Article 15 RGPD 2026 : droit d'accès + modèle de réponse

L’essentiel. L’article 15 du RGPD donne à toute personne le droit de savoir si une organisation traite ses données personnelles, d’y accéder et d’en obtenir une copie gratuite. Vous devez répondre dans un délai d’un mois (prolongeable de deux mois pour les demandes complexes), fournir une copie fidèle des données et les informations de contexte (finalités, durée, destinataires, source, existence d’une décision automatisée). Le non-respect est lourdement sanctionné : la CNIL en a fait une priorité de contrôle. Cet article vous donne un modèle de réponse prêt à l’emploi.

Le droit d’accès est le plus exercé de tous les droits RGPD — et le plus mal géré par les organisations. Une demande arrive par e-mail, personne ne sait qui doit la traiter, le délai d’un mois s’écoule, et l’entreprise se retrouve exposée à une plainte. Pourtant, avec une procédure claire et un modèle de réponse, répondre devient une routine maîtrisée. Ce guide décortique le texte, l’éclaire à la lumière de la jurisprudence de la CJUE et des sanctions de la CNIL, puis vous fournit un modèle directement réutilisable.

Points clés

• L’article 15 permet à toute personne de demander si une organisation traite ses données, d’y accéder et d’obtenir une copie.
• Le droit d’accès est étendu : il inclut la copie des données et des informations de contexte (finalités, durée, destinataires, source, décisions automatisées).
• La première copie est gratuite — la jurisprudence européenne l’a confirmé.
• Le délai de réponse est d’un mois, prolongeable de deux mois pour les demandes complexes (avec information de la personne).
• Le non-respect expose à des sanctions réelles : la CNIL a sanctionné plusieurs grands groupes pour une mauvaise gestion du droit d’accès.

L’article 15 du RGPD décrypté

L’article 15 est la pierre angulaire de la transparence : il ne se contente pas de donner un droit à la personne, il impose une obligation de clarté à l’organisation.

Le cœur du texte réside dans son paragraphe 1. Il établit un droit double : obtenir la confirmation que des données sont traitées, puis y accéder. Mais cet accès va bien au-delà d’une simple lecture : l’organisme doit fournir un panorama complet — les finalités (pourquoi ?), les catégories de données (quoi ?), les destinataires (à qui ?), la durée de conservation, la source des données et l’existence éventuelle d’une décision automatisée.

Le paragraphe 3 concrétise ce droit par l’obligation de fournir une copie des données. Point crucial confirmé par la jurisprudence : la première copie est toujours gratuite. La copie ne peut se faire sous n’importe quelle forme : pour des données structurées (bases de données), on privilégie des formats comme CSV, JSON ou XML ; pour des documents non structurés (contrats, courriels), un PDF au texte extractible est acceptable. Une simple image numérisée sans reconnaissance de caractères (OCR) n’est pas conforme.

Enfin, le droit d’accès n’est pas absolu. Le paragraphe 4 pose une limite : la copie ne doit pas « porter atteinte aux droits et libertés d’autrui ». Le responsable de traitement doit donc protéger les secrets d’affaires et les données de tiers présentes dans les documents — d’où le caviardage, sur lequel nous reviendrons.

L’article 15 n’est pas qu’un droit d’accès : c’est un droit à la transparence totale sur le cycle de vie des données.

Ce que vous devez fournir (checklist de l’article 15.1)

Une réponse conforme ne se limite pas à joindre les données. Elle doit contenir l’ensemble des informations suivantes.

Élément à fournir	Base	Détail
Confirmation du traitement	Art. 15.1	Oui/non, des données sont-elles traitées ?
Finalités	Art. 15.1(a)	Pourquoi les données sont-elles traitées ?
Catégories de données	Art. 15.1(b)	Quels types de données ?
Destinataires	Art. 15.1©	À qui les données sont-elles communiquées ?
Durée de conservation	Art. 15.1(d)	Combien de temps, ou les critères pour la déterminer
Rappel des droits	Art. 15.1(e)	Rectification, effacement, opposition, limitation
Droit de plainte	Art. 15.1(f)	Possibilité de saisir la CNIL
Source des données	Art. 15.1(g)	Origine, si non collectées auprès de la personne
Décision automatisée	Art. 15.1(h)	Existence, logique sous-jacente et conséquences
Transferts hors UE	Art. 15.2	Garanties encadrant les transferts, le cas échéant
Copie des données	Art. 15.3	Reproduction fidèle et intelligible, gratuite

L’oubli des informations de contexte est l’un des manquements les plus sanctionnés : fournir les données « brutes » sans indiquer la durée de conservation ou la source ne suffit pas.

Délais, gratuité et vérification d’identité

Le délai. L’organisme dispose d’un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois pour les demandes complexes ou nombreuses, à condition d’en informer la personne dans le premier mois en justifiant le report.

