Répondre à une demande de droit d'accès RGPD : délais, étapes et refus

Un ancien client, un salarié en litige ou un prospect agacé vous écrit : « Communiquez-moi toutes les données que vous détenez sur moi. » À partir de ce jour, vous avez un mois pour répondre. Le silence, une réponse partielle ou une réponse tardive sont sanctionnés : la CNIL a infligé 300 000 euros d'amende à une ESN en juillet 2026, notamment pour une demande d'accès traitée avec plus d'un an de retard. Voici comment qualifier la demande, compter le délai, rassembler les données, et savoir quand vous pouvez limiter ou refuser.

Ce que le droit d'accès RGPD permet d'exiger

L'article 15 du RGPD donne à toute personne trois choses : la confirmation que vous traitez ou non ses données, l'accès à ces données, et une série d'informations sur le traitement. L'article 49 de la loi du 6 janvier 1978 renvoie à ce texte sans rien y ajouter pour les entreprises. Le RGPD est donc la seule grille de lecture.

Les informations à joindre aux données

La réponse doit indiquer les finalités, les catégories de données, les destinataires, la durée de conservation ou ses critères, l'existence des droits de rectification, d'effacement, de limitation et d'opposition, le droit de saisir la CNIL, la source des données quand elles n'ont pas été collectées auprès de la personne, et l'existence d'une décision automatisée. Les transferts hors Union européenne s'accompagnent de l'indication des garanties retenues.

Ces informations ne se recopient pas depuis la politique de confidentialité. Elles doivent correspondre à la situation de la personne qui demande. Un client d'un site marchand n'a pas les mêmes destinataires qu'un candidat à l'embauche.

Ce que la Cour de justice a ajouté depuis 2023

Quatre arrêts ont précisé la portée du texte, toujours dans le sens d'un accès plus complet :

• Les destinataires nommés (CJUE, 12 janvier 2023, C-154/21, Österreichische Post) : vous devez donner l'identité de chaque destinataire. Les seules catégories ne suffisent que si l'identification est impossible ou si la demande est manifestement infondée ou excessive.
• Une vraie copie (CJUE, 4 mai 2023, C-487/21, CRIF) : la copie est une reproduction fidèle et intelligible de toutes les données. Un tableau de synthèse ne suffit pas quand la compréhension exige l'extrait de document ou de base de données.
• Les consultations du dossier (CJUE, 22 juin 2023, C-579/21, Pankki S) : la personne a droit aux dates et aux finalités des consultations de ses données. L'identité des salariés qui ont consulté n'est due que si elle est indispensable.
• La logique d'un algorithme (CJUE, 27 février 2025, C-203/22, Dun & Bradstreet Austria) : en cas de décision automatisée, il faut expliquer quelles données ont joué et comment. Livrer le code de l'algorithme ne suffit pas.

En pratique, une réponse d'accès sérieuse ressemble moins à un courrier qu'à un dossier : un export structuré, un tableau d'informations et un lexique.

Délai de réponse : un mois, et comment il se compte

L'article 12, paragraphe 3, du RGPD fixe un délai d'un mois à compter de la réception de la demande, « dans les meilleurs délais ». Le comité européen de la protection des données (CEPD) donne l'exemple d'une demande reçue le 5 mars : la réponse doit partir au plus tard le 5 avril. Le délai court donc dès la réception, même si la demande dort dans la boîte d'un commercial en congés.

La prolongation de deux mois

Le délai peut être prolongé de deux mois si la demande est complexe ou si les demandes sont nombreuses. Mais la prolongation se notifie dans le premier mois, avec ses motifs. Une prolongation annoncée le 40e jour ne vaut rien : le manquement est déjà constitué.

Les cas de suspension

L'article 77 du décret du 29 mai 2019 suspend le délai lorsque vous demandez des informations complémentaires pour identifier le demandeur. L'article 79 permet aussi d'inviter le demandeur à préciser une demande imprécise. Ce même article prévoit qu'à défaut de réponse dans le délai, la demande est réputée rejetée : le demandeur peut alors saisir la CNIL ou le juge.

Répondre même quand vous n'avez rien

Une entreprise qui ne détient aucune donnée sur la personne doit le lui dire, dans le même délai d'un mois. La CNIL l'a rappelé dans sa délibération SAN-2022-022 du 30 novembre 2022 (point 35). Une confirmation négative est une réponse. Le silence n'en est pas une.

Reconnaître une demande d'accès : aucune forme imposée

Le RGPD n'impose aucun formulaire, aucun objet de courrier, aucune mention de l'article 15. « Je voudrais savoir ce que vous avez sur moi » adressé au service client est une demande d'accès. Les lignes directrices 01/2022 du CEPD précisent qu'une demande envoyée par un canal que vous proposez, même s'il n'est pas celui que vous préférez, doit en principe être traitée.

Il existe une limite. Vous n'êtes pas tenu de traiter une demande envoyée à une adresse prise au hasard ou à un salarié sans lien avec la relation, si vous avez indiqué un canal adapté. En revanche, la demande adressée au chargé de compte habituel du client est valable : c'est à vous de la faire suivre.

