Droit d’accès RGPD : occulter les données de tiers

Répondre à une demande au titre du droit d’accès RGPD, c’est remettre à une personne une copie de ses propres données, souvent contenues dans des e-mails, des notes de dossier ou des contrats qui citent aussi d’autres personnes. Entre les deux, il faut occulter les données de tiers : vous masquez ce qui appartient à quelqu’un d’autre, vous notez pourquoi, et vous laissez tout le reste lisible. Voici ce que demande le RGPD, ce qu’ajoute l’autorité britannique, et comment le faire sans envoyer le fichier en ligne.

Ce à quoi le demandeur a droit : une copie (art. 15, paragraphe 3)

L’article 15 du RGPD donne à toute personne le droit de savoir si vous traitez ses données à caractère personnel, et d’y accéder. Le paragraphe 3 précise : « Le responsable du traitement fournit une copie des données à caractère personnel faisant l’objet d’un traitement. »

Le droit porte sur les données, pas sur les documents qui les contiennent. L’autorité britannique de protection des données, l’ICO, le dit clairement dans son guide sur le droit d’accès (Royaume-Uni, en anglais) : « Comme vous êtes tenu de fournir des informations et non des documents, vous pouvez supprimer des noms ou occulter des documents si les informations du tiers ne font pas partie des informations demandées » (notre traduction). Ce guide est rédigé pour le UK GDPR, dont l’article 15 reprend le texte européen.

D’autres personnes dans le même document (art. 15, paragraphe 4)

Le paragraphe 4 de l’article 15 fixe la limite : « Le droit d’obtenir une copie visé au paragraphe 3 ne porte pas atteinte aux droits et libertés d’autrui. »

Au Royaume-Uni, la règle est détaillée dans le Data Protection Act 2018, annexe 2, paragraphe 16 (en anglais). Vous n’êtes pas tenu de communiquer une information qui identifie une autre personne. Il en va autrement si cette personne a donné son consentement, ou s’il est raisonnable de la communiquer sans son consentement.

Occulter un nom ne suffit pas toujours. L’ICO prend l’exemple d’une plainte contre un voisin : même avec le nom du voisin occulté, le demandeur saura sans doute de qui il s’agit. Lisez chaque passage comme le demandeur le lira.

Droit d’accès RGPD : occulter les données de tiers et noter pourquoi

L’ICO est clair sur la trace à garder : « Vous devez pouvoir justifier votre décision de communiquer ou non des informations concernant une autre personne ; vous devriez donc consigner ce que vous décidez et pourquoi » (notre traduction).

Dans Dress Docs, cette trace fait partie du travail :

• Un motif sur chaque occultation. Imprimez la raison pour laquelle un passage est occulté, par exemple « tiers » ou votre propre formulation, sur la zone occultée elle-même. Voir motiver une occultation.
• Le journal des occultations. Il consigne les occultations, les motifs, les pages et la date, sans aucun contenu du document, pour que vous puissiez le classer avec la demande. Voir le journal des occultations.
• Rechercher et occulter. Un collègue cité quarante fois dans un fil d’e-mails ? Recherchez son nom dans un PDF doté d’une couche de texte et vérifiez chaque résultat avant qu’il soit occulté.

Les trois sont inclus dans Pro. Le document reste sur votre appareil du début à la fin.

N’occultez pas plus que nécessaire

L’occultation protège les autres ; ce n’est pas un moyen de répondre moins. L’ICO indique que vous « devez tout de même fournir autant d’informations demandées que possible, sans révéler l’identité du tiers », et qu’« il est souvent préférable de laisser l’information (sauf si une exemption s’applique) » (notre traduction). Une page de bandes noires n’apprend rien au demandeur sur l’usage de ses données.

Vérifiez ensuite ce que vous ne voyez pas. Le champ auteur d’un PDF, ses commentaires ou ses champs de formulaire peuvent aussi nommer un collègue. L’export de Dress Docs supprime les métadonnées et aplatit chaque page en une seule image. Notre liste de contrôle pour occulter un document couvre les étapes restantes.

Vérifier l’identité du demandeur sans garder de copie

Vous pouvez demander une preuve d’identité si vous avez des doutes réels sur l’identité du demandeur. Vous n’êtes pas tenu de la conserver. L’ICO : « Vous n’avez pas besoin de garder de copie des pièces d’identité, mais vous pouvez noter : quelles pièces la personne a fournies ; la date à laquelle vous les avez vérifiées ; et qui, dans votre organisation, les a vérifiées » (notre traduction).

La même règle vaut au-delà des demandes d’accès : faut-il conserver une copie de la pièce d’identité d’un client ?

Tout cela figure sur la page des fonctionnalités. Les motifs, le journal et Rechercher et occulter sont inclus dans Pro : voir les tarifs.