L'Autorité danoise de protection des données a jugé qu'un employeur pouvait légitimement refuser une demande d'accès d'un ancien employé, car les données demandées faisaient l'objet de procédures judiciaires en cours, constituant un intérêt privé et public prépondérant justifiant une dérogation au droit d'accès. Toutefois, l'autorité a critiqué l'employeur pour ne pas avoir suffisamment motivé son refus auprès de la personne concernée.

Faits et contexte

L'Autorité danoise de protection des données (Datatilsynet) a publié une décision dans laquelle elle estime qu'un employeur pouvait refuser une demande d'accès à un ancien employé, mais lui adresse une critique pour ne pas avoir suffisamment motivé ce refus.

L'affaire trouve son origine dans la plainte d'un ancien employé licencié, qui s'est vu refuser l'accès à des données ayant servi de base à son licenciement, notamment une correspondance privée sur une messagerie instantanée.

Motifs de la décision

• Obligation de donner suite à une demande d'accès (article 15 du RGPD) : L'autorité a estimé que l'employeur était en droit de refuser la demande d'accès. Elle a considéré que l'intérêt du plaignant à obtenir les informations devait céder le pas à des intérêts privés et publics prépondérants, conformément à l'article 22 de la loi danoise sur la protection des données. Ces intérêts prépondérants étaient constitués par la nécessité de protéger les personnes impliquées dans les procédures pénales privées initiées par le plaignant lui-même, ainsi que de garantir le bon déroulement de ces procédures judiciaires. L'autorité a ainsi validé le raisonnement selon lequel le contexte judiciaire justifiait une limitation du droit d'accès.

• Obligation de fournir des informations sur les suites données à une demande (article 12, paragraphe 4, du RGPD) : L'autorité a cependant adressé une critique à l'employeur concernant la motivation de son refus. La justification fournie au plaignant était jugée trop générale et ne précisait pas suffisamment les circonstances concrètes et les intérêts spécifiques pris en compte dans la mise en balance. Se référant à l'article 12, paragraphe 4, du RGPD et aux lignes directrices 01/2022 du Comité européen de la protection des données (CEPD), l'autorité a rappelé qu'une motivation doit être assez détaillée pour permettre à la personne concernée de comprendre les raisons du refus et d'évaluer l'opportunité d'exercer une voie de recours.

Décision de l'autorité

En conséquence, l'autorité a adressé une critique à l'entreprise pour ne pas avoir fourni une motivation suffisante à son refus d'accès.

Enseignements

Cette décision rappelle que :

• Le droit d'accès n'est pas absolu et peut être limité lorsque les données demandées sont au cœur d'une procédure judiciaire en cours, car la protection des droits des autres parties et le bon déroulement de la justice peuvent constituer des intérêts privés et publics prépondérants.
• Le refus de faire droit à une demande d'accès doit être motivé de manière suffisamment concrète et spécifique, en expliquant les intérêts qui ont prévalu, afin de permettre à la personne concernée de comprendre la décision et d'envisager un recours.
• Une autorité de contrôle peut s'abstenir de statuer sur la licéité d'un traitement lorsque cette question est déjà examinée par une juridiction dans le cadre d'une procédure distincte.