Enquête interne RGPD : encadrer l'accès aux données personnelles

Sommaire

1. Enquête interne : quelles données personnelles sont traitées ?

2. Pourquoi le RGPD s'applique à votre enquête interne

3. Intérêt légitime : la base légale à sécuriser

4. Droit d'accès du salarié : ce que vous devez communiquer

5. Les trois cas de refus admis par le Conseil d'État

6. Protéger les témoins et les données des tiers

7. Sécuriser la procédure : information, durée, traçabilité

8. Sanctions CNIL et risques sur la preuve disciplinaire

FAQ

Pour aller plus loin

1. Enquête interne : quelles données personnelles sont traitées ?

Dès le premier entretien, l'entreprise collecte des informations qui identifient des personnes : le salarié mis en cause, les témoins, parfois des tiers. Le DSI est en première ligne, car la matière probatoire sort des systèmes qu'il administre.

Chaque extraction constitue un traitement autonome, à documenter avec une finalité écrite, un périmètre délimité et une durée déterminée avant la première requête technique.

2. Pourquoi le RGPD s'applique à votre enquête interne

L'enquête interne relève du pouvoir de direction de l'employeur, mais elle n'échappe pas pour autant aux règles de protection des données. Dès lors que des données identifient des personnes physiques, le RGPD s'applique.

L'affaire tranchée par le Conseil d'État le 1er décembre 2025 illustre le coût de cette erreur. Après des signalements visant trois salariés, l'employeur avait ouvert une enquête interne, puis refusé aux salariés l'accès à leurs données. Saisie, la CNIL lui a adressé un rappel de ses obligations.

Une enquête interne RGPD conforme traite le dossier disciplinaire et le dossier de conformité en parallèle, dès l'ouverture.

Cartographier les traitements d'enquête en amont évite d'arbitrer dans l'urgence.
Pour structurer ce cadre : cadrage juridique de la protection des données.

3. Intérêt légitime : la base légale à sécuriser

Le traitement mis en œuvre dans une enquête interne ne relève pas d'une obligation légale. Il repose sur l'intérêt légitime du responsable de traitement, prévu à l'article 6.1.f du RGPD, et cette qualification commande les droits ouverts au salarié.

Lorsque la base légale est l'intérêt légitime, la personne concernée peut exercer son droit d'opposition au titre de l'article 21 du RGPD. L'entreprise doit examiner l'opposition et y répondre, en démontrant des motifs légitimes impérieux. Une opposition ne suspend pas l'enquête, mais elle impose un arbitrage écrit.

Trois éléments doivent figurer au dossier avant toute collecte : la finalité poursuivie, la nécessité des données collectées, et la mise en balance avec les droits des salariés.

4. Droit d'accès du salarié : ce que vous devez communiquer

Le droit d'accès est défini à l'article 15 du RGPD. Sur demande, le responsable fournit une copie des données détenues, les finalités du traitement, les catégories de données concernées et l'identité des destinataires.

Le délai de réponse est d'un mois à compter de la réception de la demande, conformément à l'article 12.3 du RGPD. Il peut être prolongé de deux mois, à condition d'informer la personne de cette prolongation. La première copie est gratuite, en application de l'article 15.3.

Ce délai suppose une capacité d'extraction transverse : solliciter manuellement chaque application fait arriver la réponse hors délai.

Une procédure de réponse aux demandes d'accès testée réduit le risque contentieux.
Pour la formaliser : encadrer la protection des données en entreprise.

5. Les trois cas de refus admis par le Conseil d'État

Le refus reste possible dans des cas limités, mais chaque refus doit être motivé et notifié à la personne, sans quoi il constitue un manquement.

Une lecture extensive du deuxième motif expose l'entreprise. Invoquer la protection d'autrui pour refuser l'accès à l'ensemble du dossier ne suffit pas : l'analyse se fait document par document.

6. Protéger les témoins et les données des tiers

Communiquer les données du salarié mis en cause sans exposer les témoins suppose un travail d'occultation sélective.

