Une demande d’accès au titre de l’article 15 du RGPD peut arriver par un formulaire, un courriel ou quelques mots glissés dans une conversation avec le service client. Elle n’a pas besoin de citer le règlement pour être valable. Le réflexe utile n’est donc pas de chercher une formule juridique toute faite, mais de comprendre ce que la personne demande, de retrouver les données pertinentes et de préparer une réponse intelligible dans les délais.
Deux éléments doivent être distingués : les données personnelles elles-mêmes et les informations relatives à leur traitement. Une politique de confidentialité, une fiche client ou une liste de catégories ne répond pas automatiquement à l’ensemble de la demande. Le défi est concret : savoir où chercher, vérifier que les données concernent bien la personne, préserver les droits des tiers et expliquer clairement ce qui est communiqué ou, le cas échéant, limité.
En bref
- Confirmez si les données de la personne sont traitées, puis fournissez les données concernées et les informations prévues par l’article 15.
- Répondez en principe dans un délai d’un mois ; toute prolongation doit être justifiée et annoncée dans ce premier mois.
- Remettez une copie fidèle et intelligible, dans un format courant adapté à la demande.
- Recherchez les destinataires concrets lorsque cela est possible et protégez les tiers par des mesures proportionnées.
- Documentez les recherches, les arbitrages et la réponse effectivement envoyée.
Article 15 du RGPD : comprendre ce que la demande d’accès impose
Le droit d’accès ne se résume pas à confirmer qu’un fichier client existe. L’article 15 prévoit d’abord que la personne puisse savoir si des données la concernant font l’objet d’un traitement. Si c’est le cas, elle doit obtenir l’accès à ces données ainsi qu’à plusieurs informations sur leur utilisation. Si aucune donnée pertinente n’est traitée, il faut aussi répondre clairement sur ce point.
Les informations à réunir comprennent notamment les finalités, les catégories de données, les destinataires ou catégories de destinataires, la durée de conservation prévue — ou les critères utilisés pour la déterminer — et l’existence des droits applicables. La réponse doit être liée à la situation de la personne : recopier des rubriques génériques sans vérifier leur pertinence ne remplace pas cette analyse. Pour comprendre comment les finalités s’articulent avec la base juridique, consultez aussi les bases légales prévues par l’article 6 du RGPD.
Lorsqu’un transfert de données vers un pays tiers ou une organisation internationale est en jeu, l’article 15 prévoit également des informations sur les garanties appropriées relevant de l’article 46. Ce point demande de vérifier les flux réellement concernés, plutôt que de reprendre une phrase standard sans examiner les outils et prestataires utilisés. Une petite entreprise qui utilise un service d’hébergement, un outil de support et une plateforme d’emailing peut devoir consulter plusieurs contrats et paramètres avant de décrire correctement le traitement.
La copie des données n’est pas une simple fiche de profil
L’article 15 prévoit la remise d’une copie des données faisant l’objet du traitement. La Cour de justice de l’Union européenne a précisé, dans l’affaire C-487/21 du 4 mai 2023, que cette copie doit être fidèle et intelligible. Selon le contexte, des extraits ou même des documents entiers peuvent être nécessaires pour permettre à la personne de comprendre les données et leur contexte. Cela ne crée pas pour autant un droit automatique à recevoir tous les documents internes sans examen.
Un export de CRM peut convenir pour certaines informations, mais devenir incompréhensible s’il contient des codes de statut sans légende. À l’inverse, transmettre l’écran complet d’un outil peut révéler des informations sans rapport ou des données concernant d’autres personnes. La bonne question est pratique : la personne pourra-t-elle comprendre ce qui lui est communiqué et le relier à la manière dont ses données sont utilisées ?
Le droit à la portabilité de l’article 20 est distinct. Il répond à des conditions et à un objectif particuliers ; il ne faut donc pas confondre son format avec celui d’une copie remise au titre de l’article 15. La réponse solide commence par un périmètre juste : les données de la personne, les informations requises et le contexte nécessaire pour les rendre compréhensibles.
