Traitement des demandes d’accès aux données : les règles d’or
Lors d’une demande d’accès à des données, deux cadres juridiques principaux peuvent s’appliquer : la réglementation en vigueur relative à la protection des données personnelles, lorsque la demande concerne des données personnelles, et le code des relations entre le public et l’administration (CRPA), lorsqu’elle porte sur des documents administratifs. En fonction des demandes, il arrive même que ces deux cadres se superposent.
-
Dans la mesure où ces deux cadres sont différents et emportent des modalités d’exercice différentes, il est important de les différencier.
Identifier les demandes
Si la demande porte sur la rectification ou l’effacement des données, ou sur la limitation, l’opposition ou la portabilité du traitement des données, l’identification est simple : il s’agit d’une demande RGPD. En revanche, le doute est présent lorsqu’il s’agit d’une demande d’accès aux données, car celle-ci peut en fait couvrir une demande d’accès à un document administratif.
Demande d’accès RGPD
Le droit d’accès à ses données personnelles permet à toute personne de prendre connaissance de l’intégralité des données qu’un organisme détient la concernant et d’en obtenir une copie gratuitement. La demande porte souvent sur des données, plutôt que sur des documents. Elle est effectuée par la personne concernée, ou par son représentant (tuteur légal, avocat,…). Elle peut également, sous réserve de certaines conditions, être effectuée par certaines autorités qu’on appelle « des tiers autorisés ».
Demande d’accès à un document administratif
Le droit d’accès à un document administratif permet à toute personne d’obtenir la communication d’un document détenu par l’administration dans le cadre de sa mission de service public. Plusieurs conditions doivent être réunies pour qu’un document soit communicable (le document doit être achevé et ne pas avoir fait l’objet d’une diffusion publique, il ne doit pas faire partie de la liste des exceptions de l’article L311-5 du CRPA). Si ce document contient des données personnelles, selon les cas mentionnés à l’article L311-6 du CRPA, elles devront être occultées avant d’être communiquées au demandeur.
Pour résumer, pour identifier le type de demande, il est nécessaire d’examiner le demandeur, et le type de données auxquelles il souhaite avoir accès. Un logigramme d’identification de la demande est proposé en annexe du dossier.
Le cadre applicable à chaque demande
-
Traitement Demande RGPD Demande d’accès à un document administratif Conditions de validité de la demande En cas de doute, l’identité du demandeur doit être vérifiée, notamment si la demande est effectuée via un représentant (le lien avec la personne concernée et/ou l’accord de la personne concernée devront être vérifiés).
Pour les demandes de tiers autorisé, elles doivent être écrites, la qualité du tiers ainsi que le fondement et le périmètre de la demande doivent être vérifiés.
Le demandeur n’a pas à faire état d’une qualité particulière ni à préciser les motifs de sa demande ou à justifier qu’un quelconque intérêt à agir.
La demande n’est pas obligatoirement écrite.
Limites Seules les données de la personne concernée doivent être transmises. Si la demande concerne les données de tiers, elles doivent être occultées.
Les demandes manifestement infondées ou excessives, notamment en raison de leur caractère répétitif peuvent être refusées.Les documents préparatoires, non achevés, déjà diffusés publiquement ou listés à l’article L311-5 du CRPA ne peuvent pas être communiqués.
Si les documents contiennent les données listées à l’article L311-6 du CRPA, elles doivent être occultées avant de transmettre le document.
Les demandes abusives (caractérisées par leur nombre ou leur caractère répétitif) peuvent être refusées.Délai de réponse 1 mois à compter de la demande – prolongation possible de deux mois compte tenu de la complexité et du nombre de demande 1 mois à compter de la demande Refus L’organisme doit informer le demandeur sans délai et au plus tard dans le délai d’un mois des motifs du rejet de la demande et de la possibilité d’introduire une réclamation auprès de la CNIL. Le silence de l’administration gardé pendant 1 mois à compter de la demande vaut refus. L’organisme peut notifier le demandeur du refus, dans ce cas il motive sa décision et lui indique les voies et délais de recours. Modalité de recours Le mode de transmission dépend de la demande de la personne mais doit être sécurisé. Le mode de transmission dépend de la demande, des faisabilités techniques de l’administration et de l’état du document concerné :
- Consultation gratuite sur place
- Délivrance d’une copie du document sur un support identique ou compatible au frais du demandeur
- Courrier électronique sans frais si le document est disponible en version électronique
- Publication du document en ligne (sauf s’il contient des éléments non communicables).
Traçabilité Afin de remplir l’obligation générale de documentation, un suivi des demandes doit être effectué. Il n’est pas imposé de tracer les demandes. C’est en revanche vivement conseillé, notamment à titre de preuves en cas de sollicitation de la part de la CADA. -
Pour les demandes RGPD, la structure doit se tourner vers son DPD. Il existe un homologue pour la CADA, la Personne Responsable de l’Accès aux Documents Administratifs. Seules les collectivités d’un certain nombre d’habitants ont l’obligation d’en désigner un (mais comme elles ont toute l’obligation de répondre aux demandes, on recommande vivement d’en désigner un même dans les petites collectivités).
-
Astuce
La CADA et le service interministériel des archives de France ont créé des simulateurs pour savoir si un document est communicable : outil de la CADA et outil des archives de France.
-
Logigramme d'aide à l'identification d'une demande d'accès
