Expertises des Systèmes d'information - Juillet/Août 2021 - N°470 - Le mensuel du droit de l'informatique et du multimédia - 278

DOCTR INE
et conservées sous forme électronique.
Nous ne vous demandons
pas de consacrer du temps et des
efforts à la reconstitution des informations
que vous avez supprimées
dans le cadre de votre gestion générale
des dossiers. »
Concernant le contenu de la
réponse à apporter, l'ICO prend le
soin de rappeler que le droit d'accès
permet à la personne concernée
d'obtenir une copie des données
personnelles la concernant, et non
une copie de tous les documents
dans lesquels figurent de telles
données.
Cette nuance est primordiale et
signifie que le responsable du traitement
n'a pas pour obligation de
communiquer dans leur intégralité
tous les documents contenant des
données personnelles. Il n'est donc
pas tenu de remettre à la personne
concernée systématiquement une
copie des courriels émis et reçus
par cette dernière : « Le fait que
la personne ait reçu le courriel ne
signifie pas que l'ensemble du
contenu du courriel constitue ses
données personnelles », et ce même
si le nom et l'adresse électronique
sont des données personnelles.
L'ICO donne l'exemple suivant pour
illustrer son propos : « Un employé
fait une demande d'accès (...). Au
cours de votre recherche de ses
données personnelles, vous trouvez
2 000 courriels
dans
lesquels
l'employé est copié en tant que
destinataire. À part son nom et son
adresse électronique, le contenu
de ces courriels ne concerne pas
l'employé et ne contient pas ses
données personnelles.
Vous n'avez pas à fournir à l'employé
une copie de chaque courriel
(avec les informations personnelles
des tiers caviardées). Puisque les
seules données personnelles qui le
concernent sont le nom et l'adresse
électronique, il suffit de l'informer
que vous avez identifié le nom et
l'adresse électronique dans 2000
courriels et de lui divulguer le nom
figurant dans ces courriels, par
exemple John Smith, et
l'adresse
électronique figurant dans ces
courriels, par exemple JohnSmith@
org.co.uk. Vous pouvez également
fournir un courriel avec d'autres
détails expurgés comme un échantillon
des 2000 courriels que vous
détenez. Vous devez également
expliquer clairement à la personne
pourquoi il s'agit des seules informations
auxquelles elle a droit en
vertu du UK GDPR, mais n'oubliez
pas de lui fournir des informations
supplémentaires concernant le
traitement, par exemple les durées
de conservation des courriels.
Toutefois, si une partie du contenu
du courriel concerne la personne,
vous devez lui fournir une copie
du courriel lui-même, expurgée si
nécessaire. »
En d'autres termes, soit le contenu
du courriel concerne le salarié qui
exerce son droit d'accès et, dans ce
cas,
salarié un échantillon des courriels
figurant dans la messagerie, expurgés,
si nécessaire.
Quelles
recommandations ?
L'employeur doit prévoir des règles
de durée de conservation et de
purge des données personnelles.
Il doit également rédiger une
procédure interne de réponse aux
demandes d'exercice des droits,
dans laquelle il sera indiqué que
seules les données en base active
ou en archivage intermédiaire sont
impactées par de telles demandes
et que les éventuelles copies à
adresser au salarié ne doivent
porter que sur des données et non
sur des documents, sauf s'agissant
des documents dont le contenu
concerne ledit salarié (ex : bulletin
de paie, etc.).
Alexandre FIEVEE
Avocat Associé
Derriennic Associes
il appartient à l'employeur de
lui adresser une copie dudit courriel
expurgé, le cas échéant ; soit le
contenu du courriel ne concerne pas
le salarié et, dans ce cas, l'employeur
peut se contenter d'informer le
salarié que son nom et son adresse
électronique figurent dans des
courriels. Il peut, en complément,
s'il le souhaite, communiquer audit
Notes
(1) https://www.cnil.fr/fr/professionnels-comment-repondre-une-demande-de-droit-dacces
(2)
https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/right-of-access/how-do-wefind-and-retrieve-the-relevant-information/

278
Vous
avez envie de vous exprimer sur un sujet qui vous tient à cœur, de partager votre analyse
avec la communauté des lecteurs d'Expertises, d'exposer un point de vue différent sur un article
déjà publié, de lancer un débat sur un thème émergent, ou simplement de commenter l'actualité
du droit du numérique ?
Contactez la rédactrice en chef d'Expertises Sylvie Rozenfeld sr@expertises.info
EXPERTISES JUILLET 2021

https://www.cnil.fr/fr/professionnels-comment-repondre-une-demande-de-droit-dacces https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/right-of-access/how-do-we-find-and-retrieve-the-relevant-information/

Expertises des Systèmes d'information - Juillet/Août 2021 - N°470 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Juillet/Août 2021 - N°470 - Le mensuel du droit de l'informatique et du multimédia