Organiser la recherche des données sans transformer l’exercice en chasse au trésor
Le délai ne commence pas lorsque l’équipe juridique ouvre le dossier : il court à partir de la réception de la demande. Il faut donc enregistrer la date d’arrivée, identifier rapidement les équipes détentrices d’informations et leur transmettre une consigne précise. Une demande rédigée sans vocabulaire juridique peut parfaitement relever du droit d’accès. Imposer un formulaire comme condition générale risque de retarder inutilement son traitement.
La recherche doit suivre les traitements et les usages réels. Pour une demande adressée à une boutique en ligne, le service client peut détenir des échanges, l’équipe marketing des historiques de campagnes, l’administrateur du site des données de compte et la comptabilité des références de paiement. Ces exemples orientent la collecte, mais ne fixent pas une liste universelle : il faut déterminer où se trouvent effectivement les données concernant cette personne.
Répartir les recherches et garder une trace exploitable
Une consigne utile précise les identifiants disponibles, les périodes concernées, les outils à vérifier et le type de retour attendu. Elle demande aussi de signaler les systèmes qui n’ont pas pu être consultés. Une absence de réponse d’un service ne doit jamais être transformée en confirmation qu’il ne détient aucune donnée.
Un tableau interne simplifie le suivi. Il sert à piloter la collecte, mais n’est pas en lui-même un document que le règlement impose de remettre à la personne.
| Source à vérifier | Exemples de données recherchées | Contrôle à effectuer |
|---|---|---|
| Compte client ou espace utilisateur | Coordonnées, préférences, statut, historique | Vérifier les identifiants et expliquer les codes |
| Messagerie et service client | Demandes, réponses, réclamations, pièces jointes | Repérer les données de tiers et le contexte utile |
| Outils marketing ou événementiels | Inscriptions, communications, préférences | Relier les traces à la personne et aux finalités |
| Facturation et paiements | Références de transaction, factures, échéances | Vérifier la pertinence et la durée applicable |
Une structure fictive, l’association Primevère, reçoit une demande d’une ancienne adhérente. Le logiciel d’adhésion contient ses coordonnées, l’équipe d’un atelier conserve des échanges et le trésorier retrouve une référence de paiement. L’association ne doit pas envoyer uniquement la fiche du logiciel : elle coordonne les recherches et vérifie si un ancien identifiant correspond réellement à la même personne, sans fusionner les dossiers sur une simple ressemblance de nom.
Cette organisation ressemble à un inventaire de flux de données : les outils et les responsabilités doivent être compris avant d’extraire quoi que ce soit. Pour rendre les obligations plus faciles à transmettre aux équipes opérationnelles, un repère sur le RGPD en langage d’entreprise peut aider à transformer les règles en consignes concrètes. Une collecte traçable évite surtout les réponses partielles présentées à tort comme exhaustives.
Délais, identité et destinataires : cadrer la réponse sans automatisme
L’article 12 prévoit une réponse sans retard injustifié et, en principe, dans le mois suivant la réception. Une prolongation de deux mois supplémentaires est possible lorsque la complexité de la demande ou le nombre de demandes le rend nécessaire. Ce n’est pas un délai supplémentaire à appliquer par confort : la personne doit être informée de la prolongation et de ses motifs avant la fin du premier mois.
Une vérification d’identité peut être nécessaire en cas de doute raisonnable, mais une pièce d’identité n’est pas un préalable systématique. L’article 12 permet de demander des informations supplémentaires adaptées à la situation. Par exemple, si une demande vient de l’adresse déjà associée au compte, réclamer immédiatement une copie complète d’un document officiel peut être disproportionné. À l’inverse, une demande qui vise des données particulièrement sensibles et provient d’une adresse inconnue peut justifier des vérifications complémentaires ciblées.
Les destinataires concrets comptent
La personne peut demander à qui ses données ont été communiquées. Dans l’affaire C-154/21 du 12 janvier 2023, la CJUE a indiqué qu’elle a en principe le droit de connaître les destinataires concrets. Mentionner seulement des catégories comme « partenaires » n’est donc pas un réflexe sûr lorsque les destinataires effectifs peuvent être identifiés. La communication de catégories peut se justifier dans certaines circonstances, notamment lorsque l’identification est impossible ou lorsque la demande est manifestement infondée ou excessive ; l’organisme doit alors pouvoir expliquer sa position.