Le risque principal tient là. En 2024, 1 185 responsables de traitement ont répondu à l'enquête coordonnée des autorités européennes sur le droit d'accès. Beaucoup déclaraient avoir reçu très peu de demandes en 2023. Le CEPD en déduit que de nombreuses demandes ne sont sans doute pas reconnues comme telles. Une demande non reconnue est une demande sans réponse.

La demande peut aussi venir d'un tiers. Le décret de 2019 admet le mandataire, à condition qu'il justifie de son identité, de celle du mandant, et d'un mandat précisant son objet, sa durée et s'il peut recevoir la réponse. Un avocat ou une association de consommateurs entre dans ce cadre.

Vérifier l'identité du demandeur sans bloquer la demande

Envoyer les données de M. Martin à quelqu'un qui se fait passer pour lui est une violation de données. Vérifier l'identité est donc légitime. Mais l'article 12, paragraphe 6, ne l'autorise qu'en cas de doute raisonnable, et la vérification ne doit pas devenir un obstacle.

L'article 77 du décret de 2019 pose la règle française : le demandeur justifie de son identité par tout moyen. La photocopie d'un titre d'identité signé n'est demandée que « lorsque la situation l'exige ». Le CEPD juge disproportionné d'exiger une pièce d'identité d'un utilisateur qui s'est déjà authentifié avec son identifiant et son mot de passe.

Trois réflexes simples :

• la demande vient de l'adresse électronique du compte client : en principe, aucune pièce supplémentaire n'est nécessaire ;
• la demande vient d'une adresse inconnue : posez une ou deux questions de contrôle sur des éléments que seul le client connaît (numéro de commande, date d'inscription) ;
• le doute porte sur l'adresse postale : le décret prévoit l'envoi en recommandé sans avis de réception, la vérification se faisant à la remise du pli.

Si vous demandez une copie de pièce d'identité, supprimez-la une fois la vérification faite. La conserver dans le ticket de support crée un nouveau risque.

Les étapes pour traiter une demande de droit d'accès

Une PME de 40 salariés qui reçoit sa première demande y passe souvent une à deux journées de travail. C'est mon retour d'expérience, aucune norme ne le fixe. Avec une procédure écrite, le temps tombe à quelques heures. Voici la mienne.

1. Enregistrer et dater. Date de réception, canal, demandeur, échéance à un mois. Un simple registre des demandes suffit, il servira de preuve.
2. Qualifier. Accès seul, ou accès plus effacement, rectification, opposition ? Chaque droit a ses règles, et la CNIL vérifie le délai de réponse demande par demande.
3. Vérifier l'identité si un doute existe, en notant la suspension du délai.
4. Rechercher partout. CRM, messagerie, outil de support, facturation, SIRH, outils marketing, journaux d'accès, fichiers partagés. Votre registre des traitements donne la carte des systèmes à interroger. N'oubliez pas les sous-traitants qui hébergent des données pour vous : l'article 28 du RGPD les oblige à vous aider à répondre.
5. Filtrer les données de tiers. Les courriels contiennent les noms et propos d'autres personnes. On masque ce qui porte atteinte à leurs droits, on ne retire pas le document entier.
6. Rédiger la réponse. Données, informations de l'article 15, lexique des codes internes. L'article 80 du décret de 2019 impose d'expliciter codes, sigles et abréviations.
7. Envoyer et archiver. Par voie électronique si la demande est arrivée ainsi, dans un format courant (PDF, CSV). Conservez la preuve de l'envoi et une copie de la réponse.

Conseil d'avocat. Ne laissez pas un salarié du support répondre seul à une demande qui arrive dans un contexte de litige : licenciement, impayé, réclamation client. La demande d'accès sert alors souvent à préparer un procès. La réponse sera relue par l'avocat adverse : chaque donnée oubliée ou chaque masquage injustifié lui servira d'argument.

Limiter ou refuser une demande d'accès : les motifs qui tiennent

Le principe est l'accès complet et gratuit. Les exceptions sont étroites, et c'est à vous de prouver qu'elles s'appliquent.

Le motif du demandeur ne compte pas

Le demandeur n'a pas à expliquer pourquoi il demande ses données. La CJUE l'a jugé le 26 octobre 2023 (C-307/22, FT) au sujet d'un patient qui voulait son dossier pour poursuivre sa dentiste. La première copie était due, gratuitement. Préparer un procès contre vous n'est donc pas, à lui seul, un motif de refus.

En droit du travail, la Cour de cassation a jugé le 18 juin 2025 (Cass. soc., n° 23-19.022) que les courriels émis ou reçus par le salarié sur sa messagerie professionnelle sont des données personnelles. Il y a droit, métadonnées et contenu, sauf atteinte aux droits d'autrui. Ce volet est détaillé dans notre article sur le droit d'accès des salariés à leurs données et à leurs courriels.

