Article 15 RGPD : accès, copie et réponse complète
Article 15 RGPD : données à fournir, destinataires, délai d'un mois et droits des tiers. Préparez une réponse intelligible et documentée.
L’Article 15 du RGPD donne accès aux données personnelles effectivement traitées, avec les informations permettant de comprendre leur utilisation. Envoyer votre politique de confidentialité ou une liste de catégories ne remplace pas la copie des données du demandeur.
Pour l’organisme, la difficulté consiste à retrouver les données, les expliquer et protéger les autres personnes sans rendre la réponse inutilisable. Voici le périmètre juridique et une grille de préparation ; notre procédure de réponse au droit d’accès détaille l’organisation du dossier.
Ce que contient une réponse fondée sur l’Article 15
Le texte des Art. 12 et 15 distingue plusieurs éléments :
- confirmer si des données concernant la personne sont traitées ;
- donner accès à ces données et en fournir une copie ;
- préciser les finalités, catégories de données, destinataires, durée ou critères de conservation ;
- informer sur les droits de rectification, effacement, limitation ou opposition, et sur la réclamation auprès d’une autorité ;
- donner toute information disponible sur la source lorsque les données ne viennent pas de la personne ;
- indiquer, dans les cas visés à l’Art. 15(1)(h), la décision automatisée, les informations utiles sur sa logique et ses conséquences ;
- en cas de transfert vers un pays tiers ou une organisation internationale, informer sur les garanties de l’Art. 46, conformément à l’Art. 15(2).
Adaptez ces informations aux traitements de la personne. Une description générique de toutes les activités possibles de l’entreprise ne suffit pas à lui expliquer son propre dossier.
Fournir une copie intelligible
Dans l’arrêt du 4 mai 2023, C-487/21, la CJUE distingue les données du document qui les contient. Une copie d’extrait, voire du document entier, est nécessaire lorsqu’elle est indispensable à l’exercice effectif des droits. La reproduction doit rester fidèle et compréhensible ; le droit ne se réduit donc ni à obtenir automatiquement tous les documents ni à recevoir un simple résumé. Arrêt C-487/21, notamment points 32, 44 et 45, reproduits dans la synthèse CNIL.
Exemple hypothétique : un export fournit un code de risque « R7 » et une date. Ajoutez la signification du code, son contexte et les données correspondantes. Un fichier techniquement lisible mais impossible à interpréter ne permet pas de comprendre le traitement.
Les courriels, notes et historiques peuvent contenir des données concernant le demandeur. Leur caractère interne ne les exclut pas, à lui seul, du périmètre. Vérifiez les systèmes réellement utilisés avec les métiers et les sous-traitants.
Identifier les destinataires et examiner les données de tiers
La personne doit pouvoir obtenir l’identité des destinataires spécifiques lorsque cela est possible, plutôt que se voir imposer systématiquement des catégories. La CJUE l’a précisé le 12 janvier 2023, C-154/21, points 36 et 51 : voyez le texte de l’arrêt. Notre fiche aide à identifier les destinataires d’une réponse d’accès.
L’Art. 15(4) protège les droits et libertés d’autrui. Cela appelle une mise en balance concrète, pas l’effacement automatique de tous les noms de tiers. Une extraction ciblée ou une occultation peut permettre la communication ; un refus global exige une justification. Utilisez la grille d’occultation des données de tiers et vérifiez que le résultat reste compréhensible.
Délai, identité et frais
L’Art. 12(3) impose d’agir dans les meilleurs délais, au plus tard un mois après réception. Une prolongation de deux mois peut être nécessaire compte tenu de la complexité et du nombre de demandes ; informez la personne de cette prolongation et de ses motifs pendant le premier mois.
En cas de doute raisonnable sur l’identité, l’Art. 12(6) autorise à demander les informations supplémentaires nécessaires pour la confirmer. Évitez la copie systématique d’une pièce d’identité lorsque les informations disponibles suffisent déjà.
