Droit d'accès : rechercher dans les archives papier

Le droit d’accès ne s’arrête pas au logiciel actuel. Si les dossiers papier contiennent des données personnelles classées selon des critères permettant de les retrouver, ils peuvent relever du RGPD. L’entreprise doit organiser leur recherche, préparer une copie intelligible et répondre dans le délai applicable. Le demandeur n’a pas à retrouver lui-même le carton chez votre archiviste.

La difficulté consiste à relier une personne à ses anciens dossiers sans confondre un résultat négatif, une destruction établie et une recherche inachevée. Voici comment construire cette chaîne, puis transformer les pièces retrouvées en réponse exploitable.

Quelles archives papier entrent dans la recherche ?

Le RGPD s’applique notamment aux traitements non automatisés de données contenues ou destinées à figurer dans un fichier. Un fichier est un ensemble structuré accessible selon des critères déterminés, même réparti entre plusieurs lieux : classement par client, année et numéro de contrat, par exemple. Le papier et l’ancienneté ne constituent donc pas des exclusions. Art. 2(1) et Art. 4(6).

Un carton mal rangé ne devient pas nécessairement un ensemble étranger au RGPD. Examinez l’organisation du fonds, ses index, sa destination et les liens avec les applications. Un dossier sorti temporairement d’un classement structuré ne doit pas disparaître du périmètre de recherche. Si vous concluez qu’un ensemble non automatisé ne relève pas d’un fichier, conservez le raisonnement concret ; l’étiquette « archives anciennes » ne suffit pas.

Délimitez aussi le droit exercé. Ce guide vise l’accès RGPD aux données de la personne. Il ne remplace pas les règles particulières d’accès aux documents administratifs, aux dossiers médicaux ou aux archives publiques. L’existence d’un régime sectoriel nécessite un examen propre, pas un refus automatique de la demande RGPD.

Le dossier A-31 : remonter deux changements de classement

Prenons un exemple entièrement fictif. Le 6 octobre, Léa demande par courriel les données la concernant auprès d’une entreprise de services. L’identité ne présente pas de doute raisonnable dans les circonstances retenues. La relation a commencé en 2017 dans une agence fermée depuis. Léa indique son ancien nom d’usage et conserve une référence de contrat. Sa fiche actuelle utilise un autre numéro.

La responsable des dossiers enregistre la réception du 6 octobre et une échéance ordinaire au 6 novembre. Elle recherche d’abord les correspondances entre identifiants, sans limiter arbitrairement la demande à la dernière année. Les recherches à partir d’anciens identifiants aident notamment à distinguer une véritable absence de dossier d’un changement de référence.

Dans cet exemple, l’inventaire d’agence rattache le contrat au carton B-14. Un bordereau de transfert indique que B-14 a été reconditionné en deux boîtes, N-08 et N-09. Le prestataire conserve N-08 ; N-09 a été prêtée au service chargé des réclamations. La responsable demande les deux recherches simultanément.

Journal de recherche renseigné

Ce journal est une ressource interne, pas la réponse à envoyer telle quelle. Ajoutez, dans votre propre dossier, l’agent chargé de chaque étape, la date de consultation et la référence de preuve. Évitez d’y recopier toutes les données personnelles trouvées : les références doivent suffire à relier le résultat à sa source.

Dans A-31, les deux boîtes ont finalement été consultées. Le contrat numérisé est un doublon fidèle ; il n’est pas nécessaire de multiplier artificiellement les fichiers identiques. En revanche, l’annotation au verso apporte une appréciation nouvelle concernant Léa. Elle entre dans l’examen de la copie, même si l’agent qui l’a écrite a quitté l’entreprise.

Que demander exactement au prestataire d’archivage ?

Lorsque l’archiviste agit comme sous-traitant, son assistance à l’exercice des droits doit être organisée. L’obligation résulte de l’Art. 28(3)(e), avec des instructions documentées et des personnes autorisées soumises à confidentialité. L’externalisation ne transforme pas le prestataire en guichet auquel renvoyer la personne sans suivi. Art. 28(3)(a), (b) et (e).

Pour A-31, l’instruction opérationnelle est la suivante : « Rechercher le dossier A-219 dans N-08 et confirmer sa localisation actuelle. Transmettre à notre responsable habilitée la liste des pièces et leurs rectos-versos. Signaler immédiatement tout dossier manquant, déplacement non expliqué ou pièce illisible. Ne rien transmettre directement au demandeur et ne pas détruire les documents pendant cette recherche. »

Cette instruction complète le contrat ; elle ne remplace pas toutes ses clauses. Fixez un retour interne assez tôt pour pouvoir examiner les résultats avant l’échéance. Ce délai de travail dépend du fonds et de l’organisation : il ne constitue pas un nouveau délai légal opposable à Léa.

Si l’archiviste ne trouve pas la boîte, demandez ce qu’il a vérifié : localisation informatique, rayon physique, prêt, reconditionnement ou destruction. Une réponse « aucun résultat » sans périmètre ne permet pas de conclure. Faites intervenir le responsable du contrat lorsque l’assistance reste insuffisante, tout en poursuivant les recherches internes disponibles.

