Article 23 RGPD : encadrer une restriction des droits

Une enquête sensible ou un dossier confidentiel ne permet pas, à lui seul, d’écarter les droits RGPD. L’article 23 autorise certaines restrictions prévues par le droit de l’Union ou d’un État membre. Avant de l’invoquer, l’organisme doit retrouver le texte applicable, le droit concerné et les limites de la restriction.

Ce que l’article 23 autorise à restreindre

L’Art. 23(1) du RGPD vise les droits et obligations des Art. 12 à 22, l’information des personnes après une violation prévue à l’Art. 34, ainsi que l’Art. 5 dans la mesure où ses dispositions correspondent aux droits et obligations des Art. 12 à 22.

La mesure doit respecter l’essence des libertés et droits fondamentaux et être nécessaire et proportionnée dans une société démocratique. Elle doit poursuivre un objectif énuméré par le texte : notamment sécurité, prévention et poursuite d’infractions, objectifs importants d’intérêt public, protection des droits d’autrui ou exécution des demandes de droit civil.

Cette liste ne donne pas à une entreprise le pouvoir de choisir librement un motif de refus. Le risque réputationnel ou la gêne liée à une demande ne suffit pas. L’article 23 n’exonère pas, par lui-même, des règles de sécurité ou de la notification d’une violation à la CNIL.

Une mesure législative n’est pas toujours une loi parlementaire

La CNIL précise le niveau normatif requis : conformément au considérant 41, une « mesure législative » ne doit pas nécessairement être adoptée par un parlement. En France, un acte réglementaire peut convenir si l’autorité agit dans ses compétences et n’empiète pas sur un domaine réservé au législateur. Le texte doit être clair, précis, accessible et prévoir les garanties requises.

Une clause contractuelle, une note du DPO ou une politique de confidentialité ne remplit pas ces conditions. Elles peuvent décrire une restriction existante, mais ne la créent pas. Pour un organisme privé, identifiez le texte extérieur qui autorise la restriction et vérifiez qu’il couvre réellement l’activité et les personnes concernées.

Lire le champ et les garanties du texte applicable

L’Art. 23(2) impose des dispositions spécifiques, au moins le cas échéant, sur les finalités ou catégories de traitements, les catégories de données, l’étendue des restrictions, les garanties contre les abus, les responsables concernés, les durées et garanties de conservation, les risques et l’information des personnes sur la restriction.

Ces exigences invitent à une lecture précise. Un texte qui limite temporairement l’information sur une enquête n’écarte pas automatiquement tout droit d’accès à l’ensemble du dossier client. Une restriction concernant certaines données ne s’étend pas aux informations sans rapport avec l’objectif protégé.

Avant d’appliquer un régime sectoriel, vérifiez aussi le cadre juridique du traitement. Les règles des traitements relevant du RGPD, celles de la directive « police-justice » et celles intéressant la sûreté de l’État ne sont pas interchangeables. La présence d’un numéro d’article dans la loi Informatique et Libertés ne prouve pas son application à votre fichier.

Séparer restriction législative et autres limites

Le RGPD contient des conditions propres à chaque droit. Une donnée peut ne pas être portable parce que l’Art. 20 ne s’applique pas au traitement. Une copie peut nécessiter des occultations pour protéger les droits d’autrui au titre de l’Art. 15(4). Ce ne sont pas nécessairement des restrictions fondées sur l’article 23.

Le guide d’occultation des données de tiers permet de rechercher une communication partielle utile. Le secret professionnel appelle lui aussi une analyse du texte, du bénéficiaire du secret et du demandeur ; sa seule invocation ne règle pas toutes les demandes.

Ne confondez pas non plus une restriction des droits avec la limitation du traitement demandée par la personne, qui relève de l’Art. 18 et vise à conserver les données tout en encadrant leur usage.

Cas pratique : le dossier client déclaré « confidentiel »

Ce cas est hypothétique. Le garage Atelier des Rives reçoit le 14 septembre une demande d’Ana, cliente qui conteste une réparation. Elle veut accéder aux données utilisées pour traiter sa réclamation. Le responsable du garage propose de refuser : les échanges avec le prestataire chargé du diagnostic sont couverts par une clause de confidentialité, et le litige pourrait devenir judiciaire.

La référente RGPD commence par séparer deux questions. Le garage peut avoir besoin de conserver des éléments pour défendre ses droits. Cela ne lui donne pas automatiquement le droit de cacher à Ana toutes les données qui la concernent. De même, la clause conclue avec le prestataire organise leurs relations ; elle ne remplace pas une mesure du droit de l’Union ou du droit français autorisant une restriction.

L’examen effectué dans ce scénario ne trouve aucun texte de restriction applicable à ces échanges techniques ordinaires. Aucun document ne relève ici d’un échange avec un avocat. Le garage abandonne donc le refus fondé sur l’Art. 23. Il examine la demande d’accès selon l’Art. 15, notamment la protection des tiers prévue au paragraphe 4, sans transformer cette précaution en refus global.

