Droit d'accès : masquer les données des tiers

Vous pouvez masquer les données d’un tiers dans une réponse au droit d’accès lorsque leur communication porterait atteinte à ses droits, mais pas supprimer indistinctement tous les noms. La copie doit conserver les données du demandeur et le contexte nécessaire pour les comprendre. Le bon résultat est une réponse complète, avec des occultations limitées et justifiées.

Cette préparation concerne notamment les échanges clients, notes internes, tableaux collectifs et pièces jointes. Elle exige deux contrôles : décider ce qui doit être communiqué, puis vérifier que le fichier envoyé correspond réellement à cette décision.

Le droit porte sur les données, avec leur contexte utile

L’Art. 15(3) du RGPD prévoit une copie des données personnelles traitées. L’Art. 15(4) protège les droits et libertés d’autrui. La présence d’un autre nom ne suffit donc ni à imposer sa suppression, ni à autoriser la transmission intégrale du document. Source : Art. 15(3) et (4).

La CJUE exige une reproduction fidèle et intelligible. Cela peut rendre nécessaire un extrait, voire un document entier, lorsque le contexte permet de comprendre les données. En cas de conflit, il faut rechercher une communication qui concilie les droits, sans aboutir à un refus général. CJUE, 4 mai 2023, C-487/21, points 41 à 45.

Par exemple, transmettre uniquement « risque : élevé » sans préciser l’objet de l’évaluation, sa date et les éléments utiles pourrait rendre la donnée incompréhensible. À l’inverse, un tableau de commandes peut être extrait sans fournir les commandes des autres acheteurs. Le format dépend du contenu, pas de la préférence administrative du service.

Intégrez cette étape à votre procédure de droit d’accès, une fois les données pertinentes recherchées et avant la fabrication de la copie.

Distinguer trois décisions avant de toucher au fichier

Le référent chargé de la réponse travaille avec le propriétaire du dossier. Il examine chaque passage sensible et distingue :

1. Donnée du demandeur à transmettre. Son caractère défavorable, subjectif ou interne ne l’exclut pas à lui seul.
2. Information étrangère à sa demande. Une facture appartenant uniquement à un autre client n’entre pas dans sa copie ; son mauvais rattachement doit cependant être traité séparément.
3. Information concernant plusieurs personnes. Il faut apprécier ce qu’elle révèle au demandeur, le risque pour autrui et la possibilité de limiter ce risque sans vider l’accès de son sens.

Cette qualification évite deux erreurs opposées : communiquer tout ce qui se trouve dans le dossier ou effacer toute mention d’une autre personne. Le référent consigne le risque concret : exposition d’une adresse privée, révélation d’une situation familiale, identification susceptible d’entraîner des représailles étayées. « Confidentialité » seul ne décrit pas ce risque.

Si un passage concerne le demandeur et un tiers, essayez une solution moins restrictive avant de l’écarter : enlever une coordonnée inutile, conserver une fonction à la place d’un détail privé, produire un extrait avec ses titres. Vérifiez ensuite que la nouvelle présentation reste fidèle à ce qui est traité.

Cas complet : une cliente conteste le traitement de sa réclamation

Exemple entièrement hypothétique. Une PME de vente de mobilier reçoit la demande d’accès de Mme Martin. Elle conteste un refus de remboursement. Le service rassemble ses commandes, quatre échanges de support, une note de décision et un extrait du tableau des réclamations.

La note indique : « Mme Martin a signalé le défaut le 3 juin. Refus initial faute de photographie exploitable. Après réception de la seconde photographie le 6 juin, dossier transmis pour réexamen. » Une autre phrase, copiée d’un dossier voisin, contient le numéro personnel et des informations familiales d’un autre client.

Le responsable du support propose d’écarter toute la note parce qu’elle est interne. Le référent refuse cette solution : la chronologie, l’appréciation de la photographie et le réexamen concernent Mme Martin. Ils doivent apparaître dans sa copie. La phrase étrangère est retirée ; le service corrige aussi son rattachement, sans utiliser la préparation de la réponse pour faire disparaître silencieusement les traces de l’erreur.

Dans le tableau collectif, l’équipe extrait la ligne de Mme Martin avec les intitulés des colonnes. Elle conserve la date, le statut, le commentaire la concernant et la légende du code « R2 ». Les lignes des autres clients sont exclues. Une simple capture tronquée, où « R2 » serait incompréhensible, est rejetée.

Les courriels échangés avec l’interlocutrice professionnelle connue de Mme Martin sont conservés dans leur contexte. Aucun risque concret justifiant de masquer systématiquement cette identité n’est identifié dans ce scénario. Cette conclusion ne vaut pas pour toute identité présente dans n’importe quel dossier.

Un registre d’occultation rempli

Voici le relevé interne de ce cas. Il constitue une proposition de travail, pas un formulaire légal obligatoire.

Le tableau n’a pas besoin de recopier le numéro privé qu’il vise à protéger. La référence de la pièce et du passage suffit au rapprochement par les personnes habilitées. Le dossier brut, la version préparée et le relevé doivent rester accessibles seulement aux intervenants nécessaires.

Le résultat remis à Mme Martin comprend ses données, les éléments contextuels et une explication des retraits. Il ne se limite pas à la liste des pièces : les autres informations exigées par l’Art. 15(1), notamment les finalités, destinataires et durées, doivent également être fournies.

L’identité d’un destinataire demande une analyse distincte

Ne confondez pas une coordonnée privée inutile avec l’identité de la personne ou de l’organisme ayant reçu les données du demandeur. L’Art. 15(1)(c) traite précisément des destinataires.

