Dossier commun : gérer des personnes aux droits opposés
Dossier commun et RGPD : distinguez les données de chacun, répondez aux demandes et préservez les droits des autres personnes.
Deux personnes figurent dans un même dossier de prestation. L’une demande une copie complète ; l’autre souhaite la suppression de ses coordonnées. Le responsable ne peut ni donner automatiquement tout le dossier à la première, ni effacer sans analyse les pièces encore nécessaires à la relation avec la seconde ou à un tiers.
Distinguer document et données personnelles
Un document peut contenir les données de plusieurs personnes. Il faut identifier celles du demandeur, les informations communes et celles qui concernent uniquement autrui. L’Art. 15(3) prévoit une copie des données traitées ; son paragraphe 4 protège les droits et libertés d’autrui. Source : RGPD, chapitre III.
L’analyse porte sur les données et leur contexte, pas seulement sur le nom du fichier. Une correspondance concernant une prestation commune peut aussi contenir un message privé sans lien avec les droits du demandeur.
Préparer une matrice par pièce
| Information | Question pour l’accès | Question pour l’effacement |
|---|---|---|
| Coordonnées du demandeur | Comment les fournir intelligiblement ? | Restent-elles nécessaires ? |
| Contrat commun | Quel contexte est indispensable ? | Quelle obligation ou preuve subsiste ? |
| Données propres à l’autre personne | Quel risque de divulgation ? | La demande porte-t-elle réellement sur elles ? |
| Échanges mixtes | Quel extrait ou masquage permet la réponse ? | Peut-on retirer une donnée sans dénaturer la pièce ? |
| Historique de paiement | Quelles opérations concernent le demandeur ? | Quelles conservations légales s’appliquent ? |
Cette matrice produit une décision par catégorie. Elle évite d’utiliser le caractère « commun » du dossier comme justification générale d’accès ou de refus.
Répondre à l’accès avec le contexte nécessaire
Un extrait, une copie expurgée ou une transcription peut permettre de communiquer les données tout en protégeant les autres personnes. La CJUE a précisé que des extraits ou documents entiers doivent être fournis lorsqu’ils sont indispensables à une reproduction fidèle et intelligible des données. Source : CJUE, C-487/21, points 41 à 45.
Le guide sur l’occultation des données de tiers détaille cette préparation. N’exigez pas systématiquement l’accord de toutes les personnes présentes dans le document : le responsable doit effectuer l’analyse juridique appropriée.
Examiner l’effacement sans supprimer la preuve d’autrui
L’Art. 17(1) énumère les motifs d’effacement ; le paragraphe 3 prévoit notamment les obligations légales et la nécessité de défendre des droits en justice. Une conservation justifiée doit rester limitée aux données nécessaires et aux accès correspondants.
Exemple hypothétique. Une personne quitte une prestation souscrite avec un autre participant. Son numéro privé n’est plus utile aux rappels quotidiens et est retiré du contact actif. Le contrat signé reste conservé dans les conditions justifiées par la relation et les obligations applicables. Cette conservation ne permet pas de continuer les usages devenus inutiles du numéro.
Les archives intermédiaires permettent de séparer cette conservation de l’exploitation courante. La pseudonymisation éventuelle d’une copie ne résout pas automatiquement le besoin de conserver l’original probant.
Expliquer l’issue sans révéler l’autre demande
Répondez dans les délais de l’Art. 12(3). Si la demande n’est pas satisfaite, totalement ou partiellement, appliquez l’information sur les motifs et les recours de l’Art. 12(4). Ne transmettez pas à l’autre participant le contenu intégral d’une demande de droits simplement parce que le dossier est partagé.
Lorsque des rectifications, effacements ou limitations doivent être notifiés aux destinataires selon l’Art. 19, organisez cette propagation. Le guide sur la rectification des bases dérivées aide à retrouver les copies sans envoyer de données supplémentaires inutiles.
Conservez une preuve ciblée du raisonnement et des opérations. Si un litige oppose les personnes, le service ne doit pas improviser un arbitrage de leur conflit au-delà de ses obligations de protection des données.
Ce qu’il faut retenir
- Décomposez le dossier commun en données propres, communes et tierces.
- L’accès peut nécessiter une copie contextualisée et des occultations.
- Une conservation justifiée ne maintient pas tous les usages antérieurs.
FAQ
Un cotitulaire peut-il obtenir tous les échanges de l’autre ?
Pas du seul fait de sa qualité. Il faut examiner les données qui le concernent, le contexte nécessaire et les droits d’autrui.
Le désaccord d’une autre personne permet-il de refuser toute réponse ?
Non automatiquement. Il constitue un élément à examiner, mais le responsable doit rechercher une solution adaptée et motiver les limites éventuelles.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.