Un habitant des Pyrénées-Atlantiques réclamait l'accès à ses données personnelles auprès de son département, au nom du RGPD. Le tribunal administratif de Pau a rejeté sa demande, pour une raison assez loufoque.
Le Règlement général sur la protection des données, ou RGPD, garantit à chaque citoyen un droit d'accès à ses données personnelles, mais encore faut-il que l'administration joue le jeu. Ici, l'affaire dont Clubic a pris connaissance a débuté par une demande adressée dès 2022 au département des Pyrénées-Atlantiques, par un administré qui souhaitait savoir quelles informations personnelles la collectivité détient à son sujet, jusque dans les fameuses zones « blocs-notes » et « commentaires » de ses fichiers. Faute de réponse satisfaisante, il est reparti à l'assaut quelques mois plus tard, en brandissant le fameux RGPD, texte référence en la matière en Europe. Le 31 août 2026, le tribunal administratif de Pau s'est prononcé, et ce n'est pas en la faveur du citoyen.
Un droit d'accès RGPD au parcours semé d'embûches
Au départ, nous sommes les 9 août et 5 septembre 2022, et le requérant, que nous appellerons Alban*, sollicite pour la première fois son droit d'accès auprès du département des Pyrénées-Atlantiques. La démarche est, a priori, simple, mais notre homme va se heurter à un mur administratif. En effet, la collectivité lui demande de préciser l'étendue de sa requête, de fournir une adresse électronique nominative ou de confirmer son adresse postale, et de produire un justificatif d'identité minimal.
Malgré une demande de rendez-vous de sa part, Alban ne transmet jamais les éléments réclamés par le département. Sans ces informations, il est impossible pour la collectivité de vérifier l'identité du demandeur et de traiter sa requête en toute sécurité. La première démarche reste donc lettre morte, sans qu'aucun recours ne soit engagé à ce stade.
Le 26 avril 2023, rebelote. Alban dépose une nouvelle demande, strictement identique dans son objet et dans sa forme à celle de l'année précédente, toujours sans les justificatifs demandés. Cette fois, il décide de saisir la justice, pour essayer de briser le silence de l'administration, qui vaut, passé un certain délai, décision implicite de rejet. Le dossier comprend aussi un avis de la Commission d'accès aux documents administratifs (CADA), rendu le 12 juillet 2023, et l'administré bénéficie, depuis le 3 août suivant, de l'aide juridictionnelle totale pour financer sa procédure. Mais le département conclut au rejet de la requête et réclame en retour 2 500 euros de frais de justice ainsi qu'une amende pour recours abusif.
Que dit vraiment le RGPD sur le droit d'accès à ses données ?
Devant le juge administratif, le requérant fonde son recours sur l'article 15 du RGPD, qui garantit à toute personne le droit d'obtenir confirmation qu'un organisme traite des données la concernant, et le cas échéant, d'en recevoir une copie intelligible. Le tribunal apporte une précision importante sur ce second point, en indiquant que cette copie doit être une « reproduction fidèle et intelligible de l'ensemble de ces données ». En clair, l'administration ne peut pas se contenter d'envoyer un extrait retouché, incomplet ou difficile à comprendre. C'est tout ou rien, dans une version lisible par n'importe qui.
L'article 12 du même règlement encadre la façon dont ce droit doit s'exercer. Le responsable du traitement doit répondre « dans les meilleurs délais », en principe sous un mois, avec une possibilité de prolongation de deux mois en cas de demande complexe ou nombreuse. Si la demande est faite par voie électronique, la réponse doit l'être aussi, sauf souhait contraire de l'intéressé.
Le décret pris par la France le 29 mai 2019, qui complète la loi Informatique et Libertés, précise qu'en l'absence de réponse dans ces délais, la demande est réputée rejetée. C'est justement ce mécanisme de silence-rejet que le département des Pyrénées-Atlantiques a activé, en toute légalité selon les juges, faute d'avoir pu instruire correctement la demande d'Alban.
Pourquoi le tribunal a tranché en faveur du département
Aux yeux des magistrats, tout se joue sur un détail qui n'en est pas un : la demande de 2023 n'était que le copier-coller de celle de 2022, formulée exactement « dans les mêmes conditions », sans le moindre fait nouveau entre les deux. Puisque rien n'a changé, le département n'a pas vraiment pris une nouvelle décision en 2023. Il s'est contenté de confirmer son refus initial. Or, une simple confirmation ne se conteste pas devant un juge, sous peine de rouvrir sans fin un dossier déjà tranché, un peu comme vouloir rejouer un match déjà sifflé, simplement parce qu'on n'en a pas aimé le résultat.
Ensuite, le tribunal souligne qu'Alban n'a jamais fourni les pièces nécessaires à l'instruction de sa demande, alors même qu'il avait sollicité un rendez-vous pour le faire. Sans identité vérifiée ni coordonnées fiables, le département ne pouvait matériellement pas donner suite à sa requête, quand bien même celle-ci reposait sur un droit garanti par le RGPD.
Le juge confirme également que le juge n'a jamais apporté le moindre élément concret, ne serait-ce qu'un indice, un début de preuve, permettant de croire que le département cachait réellement des données auxquelles l'accès lui aurait été refusé à tort. Faute de mieux, sa requête est rejetée sans même passer par une audience publique. Mais le département ne sort pas indemne de son passage devant le tribunal administratif. Sa demande de sanctionner Alban pour recours abusif, ainsi que celle réclamant le remboursement de ses frais de justice, sont elles aussi rejetées. Décider d'infliger une amende pour recours abusif est une prérogative réservée au juge lui-même, qu'aucune des parties ne peut exiger en son nom. Même si le RGPD a un rôle de protecteur des données en Europe, il n'exonère pas de jouer correctement le jeu de la procédure administrative. Notre requérant en a désormais le cœur net.
*les prénoms ont été modifiés
Participer à la discussion
Partagez votre avis avec la communauté Clubic.