Un salarié peut-il demander à son employeur toutes les données qu’il détient sur lui ?

En bref

Oui. Le salarié peut demander à son employeur l'accès à toutes les données personnelles le concernant, au titre du droit d'accès prévu par le RGPD.

Dernière mise à jour : 5 octobre 2026 · Sources : EUR-Lex (art. 15, art. 12)

Le droit d'accès du salarié

L'employeur est responsable du traitement des données personnelles de ses salariés (dossier RH, badges, emails professionnels, évaluations, etc.). À ce titre, le salarié dispose d'un droit d'accès prévu par le RGPD (art. 15).

Ce droit permet au salarié d'obtenir :

la confirmation que l'employeur traite ou non des données le concernant (art. 15) ;
une copie de ces données (art. 15) ;
des informations sur les finalités du traitement, les catégories de données, les destinataires, la durée de conservation prévue (art. 15) ;
des informations sur l'existence d'une décision automatisée ou d'un profilage, le cas échéant (art. 15).

Comment l'employeur doit répondre

L'employeur doit :

répondre de façon claire et compréhensible, sans jargon (art. 12) ;
répondre dans un délai d'un mois après la demande, prolongeable de deux mois si la demande est complexe (art. 12) ;
en principe, ne rien facturer pour cette communication, sauf si la demande est manifestement infondée ou répétitive (art. 12) ;
si l'employeur refuse, il doit en informer le salarié avec les motifs, et l'informer de la possibilité de saisir la CNIL ou le juge (art. 12).

À noter

Le droit à une copie ne doit pas porter atteinte aux droits et libertés d'autrui (art. 15) : l'employeur peut masquer les données d'autres salariés dans les documents communiqués, mais pas refuser en bloc.
Si l'employeur ne répond pas ou refuse sans justification, le salarié peut :
- saisir la CNIL (autorité de contrôle compétente en France) ;
- se faire accompagner par un avocat ou contacter l'inspection du travail en cas de litige plus large lié au contrat de travail.

Ces informations concernent le droit commun du RGPD. Elles ne couvrent pas d'éventuelles règles particulières issues d'un accord d'entreprise ou d'une convention collective, non fournies ici.

