Droit d'accès : transmettre une copie volumineuse
Remettre une copie volumineuse au titre du droit d’accès : index, découpage, accès sécurisé et preuve de transmission.
Une réponse d’accès peut contenir des centaines de pièces et plusieurs exports. Le défi n’est pas seulement d’éviter une pièce jointe trop lourde. Il faut remettre un ensemble complet, compréhensible et accessible à son destinataire, sans exposer les données sur une plateforme ouverte ni imposer un outil inutilisable.
Ce qu’il faut retenir
- Le volume ne permet pas de réduire arbitrairement le périmètre des données remises.
- Un index et un découpage cohérent rendent la copie exploitable.
- L’authentification, la durée de mise à disposition et les clés doivent être organisées avant l’envoi.
- Un journal d’envoi ne prouve pas à lui seul que la personne pouvait effectivement accéder à la copie.
Définir le paquet à remettre
L’article 15(3) du RGPD prévoit une copie des données personnelles faisant l’objet d’un traitement. Lorsque la demande est électronique, les informations sont fournies sous une forme électronique d’usage courant, sauf demande contraire. L’article 12(1) exige une communication compréhensible et aisément accessible. RGPD, chapitre III.
Réunissez les données et les informations dues au titre de l’article 15(1), puis créez un inventaire avant de choisir le canal. Une extraction volumineuse ne remplace pas l’explication des finalités, destinataires, durées et autres informations applicables. Les codes internes doivent être expliqués lorsque leur présence rend l’export obscur.
La recherche et les occultations précèdent la livraison. Une archive envoyée trop vite peut inclure des données de tiers ou des fichiers temporaires. Appuyez-vous sur la méthode d’occultation pour préparer la version communicable.
Construire un index lisible
Exemple hypothétique : un service remet un historique de dossiers, les pièces jointes et des échanges associés. Un paquet peut être organisé ainsi :
| Élément | Contenu | Contrôle utile |
|---|---|---|
| Notice de lecture | Organisation, formats, coordonnées de contact | Compréhensible sans vocabulaire technique |
| Index | Nom du fichier, période et objet | Concordance avec les fichiers remis |
| Export tabulaire | Données structurées | Encodage, dates et colonnes expliqués |
| Pièces documentaires | Copies classées par dossier | Pages lisibles et pièces jointes présentes |
| Réponse juridique | Informations dues et décisions motivées | Cohérence avec les données effectivement livrées |
Un découpage par période ou dossier peut faciliter le téléchargement. Indiquez le nombre de lots et vérifiez qu’aucun fichier n’a été perdu au fractionnement. Ne transformez pas cette organisation en sélection unilatérale : remettre un premier lot n’autorise pas à omettre les suivants.
Choisir un canal proportionné
L’article 32(1) demande des mesures de sécurité adaptées au risque. La CNIL recommande notamment de protéger les échanges, de séparer la transmission des secrets lorsque nécessaire et de limiter les accès ainsi que la durée de mise à disposition sur un service temporaire. CNIL, sécuriser les échanges avec l’extérieur.
Pour un espace de dépôt, vérifiez le destinataire autorisé, les permissions, la possibilité de téléchargement et la révocation du lien. Un lien difficile à deviner ne remplace pas automatiquement un contrôle d’accès approprié. Pour une archive chiffrée, confirmez que la personne dispose d’un moyen réaliste de l’ouvrir et recevez ses difficultés éventuelles.
L’expiration protège contre une exposition prolongée, mais une fenêtre trop courte peut rendre l’exercice du droit illusoire. Le RGPD ne fixe pas un nombre universel de jours pour un lien de téléchargement. Choisissez une période adaptée, annoncez-la et prévoyez une nouvelle mise à disposition si un problème légitime empêche l’accès.
Contrôler la remise sans surcollecter
Avant l’envoi, ouvrez la copie préparée dans les conditions du destinataire : permissions ordinaires, fichiers attendus, mot de passe correct, absence de données parasites. Enregistrez ensuite le périmètre remis, la date, le canal et les incidents signalés. Limitez les journaux de consultation aux besoins justifiés.
Le délai de l’article 12(3) continue à s’appliquer. La complexité peut justifier une prolongation dans ses conditions, avec information motivée dans le premier mois ; elle ne crée pas une suspension pendant la préparation informatique. Votre procédure des droits doit prévoir une marge pour corriger un lien cassé ou un export illisible.
FAQ
Peut-on fournir uniquement un accès temporaire à l’écran ?
Un espace sécurisé peut être utile, mais la personne doit pouvoir obtenir la copie à laquelle elle a droit. Une consultation sans moyen adapté de récupérer les données ne satisfait pas nécessairement cette obligation.
Le destinataire doit-il acheter un logiciel pour lire l’archive ?
Évitez un format qui impose un achat ou une compétence particulière sans nécessité. Privilégiez les formats courants et accompagnez les fichiers dont la lecture exige une explication.
Peut-on facturer l’envoi parce que le dossier est très gros ?
La première copie est en principe gratuite. Les exceptions des articles 12(5) et 15(3) doivent être appréciées dans leurs conditions ; le poids informatique du dossier ne suffit pas à les établir.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.