En pratique, il faut rapprocher les journaux de transmission, les contrats et les opérations réellement effectuées. Une plateforme technique qui héberge des données n’est pas nécessairement dans la même situation qu’un destinataire auquel elles ont été communiquées pour ses propres finalités. Les bons mots dépendent du rôle concret de chaque acteur et des flux observés, pas d’une formule copiée d’une politique de confidentialité.
Le principe est la gratuité de la première copie. Des frais raisonnables peuvent être envisagés pour des copies supplémentaires ; l’article 12 prévoit aussi des exceptions lorsque la demande est manifestement infondée ou excessive, sous réserve de pouvoir le démontrer. Une entreprise ne peut donc pas facturer par défaut toute première réponse, ni traiter les exceptions comme inexistantes.
Pour cadrer les rôles internes et savoir qui pilote les demandes, le guide sur le rôle et les obligations du DPO fournit un point de repère utile. Les outils de suivi peuvent accélérer les relances, mais l’automatisation ne décide ni de la proportionnalité d’une vérification ni de la pertinence d’un destinataire. La règle opérationnelle reste simple : vérifier les faits avant de choisir la réponse.
Une vidéo institutionnelle peut compléter la procédure interne, à condition de revenir ensuite aux faits du dossier : les mêmes règles s’appliquent, mais les outils et les données diffèrent d’une organisation à l’autre.
Préparer une copie intelligible et protéger les droits des tiers
Pour une demande reçue par voie électronique, la réponse est fournie sous une forme électronique d’usage courant, sauf si la personne demande un autre mode de remise. Le RGPD n’impose pas de convertir chaque dossier en CSV ni de soumettre toutes les images à une reconnaissance automatique de caractères. En revanche, le résultat doit être accessible et compréhensible : un fichier illisible, des codes inexpliqués ou une pièce jointe oubliée peuvent rendre la communication insuffisante.
Avant l’envoi, ouvrez réellement les fichiers préparés. Vérifiez que les colonnes annoncées sont présentes, que les dates et statuts sont expliqués et que chaque pièce jointe mentionnée existe. Un export brut peut sembler complet à l’équipe technique tout en restant inutilisable pour la personne concernée. La copie doit être évaluée du point de vue de son destinataire, pas uniquement depuis l’interface de l’outil.
Occulter avec précision, pas à l’aveugle
L’article 15, paragraphe 4, prévoit que le droit d’obtenir une copie ne porte pas atteinte aux droits et libertés d’autrui. Cela appelle une appréciation concrète, pas la suppression automatique de tout nom autre que celui du demandeur. Il faut examiner ce que la communication révélerait et déterminer si une occultation partielle permet de préserver à la fois les droits des tiers et le sens des informations remises.
Imaginons qu’une note d’évaluation concernant un salarié contienne aussi une information médicale sans rapport sur un collègue. Cette information peut être masquée sans retirer toute l’évaluation, si la partie communiquée reste intelligible. À l’inverse, caviarder une phrase entière au seul motif qu’un autre nom apparaît peut priver la personne d’informations qui la concernent. Les lignes directrices 01/2022 du Comité européen de la protection des données invitent à mettre les intérêts en balance et à envisager des mesures adaptées.
Une réponse en plusieurs parties rend ces choix plus lisibles : rappeler le périmètre, exposer les informations de traitement pertinentes, joindre la copie avec les explications utiles, puis indiquer les suites possibles. En cas de limitation totale ou partielle, les motifs et les possibilités de réclamation et de recours doivent être présentés conformément à l’article 12, paragraphe 4. Écrire simplement « refus pour confidentialité » ne décrit pas l’examen effectué.
Le canal d’envoi mérite aussi une vérification. Une pièce contenant des données sensibles ne devrait pas être expédiée sans contrôle du destinataire ni précaution adaptée. Conservez la version effectivement envoyée ainsi que les éléments utiles au suivi, avec des accès et une durée de conservation appropriés. Une copie fidèle n’est utile que si elle est remise de façon sûre et peut être comprise.
