Article 15 RGPD : contenu et copie du droit d’accès
Article 15 RGPD : informations à fournir, copie intelligible, destinataires et protection des tiers. Une grille pour vérifier votre réponse.
- Les informations à réunir
- Fournir une copie fidèle et intelligible
- Identifier les destinataires
- Protéger les tiers sans vider la copie de son sens
- Délais, identité et gratuité
- Une structure de réponse utilisable
- Organiser la collecte des réponses internes
- Cas fictif : une association possède plusieurs traces d’une adhésion
- Faire une dernière lecture du point de vue du demandeur
- Ce qu’il faut retenir
- FAQ
Répondre à un droit d’accès demande deux livrables : les données concernant la personne et les informations sur leur traitement. Envoyer une politique de confidentialité ou un extrait du profil client ne répond pas nécessairement à la demande. L’article 15 permet de vérifier ce qui doit être fourni.
Les informations à réunir
L’Art. 15(1) prévoit la confirmation qu’un traitement existe, puis l’accès aux données et aux informations qu’il énumère. L’Art. 15(2) ajoute, en cas de transfert vers un pays tiers ou une organisation internationale, l’information sur les garanties appropriées de l’article 46. Source : RGPD, Art. 15.
| Élément | Référence | Contrôle de la réponse |
|---|---|---|
| Confirmation et données | Art. 15(1), (3) | Les recherches couvrent-elles les traitements visés ? |
| Finalités | Art. 15(1)(a) | Correspondent-elles aux usages réels ? |
| Catégories de données | Art. 15(1)(b) | Sont-elles cohérentes avec la copie ? |
| Destinataires | Art. 15(1)(c) | Les destinataires identifiables ont-ils été recherchés ? |
| Durée ou critères | Art. 15(1)(d) | La réponse dépasse-t-elle une formule générale ? |
| Droits | Art. 15(1)(e) | Rectification, effacement, limitation et opposition sont-ils expliqués selon leur portée ? |
| Réclamation | Art. 15(1)(f) | La possibilité de saisir l’autorité est-elle indiquée ? |
| Source en collecte indirecte | Art. 15(1)(g) | Toute information disponible sur l’origine est-elle fournie ? |
| Décisions automatisées visées | Art. 15(1)(h) | Informations utiles sur logique, importance et conséquences prévues |
| Garanties de transfert | Art. 15(2) | Les garanties pertinentes de l’Art. 46 sont-elles expliquées ? |
La réponse doit être liée aux données de la personne. Copier des rubriques applicables à tous les clients sans vérifier leur pertinence ne suffit pas.
Fournir une copie fidèle et intelligible
L’Art. 15(3) prévoit une copie des données faisant l’objet d’un traitement. La CJUE a précisé, le 4 mai 2023 dans l’affaire C-487/21, qu’il s’agit d’une reproduction fidèle et intelligible ; des extraits de documents, voire des documents entiers, peuvent être nécessaires à la compréhension. Ce n’est pas un droit général d’obtenir tous les documents sans examiner les données concernées. Source : communiqué officiel sur C-487/21.
Pour une demande électronique, le règlement prévoit une forme électronique d’usage courant, sauf demande contraire. Il n’impose pas une conversion universelle en CSV, ni une reconnaissance de caractères obligatoire pour toute image numérisée. Vérifiez concrètement lisibilité, intelligibilité et accessibilité : un fichier inexploitable ou des codes inexpliqués peuvent faire obstacle au droit.
Le guide de préparation d’une réponse d’accès organise la recherche, la compilation et l’envoi. Le format plus spécifique de la portabilité de l’article 20 relève d’un autre droit.
Identifier les destinataires
Dans l’affaire C-154/21 du 12 janvier 2023, la CJUE précise que la personne a en principe le droit de connaître les destinataires concrets. La communication des seules catégories peut être admise lorsqu’il est impossible d’identifier les destinataires ou lorsque la demande est manifestement infondée ou excessive, ce que l’organisme doit démontrer. Source : communiqué officiel sur C-154/21.
