Article 15 RGPD : droit d'accès, délais et modèle 2026

L’essentiel. L’article 15 du RGPD donne à toute personne le droit de savoir si vous traitez ses données, d’en obtenir une copie et de recevoir huit informations sur le traitement (finalités, destinataires, durée, source, droits, décision automatisée). Vous devez répondre dans un mois (extensible à trois pour les demandes complexes), gratuitement en principe. Les seules limites tiennent aux droits des tiers et aux demandes manifestement infondées ou excessives. Le manquement relève du plafond haut : jusqu’à 20 M€ ou 4 % du chiffre d’affaires mondial.

L’article 15 du RGPD confère aux personnes un droit d’accès étendu sur leurs données personnelles faisant l’objet d’un traitement. C’est un droit fondamental : il permet à chacun de garder le contrôle sur ses informations et de vérifier la licéité des traitements réalisés. Concrètement, toute personne peut demander à une organisation si elle traite ou non des données la concernant ; et si c’est le cas, exiger d’y accéder. L’article 15 va plus loin en imposant au responsable de traitement de fournir une série d’informations sur les caractéristiques et modalités du traitement. Cet article détaille ces obligations, la procédure de réponse, les délais, les limites, la jurisprudence récente, et vous donne un modèle de réponse à adapter.

Les obligations imposées par l’article 15

Le droit d’accès se décompose en quatre obligations pour le responsable de traitement.

1. Confirmer si des données sont traitées

Le responsable doit indiquer à la personne qui en fait la demande s’il traite ou non des données la concernant. Il ne peut rester évasif ni se réfugier dans le silence : l’absence de réponse est en elle-même un manquement.

2. Donner accès aux données et en fournir une copie

Si des données sont traitées, la personne doit pouvoir y accéder intégralement. Le responsable doit fournir une copie des données. Lorsque la demande est faite par voie électronique, les informations sont fournies sous une forme électronique d’usage courant, sauf demande contraire. Des frais raisonnables, fondés sur les coûts administratifs, peuvent être facturés uniquement pour les copies supplémentaires.

3. Fournir les informations sur le traitement

En plus des données elles-mêmes, le responsable doit communiquer huit catégories d’information :

• les finalités du traitement ;
• les catégories de données traitées ;
• les destinataires ou catégories de destinataires (en particulier hors UE) ;
• la durée de conservation prévue, ou les critères pour la déterminer ;
• l’existence des droits (rectification, effacement, limitation, opposition) ;
• le droit d’introduire une réclamation auprès de la CNIL ;
• la source des données lorsqu’elles n’ont pas été collectées auprès de la personne ;
• l’existence d’une décision automatisée au sens de l’article 22, avec la logique sous-jacente et les conséquences prévues.

En pratique, ces informations recoupent celles du registre des activités de traitement prévu à l’article 30. Un responsable bien organisé peut donc s’appuyer sur son registre pour construire une partie de sa réponse — d’où l’intérêt d’un registre tenu à jour et précis, notamment sur les durées de conservation.

4. Informer des garanties en cas de transfert hors UE

Si les données sont transférées hors de l’Union européenne, la personne doit être informée des garanties encadrant ce transfert conformément à l’article 46 (clauses contractuelles types de 2021, règles d’entreprise contraignantes, etc.).

Le périmètre exact du droit d’accès

Le droit d’accès porte sur toutes les données personnelles concernant le demandeur, quel que soit leur support : base de données CRM, emails le mentionnant, historiques de connexion, enregistrements téléphoniques, notes internes nominatives, données de profilage. La notion de « donnée personnelle » est large : toute information se rapportant à une personne identifiée ou identifiable est concernée, comme le rappelle notre définition des données personnelles.

Deux clarifications jurisprudentielles importantes sont intervenues au niveau européen :

• La notion de « copie ». En 2023, la Cour de justice de l’Union européenne a précisé que la copie doit constituer une reproduction fidèle et intelligible de l’ensemble des données, et qu’elle peut inclure des extraits de documents, voire des documents entiers, lorsque cela est indispensable pour permettre à la personne de comprendre effectivement les données traitées et d’en vérifier l’exactitude.
• L’indifférence du motif. La personne n’a pas à justifier des raisons de sa demande. Le responsable ne peut pas conditionner la réponse à l’explication d’un motif — même si, en pratique, préciser le périmètre recherché peut aider à traiter une demande très large.