Sources

Articles de loi cités

Règlement (UE) 2016/679 (RGPD)
Article 15
1. La personne concernée a le droit d'obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu'elles le sont, l'accès auxdites données à caractère personnel ainsi que les informations suivantes: a) les finalités du traitement; b) les catégories de données à caractère personnel concernées; c) les destinataires ou catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées, en particulier les destinataires qui sont établis dans des pays tiers ou les organisations internationales; d) lorsque cela est possible, la durée de conservation des données à caractère personnel envisagée ou, lorsque ce n'est pas possible, les critères utilisés pour déterminer cette durée; e) l'existence du droit de demander au responsable du traitement la rectification ou l'effacement de données à caractère personnel, ou une limitation du traitement des données à caractère personnel relatives à la personne concernée, ou du droit de s'opposer à ce traitement; f) le droit d'introduire une réclamation auprès d'une autorité de contrôle; g) lorsque les données à caractère personnel ne sont pas collectées auprès de la personne concernée, toute information disponible quant à leur source; h) l'existence d'une prise de décision automatisée, y compris un profilage, visée à l'article 22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la logique sous-jacente, ainsi que l'importance et les conséquences prévues de ce traitement pour la personne concernée. 2. Lorsque les données à caractère personnel sont transférées vers un pays tiers ou à une organisation internationale, la personne concernée a le droit d'être informée des garanties appropriées, en vertu de l'article 46, en ce qui concerne ce transfert. 3. Le responsable du traitement fournit une copie des données à caractère personnel faisant l'objet d'un traitement. Le responsable du traitement peut exiger le paiement de frais raisonnables basés sur les coûts administratifs pour toute copie supplémentaire demandée par la personne concernée. Lorsque la personne concernée présente sa demande par voie électronique, les informations sont fournies sous une forme électronique d'usage courant, à moins que la personne concernée ne demande qu'il en soit autrement. 4. Le droit d'obtenir une copie visé au paragraphe 3 ne porte pas atteinte aux droits et libertés d'autrui.
LireEUR-Lex (nouvel onglet)
Règlement (UE) 2016/679 (RGPD)
Article 12
1. Le responsable du traitement prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14 ainsi que pour procéder à toute communication au titre des articles 15 à 22 et de l'article 34 en ce qui concerne le traitement à la personne concernée d'une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un enfant. Les informations sont fournies par écrit ou par d'autres moyens y compris, lorsque c'est approprié, par voie électronique. Lorsque la personne concernée en fait la demande, les informations peuvent être fournies oralement, à condition que l'identité de la personne concernée soit démontrée par d'autres moyens. 2. Le responsable du traitement facilite l'exercice des droits conférés à la personne concernée au titre des articles 15 à 22. Dans les cas visés à l'article 11, paragraphe 2, le responsable du traitement ne refuse pas de donner suite à la demande de la personne concernée d'exercer les droits que lui confèrent les articles 15 à 22, à moins que le responsable du traitement ne démontre qu'il n'est pas en mesure d'identifier la personne concernée. 3. Le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d'une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d'un mois à compter de la réception de la demande. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. Le responsable du traitement informe la personne concernée de cette prolongation et des motifs du report dans un délai d'un mois à compter de la réception de la demande. Lorsque la personne concernée présente sa demande sous une forme électronique, les informations sont fournies par voie électronique lorsque cela est possible, à moins que la personne concernée ne demande qu'il en soit autrement. 4. Si le responsable du traitement ne donne pas suite à la demande formulée par la personne concernée, il informe celle-ci sans tarder et au plus tard dans un délai d'un mois à compter de la réception de la demande des motifs de son inaction et de la possibilité d'introduire une réclamation auprès d'une autorité de contrôle et de former un recours juridictionnel. 5. Aucun paiement n'est exigé pour fournir les informations au titre des articles 13 et 14 et pour procéder à toute communication et prendre toute mesure au titre des articles 15 à 22 et de l'article 34. Lorsque les demandes d'une personne concernée sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, le responsable du traitement peut: a) exiger le paiement de frais raisonnables qui tiennent compte des coûts administratifs supportés pour fournir les informations, procéder aux communications ou prendre les mesures demandées; ou b) refuser de donner suite à ces demandes. Il incombe au responsable du traitement de démontrer le caractère manifestement infondé ou excessif de la demande. 6. Sans préjudice de l'article 11, lorsque le responsable du traitement a des doutes raisonnables quant à l'identité de la personne physique présentant la demande visée aux articles 15 à 21, il peut demander que lui soient fournies des informations supplémentaires nécessaires pour confirmer l'identité de la personne concernée. 7. Les informations à communiquer aux personnes concernées en application des articles 13 et 14 peuvent être fournies accompagnées d'icônes normalisées afin d'offrir une bonne vue d'ensemble, facilement visible, compréhensible et clairement lisible, du traitement prévu. Lorsque les icônes sont présentées par voie électronique, elles sont lisibles par machine. 8. La Commission est habilitée à adopter des actes délégués en conformité avec l'article 92, aux fins de déterminer les informations à présenter sous la forme d'icônes ainsi que les procédures régissant la fourniture d'icônes normalisées.
LireEUR-Lex (nouvel onglet)

Mise en relation

Besoin d’un avocat sur cette question ?

Laissez votre e-mail : nous vous recontactons pour vous orienter vers un avocat près de chez vous.

Votre e-mail sert uniquement à vous répondre sur cette demande. Loilà ne délivre pas de consultation juridique.

→Continuer

Poser une autre question

Information générale, pas un conseil juridique.