Ne remplacez donc pas automatiquement les noms disponibles par « partenaires ». La méthode de recherche de l’identité des destinataires aide à rapprocher historiques d’envoi, contrats et opérations réelles.
Protéger les tiers sans vider la copie de son sens
L’Art. 15(4) protège les droits et libertés d’autrui. Il demande une appréciation concrète, pas l’occultation automatique de tous les noms autres que celui du demandeur. Il faut notamment examiner ce que la communication révélerait et les moyens de protéger les tiers tout en préservant l’accès utile.
Exemple hypothétique : une note d’évaluation contient des données sur le demandeur et une information médicale sans rapport sur un collègue. Cette dernière peut être occultée sans supprimer l’évaluation entière. La méthode d’occultation des informations de tiers propose une grille d’examen.
Le CEPD explique que la protection des tiers appelle une mise en balance et des mesures adaptées, sans refus global automatique. Source : lignes directrices 01/2022, version 2.1.
Délais, identité et gratuité
L’Art. 12(3) exige une réponse sans tarder et dans le mois suivant la réception. Une prolongation de deux mois est possible si nécessaire au regard de la complexité et du nombre de demandes ; elle doit être expliquée dans le premier mois.
L’Art. 12(6) autorise des informations supplémentaires nécessaires lorsqu’il existe des doutes raisonnables sur l’identité. Une pièce d’identité n’est donc pas une condition systématique. Utilisez une vérification d’identité proportionnée.
La gratuité est le principe. L’Art. 15(3) permet des frais raisonnables pour des copies supplémentaires ; l’Art. 12(5) prévoit, sous preuve à la charge du responsable, des frais raisonnables ou un refus pour une demande manifestement infondée ou excessive. Une première copie ne peut donc pas être présentée comme payante par défaut, ni comme échappant à toute exception imaginable. Source : RGPD, Art. 12 et 15.
Une structure de réponse utilisable
Préparez une réponse en quatre parties :
- Périmètre et confirmation : rappeler la demande, les traitements concernés et l’existence ou non des données recherchées.
- Informations sur le traitement : compléter les rubriques du tableau avec les faits pertinents.
- Copie et explications : remettre les données, préciser les formats et expliquer les codes ou limites nécessaires.
- Suites et contacts : préciser les droits applicables et, en cas de refus total ou partiel, les motifs et possibilités de réclamation et de recours conformément à l’Art. 12(4).
Ne déclarez pas avoir recherché « tous les systèmes » si certains n’ont pas été examinés. Documentez les sources consultées, les difficultés, les arbitrages et l’envoi effectif. Pour retrouver des comptes devenus difficiles à rapprocher, la procédure sur les anciens identifiants dans une demande d’accès complète cette démarche.
Organiser la collecte des réponses internes
Avant d’extraire des données, reformulez la demande pour les équipes qui devront rechercher les informations. Identifiez la personne avec les éléments disponibles et pertinents, les traitements visés et les éventuelles précisions déjà reçues. Une demande exprimée sans vocabulaire juridique peut parfaitement relever du droit d’accès. L’objectif est de la comprendre, pas d’imposer un formulaire comme condition générale.
Adressez ensuite une consigne adaptée à chaque détenteur d’informations. L’équipe commerciale peut rechercher les échanges et le dossier client ; l’administrateur retrouve les données du compte ; le responsable d’un événement vérifie les inscriptions et communications correspondantes. Ces exemples de répartition ne limitent pas le périmètre légal : il faut rechercher les données effectivement traitées dans la situation examinée.
