Droit d’accès : comment répondre à la demande d’un ancien salarié ?

Le traitement des demandes de droit d’accès formulées peut rapidement devenir complexe et chronophage pour les entreprises. En effet, ces demandes peuvent porter sur des données conservées dans de multiples sources et supports.

De plus, des informations confidentielles et stratégiques pour les entreprises peuvent être contenues au sein de ces mêmes documents.

Le traitement de ces demandes suppose ainsi de trouver un juste équilibre entre l’exercice effectif du droit d’accès et la protection des droits et intérêts de l’entreprise et des tiers.

Comment y parvenir en pratique ?

Vous trouverez ci-dessous les principales questions posées par nos clients concernant le traitement des demandes de droit d’accès.

Le départ d’un salarié ne fait pas disparaître son droit d’accès aux données personnelles qui le concernent.

Un salarié ou ancien salarié peut demander à son ancien employeur de lui confirmer si des données personnelles le concernant sont – ou ont été – traitées et, le cas échéant, d’en obtenir une copie. La demande n’a pas à être motivée et peut porter sur des données conservées sous format papier comme électronique.

Le droit d’accès ne porte pas, en tant que tel, sur « tous les documents » concernant la personne formulant une telle demande. Il porte uniquement sur les données à caractère personnel qui la concernent.

Cette distinction est importante en pratique. Une demande formulée de manière très large, par exemple « l’ensemble des informations et documents me concernant », ne signifie pas nécessairement que l’entreprise doit transmettre l’intégralité des documents dans lesquels le nom du demandeur apparaît.

L’ancien employeur doit, en revanche, identifier les données personnelles effectivement concernées par la demande, y compris lorsqu’elles se trouvent dans des documents ou des outils qui n’ont pas été initialement conçus à des fins RH.

À retenir : une demande de droit d’accès doit toujours être prise au sérieux, et ce, même lorsqu’elle est formulée par un ancien salarié et lorsqu’elle intervient dans un contexte précontentieux ou contentieux. En pratique, il est obligatoire d’y répondre, notamment en accusant réception de la demande par écrit et indiquant les délais dans lesquels une réponse sera donnée.

Pour rappel : en tant qu’employeur et responsable de traitement, vous disposez d’un mois pour répondre à une demande de droit d’accès, avec une possibilité de prolongation de deux mois supplémentaires sous certaines conditions liées à la complexité de la demande. En cas de doute raisonnable sur l’identité du demandeur, il est également possible de demander des justifications pour procéder à une vérification de son identité. Toutefois, ces vérifications ne permettent pas de justifier l’absence ou le retard dans la réponse à apporter.

La difficulté est souvent de déterminer quelles données rechercher et où les trouver.

Selon le parcours de la personne concernée au sein de l’entreprise, les données peuvent notamment se trouver dans plusieurs services et outils informatiques, comme le dossier RH, les messageries professionnelles, les outils collaboratifs ou encore les logiciels métiers.

Cela implique, pour l’entreprise, de circonscrire précisément le périmètre de la recherche plutôt que de lancer systématiquement une recherche indifférenciée dans l’ensemble de ses systèmes.

Cette étape est particulièrement importante lorsque la demande est très large ou porte sur une longue période : une recherche trop extensive peut elle-même conduire à consulter ou à exposer des données concernant d’autres salariés, clients ou partenaires.

Il est alors notamment nécessaire de sélectionner des mots clés pertinents, des variantes de ces mots clés etde croiser plusieurs paramètres de recherches.

En tout cas, il est recommandé en pratique de documenter par écrit la méthodologie de la recherche.

Les courriels professionnels constituent probablement l’un des principaux points de difficulté.

Il est fréquent qu’un ancien salarié demande la communication de « tous les e-mails envoyés ou reçus » pendant une période donnée, ou encore de « tous les échanges dans lesquels [son] nom apparaît ».

La réponse à une communication intégrale des échanges ne peut être ni systématiquement favorable, ni systématiquement négative.

La CNIL distingue notamment deux cas de figure :

• Soit l’ancien salarié est expéditeur ou destinataire du courriel : il peut alors en obtenir une communication, sous réserve que celle-ci ne porte pas atteinte aux droits et libertés d’autrui. Cette position de principe de la jurisprudence a été rappelée dans un arrêt du 18 juin 2025, par lequel la Cour de cassation a statué en ce sens que les courriels émis ou reçus par un salarié via sa messagerie professionnelle constituent des données à caractère personnel. L’employeur doit donc, en principe, transmettre au salarié les métadonnées ainsi que le contenu des courriels concernés. Dans cette affaire, l’employeur avait communiqué différents documents relatifs à la relation de travail, mais ne justifiait pas avoir communiqué les courriels demandés. La Cour a considéré que cette abstention était fautive.
• Soit l’ancien salarié est seulement mentionné dans le contenu du courriel : la communication de ces courriels doit alors tenir compte (de manière stricte) de l’éventuelle atteinte aux droits des autres personnes concernées.