La première copie est en principe gratuite. Les copies supplémentaires peuvent donner lieu à des frais raisonnables fondés sur les coûts administratifs, selon l’Art. 15(3). L’Art. 12(5) prévoit aussi, pour une demande manifestement infondée ou excessive, des frais raisonnables ou un refus : l’organisme doit démontrer cette qualification. Le seul coût de la recherche ne la remplace pas.
Un refus doit être expliqué dans les conditions de l’Art. 12(4), avec les possibilités de réclamation et de recours. D’autres restrictions peuvent découler d’un texte satisfaisant aux conditions de l’Art. 23 ; les droits des tiers ne sont donc pas la seule limite juridique possible.
Trois réponses comparées à une même demande
Pour appliquer ces règles, prenons une demande entièrement fictive : Lina écrit depuis son espace client le 6 octobre pour obtenir les données et informations relatives à son dossier de réparation SAV-43. L’identité est déjà établie sans doute raisonnable. Le périmètre est expressément limité à ce dossier ; il ne faut pas réduire ainsi une demande qui porterait sur l’ensemble des traitements de la personne.
Réponse A : la notice générale
L’entreprise répond : « Nous traitons vos coordonnées pour assurer le service après-vente ; consultez notre politique de confidentialité. » La finalité est annoncée, mais Lina ne reçoit ni ses données ni leur historique. Elle ignore notamment qu’un commentaire a été enregistré sur sa contestation du prix. Même une notice parfaitement rédigée ne remplit pas l’obligation de copie de l’Art. 15(3).
Réponse B : l’export brut
Le service informatique produit une ligne contenant SAV-43, G2, C-821 et 14/09. Il joint un fichier de tous les clients pour que Lina puisse « retrouver sa ligne ». Deux difficultés distinctes apparaissent : les codes ne permettent pas de comprendre le dossier et le fichier commun communique inutilement les données des autres clients. Un export volumineux n’est pas, pour cette seule raison, une réponse complète et licite.
La bonne correction n’est pas de retirer toute la pièce. Il faut isoler les données de Lina, expliquer les codes utilisés et conserver le contexte nécessaire. Une occultation doit être vérifiée sur le fichier effectivement remis, y compris son texte extractible et les éventuelles feuilles supplémentaires.
Réponse C : copie expliquée et information propre au dossier
La préparation révèle les éléments suivants. Ce tableau est un extrait rempli, destiné à illustrer la copie ; il ne prétend pas remplacer des données supplémentaires qui existeraient réellement.
| Élément enregistré dans SAV-43 | Restitution compréhensible |
|---|---|
| C-821 | Identifiant du compte de Lina, avec les coordonnées effectivement enregistrées dans la copie jointe |
| Demande du 8 septembre | Texte intégral de sa demande et référence de l’appareil concerné |
| G2, attribué le 10 septembre | Statut « facturation contestée », placé manuellement après son courriel |
| Commentaire du 10 septembre | « La cliente conteste le montant du diagnostic » ; copie de cette appréciation avec sa date et le service auteur |
| Date du 14 septembre | Date d’envoi de la réponse au client, et non date de clôture de la contestation |
| Transmission du 9 septembre | Données du dossier envoyées au réparateur identifié, avec le périmètre établi par le bordereau |
| Courriel du réparateur du 11 septembre | Extrait conservant les observations sur l’appareil et la demande de Lina ; coordonnées privées d’un tiers sans rapport retirées après analyse |
Le commentaire est communiqué comme une mention enregistrée par l’entreprise. La réponse ne le présente pas comme une vérité reconnue par Lina. Celle-ci peut ainsi comprendre son utilisation et, si nécessaire, exercer son droit de rectification. Il ne faut pas réécrire discrètement l’historique pour améliorer l’apparence du dossier avant de répondre.
La copie est accompagnée d’une fiche expliquant les finalités réellement poursuivies, les catégories, les destinataires identifiés et les durées ou critères applicables à ce dossier. Elle précise aussi la source des observations venant du réparateur, les droits et la réclamation. Si aucune décision automatisée visée par l’Art. 15(1)(h) n’existe dans ce scénario, l’entreprise ne décrit pas un algorithme imaginaire : elle explique que le statut G2 a été posé manuellement.
