Conditions d’accès d’un salarié licencié à son dossier disciplinaire

Rappel de l'objet de la demande

Un de vos salariés a été licencié pour faute grave par votre établissement. Celui-ci demande aujourd’hui à accéder à son dossier disciplinaire. Vous souhaitez savoir si vous avez une obligation d’accéder à sa demande.

Textes de référence

• Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
• Loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
• Ordonnance n°2018-1125 du 12 décembre 2018 prise en application de l’article 32 de la loi n°2018-493 du 20 juin 2018 relative à la protection des données personnelles et portant modification de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés et diverses dispositions concernant la protection des données à caractère personnel modifiée par la loi du 20 juin 2018 n°2018-493

Réponse

Il n’existe pas de texte prévoyant spécifiquement le droit d’accès du salarié, ou ancien salarié, à son dossier disciplinaire.

C’est donc vers les dispositions issues du règlement général pour la protection des données qu’il convient de se tourner pour répondre à votre question. Celles-ci sont aujourd’hui intégrées à la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi du 20 juin 2018.

Il ressort des dispositions de l’article 49 de la loi informatique et liberté que la personne concernée a le droit d’accéder à ses données à caractère personnel qui font l’objet d’un traitement. Ce droit, accordé à toute personne concernée par l’article 15 du RGPD, permet d’accéder non seulement à l’ensemble de ses données à caractère personnel qui font l’objet d’un traitement, qu’il soit automatisé ou non, mais également à un certain nombre d’informations concernant ce traitement. Notamment, des informations concernant la finalité du traitement, les catégories de données à caractère personnel concernées par le traitement, la durée de conservation des données ou encore, si les données ne sont pas collectées auprès de la personne concernée, toute information disponible quant à leur source.

S’agissant du dossier disciplinaire d’un salarié, celui-ci contient sans aucun doute des données à caractère personnel sur cette personne qui est clairement identifiée. Par principe, celle-ci peut donc librement accéder à l’ensemble des données contenues dans son dossier disciplinaire, y compris des données collectées auprès de tiers, qui doivent être clairement identifiés ou identifiables. Toutefois, le droit d’accès de la personne concernée ne doit pas porter atteinte aux droits des tiers. De fait, seule l’identité de la source de l’information peut être fournie à la personne concernée. Les identités de toutes les autres personnes mentionnées devront être occultées. Ainsi, dans l’hypothèse d’un rapport circonstancié faisant état d’une situation ayant motivé le licenciement du salarié, seule l’identité de la personne ayant établi ce rapport pourra être communiquée à la personne concernée.

Les textes ne prévoient pas expressément sous quelle forme doit être faite la demande d’accès direct à ses données à caractère personnel. Une lecture des dispositions du RGPD permet toutefois de déterminer que cette demande peut être faite sur place ou par écrit. Elle peut également être faite par courrier électronique.

Le responsable de traitement qui reçoit cette demande doit y faire droit « dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande » (article 12 du RGPD). Lorsque la demande est formulée par courrier électronique, le responsable de traitement doit lui fournir les informations sous une forme électronique, lorsque cela est possible, à moins que la personne concernée n’ait demandé qu’il en soit autrement.

Cette obligation de faire droit à cette demande d’accès incombe au responsable du traitement dès lors qu’il reçoit une demande permettant d’identifier avec certitude la personne concernée. Ce n’est pas auprès de la CNIL que cette demande doit être formulée, celle-ci n’intervenant, dans ce contexte particulier, qu’en qualité d’organe de contrôle en cas de refus de faire droit à la demande d’accès.

Dans votre cas d’espèce, vous avez d’ores et déjà formulé un refus, non ferme, de faire droit à cette demande d’accès. Le motif de ce refus n’est pas légitime car fondé sur une erreur de droit. Votre ancien salarié pourrait donc saisir la CNIL de ce refus d’une réclamation pour vous contraindre à faire droit à cette demande. Il est donc recommandé de faire droit au plus vite à cette demande en rectifiant votre erreur afin d’éviter tout recours auprès de la CNIL ou de recours juridictionnel.

Conclusion

Votre ancien salarié dispose, comme toute personne, d’un droit d’accès aux données à caractère personnel la concernant et traitées par votre établissement.

Le dossier disciplinaire de cet ancien salarié comporte nécessairement de telles données. Il est donc obligatoire de faire droit à cette demande dans un délai d’un mois à compter de sa réception dès lors que l’identité de cet ancien salarié a pu être irrévocablement établie.

Il ne doit cependant pas être porté atteinte aux droits des tiers par cette transmission. Votre établissement doit donc veiller à occulter l’identité des tiers qui peuvent être cités dans ce dossier s’ils ne sont pas eux- mêmes auteurs de documents inscrits dans ce dossier et contenant des données à caractère personnel relatives à votre ancien salarié.