Pour suivre ce travail, vous pouvez utiliser un tableau de collecte distinct de la réponse destinée à la personne :
| Suivi interne proposé | Utilité pour préparer la réponse |
|---|---|
| Source examinée et interlocuteur | Retrouver qui a effectué la recherche |
| Identifiants et critères utilisés | Comprendre le périmètre et repérer un ancien compte oublié |
| Résultat ou difficulté | Distinguer absence de donnée retrouvée et recherche encore impossible |
| Données à expliquer | Identifier les codes, scores ou commentaires qui nécessitent du contexte |
| Limitation envisagée | Faire examiner son fondement et une solution moins restrictive |
Ce tableau est une méthode de travail, pas une pièce que le règlement impose systématiquement de remettre. Il évite surtout qu’une absence de retour d’un service soit interprétée comme une confirmation qu’il ne détient aucune donnée.
Cas fictif : une association possède plusieurs traces d’une adhésion
L’association fictive Primevère reçoit la demande d’une ancienne adhérente qui souhaite accéder aux données la concernant. Le logiciel d’adhésion contient ses coordonnées et un code de statut. L’équipe chargée d’un atelier conserve des échanges sur sa participation. Le trésorier retrouve une référence de paiement. Un ancien identifiant pourrait également correspondre à cette personne, mais le rapprochement reste à vérifier.
Envoyer seulement la fiche du logiciel laisserait de côté les autres sources identifiées. Primevère organise donc les recherches et demande l’explication du code de statut. Elle ne fusionne pas le dossier avec un homonyme sur la seule ressemblance des noms. Elle utilise les éléments pertinents dont elle dispose et examine si des informations supplémentaires sont nécessaires dans les conditions de l’Art. 12(6).
La réponse préparée doit aussi expliquer les finalités et les durées correspondant à ces données, plutôt que reproduire une durée unique pour toute l’association. Si un échange contient des données de tiers, l’examen porte sur ce qui peut être communiqué et sur la manière de préserver une copie intelligible. La présence d’un autre nom ne déclenche pas un refus global.
Aucun résultat de recherche réel n’est affirmé ici. L’exemple montre pourquoi le périmètre d’une réponse dépend des traitements et des sources, même dans une petite structure.
Faire une dernière lecture du point de vue du demandeur
Avant l’envoi, ouvrez les fichiers préparés et rapprochez-les du courrier d’accompagnement. La copie contient-elle les données annoncées ? Une légende explique-t-elle les codes utilisés ? Une pièce jointe évoquée est-elle effectivement présente ? Les informations sur les destinataires concordent-elles avec les transmissions retrouvées ?
Contrôlez ensuite les limitations retenues et leur motivation. Une occultation peut protéger une information sans rendre toute la phrase incompréhensible. Si la réponse est partielle, exposez les motifs pertinents et les voies prévues par l’Art. 12(4). Un simple renvoi à la confidentialité ne permet pas d’expliquer l’arbitrage réalisé.
Choisissez enfin un moyen de remise adapté à la sensibilité des données et vérifiez le destinataire. Conservez la version effectivement envoyée et les éléments utiles au suivi, avec des accès et une conservation adaptés. Si une erreur apparaît ensuite, traitez-la et expliquez la correction nécessaire ; l’existence d’un premier envoi ne démontre pas que toutes les obligations ont été satisfaites.
Ce qu’il faut retenir
- La réponse contient les données et les informations prévues par l’article 15.
- La copie doit être fidèle et intelligible ; aucun format unique ne convient à tous les dossiers.
- Recherchez les destinataires concrets et motivez les limitations.
- Protégez les tiers par des mesures adaptées, sans occultation ou refus systématiques.
FAQ
Une politique de confidentialité suffit-elle comme réponse ?
Non. Elle peut fournir une partie du contexte, mais ne remplace pas la recherche et la copie des données concernant le demandeur ni les informations pertinentes pour ses traitements.
Faut-il transmettre les documents entiers ?
Lorsque cela est nécessaire pour restituer les données de façon fidèle et intelligible, oui. Dans d’autres cas, un extrait ou une autre présentation peut suffire, sous réserve de préserver le sens.
Un litige permet-il de refuser l’accès ?
L’existence d’un litige n’est pas, à elle seule, un motif de refus. Examinez la demande et les exceptions applicables sans exiger systématiquement que la personne justifie son objectif.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.