Les droits d'autrui et le secret des affaires

L'article 15, paragraphe 4, protège les droits d'autrui : autres personnes citées, secret des affaires, propriété intellectuelle. Il vise la copie. La CNIL a jugé en 2022 qu'il ne permet pas de refuser les informations du paragraphe 1, comme l'identité du courtier qui vous a vendu le fichier. Le considérant 63 du RGPD ajoute que ces considérations ne doivent pas aboutir à refuser toute communication. Quand une explication d'algorithme touche un secret d'affaires, la CJUE impose de soumettre les éléments à la CNIL ou au juge, qui arbitrent (C-203/22).

La demande manifestement infondée ou excessive

L'article 12, paragraphe 5, permet de facturer des frais raisonnables ou de refuser une demande manifestement infondée ou excessive, notamment répétitive. Depuis le 19 mars 2026 (CJUE, C-526/24, Brillen Rottler), une première demande peut être jugée excessive. Le cas est précis : un particulier s'abonnait à des lettres d'information, demandait l'accès treize jours plus tard, puis réclamait au moins 1 000 euros de dommages. La Cour exige que le responsable démontre l'intention de créer artificiellement les conditions d'une réparation. Des demandes similaires rendues publiques peuvent servir d'indice. Le seuil reste élevé : sans dossier de preuves, ne refusez pas.

Ce qui n'est pas un motif

• le volume de données : vous pouvez demander de préciser la demande, pas la refuser ;
• le coût de la recherche : la première copie est gratuite, seules les copies supplémentaires peuvent être facturées ;
• l'existence d'un litige en cours, sauf abus démontré.

Tout refus, même partiel, se notifie dans le mois, avec ses motifs, et rappelle la possibilité de saisir la CNIL et le juge (article 12, paragraphe 4).

Ce que coûte une demande d'accès mal traitée

Les manquements aux articles 12 à 22 relèvent du plafond haut du RGPD : 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial (article 83, paragraphe 5). Les décisions récentes montrent comment la CNIL s'en sert :

• SAN-2026-010 du 21 juillet 2026, EXTIA : 300 000 euros. Une demande d'accès traitée avec plus d'un an de retard, 26 demandes d'effacement traitées avec des mois de retard, deux rappels à la loi en 2024 restés sans suite. La CNIL rappelle que l'effacement automatique des données ne dispense pas de répondre.
• SAN-2022-022 du 30 novembre 2022, un opérateur de télécommunications : 300 000 euros, et une injonction de communiquer l'identité du courtier source sous astreinte de 500 euros par jour.
• SAN-2023-009 du 15 juin 2023, un acteur de la publicité ciblée : 40 millions d'euros pour plusieurs manquements, dont une réponse d'accès incomplète et sans documentation permettant de la comprendre.

Pour les petits dossiers, la CNIL dispose d'une procédure simplifiée (article 22-1 de la loi de 1978) : jusqu'à 20 000 euros d'amende et 100 euros d'astreinte par jour. Depuis le 28 mai 2026, ces plafonds passent à 100 000 euros et 500 euros par jour pour les entreprises dont le chiffre d'affaires mondial dépasse 50 millions d'euros. Ces décisions ne sont pas publiées, ce qui explique qu'on les connaisse mal.

Deux autres risques s'ajoutent. L'article R. 625-11 du code pénal punit l'absence de réponse d'une contravention de 5e classe, soit 7 500 euros pour une société. Et l'article 82 du RGPD ouvre une action en dommages-intérêts, la CJUE précisant en 2026 que le demandeur doit prouver un dommage réel.

Organiser la réponse dans l'entreprise

Une demande d'accès est souvent le premier signe d'un conflit. Trois outils évitent l'improvisation :

• Une adresse dédiée, indiquée dans la politique de confidentialité, et une consigne écrite aux équipes : toute demande qui ressemble à une demande d'accès part vers cette adresse le jour même.
• Un registre des demandes avec date de réception, échéance, réponse et preuve d'envoi. C'est la pièce qui prouve, en cas de plainte, que le délai a été tenu. Notre article pour préparer un contrôle de la CNIL détaille ce que les contrôleurs regardent.
• Des modèles : accusé de réception, demande de précision, prolongation motivée, réponse complète, réponse négative, refus motivé.

Pour les startups et entreprises innovantes, la difficulté tient souvent à l'éparpillement des outils SaaS : dix logiciels, dix exports. Le travail se fait une fois, en cartographiant où vivent les données client, puis chaque demande devient un exercice de routine.

Dans mes missions de mise en conformité RGPD, je rédige la procédure, les modèles et le registre, et je relis les réponses sensibles avant envoi : demande d'un salarié licencié, d'un client en contentieux, d'un concurrent qui avance masqué. Mon double profil d'avocat et de développeur aide à identifier vite où se trouvent les données dans vos outils et ce qu'un export doit contenir.

En résumé

Un mois, une réponse complète, gratuite, compréhensible, et une preuve de l'envoi. Les refus sont possibles mais étroits, et toujours motivés par écrit. Si une demande vient d'arriver et que le contexte est tendu, ne laissez pas courir le délai : échanger sur la demande d'accès que vous venez de recevoir.