J'ai le DROIT de savoir !
Actualités de décembre 2025
Enquête interne
droit d'accès des salariés à leurs données personnelles
Rappel des règles applicables
Le traitement des données personnelles n’est notamment licite que si le traitement est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis ou s’il est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement (article 6 du RGPD).
En outre, la personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel (article 15 du RGPD).
De plus, selon le même article, lorsque les demandes d’une personne concernée sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, le responsable du traitement peut refuser de donner suite à ces demandes. Il incombe au responsable du traitement de démontrer le caractère manifestement infondé ou excessif de la demande.
Enfin, la personne concernée a le droit de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des données à caractère personnel la concernant. Le responsable du traitement ne traite plus les données à caractère personnel, à moins qu’il ne démontre qu’il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l’exercice ou la défense de droits en justice (article 21 du RGPD).
Quels étaient les faits ayant donné lieu au litige ?
Trois salariés sont impliqués dans le cadre d’une enquête interne ouverte par l’employeur à la suite de différents signalements les concernant ou dont ils sont l’auteur.
Ils font jouer leurs droits d’accès et d’opposition au traitement de leurs données personnelles, ce que refuse l’employeur qui considère que l’enquête interne est nécessaire au respect de son obligation légale d’assurer la santé et la sécurité des salariés et que le droit d’opposition n’est pas ouvert quand un traitement a pour fondement le respect d’une obligation légale.
Les salariés saisissent la CNIL au motif d’une violation du RGPD par l’employeur qui n’a pas motivé son refus de donner suite à l’exercice de leurs droits d’opposition et n’a pas répondu à leurs demandes d’accès à leurs données personnelles.
La CNIL prononce une mesure de rappel à ses obligations à l’encontre de l’employeur en raison de ses manquements au RGPD.
Selon elle, le traitement de données dans le cadre d’une enquête interne repose bien sur une base permettant l’exercice du droit d’opposition. L’employeur doit donc examiner la demande des salariés, et motiver son refus éventuel par des motifs légitimes et impérieux notamment pour la constatation, l’exercice ou la défense de droits en justice.
L’employeur saisit la justice en annulation pour excès de pouvoir de la décision de la CNIL.
Quelle est la solution dégagée par le Conseil d'Etat ?
Le Conseil d’Etat donne raison à la CNIL en ce qu’elle a considéré que l’employeur n’avait pas respecté le RGPD en refusant aux salariés impliqués dans l’enquête interne l’accès à leurs données.
Il valide la position de la CNIL selon laquelle l’employeur aurait dû adopter la démarche suivante :
- L’employeur aurait pu opposer un refus aux salariés en faisant notamment état du caractère manifestement infondé ou excessif de leur demande ;
- À défaut, il devait donner suite à la demande d’accès aux données personnelles des intéressés, si nécessaire en occultant les informations susceptibles de porter atteinte aux droits et libertés d’autrui (ex. : droits d’autres salariés).
Selon le Conseil d’Etat, la circonstance que des données d’un salarié fassent l’objet d’un traitement dans le cadre d’une enquête interne ne fait pas obstacle, par principe, à l’exercice du droit d’accès.
Il appartient donc à l’employeur qui entend refuser ce droit d’accès de démontrer le caractère manifestement infondé ou excessif de la demande, ou que les données ne sont plus conservées ou ont été effacées.
Le CE rejette donc la demande de l’employeur d’annulation de la décision de la CNIL.
A noter : Il ne s’agit en principe que d’un accès pour les salariés à leurs propres données personnelles, et pas au rapport d’enquête. En effet, le droit d’accès porte uniquement sur les données personnelles et non pas sur des documents. Toutefois, une copie d’extraits de documents ou de documents entiers doit être fournie quand cela est indispensable pour permettre à la personne concernée d’exercer effectivement ses autres droits, comme le droit de rectification.
Juriste
Nos dernières actus