Le dossier de remise indique, par exemple : « Nous vous transmettons la copie des données retrouvées dans SAV-43, les échanges nécessaires à leur compréhension et une fiche sur les traitements correspondants. Certaines coordonnées privées étrangères à votre dossier ont été retirées ; les observations vous concernant sont conservées. » Cet extrait accompagne les pièces : il ne suffit pas à lui seul comme réponse complète.
Quand une pièce manque encore
Supposons que le réparateur n’ait pas encore retourné la copie d’un échange identifié. L’entreprise ne doit pas remplacer cette inconnue par « aucune autre donnée ». Elle relance la recherche et note précisément le document attendu, son détenteur et les démarches effectuées. Si ce réparateur intervient comme sous-traitant, l’assistance à l’exercice des droits fait partie de l’Art. 28(3)(e).
Une transmission partielle utile n’efface pas ce volet en cours et ne crée pas un nouveau délai d’un mois. La demande du 6 octobre doit être traitée dans les meilleurs délais, avec une échéance de principe au 6 novembre dans cet exemple. Si les conditions d’une prolongation sont effectivement réunies, ses motifs et sa durée doivent être communiqués dans le premier mois. Le seul retard interne d’un interlocuteur ne vaut pas prolongation automatique.
La clôture du dossier de réponse intervient après rapprochement du périmètre demandé, des recherches et des pièces remises. Une mention « export généré » prouve seulement une étape technique. Il reste à vérifier la lisibilité, l’identité du destinataire, la disponibilité du fichier transmis et les restrictions précisément expliquées.
Grille de préparation de la réponse
Cette grille est une aide de travail, à renseigner avec les résultats réels de la recherche.
| Partie du dossier | Vérification avant envoi |
|---|---|
| Réception | Date, canal, périmètre compris et échéance |
| Recherche | Applications, équipes et prestataires sollicités ; résultats obtenus |
| Copie | Données complètes dans le périmètre, codes expliqués, format utilisable |
| Information | Chaque rubrique de l’Art. 15(1), et garanties de transfert si concerné |
| Restrictions | Motif précis, données affectées, alternative de communication examinée |
| Envoi | Destinataire vérifié, moyen de transmission adapté, preuve de réponse |
Le registre des traitements aide à localiser les traitements. Il ne contient généralement pas, à lui seul, les données individuelles à communiquer. Une réponse type doit être complétée par la copie et les informations exactes, et non expédiée vide comme un accusé de réception définitif.
Ce qu’il faut retenir
- La réponse combine confirmation, copie des données et informations sur leur traitement.
- Une copie doit rester intelligible, avec le contexte nécessaire.
- Les destinataires et les occultations demandent une analyse concrète.
- Délai, prolongation, frais et refus sont encadrés par des dispositions distinctes.
FAQ
La personne doit-elle expliquer pourquoi elle demande ses données ?
Non. L’arrêt C-307/22 du 26 octobre 2023, points 38 et 43, reproduit dans la synthèse CNIL citée, confirme que la fourniture d’une première copie n’est pas subordonnée à un motif justificatif.
Faut-il transmettre tous les documents qui citent son nom ?
Le droit porte sur les données personnelles traitées. Des extraits ou documents entiers doivent être fournis lorsque leur contexte est indispensable à l’exercice effectif des droits, en tenant compte des droits d’autrui.
Un litige avec le demandeur permet-il de refuser ?
L’existence d’un litige ne supprime pas le droit d’accès. Analysez la demande et les restrictions juridiquement applicables ; ne remplacez pas cette analyse par un refus de principe.
Recevez nos analyses pratiques de conformité dans la newsletter.
Thiébaut Devergranne, docteur en droit, travaille depuis plus de vingt ans sur le droit du numérique et la protection des données. Il est le fondateur de Legiscope.