.
Pour rapporter la preuve des heures supplémentaires réellement effectuées, le droit d’accès peut aussi s’avérer un levier juridique particulièrement utile. Le contentieux en la matière est abondant et la démonstration des heures effectuées n’est souvent pas chose aisée pour le salarié. Puisqu’il lui appartient de présenter à l’appui de sa demande « des éléments suffisamment précis quant aux heures non rémunérées qu’il prétend avoir accomplies » selon la Cour de cassation (5), il pourrait, en invoquant son droit d’accès, demander à l’employeur – qu’il soit ou non encore présent dans l’entreprise – un certain nombre d’éléments probants : par exemple les fiches de temps émanant de badgeuses sur lequel il pointe, ou encore les « fiches de saisie informatique [produits par le salarié] et enregistrés sur l’intranet de la société ». Ces données sont toutes deux, selon la Haute juridiction, des preuves suffisantes (6) ou du moins suffisamment précises pour que l’employeur puisse y répondre. (7)
L’exercice du droit d’accès, une procédure en plusieurs temps
- Le travailleur peut exercer son droit d’accès (en principe gratuit) sur place ou par écrit, y compris par voie électronique. Il lui reviendra alors de préciser l’objet de sa demande, à savoir, être précis sur les documents ou données demandés qui le concerne : quelle(s) donnée(s) d’évaluation(s) sur quelle(s) temporalité(s) (de X période à X période) ? Avec quel(s) logiciel(s) ? Quel(s) type de mail(s) sur une période donnée ? Quelle(s) date(s) pour des images issues d’une vidéosurveillance ? Etc… Sans quoi l’employeur pourra, à défaut d’une demande précise du salarié, refuser sa requête, en arguant qu’elle est abusive. Notons tout de même que le salarié n’est pas dans l’obligation de motiver sa demande. Afin d’aider les personnes à exercer leur droit d’accès, la Cnil propose des modèles de courrier.
- L’employeur dispose alors d’1 mois maximum pour répondre à réception de la demande du salarié (8). Au besoin, compte tenu de la complexité et/ou du nombre de demandes, ce délai peut être prolongé de 2 mois supplémentaires. Il appartiendra alors à l’employeur d’en informer le salarié (ou l’ancien salarié) et de justifier ce délai supplémentaire, toujours dans le délai d’1 mois à compter de la demande initiale du salarié.
- Enfin, si l’employeur (responsable du traitement) ne donne pas suite à sa demande d’accès, le salarié devra a minima être informé des motifs le justifiant, ainsi que, le cas échéant, de sa possibilité d’introduire une réclamation auprès de la Cnil et/ou de former un recours juridictionnel.
Les limites au droit d’accès
Ce n’est que de la donnée personnelle du travailleur dont il est question et encore faut-il qu’elle ne porte pas atteinte de manière disproportionnée à d’autres droits ou intérêts. Ainsi, lorsque le salarié forme sa demande, il doit veiller à ce qu’elle ne porte pas atteinte :
- au droit des tiers (9) : il s’agit alors de circonscrire la demande au seul intéressé. Si d’autres personnes telles que des salariés ou clients sont visibles (vidéo) ou mentionnées (classement, note, email, entretien…) il conviendra de demander à l’employeur de les anonymiser. Dans le cadre d’une vidéo, l’employeur pourra flouter les personnes autres que le salarié présent sur la vidéo ayant exercé son droit d’accès ;
- au secret des correspondances, au secret des affaires, ou encore au droit à la propriété intellectuelle) (10). Dans ces hypothèses, selon la Cnil, le droit d’accès pourra faire l’objet de certaines restrictions si les données sont protégées en vertu de l’un de ces droits.
Exceptés ces limites, l’employeur refusant de donner suite au droit d’accès du salarié s’expose donc à une amende pouvant aller jusqu’à 20 millions d’euros ou 4 % de son chiffre d’affaire (11). Il conviendra au préalable d’introduire une plainte en ligne auprès de la CNIL.
Tout compte fait, c’est en usant de son droit d’accès, bien trop peu usité car souvent méconnu par les juristes travaillistes, que le salarié géré par algorithmique pourra recouvrir une forme « d’autodétermination informationnelle ». Face à l’asymétrie d’information inhérente au rapport de subordination particulièrement préjudiciable lorsque le salarié veut démontrer de son bon droit en justice, le droit à la protection des données personnelles lui fournit une arme : « preuve en est donnée par son droit d’accès à la donnée ! »
- https://www.mediapart.fr/journal/culture-idees/130321/matthieu-amiech-la-gestion-de-la-crise-sanitaire-nous-entraine-vers-une-societe-machine?onglet=full
- 15. RGPD. (UE) 2016/679 ; Art. 20. Loi n° 78-17. 06.01.78 relative à l’informatique, aux fichiers et aux libertés.
- Les travailleurs de plateformes par exemple peuvent également exercer leur droit d’accès à ces données à l’égard de la plateforme numérique.
- https://www.cnil.fr/fr/lacces-son-dossier-professionnel
- 18.03.20, n°18-10.919.
- 24.02.09, n° 07-43.479.
- 24.01.18, n° 16-23.743.
- 12.3. RGPD. (UE) 2016/679.
- 15 §4. RGPD. (UE) 2016/679.
- Considérant 63. RGPD. (UE) 2016/679.
- 83. RGPD. (UE) 2016/679.