Ces principes rejoignent l’exigence de transparence et d’intelligibilité posée par l’article 12, développée dans nos bonnes pratiques de l’article 12.

Comment répondre à une demande d’accès : la procédure

Répondre à une demande d’accès suppose un processus documenté. Voici les étapes clés.

Étape	Point de vigilance	Délai / règle
Réception et horodatage	Tracer la date d’arrivée	Point de départ du délai
Vérification d’identité	Uniquement en cas de doute raisonnable	Ne pas exiger de pièces excessives
Recherche des données	Tous supports, toutes bases	Périmètre exhaustif
Filtrage droits des tiers	Occulter les données de tiers	Art. 15(4)
Rédaction de la réponse	Données + 8 informations	Langage clair (art. 12)
Transmission sécurisée	Canal adapté à la sensibilité	Forme électronique si demande électronique

Le délai : un mois, extensible à trois

Le responsable doit répondre dans un délai d’un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois supplémentaires (soit trois au total) compte tenu de la complexité et du nombre de demandes, à condition d’en informer la personne dans le premier mois en expliquant les motifs. Le dépassement du délai est l’un des manquements les plus fréquemment sanctionnés.

La vérification d’identité

Le responsable peut vérifier l’identité du demandeur uniquement en cas de doute raisonnable. Il ne peut exiger de manière systématique une copie de pièce d’identité : cette exigence doit rester proportionnée. Demander des justificatifs excessifs pour dissuader ou retarder la demande constitue un manquement.

La gratuité et ses exceptions

La réponse est en principe gratuite. Le responsable ne peut facturer que les copies supplémentaires, sur la base des coûts administratifs réels. Il peut aussi refuser de donner suite, ou facturer, uniquement lorsque les demandes sont manifestement infondées ou excessives, notamment par leur caractère répétitif — la charge de la preuve de ce caractère excessif pèsant sur lui.

Les limites du droit d’accès

Le droit d’accès n’est pas absolu. L’article 15(4) prévoit que la copie ne doit pas porter atteinte aux droits et libertés d’autrui. Concrètement, si un document contient à la fois les données du demandeur et celles de tiers (autres clients, autres salariés), le responsable doit occulter ou anonymiser les données des tiers avant transmission. Cette limite ne peut toutefois pas servir de prétexte pour refuser globalement l’accès : elle impose un travail de tri, pas un refus de principe.

D’autres limites existent pour les données sensibles relevant de l’article 9 — non pas pour restreindre l’accès de la personne à ses propres données, mais pour renforcer les précautions lors de la transmission. Enfin, des restrictions spécifiques peuvent résulter de textes sectoriels (secret de l’instruction, secret des affaires opposable à un tiers, etc.).

Deux sanctions marquantes de la CNIL

Le non-respect du droit d’accès est lourdement sanctionné : l’amende peut atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial (plafond haut de l’article 83(5)). Deux décisions illustrent bien les manquements typiques.

Sanction Free (300 000 €)

Cette affaire vise spécifiquement un manquement au droit d’accès. La CNIL avait été saisie par plusieurs personnes faisant état de difficultés dans l’exercice de ce droit, alors que leurs demandes avaient bien été reçues. La CNIL a constaté que la société n’avait pas donné suite dans les délais, ou avait apporté une réponse incomplète s’agissant de la source des données.

Le raisonnement est instructif : la formation restreinte a estimé que le refus de communiquer l’identité du courtier auprès duquel les données avaient été obtenues — en se limitant à la « source primaire » de la collecte — revenait à empêcher la personne de vérifier la licéité du traitement et des transmissions déjà effectuées. Disposer de l’identité précise de la source est nécessaire pour permettre à la personne d’exercer ses droits, en particulier le droit d’opposition selon le type de prospection commerciale mis en œuvre. Le manquement était donc constitué.