Une méthode de réponse à l’article 15, du premier message à l’envoi
Quand la demande arrive, commencez par la reformuler sans en réduire la portée. « Je voudrais savoir ce que vous avez sur moi » peut viser plusieurs traitements et plusieurs outils ; cela ne signifie pas que la personne doit connaître les noms de vos systèmes pour exercer son droit. Notez la date de réception, les éléments d’identification déjà disponibles et les précisions éventuellement demandées, puis lancez les recherches sans attendre la dernière semaine du délai.
La réponse finale peut suivre un fil simple. Elle rappelle ce qui a été demandé et confirme si des données sont traitées. Elle rassemble ensuite les informations prévues par l’article 15, transmet la copie accompagnée des explications nécessaires, puis indique les droits et les moyens de réclamation utiles. Une politique de confidentialité peut éclairer le contexte, mais elle ne remplace ni la recherche des données individuelles ni leur copie.
La vérification finale évite les erreurs qui coûtent cher
Avant l’envoi, confrontez le courrier aux résultats de recherche. Les fichiers contiennent-ils bien ce qui est annoncé ? Les destinataires mentionnés correspondent-ils aux transmissions retrouvées ? Une durée est-elle spécifique au traitement concerné ou a-t-elle été reprise par habitude pour toute l’organisation ? Si un service n’a pas répondu ou si un système n’a pas été consulté, ne prétendez pas avoir vérifié des sources qui ne l’ont pas été.
Une checklist courte peut rendre ce contrôle reproductible :
- La demande, sa date de réception et son périmètre sont consignés.
- Les équipes et outils pertinents ont été sollicités, et les retours manquants sont visibles.
- Les données ont été rapprochées de la bonne personne sans fusion hasardeuse avec un homonyme.
- Les codes, formats et limites sont expliqués dans un langage accessible.
- Les destinataires concrets ont été recherchés et les restrictions sont motivées.
- Le destinataire, les pièces jointes et le canal de transmission ont été vérifiés.
Si la demande est complexe, une prolongation se justifie avant l’échéance initiale, avec une explication adressée à la personne. Si une erreur est découverte après l’envoi, elle doit être traitée et la correction nécessaire communiquée ; le premier envoi ne prouve pas, à lui seul, que chaque obligation a été remplie.
Pour les petites structures, la méthode peut rester légère : un responsable, un registre de suivi et des consignes adaptées aux équipes valent mieux qu’un processus lourd que personne n’applique. L’objectif n’est pas d’automatiser chaque décision, mais de fiabiliser les étapes répétitives, comme l’enregistrement de la date ou les relances. Une demande d’accès devient gérable quand les recherches sont organisées et les arbitrages explicités.
La dernière lecture doit se faire comme si la réponse était reçue par une personne qui ne connaît ni votre CRM ni vos procédures. Si elle peut comprendre quelles données la concernent, comment elles sont utilisées et pourquoi certaines informations sont limitées, le dossier est sur de bonnes bases.
Questions fréquentes sur le droit d’accès RGPD
Une politique de confidentialité suffit-elle pour répondre à une demande d’accès ?
Non. Elle peut présenter des informations générales sur les traitements, mais ne remplace pas la recherche des données concernant la personne, leur copie ni les informations pertinentes propres à sa situation.
Faut-il transmettre les documents entiers ?
Pas systématiquement. Des extraits peuvent suffire si la copie reste fidèle et intelligible. Des documents entiers peuvent toutefois être nécessaires lorsque leur contexte permet de comprendre les données ; les droits des tiers doivent être examinés concrètement.
Peut-on demander une pièce d’identité à chaque demande ?
Non. Des informations supplémentaires peuvent être demandées lorsqu’il existe des doutes raisonnables sur l’identité, mais la vérification doit être proportionnée aux risques et aux éléments déjà disponibles.
Un litige avec l’entreprise permet-il de refuser l’accès ?
Le seul fait qu’un litige existe ne justifie pas automatiquement un refus. Il faut examiner la demande et les exceptions applicables, sans exiger systématiquement que la personne explique pourquoi elle exerce son droit.
Quel est le délai pour répondre à une demande fondée sur l’article 15 ?
La réponse doit en principe être apportée dans le mois suivant la réception. Une prolongation maximale de deux mois supplémentaires peut être nécessaire en raison de la complexité ou du nombre de demandes ; la personne doit en être informée et en connaître les motifs durant le premier mois.
