En tant que personne concernées dont les données personnelles sont traitées, vous disposez toujours d'un droit d'accès. Toutefois, ce droit d’accès n'est pas absolu. Nous clarifions ce que cela signifie, comment vous pouvez exercer ce droit et quelles sont les mesures à prendre.

Tout d'abord, la terminologie utilisée est quelque peu trompeuse car elle donne l'impression que vous pouvez réellement voir le traitement lui-même, alors que la réalité est plus nuancée. Il s'agit plutôt d'un droit à obtenir connaissance du traitement de vos données personnelles. Vous pouvez exercer ce droit à tout moment, que vous ayez été informé ou non du traitement de vos données personnelles au départ.

L'article 15 du RGDP précise les informations auxquelles vous avez droit, au-delà des données à caractère personnel proprement dites, lorsque vous exercez votre droit d'accès :

• Les finalités du traitement ;
• Les catégories de données à caractère personnel concernées ;
• Les destinataires ou catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées, en particulier les destinataires qui sont établis dans des pays tiers ou les organisations internationales ;
• La durée pendant laquelle les données à caractère personnel sont censées être conservées ou, si cela n’est pas possible, les critères de détermination de cette durée ;
• L’existence du droit de demander au responsable du traitement la rectification ou l’effacement des données à caractère personnel, ou une limitation du traitement des données à caractère personnes relatives à la personne concernée ou, du droit de s’opposer à ce traitement ;
• Le droit d’introduire une réclamation auprès d’une autorité de contrôle ;
• Lorsque les données à caractère personnel ne sont pas collectées auprès de la personne concernée, toute information quant à leur source ;
• L’existence d’une prise de décision automatisée, y compris un profilage, et, au moins en pareils cas, des informations utiles concernant la logique sous-jacente, ainsi que l’importance et les conséquences prévues de ce traitement pour la personne concernée ;
• Lorsque les données à caractère personnel sont transférées vers un pays tiers ou à une organisation internationale, le droit d’être informé des garanties appropriées.

En principe, vous avez droit à une copie gratuite, pour les copies supplémentaires, le responsable du traitement peut facturer des frais raisonnables basés sur les coûts administratifs.

Si vous présentez votre demande d’accès sous forme électronique (par exemple, par courrier électronique), il suffit que le responsable du traitement vous envoie la copie également sous forme électronique, à moins que vous ne demandiez expressément qu'il en soit autrement.

Toutefois, votre droit d'accès n'est pas absolu. L'article 15, paragraphe 4, du RGPD précise que ce droit ne doit pas porter atteinte aux droits et libertés d'autrui.

Par exemple, si vous exercez votre droit d’accès vis-à-vis de votre (ancien) employeur, ce dernier a le droit et même le devoir d'anonymiser/censurer les formulaires d'évaluation puisque les données à caractère personnel d'autres personnes (par exemple, l'évaluateur, les collègues) doivent également être protégées en vertu du RGDP. De ce point de vue, le responsable du traitement a également le droit de demander une clarification de votre demande. En effet, si vous avez été employé pendant une longue période, il peut être disproportionné et impose une charge excessive de devoir anonymiser/censurer et copier toutes les données sur l’ensemble de la période afin de répondre à votre demande. Des considérations concrètes doivent toujours être prises en compte à cet égard[1].

Dans le récent arrêt de la CJCE du 4 mai 2023, la Cour a précisé que le droit d’accès peut être très large en ce sens que des copies des documents ou extraits sous-jacents doivent également être fournies, sans toutefois que les droits et libertés d'autrui ne soient jamais perdus de vue au cours du processus :

« le droit d’obtenir de la part du responsable du traitement une copie des données à caractère personnel faisant l’objet d’un traitement implique qu’il soit remis à la personne concernée une reproduction fidèle et intelligible de l’ensemble de ces données. Ce droit suppose celui d’obtenir la copie d’extraits de documents voire de documents entiers ou encore d’extraits de bases de données qui contiennent, entre autres, lesdites données, si la fourniture d’une telle copie est indispensable pour permettre à la personne concernée d’exercer effectivement les droits qui lui sont conférés par ce règlement, étant souligné qu’il doit être tenu compte, à cet égard, des droits et libertés d’autrui. »[2]

Votre demande elle-même n'est soumise à aucune condition formelle. Toutefois, en vue de la traiter efficacement, il serait souhaitable de vous identifier clairement puisque tout responsable de traitement a évidemment le devoir de procéder à l'identification avant de fournir des informations.

Ensuite, en principe, le responsable du traitement dispose d'un mois pour donner suite à votre demande. Dans ce délai, il doit soit fournir les données, soit vous informer des raisons pour lesquelles il pense qu'il devrait/ne pourrait pas le faire, et vous informer de votre droit de déposer une plainte auprès de l'autorité de contrôle (APD) et de votre droit de faire appel devant les tribunaux (Cours des marchés). Le délai peut être prolongé de deux mois supplémentaires si le responsable du traitement vous en informe avant l'expiration du délai initial.

Si vous avez d'autres questions concernant (l'exercice de) votre droit d’accès, vous pouvez toujours nous contacter par e-mail : [email protected] ou par téléphone au 03/216.70.70.

Sources juridiques

• DE BOT, De toepassing van de Algemene Verorderning Gegevensbescherming in de Belgische context. Commentaar op de AVG, de Gegevensbeschermingswet en de Wet Gegevensbeschermingsautoriteit, Wolters Kluwer Belgium, Mechelen, 2020.
• DE SMEDT et M. CAPRONI, Praktische gids privacy in de onderneming, Wolterw Kluwer Belgium, Mechelen, 2019.

Jurisprudence

• Chambre contentieuse APD 9 février 2021, RABG 2021/12-13, 1272-1293.
• CJUE, 4 mai 2023, C-487/21, n° 45.

[1] Voir, par exemple, la décision sur le fond 15/2021 du 9 février 2021 de la Chambre contentieuse APD

[2] CJUE, 4 mai 2023, C-487/21, n° 45.