Sanction Criteo (40 M€)

Criteo a fait l’objet d’une sanction de 40 millions d’euros pour plusieurs manquements au RGPD, dont des violations du droit d’accès. En l’espèce, la société avait bien répondu aux demandes, mais les informations transmises n’étaient pas conformes : la CNIL a estimé que l’information fournie n’était pas intelligible, la société se contentant d’une description sommaire des traitements, laissant l’utilisateur dans l’incertitude quant aux données réellement traitées.

En ne communiquant pas l’intégralité des données et en ne mettant pas à disposition une documentation permettant de comprendre ces données, la société a manqué à ses obligations au titre des articles 12 et 15. La leçon est claire : répondre partiellement, ou de façon inintelligible, équivaut à ne pas respecter le droit d’accès.

Modèle de réponse à une demande de droit d’accès

Voici une trame de réponse à adapter.

Objet : Réponse à votre demande d’accès (article 15 du RGPD)

Madame, Monsieur,

Nous accusons réception de votre demande d’accès reçue le [date]. Après vérification, nous confirmons que [Société] traite des données personnelles vous concernant.

Vos données. Vous trouverez en pièce jointe une copie des données que nous détenons : [catégories : identité, coordonnées, historique de commandes, données de connexion, etc.].

Informations sur le traitement. – Finalités : [finalités] ; – Catégories de données : [catégories] ; – Destinataires : [catégories de destinataires, transferts hors UE le cas échéant] ; – Durée de conservation : [durée ou critères] ; – Source des données : [origine, si collecte indirecte] ; – Décision automatisée : [existence, logique et conséquences, le cas échéant].

Vos droits. Vous disposez des droits de rectification, d’effacement, de limitation et d’opposition, ainsi que du droit d’introduire une réclamation auprès de la CNIL.

Nous restons à votre disposition pour toute précision.

Modèle indicatif fourni à titre documentaire — ne constitue pas un conseil juridique. À adapter à votre contexte avant usage. Version 1.0 — juillet 2026.

Pour une procédure complète, gabarits et registre de suivi des demandes, voir notre guide répondre à une demande de droit d’accès. Les PME et associations trouveront un angle dédié dans notre guide de l’article 15 pour PME et associations.

Bonnes pratiques pour industrialiser le traitement des demandes

• Un point d’entrée unique (adresse dédiée, formulaire) pour horodater et tracer chaque demande.
• Un registre des demandes consignant date de réception, périmètre, date de réponse, prolongation éventuelle.
• Des extractions préparées pour les systèmes les plus fréquemment concernés (CRM, support, facturation).
• Une procédure de tri des tiers documentée, pour occulter proprement les données d’autrui.
• Une base légale et une durée clairement établies en amont pour chaque traitement, afin d’alimenter la réponse sans reconstruction.

Cette structuration — traçabilité des demandes, alignement sur le registre, respect des délais — est exactement le type de processus qu’un logiciel RGPD permet d’industrialiser, du point d’entrée jusqu’à la réponse documentée.

Ce qu’il faut retenir

• L’article 15 permet à toute personne d’obtenir la confirmation d’un traitement, une copie de ses données et huit informations sur le traitement.
• Le délai de réponse est d’un mois, extensible à trois pour les demandes complexes, en principe gratuit.
• La copie doit être une reproduction fidèle et intelligible ; une réponse partielle ou incompréhensible est un manquement (affaire Criteo).
• La source des données doit être précise, y compris l’identité du courtier en cas de collecte indirecte (affaire Free).
• Les seules limites tiennent aux droits des tiers (art. 15(4)) et aux demandes manifestement infondées ou excessives.

FAQ

Quel est le délai pour répondre à une demande d’accès ?

Un mois à compter de la réception. Ce délai peut être prolongé de deux mois supplémentaires (trois au total) pour les demandes complexes ou nombreuses, à condition d’informer la personne dans le premier mois en motivant la prolongation. Le silence ou le dépassement non justifié constitue un manquement fréquemment sanctionné.

Peut-on facturer une réponse à une demande de droit d’accès ?

