LA COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS,

Vu la loi 78-17 du 06 janvier 1978 ⁽¹⁾ relative à l'informatique, aux fichiers et aux libertés et notamment les articles 34 à 40 reconnaissant à toute personne le droit d'accéder aux informations la concernant qui font l'objet d'un traitement automatisé ;

Vu l'article 6 de ladite loi conférant à la commission nationale de l'informatique et des libertés la mission d'informer toutes les personnes concernées de leurs droits et obligations ;

Recommande, sous réserve de l'appréciation des juridictions compétentes, le respect des mesures suivantes destinées à faciliter l'exercice du droit d'accès :

  Par. 1. 

Sur les modalités de la demande d'accès.

• 1. Qui est habilité à faire la demande ?

  Selon la loi, le droit d'accès peut être exercé par la personne sur le compte de laquelle sont enregistrées des informations, sans que celle-ci ait toutefois à justifier d'un intérêt pour motiver sa demande.

  La commission estime en conséquence que, s'agissant d'un droit strictement personnel, celui-ci ne peut être exercé que par son titulaire et le mandat ne peut être utilisé, selon les règles du droit commun, que pour les mineurs et incapables majeurs.

  Le titulaire peut se faire assister d'un conseil, lorsque le droit d'accès est exercé sur place.

• 2. Comment effectuer la demande ?

  La demande peut être effectuée soit sur place, soit par écrit. L'écrit doit mentionner clairement les nom et prénoms ainsi que l'adresse à laquelle doit être expédiée la réponse.

  Afin de permettre la recherche des informations, le responsable du traitement peut être amené à demander au titulaire du droit d'accès des précisions complémentaires telles que : date ou époque de l'enregistrement, motif, index, numéro d'enregistrement.

  La commission estime en effet qu'il n'est pas souhaitable d'inciter les responsables des fichiers à prévoir systématiquement des interrogations à partir du nom patronymique ou du numéro national d'identité en vue de faciliter l'exercice du droit d'accès.

  D'une manière générale, il est de l'intérêt du titulaire du droit d'accès, afin de réduire les délais de réponse, de fournir de lui-même le maximum de précisions lorsqu'il présente sa demande.

• 3. A qui doit être adressée la demande ?

  La demande doit être adressée directement à la personne ou au service désigné par le responsable du traitement pour répondre aux demandes d'accès.

  Lorsque cette personne ou ce service n'est pas connu du demandeur, celui-ci peut présenter sa demande au siège de l'organisme concerné ou à l'un de ses établissements ou représentants, à charge pour ceux-ci d'acheminer la demande vers la personne ou le service compétent. Des instructions d'organisation interne devront être données en ce sens par les responsables des institutions ou entreprises publiques ou privées.

  Afin de faciliter l'acheminement des demandes, la commission recommande que soient prises les mesures suivantes :

  D'une part, lorsque des informations sont recueillies auprès de la personne concernée, celle-ci doit être informée de l'existence d'un droit d'accès et de rectification (art. 27) ; à cette occasion, la dénomination et l'adresse du service chargé du droit d'accès doivent être portées à la connaissance de la personne concernée ;

  D'autre part, la commission recommande aux responsables des traitements :

  • de porter directement à la connaissance des personnes concernées, par voie de publicité locale ou interne (exemple : publicité officielle dans les mairies, affichage, journaux, notes d'information dans les entreprises, etc.), la liste descriptive sommaire, telle que prévue à l'article 22 de la loi, des traitements que chaque organisme met en œuvre à l'égard de ses administrés ou des personnes relevant de sa compétence ;

  • de préciser à cette occasion le nom et l'adresse du service chargé de faciliter l'exercice du droit d'accès.

• 4. Le recours, en dernière instance, à la commission.

  La responsabilité du bon exercice du droit d'accès incombant aux personnes qui mettent en œuvre les traitements, la commission ne doit être saisie qu'à titre exceptionnel par le titulaire du droit d'accès, en particulier en l'absence de localisation du fichier ou de refus opposé. Il peut alors s'adresser à la commission nationale de l'informatique et des libertés (service du droit d'accès), 21, rue Saint-Guillaume, 75007 Paris, en précisant le nom ou la raison sociale du responsable ou détenteur présumé du fichier.

  Au vu des informations fournies par la commission, il lui appartiendra de s'adresser directement au service chargé de l'exercice du droit d'accès.

  Par. 2. 

Sur la fréquence de l'exercice du droit d'accès.

Le droit d'accès n'est assorti par la loi d'aucune condition de périodicité, il peut être exercé à tout moment.

La commission rappelle toutefois que, saisie contradictoirement par le responsable du fichier en application de l'article 35 de la loi, elle peut lui accorder :

• des délais de réponse, notamment en raison d'impératifs techniques ;

• l'autorisation de ne pas prendre en considération certaines demandes manifestement abusives par leur nombre, leur caractère répétitif ou systématique.

Il peut être gardé trace des demandes d'accès pendant un délai n'excédant pas douze mois.

  Par. 3. 

Sur les délais de réponse.

