Un salarié peut-il demander un accès aux données collectées le concernant ?
Réponse courte
Selon l'article L.261-2 du Code du travail luxembourgeois et l'article 15 du RGPD, tout salarié dispose d'un droit d'accès à ses données personnelles détenues par son employeur. La demande doit être traitée dans un délai d'un mois, gratuitement, avec une possible extension de deux mois si nécessaire. L'employeur doit fournir une copie complète des données sous forme intelligible.
Définition
Le droit d'accès aux données personnelles est le droit fondamental permettant à tout salarié d'obtenir de son employeur la confirmation que des données le concernant sont traitées et d'accéder à l'ensemble des informations nominatives collectées dans le cadre de la relation de travail.
Ce droit couvre toutes les données personnelles, qu'elles soient traitées de manière automatisée ou non, stockées dans un système informatique ou dans des dossiers papier structurés.
Les données concernées incluent notamment les informations d'identification, professionnelles, disciplinaires, d'évaluation, de rémunération et de santé au travail.
Conditions d’exercice
Le droit d'accès peut être exercé à tout moment par le salarié, sans justification, conformément à l'article L.261-2 du Code du travail et aux articles 12 et 15 du RGPD.
L'employeur doit mettre en place une procédure permettant de :
- Vérifier l'identité du demandeur
- Traiter la demande dans les délais légaux
- Garantir la confidentialité des données
- Assurer la traçabilité des demandes
- Documenter les réponses fournies
L'accès doit être fourni sans porter atteinte aux droits des tiers ou au secret des affaires.
Modalités pratiques
La demande d'accès doit être formulée par écrit, de préférence par lettre recommandée avec accusé de réception ou par voie électronique sécurisée.
L'employeur doit répondre dans un délai d'un mois, prolongeable de deux mois en cas de demande complexe, en fournissant :
- Une copie complète des données personnelles
- Les finalités du traitement
- Les catégories de données concernées
- Les destinataires des données
- La durée de conservation prévue
- L'information sur les droits de rectification et d'effacement
- L'origine des données si elles ne sont pas collectées directement
La réponse doit être gratuite, sauf en cas de demandes manifestement infondées ou excessives.
Pratiques et recommandations
L'employeur doit maintenir un registre des traitements conforme à l'article 30 du RGPD, détaillant l'ensemble des données personnelles collectées.
Il est recommandé de :
- Désigner un responsable du traitement des demandes d'accès
- Établir une procédure écrite de gestion des demandes
- Former le personnel RH aux obligations légales
- Mettre en place des outils de suivi des demandes
- Conserver les preuves des réponses fournies
Un contrôle humain doit être maintenu sur les processus automatisés de traitement des données.
Cadre juridique
-
Code du travail luxembourgeois :
-
Règlement (UE) 2016/679 (RGPD) :
- Article 12 (transparence et modalités)
- Article 15 (droit d'accès)
- Article 30 (registre des traitements)
-
Loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données personnelles
Note
Le non-respect du droit d'accès expose l'employeur à des sanctions administratives pouvant atteindre 20 millions d'euros ou 4% du chiffre d'affaires annuel mondial, ainsi qu'à des actions en responsabilité civile.