La fiche de décision remplie

Le dossier comprend deux tickets de réclamation, quatre courriels et deux comptes rendus d’intervention. Certaines mentions concernent Ana, sa voiture, ses rendez-vous et les appréciations portées sur sa réclamation. Un courriel contient aussi le numéro personnel d’un technicien, sans utilité pour comprendre les données d’Ana.

Cette fiche constitue une méthode de travail proposée, pas un formulaire réglementaire. La mention « aucun texte identifié » oblige à tirer une conséquence : on ne maintient pas le refus dans l’attente indéfinie d’un meilleur argument. Si un texte précis apparaît, il faut reprendre l’analyse de son champ, de son objectif et de ses garanties.

Le garage prépare des copies des passages utiles avec leur contexte. Il ne réduit pas la réponse à une liste de catégories comme « identité, rendez-vous, réclamation » : Ana demande aussi ses données elles-mêmes. Inversement, l’accès n’impose pas par principe la remise intégrale de tout document. La forme retenue doit permettre une copie fidèle et intelligible des données, avec les documents ou extraits nécessaires à leur compréhension. Ce choix est distinct de la qualification d’une restriction législative (Art. 15(1), 15(3) et 15(4) ; CJUE, C-487/21, points 41 à 45).

Le refus est abandonné, mais l’export reste incomplet

La première extraction rassemble six pièces : les deux tickets et les quatre courriels. La personne qui l’a préparée conclut que le dossier est complet. Pourtant, les deux comptes rendus restent exclus par un filtre interne intitulé « documents confidentiels ». La décision juridique corrigée n’a pas été répercutée dans la recherche documentaire.

La référente rapproche l’extraction de l’inventaire de huit pièces. Elle bloque l’envoi annoncé comme complet et demande les comptes rendus au service technique. Ils contiennent notamment les remarques attribuées à Ana lors de la remise du véhicule. Ces données entrent dans l’examen de la demande ; leur étiquette interne ne les rend pas secrètes à son égard.

Après ajout des passages pertinents, l’équipe contrôle que le masquage du numéro personnel ne retire pas les explications sur la réparation et que le texte occulté ne reste pas récupérable dans la copie. Le garage transmet le 5 octobre les données et les informations requises, explique le masquage limité et indique les voies de recours. Il conserve la trace de ce qui a été transmis, de la justification de l’occultation et de la recherche menée, avec une durée de conservation propre à ce dossier.

Si une pièce manquait encore, le garage ne pourrait ni déclarer la réponse complète ni invoquer automatiquement l’Art. 23. Il devrait poursuivre les recherches et respecter le mécanisme de délai de l’Art. 12(3). Une prolongation suppose les conditions de complexité ou de nombre des demandes ; la personne doit être informée dans le premier mois, avec les motifs. Une difficulté interne ne crée pas à elle seule une suspension des droits.

Le résultat pratique est double : la réclamation peut rester documentée pour les besoins légitimes du litige, tandis que le droit d’accès est effectivement traité. Le caractère conflictuel de la relation n’est pas utilisé comme un motif général de refus.

Informer et réexaminer

L’Art. 12(4) impose normalement d’expliquer l’inaction et les voies de recours sans tarder et au plus tard un mois après réception. L’Art. 23(2)(h) prévoit que la mesure traite l’information sur la restriction, sauf si celle-ci risque de nuire à sa finalité. Vérifiez donc précisément ce que le texte applicable permet ou interdit de révéler.

Lorsque le texte autorise effectivement une restriction, consignez son déclencheur, les données visées et la condition de réexamen. Une formule comme « jusqu’à nouvel ordre » ne décrit pas cette condition. L’article 23 ne fixe pas non plus une conservation uniforme de cinq ans de tous les refus.

La disparition de la justification doit déclencher un réexamen. Associez le juriste compétent et le DPO lorsque la restriction reste incertaine ; notre guide sur le désaccord entre DPO et direction aide à conserver l’avis et la décision sans transférer la responsabilité au DPO.

Ce qu’il faut retenir

• Une restriction exige un texte applicable et un périmètre précisément identifié.
• Un acte réglementaire peut convenir selon les compétences et garanties requises.
• Préservez les réponses possibles sur les données non couvertes par la restriction.
• Documentez nécessité, proportionnalité, information et réexamen.

FAQ

Une clause de confidentialité permet-elle de refuser l’accès ?

Elle ne crée pas une restriction au titre de l’Art. 23. Examinez les règles applicables et les droits d’autrui pour déterminer ce qui doit être communiqué, occulté ou exceptionnellement restreint.

Une enquête interne suspend-elle tous les droits ?

Non. L’existence d’une enquête n’institue pas une dérogation générale. Il faut qualifier le fondement précis et le périmètre d’une restriction éventuelle.

Une restriction peut-elle durer indéfiniment ?

Elle doit rester justifiée au regard de son texte et de son objectif. Prévoyez un réexamen lorsque les circonstances ou la procédure évoluent et évitez de transformer une restriction temporaire en refus permanent.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.