La méthode distingue trois ensembles :

• les données propres au demandeur, communicables sans restriction ;
• les données mixtes, portées par la déclaration d'un tiers, communicables après occultation des éléments identifiants ;
• les données propres aux tiers, non communicables au titre de l'article 15.4 du RGPD.

L'occultation doit résister à la déduction, car retirer un nom en laissant une fonction, une date d'entretien et un service reconstitue l'identité du témoin. L'arbitrage retenu doit être consigné.

Chaque arbitrage sur une demande d'accès engage la responsabilité de l'entreprise.
Pour sécuriser la méthode : accompagnement en protection des données.

7. Sécuriser la procédure : information, durée, traçabilité

Trois obligations structurent la procédure et se vérifient en audit.

1. Information des personnes : le salarié visé doit savoir qu'un traitement le concerne, sa finalité et les droits qu'il peut exercer.
2. Durée de conservation : chaque catégorie de données extraite reçoit une durée définie, alignée sur la finalité de l'enquête.
3. Traçabilité : les accès aux données d'enquête sont journalisés et restreints aux personnes habilitées, y compris côté administrateurs.

Ces exigences se traduisent en livrables : une note d'information, une fiche de traitement dédiée, une matrice d'habilitations et un registre des demandes reçues. Sans ces documents, la conformité ne peut pas être démontrée.

8. Sanctions CNIL et risques sur la preuve disciplinaire

Le RGPD prévoit des sanctions administratives pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu, en application de l'article 83.5. Dans cette affaire, la CNIL s'est limitée à un rappel des obligations, mais l'analyse vaut pour tous les employeurs.

Une enquête menée sans base légale documentée, sans information des personnes et sans réponse aux demandes d'accès fournit au salarié un argument de contestation. La procédure disciplinaire se déplace alors du fond vers la forme, et l'entreprise défend sa méthode au lieu de ses constats.

FAQ

Un salarié visé par une enquête interne peut-il accéder à son dossier ?

Oui. Le Conseil d'État, dans sa décision n° 498023 du 1er décembre 2025, a confirmé que les salariés visés par une enquête interne conservent leur droit d'accès à leurs données personnelles au titre du RGPD. L'employeur ne peut pas refuser au seul motif que l'enquête est en cours.

Quel est le délai pour répondre à une demande de droit d'accès ?

Un mois à compter de la réception de la demande, en application de l'article 12.3 du RGPD. Ce délai peut être prolongé de deux mois compte tenu de la complexité et du nombre de demandes. La personne doit être informée de la prolongation.

L'entreprise peut-elle facturer la copie des données ?

Non pour la première copie, qui est gratuite en application de l'article 15.3 du RGPD. Une demande manifestement infondée ou excessive relève d'un régime distinct, prévu à l'article 12.5, et doit être motivée.

Sur quelle base légale repose une enquête interne ?

Sur l'intérêt légitime du responsable de traitement, prévu à l'article 6.1.f du RGPD, et non sur une obligation légale. Cette qualification ouvre au salarié un droit d'opposition au titre de l'article 21 du RGPD, que l'employeur doit examiner et motiver.

Comment refuser l'accès sans commettre de manquement ?

Trois motifs sont admis : demande manifestement infondée ou excessive, atteinte aux droits et libertés d'autrui, données supprimées ou non conservées. Le refus doit être motivé et notifié. L'analyse se conduit document par document, jamais en bloc sur l'ensemble du dossier.

Pour aller plus loin

Décision n° 498023 du 1er décembre 2025 - Conseil d'État

Professionnels : comment répondre à une demande de droit d'accès ? - CNIL

Le droit d'accès des salariés à leurs données et aux courriels professionnels - CNIL

SWIM LEGAL est une alternative au cabinet d'avocats traditionnel pour les besoins juridiques des entreprises. Incubé par le Barreau de Paris, SWIM a reçu le Prix de l'Innovation pour sa solution permettant à toute entreprise, quelle que soit sa taille ou sa localisation, d'accéder rapidement via la plateforme à des avocats d'affaires expérimentés. Les entreprises peuvent déposer leur besoin — qu'il s'agisse d'un dossier, d'une consultation ou d'un renfort temporaire — de manière confidentielle et recevoir des propositions d'avocats pour répondre rapidement à leur demande.