Pas nécessairement.

Le droit d’accès porte sur les « données personnelles » : la jurisprudence européenne a précisé que, selon les circonstances, l’exercice effectif de ce droit peut nécessiter soit la communication de documents entiers, soit la communication d’extraits de documents.

La Cour de justice de l’Union Européenne (CJUE, 4 mai 2023, C-487/21) a ainsi rappelé que la copie des données doit permettre à la personne concernée de comprendre les données traitées et d’exercer effectivement ses droits, au-delà de la forme du document.

Cela ne signifie donc pas que chaque document contenant une donnée personnelle doit être transmis sans analyse préalable au salarié : la question doit être appréciée au regard du contenu du document, du contexte et des droits de tiers susceptibles d’être affectés par sa communication.

C’est l’un des principaux points d’équilibre du droit d’accès.

Un courriel, un rapport d’évaluation, un compte rendu ou un document commercial peut contenir simultanément les données personnelles de l’ancien salarié, ainsi que les données d’autres salariés, des informations relatives à des clients ou partenaires, ou encore des informations confidentielles

Cela ne signifie pas qu’un document doit être écarté dans son intégralité dès lors qu’il comporte des informations concernant un tiers.

L’analyse doit être réalisée au cas par cas. Lorsque cela est possible, certaines informations peuvent être occultées afin de permettre la communication des données auxquelles l’ancien salarié peut effectivement accéder.

Oui.

La demande de droit d’accès n’a pas à être motivée et peut ainsi être exercée parallèlement à une procédure contentieuse. La CNIL précise notamment que l’exercice du droit d’accès peut intervenir alors même qu’un contentieux prud’homal est en cours.

Cela constitue un point de vigilance particulier pour les entreprises : une demande formulée à la suite d’une rupture du contrat de travail ou dans un contexte conflictuel ne peut pas être écartée pour cette seule raison.

À l’inverse, le droit d’accès ne constitue pas non plus un mécanisme permettant de contourner les règles propres à la communication de pièces dans le cadre d’une procédure judiciaire.

Ainsi, la situation appelle donc souvent une analyse à la fois au regard du RGPD et du droit du travail, notamment lorsque la demande intervient dans un contexte précontentieux ou contentieux.

Quelques bons réflexes permettent de sécuriser le traitement d’une demande de droit d’accès :

1) Réceptionner la demande d’exercice de droit d’accès
Quelle personne est concernée ? Quelle période ? Quels types de données ou quels outils sont visés ?

2) Identifier les sources pertinentes

Le périmètre de la recherche doit être adapté et cohérent avec la demande de droit d’accès formulée par l’ancien salarié.

3) Anticiper la question des droits des tiers
Les données d’autres salariés, clients ou partenaires doivent faire l’objet d’une analyse préalable à toute communication à la personne concernée ayant émis une demande de droit d’accès.

4) Répondre et respecter les délais
Une demande d’exercice du droit d’accès ne doit pas rester sans réponse. Le principe est celui d’une réponse dans un délai d’un mois, avec une possibilité de prolongation de deux mois supplémentaires dans les conditions prévues par le RGPD.

Une demande de droit d’accès peut ainsi sembler simple lorsqu’elle est reçue, mais devenir rapidement complexe dès lors qu’elle implique différents types de documents et supports ou des documents contenant des informations relatives à des tiers.

Pour l’entreprise, l’enjeu consiste alors à répondre de manière satisfaisante afin de respecter les droits de la personne concernée, tout en maîtrisant le périmètre de la recherche et en protégeant les informations qui ne peuvent ou ne doivent pas être communiquées.

Cette analyse peut nécessiter de croiser plusieurs domaines : protection des données personnelles, droit du travail, droit des contrats, propriété intellectuelle, secret des affaires et systèmes d’information.

L’analyse de ces demandes nécessite souvent un accompagnement juridique afin de concilier le respect des obligations issues du RGPD avec la protection des intérêts de l’entreprise et des droits des tiers.

Coffra group accompagne les entreprises dans l’analyse et le traitement de leurs demandes d’exercice de droits RGPD, en tenant compte des enjeux liés à la protection des données personnelles, au droit du travail et à la confidentialité des informations.