La CJUE a jugé que leur identité concrète doit être fournie sur demande, sauf impossibilité de les identifier ou demande manifestement infondée ou excessive démontrée par le responsable. Les catégories seules ne constituent pas le choix par défaut lorsque les destinataires sont connus. CJUE, C-154/21, présentation officielle du 12 janvier 2023.

Ainsi, si le dossier révèle un envoi erroné, masquer automatiquement le nom du destinataire sous prétexte qu’il est un tiers peut priver la personne d’une information à laquelle elle a droit. Le référent juridique doit distinguer cette information des détails privés non nécessaires. Une difficulté particulière se motive précisément ; elle ne se résout pas par une règle générale « aucun nom autre que celui du demandeur ».

Préparer une copie dont les masques sont irréversibles

Un rectangle noir dans un PDF peut laisser le texte sélectionnable. Une colonne cachée reste dans le tableur. Les commentaires, révisions, pièces jointes incorporées et propriétés du fichier peuvent révéler ce qui n’apparaît plus à l’écran.

Dans notre exemple, une première version du tableau conserve les autres lignes dans une feuille masquée. Le contrôle bloque l’envoi. L’équipe produit un nouvel extrait contenant seulement les données retenues, les intitulés et la légende. Elle ouvre ce fichier avec un autre compte pour vérifier le résultat réellement accessible.

Le préparateur et, si possible, un second lecteur suivent cette recette pratique :

• rechercher les valeurs retirées dans le texte extrait et les fonctions de recherche ;
• inspecter feuilles, commentaires, révisions et objets incorporés ;
• vérifier les fichiers joints, leur nom et leur contenu ;
• contrôler la lisibilité des tableaux, dates et repères conservés ;
• comparer le contenu final au relevé de décision, puis vérifier le destinataire.

Une recherche qui ne trouve pas le texte ne prouve pas tout : l’image ou une pièce incorporée peut encore l’afficher. Combinez inspection visuelle et contrôles adaptés au format. Ces précautions contribuent aux mesures de sécurité du traitement exigées par l’Art. 32(1), sans constituer une recette technique universelle.

Si un fichier avec masque réversible a déjà été transmis, traitez l’incident d’occultation inefficace. Remplacer le téléchargement ne récupère pas les copies précédemment reçues.

Expliquer la décision et traiter un désaccord

Le courrier peut annoncer les catégories de retraits sans révéler les informations protégées. Pour notre exemple, cette formulation est utilisable après adaptation :

Vous trouverez la copie de vos données et les informations relatives à leur traitement. Une phrase rattachée par erreur à votre dossier, concernant exclusivement la situation privée d’un autre client, ainsi que les lignes relatives aux autres clients du tableau collectif, ont été retirées. Les éléments relatifs à votre réclamation, leurs dates et la signification des codes utilisés sont conservés.

Cette explication ne suffit pas pour n’importe quel refus. Lorsqu’une partie des données concernant le demandeur n’est pas communiquée, précisez la restriction, ses motifs compréhensibles et la possibilité de réclamation auprès de la CNIL et de recours juridictionnel, conformément à l’Art. 12(4). Le modèle de réponse au droit d’accès aide à structurer l’ensemble.

Si la personne conteste une occultation, reprenez le passage avec le référent juridique. Vérifiez si le risque annoncé est toujours étayé et si une présentation moins restrictive est possible. Une décision maintenue doit reposer sur cet examen, pas sur le fait que « la première réponse a déjà été envoyée ».

Tenir le délai et conserver une preuve proportionnée

Le travail d’occultation n’accorde aucun délai supplémentaire automatique. L’Art. 12(3) prévoit une réponse sans tarder, au plus tard dans un mois ; une prolongation de deux mois est possible compte tenu de la complexité et du nombre de demandes, avec information motivée dans le premier mois. RGPD, Art. 12(3).

Le pilote planifie la collecte, l’arbitrage, la préparation et la validation dès la réception. Un passage difficile ne doit pas rester sans propriétaire jusqu’à l’échéance. La procédure de gestion des droits doit prévoir qui tranche et qui prépare le fichier corrigé.

Conservez une trace de la décision et de la réponse selon une durée justifiée. N’archivez pas indéfiniment toutes les versions intermédiaires : elles multiplieraient les copies de données de tiers et compliqueraient leur maîtrise.

Ce qu’il faut retenir

• Qualifiez les informations avant de fabriquer la copie.
• Préservez les données du demandeur et leur contexte nécessaire.
• Justifiez chaque restriction par une atteinte concrète aux droits d’autrui.
• Contrôlez le fichier envoyé, y compris ses contenus cachés.

FAQ

Faut-il demander l’accord de chaque tiers cité ?

Pas systématiquement. L’examen relève du responsable de traitement ; la réponse d’un tiers peut éclairer un risque, mais elle ne remplace pas l’arbitrage juridique et ne suspend pas automatiquement le délai.

Peut-on remplacer un nom par une fonction ?

Parfois, si cette présentation protège effectivement le tiers et conserve le sens des données. Une fonction rare peut encore identifier son titulaire ; elle ne résout pas non plus la question distincte des destinataires.

Faut-il corriger une appréciation contestée avant de l’envoyer ?

Ne remplacez pas silencieusement la donnée traitée par une version réécrite pour la réponse. L’accès et une éventuelle demande de rectification appellent des décisions distinctes, traçables et expliquées.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.