Sous réserve de contraintes techniques particulières relatives à la recherche des informations, la réponse doit être communiquée à bref délai.

Sauf urgence soumise, le cas échéant, à l'appréciation de la commission, la réponse peut être différée :

• lorsqu'il est procédé à date fixe à des traitements de mise à jour ou d'édition du fichier sans que le délai de réponse puisse excéder trois mois ;

• lorsque les informations sont l'objet d'une communication systématique à chaque personne concernée au moins une fois l'an.

  Par. 4. 

Sur les conditions de la communication.

La commission n'impose pas de mesures particulières dès lors que les informations communiquées sont conformes aux enregistrements et aisément compréhensibles par la personne concernée et que la dernière date de mise à jour figure au regard de chaque enregistrement logique.

Lorsque la communication a lieu sur place, la durée de la mise à disposition de l'information doit être suffisante pour que le demandeur puisse prendre note commodément et complètement.

  Par. 5. 

Sur la preuve de l'identité du demandeur.

Le responsable du traitement doit s'assurer de l'identité du demandeur, notamment par la production d'un titre d'identité.

Lorsque la demande est présentée par écrit, celle-ci doit être signée et accompagnée de la photocopie d'un titre d'identité portant la signature du titulaire. L'écrit doit préciser l'adresse à laquelle doit parvenir la réponse qui peut être acheminée par voie postale sous pli ordinaire.

Lorsque l'adresse indiquée n'est pas conforme à celle figurant, le cas échéant, dans l'enregistrement visé par la demande, la réponse peut être expédiée sous pli recommandé sans accusé de réception, la vérification de l'identité s'effectuant lors de la délivrance du pli.

  Par. 6. 

Sur les catégories d'informations communicables.

Sauf demande spéciale motivée, soumise, le cas échéant, à l'appréciation de la commission, le responsable du traitement n'est pas tenu de donner suite aux demandes concernant les catégories d'informations suivantes :

• informations archivées qui ne font plus habituellement l'objet de traitements ;

• informations estimatives ou prévisionnelles tant que celle-ci ne sont pas opposées à la personne concernée.

  Par. 7. 

Sur le droit de rectification.

Lorsque, à la suite de la communication des informations le concernant, le titulaire du droit d'accès demande, conformément à l'alinéa 1er de l'article 36 de la loi, que tout ou partie des informations soit complété, clarifié, mis à jour ou effacé, une copie de l'enregistrement modifié doit, à sa demande, lui être délivrée sans frais.

La redevance versée lors de la demande lui est remboursée.

Conformément à l'alinéa 3 de l'article 36 de la loi, la commission rappelle qu'en cas de contestation, la charge de la preuve incombe au service auprès duquel est exercé le droit d'accès, sauf lorsqu'il est établi que les informations contestées ont été communiquées par la personne concernée ou avec son accord.

Sauf dispense accordée par la commission, lorsque les informations concernées ont été communiquées à des tiers, ceux-ci doivent être informés des modifications ou suppressions intervenues et procéder aux rectifications correspondantes.

Dans tous les cas, la procédure et les opérations de rectification doivent être conduites sans délai.

  Par. 8. 

Cas particulier du droit indirect d'accès à des informations faisant l'objet d'une protection légale relative au secret (art. 39 et 40 de la loi).

• 1. Traitements intéressant la sûreté de l'Etat, la défense et la sécurité publique.

  La commission rappelle qu'aux termes des articles 34 et 36 de la loi, le droit d'accès et de rectification est défini par référence aux informations et non aux traitements.

  Lorsque le traitement porte tout à la fois sur des informations non protégées et d'autres qui ne sont pas communicables en application d'une législation spéciale relative au secret, le responsable du droit d'accès doit communiquer directement au demandeur les informations non protégées et lui notifier que des informations couvertes par un secret protégé sont également enregistrées et ne peuvent lui être communiquées.

  Lorsque tout ou partie des informations visées par la demande ne sont pas directement communicables au demandeur, celui-ci s'adresse au président de la commission qui désigne un commissaire choisi parmi l'un des membres ou anciens membres du conseil d'Etat, de la cour de cassation ou de la cour des comptes, à charge pour celui-ci, en application de l'article 39 de la loi susvisée, d'exercer le droit d'accès au nom du demandeur. Le commissaire peut procéder à toutes investigations dans les conditions prévues au paragraphe 2 et au dernier alinéa de l'article 21 de la loi.

  Au terme de ses investigations, il appartient au commissaire désigné de décider en définitive du caractère communicable ou non des informations et de notifier au titulaire du droit d'accès, dans un délai de deux mois, qu'il a été procédé aux vérifications demandées pour ce qui concerne les informations qui ne seront finalement pas communiquées.

• 2. Traitements concernant des informations à caractère médical.

  Lorsque le droit d'accès s'applique à des informations à caractère médical, celles-ci ne peuvent être communiquées à l'intéressé que par l'intermédiaire d'un médecin de son choix.

  Toutefois, lorsque le traitement porte sur des informations pour partie médicales et pour partie à caractère social ou administratif, ces dernières sont directement communicables au demandeur.