Copier les données avec le contexte nécessaire

Le droit porte sur les données personnelles, pas sur la remise automatique des originaux. Dans l’arrêt C-487/21 du 4 mai 2023, la Cour de justice distingue une description générale des données d’une reproduction fidèle. Elle précise que des extraits, voire des documents entiers, doivent être fournis lorsque cela est indispensable pour rendre les données intelligibles et permettre l’exercice effectif des droits. Les droits d’autrui doivent être conciliés, sans servir à refuser toute communication. Arrêt C-487/21, points 21, 32 et 39–45.

Appliquons cette règle à A-31. Un tableau « nom, adresse, contrat » omettrait les interventions et l’appréciation manuscrite. L’entreprise prépare donc les pièces pertinentes avec leur date, leur titre et les références nécessaires pour comprendre leur rattachement. Elle explique une abréviation ancienne figurant sur la fiche d’intervention, sans transformer une hypothèse de lecture en certitude.

Le courrier comporte aussi les coordonnées privées d’un autre client dans une annotation sans rapport utile avec Léa. La responsable examine cette information séparément et occulte ces coordonnées sur la copie de communication. Elle conserve les données concernant Léa et leur contexte. La méthode d’occultation des données de tiers permet de documenter cet arbitrage plutôt que de supprimer la page entière.

Contrôlez ensuite les documents réellement produits : rectos et versos, pièces jointes, ordre des pages, passages dans les plis et caractères peu lisibles. Une reconnaissance automatique du texte peut mal lire un nom ou un montant ; confrontez son résultat au document visible. Vérifiez aussi que l’occultation n’est pas un simple rectangle superposé à un texte récupérable.

La réponse doit enfin inclure les informations de l’Art. 15(1) et, le cas échéant, de l’Art. 15(2) : finalités, catégories, destinataires, conservation, droits, source disponible et autres éléments applicables. L’envoi des scans ne les remplace pas. Contenu et forme du droit d’accès.

Délai, pièces manquantes et remise

L’Art. 12(3) impose une réponse dans les meilleurs délais et, en tout état de cause, dans le mois suivant la réception. Une prolongation de deux mois peut être nécessaire compte tenu de la complexité et du nombre des demandes ; elle doit être annoncée et motivée dans le premier mois. Attendre la livraison du carton ne fait pas commencer un nouveau compteur.

Dans A-31, les recherches et la préparation sont terminées le 23 octobre. La responsable remet les données par un canal sécurisé adapté, après vérification du destinataire. La demande étant électronique, la copie est fournie dans une forme électronique d’usage courant, sauf demande contraire de Léa, conformément à l’Art. 15(3). Le choix du canal doit rester utilisable par elle : un accès qui exige des démarches disproportionnées compromettrait l’effectivité de la réponse.

Si N-09 restait introuvable, l’entreprise ne pourrait pas annoncer une réponse exhaustive. Elle distinguerait les éléments remis, la recherche restante et, si ses conditions sont remplies, la prolongation motivée. Une prolongation ne dispense pas de rechercher et de répondre. Si elle décide de ne pas donner suite à une partie de la demande, elle doit appliquer l’Art. 12(4), expliquer ses motifs et informer des voies de réclamation et de recours.

Une preuve de destruction antérieure doit être examinée pour ce qu’elle établit : période, boîte et contenu couvert. Elle ne démontre pas, à elle seule, la disparition de toutes les copies numériques ou de tous les dossiers empruntés. À l’inverse, une perte suspectée exige une analyse de sécurité distincte ; ne fabriquez pas un certificat de destruction pour combler une lacune documentaire.

Fermer la recherche sans multiplier les archives

Enregistrez le périmètre consulté, les décisions d’occultation, le contenu remis et sa remise effective dans la procédure de gestion des droits. Déterminez la conservation de ces preuves selon leur besoin réel ; garder indéfiniment un second dossier complet « au cas où » ne répond pas au principe de limitation de conservation. Art. 5(1)(e).

La copie temporaire de travail n’a pas nécessairement la même durée que le dossier source. Après clôture, retirez les accès provisoires et traitez les scans intermédiaires selon la règle décidée. Si cette recherche révèle un fonds à réorganiser, engagez séparément le tri avant numérisation des archives. La demande individuelle ne justifie pas de créer en urgence une nouvelle base générale accessible à tous les services.

Ce qu’il faut retenir

• Recherchez les archives structurées, y compris externalisées et temporairement empruntées.
• Reliez les références successives et distinguez résultat négatif, destruction prouvée et recherche inachevée.
• Copiez les données avec le contexte nécessaire, en conciliant les droits des tiers.
• Le délai commence à la réception de la demande ; les scans seuls ne remplacent pas les informations requises.

FAQ

Peut-on facturer la recherche dans les cartons ?

La première copie et les mesures liées à la demande sont en principe gratuites. L’Art. 12(5) encadre les demandes manifestement infondées ou excessives, dont l’entreprise doit démontrer le caractère. Une facture de l’archiviste ne suffit pas à établir cette exception.

Une consultation sur place suffit-elle ?

Elle peut être proposée si elle convient à la personne, mais ne remplace pas arbitrairement son droit d’obtenir une copie. Organisez la consultation pour éviter l’accès aux dossiers voisins et convenez des modalités de remise nécessaires.

Faut-il exiger une pièce d’identité ?

Pas systématiquement. L’Art. 12(6) permet de demander les informations supplémentaires nécessaires lorsqu’il existe des doutes raisonnables sur l’identité. Utilisez les éléments proportionnés à la situation, sans collecter des justificatifs superflus.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.