Non, la première copie est gratuite. Le responsable ne peut facturer des frais raisonnables que pour les copies supplémentaires, sur la base des coûts administratifs réels. Il peut refuser ou facturer une demande uniquement lorsqu’elle est manifestement infondée ou excessive (par exemple répétitive), et c’est à lui de le démontrer.

Faut-il vérifier l’identité du demandeur ?

Seulement en cas de doute raisonnable sur l’identité. La vérification doit rester proportionnée : exiger systématiquement une pièce d’identité, ou des justificatifs excessifs, pour retarder ou dissuader la demande, est contraire au RGPD. L’objectif est d’éviter de communiquer des données à un tiers, pas d’ériger un obstacle.

Le droit d’accès inclut-il les emails et notes internes qui me mentionnent ?

Oui, dès lors qu’ils contiennent des données personnelles vous concernant. Le périmètre couvre tous les supports. Le responsable doit toutefois occulter les données de tiers présentes dans ces documents (art. 15(4)) et peut, dans certains cas, opposer d’autres droits ou secrets protégés par la loi. Cela impose un travail de tri, pas un refus global.

Peut-on refuser une demande de droit d’accès ?

Le refus n’est possible que dans des cas limités : demande manifestement infondée ou excessive, atteinte disproportionnée aux droits de tiers, ou restriction prévue par un texte spécifique. Le responsable doit motiver son refus et informer la personne de la possibilité d’introduire une réclamation auprès de la CNIL et d’un recours juridictionnel. Un refus non motivé expose à des sanctions au titre du plafond haut.

Quelle base légale doit être communiquée dans la réponse ?

L’article 15 impose de communiquer les finalités, et l’esprit de transparence conduit à préciser la base légale associée à chaque finalité (consentement, contrat, obligation légale, intérêt légitime, etc.). Cette information découle du recoupement entre l’article 15 et les articles 13-14, et permet à la personne de vérifier la licéité du traitement.

Le détail de l’article 15

Article 15 — Droit d’accès de la personne concernée

1. La personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel ainsi que les informations suivantes : a) les finalités du traitement ; b) les catégories de données à caractère personnel concernées ; c) les destinataires ou catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées, en particulier les destinataires qui sont établis dans des pays tiers ou les organisations internationales ; d) lorsque cela est possible, la durée de conservation des données à caractère personnel envisagée ou, lorsque ce n’est pas possible, les critères utilisés pour déterminer cette durée ; e) l’existence du droit de demander au responsable du traitement la rectification ou l’effacement de données à caractère personnel, ou une limitation du traitement des données à caractère personnel relatives à la personne concernée, ou du droit de s’opposer à ce traitement ; f) le droit d’introduire une réclamation auprès d’une autorité de contrôle ; g) lorsque les données à caractère personnel ne sont pas collectées auprès de la personne concernée, toute information disponible quant à leur source ; h) l’existence d’une prise de décision automatisée, y compris un profilage, visée à l’article 22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la logique sous-jacente, ainsi que l’importance et les conséquences prévues de ce traitement pour la personne concernée.
2. Lorsque les données à caractère personnel sont transférées vers un pays tiers ou à une organisation internationale, la personne concernée a le droit d’être informée des garanties appropriées, en vertu de l’article 46, en ce qui concerne ce transfert.
3. Le responsable du traitement fournit une copie des données à caractère personnel faisant l’objet d’un traitement. Le responsable du traitement peut exiger le paiement de frais raisonnables basés sur les coûts administratifs pour toute copie supplémentaire demandée par la personne concernée. Lorsque la personne concernée présente sa demande par voie électronique, les informations sont fournies sous une forme électronique d’usage courant, à moins que la personne concernée ne demande qu’il en soit autrement.
4. Le droit d’obtenir une copie visé au paragraphe 3 ne porte pas atteinte aux droits et libertés d’autrui.

---

Thiébaut Devergranne, docteur en droit (Paris II, 2007), est le fondateur de donneespersonnelles.fr et de Legiscope, logiciel de conformité RGPD. Il forme des DPO et accompagne des entreprises en mise en conformité depuis plus de vingt ans.