Module 3 / 5
Sommaire complet de la formation3.2 Les 6 droits fondamentaux du salarié
Le RGPD reconnaît à chaque personne concernée — donc à chaque salarié — six droits fondamentaux opposables à son employeur. Connaître leur portée, leurs limites et les délais de réponse est la clé pour les exercer efficacement.
Droit d'accès (Art. 15)
Le salarié peut obtenir confirmation que des données le concernant sont traitées et, le cas échéant, en obtenir une copie ainsi que les informations clés (finalités, catégories, destinataires, durée, droits, source).
Cas d'usage typiques
- Demander une copie de son dossier RH
- Savoir quelles évaluations sont conservées et leur contenu
- Vérifier les notes de l'entretien annuel
- Connaître les destinataires d'un signalement
- Obtenir l'historique de ses badges d'accès
Délai de réponse
1 mois à compter de la demande
Prolongation possible de 2 mois en cas de complexité (à motiver)
Limite : les données concernant des tiers (autres salariés, clients) doivent être occultées avant transmission.
Droit de rectification (Art. 16)
Toute donnée inexacte ou incomplète doit être rectifiée sans délai. C'est l'un des droits les plus simples à exercer et les plus fréquemment utilisés.
Cas typiques : changement d'adresse, mariage, naissance d'un enfant, correction de l'orthographe d'un nom, mise à jour d'un diplôme, rectification d'une appréciation jugée erronée. La rectification doit être notifiée aux destinataires des données (URSSAF, mutuelle, etc.).
Droit à l'effacement (Art. 17) — « droit à l'oubli »
Le salarié peut demander la suppression de ses données — mais ce droit est conditionnel. Il s'applique notamment quand les données ne sont plus nécessaires, quand le consentement est retiré, ou en cas d'opposition légitime.
Limites importantes
Le droit à l'effacement ne s'applique pas lorsque les données sont nécessaires au respect d'une obligation légale (paie, comptabilité, archives) ou à la constatation, l'exercice ou la défense de droits en justice. Un salarié ne peut donc pas exiger la suppression de son contrat de travail pendant la période de prescription.
Droit à la limitation (Art. 18)
Une sorte de « gel » du traitement : les données restent stockées mais ne sont plus utilisées, le temps de vérifier un point litigieux. Utile en cas de :
- Contestation de l'exactitude (le temps de la vérification)
- Opposition en cours d'examen
- Traitement illicite mais effacement non souhaité par la personne
- Conservation pour la défense de droits en justice
Droit à la portabilité (Art. 20)
Le salarié peut récupérer ses données dans un format structuré, couramment utilisé et lisible par machine (CSV, JSON, XML), et les transmettre à un autre responsable de traitement.
Champ d'application limité : ce droit ne s'applique qu'aux données fournies par la personne elle-même et traitées sur la base du consentement ou du contrat. Les données déduites ou produites par l'employeur (évaluations, notes, profilage) en sont exclues.
Droit d'opposition (Art. 21)
Le salarié peut s'opposer à un traitement fondé sur l'intérêt légitime ou la mission d'intérêt public. L'employeur doit alors cesser le traitement, sauf à démontrer un motif impérieux et légitime prévalant sur les intérêts du salarié.
Cas particulier : opposition à la prospection commerciale, qui est de droit, sans motivation. Idem pour le profilage à des fins marketing.
Droit lié aux décisions automatisées (Art. 22)
Le salarié a le droit de ne pas faire l'objet d'une décision exclusivement automatisée — y compris le profilage — qui produirait un effet juridique ou l'affecterait significativement.
En pratique : tri automatique de CV par IA, scoring de candidats, évaluation algorithmique de la performance, surveillance automatisée. Le salarié peut exiger une intervention humaine, exprimer son point de vue et contester la décision.
Vue d'ensemble des droits
Obtenir copie + infos
Corriger une donnée erronée
Conditionnel, ≠ obligation légale
Geler le traitement
Récupérer ses données
Refuser un traitement légitime
Ce que l'employeur peut légitimement refuser
Connaître les limites d'un droit est aussi utile que connaître le droit lui-même : cela évite de formuler une demande vouée au refus, et cela permet de repérer un refus qui, lui, n'est pas fondé.
Refus fondés
- Communiquer des données concernant des tiers : les noms d'autres salariés, les propos d'un collègue dans une enquête interne, doivent être occultés.
- Effacer des données nécessaires au respect d'une obligation légale (paie, déclarations sociales, comptabilité) ou à la défense en justice.
- Répondre à une demande manifestement infondée ou excessive, notamment répétitive — l'article 12-5 permet alors de refuser ou de facturer, à charge pour le responsable de le démontrer.
- Porter atteinte au secret des affaires ou aux droits de propriété intellectuelle, par exemple en livrant l'algorithme complet d'un outil.
Refus qui ne tiennent pas
- « Vous devez motiver votre demande » : le droit d'accès s'exerce sans avoir à se justifier.
- « Passez par un avocat » : la démarche est gratuite et ne suppose aucune assistance.
- « Nous n'avons pas de délégué à la protection des données » : l'absence de DPO ne supprime aucun droit, la demande s'adresse alors au responsable de traitement.
- « C'est en cours, nous reviendrons vers vous » sans délai annoncé : passé un mois, l'absence de réponse vaut refus et ouvre la voie à une réclamation auprès de la CNIL.
Un refus doit être motivé
Quelle qu'en soit la raison, le responsable qui n'accède pas à une demande doit en expliquer le motif et rappeler à la personne qu'elle peut introduire une réclamation auprès de la CNIL et former un recours juridictionnel. Un silence ou un refus sec est, en lui-même, un manquement supplémentaire.
Sources de ce chapitre
- Règlement (UE) 2016/679 — articles 15 à 22 : accès, rectification, effacement, limitation, portabilité, opposition, décision individuelle automatisée.
- Comité européen de la protection des données — lignes directrices sur le droit d'accès et sur le droit à la portabilité. edpb.europa.eu