La gratuité. La première copie est gratuite. Des frais raisonnables, fondés sur les coûts administratifs, ne peuvent être exigés que pour des copies supplémentaires, ou lorsque la demande est « manifestement infondée ou excessive » — la charge de la preuve pesant alors sur l’organisation.

La vérification d’identité. Vous devez vous assurer de l’identité du demandeur, mais de manière proportionnée : ne réclamez pas systématiquement une pièce d’identité si d’autres éléments permettent de lever le doute. La CNIL a d’ailleurs sanctionné l’exigence systématique d’une copie de pièce d’identité comme contraire au principe de minimisation (voir plus bas l’affaire Carrefour et l’article 12).

Modèle de réponse à une demande d’accès (article 15)

Voici un modèle que l’organisation peut adapter pour répondre à une demande de droit d’accès. Il couvre les informations exigées par l’article 15.1 et structure la transmission de la copie.

Objet : réponse à votre demande de droit d’accès (article 15 du RGPD)

Madame, Monsieur [Nom],

Nous accusons réception de votre demande d’accès à vos données personnelles, reçue le [date]. Après vérification de votre identité, nous vous confirmons que notre organisation traite des données vous concernant, et vous communiquons ci-dessous les informations prévues à l’article 15 du RGPD.

• Finalités du traitement : [ex. gestion de la relation client, prospection, facturation].
• Catégories de données traitées : [ex. identité, coordonnées, historique d’achats].
• Destinataires ou catégories de destinataires : [ex. service commercial, prestataire d’emailing X].
• Durée de conservation : [ex. 3 ans à compter du dernier contact], ou les critères utilisés.
• Source des données : [collectées auprès de vous / obtenues auprès de [source]].
• Existence d’une décision automatisée ou d’un profilage : [oui/non ; le cas échéant, logique et conséquences].
• Transferts hors Union européenne : [aucun / le cas échéant, garanties applicables].

Vous disposez des droits de rectification, d’effacement, de limitation, d’opposition et de portabilité, ainsi que du droit d’introduire une réclamation auprès de la CNIL.

Vous trouverez ci-joint une copie de vos données au format [CSV / PDF], transmise par [canal sécurisé]. Les informations relatives à des tiers ont été occultées afin de préserver leurs droits.

Nous restons à votre disposition pour toute précision.

[Signature / DPO / responsable de traitement]

Modèle indicatif fourni à titre documentaire — ne constitue pas un conseil juridique. À adapter à votre contexte avant usage. Version 1.0 — mise à jour : juillet 2026.

Ce modèle doit être servi par une procédure interne : accusé de réception, vérification d’identité, recherche des données dans tous les systèmes, caviardage des tiers, envoi sécurisé, suivi du délai. Un logiciel RGPD permet d’industrialiser ces étapes (localisation des données, journal des demandes, respect des délais) et de conserver la preuve du traitement de chaque demande.

Jurisprudence : ce que la CJUE a précisé

La théorie prend vie à travers la jurisprudence de la Cour de justice de l’Union européenne, qui a considérablement précisé la portée de l’article 15 ces dernières années.

• Gratuité de la première copie (aff. C-307/22, 2023). La Cour a confirmé que la première copie doit être fournie gratuitement, y compris lorsque la demande poursuit un objectif étranger à la protection des données (par exemple pour préparer un litige).
• Identité des destinataires (aff. C-154/21, 2023). Lorsqu’une personne le demande, le responsable de traitement doit communiquer l’identité précise des destinataires de ses données, et non se contenter de simples catégories — sauf impossibilité ou demande manifestement infondée.
• Notion de « copie » (aff. C-487/21, 2023). Une copie est une reproduction fidèle et intelligible des données, et non un simple résumé. Elle peut inclure des extraits de documents, voire des documents entiers, lorsque c’est nécessaire à la compréhension.
• Logique d’une décision automatisée (aff. C-203/22, 2025). La Cour a précisé que l’explication d’une décision automatisée doit être compréhensible : il ne s’agit pas de livrer l’algorithme complet, mais d’exposer, de façon concise et claire, la procédure et les critères ayant conduit au résultat, sans que le secret des affaires justifie un refus pur et simple.

Ces décisions sont éclairées par le considérant 63 (le droit d’accès vise à permettre à la personne de vérifier la licéité du traitement) et par les lignes directrices 01/2022 du Comité européen de la protection des données (CEPD), adoptées dans leur version définitive en 2023, qui insistent sur une approche facilitatrice pour la personne concernée.

Sanctions CNIL : le droit d’accès est une priorité de contrôle

Le non-respect de l’article 15 n’est pas un risque théorique. La CNIL en a fait, ces dernières années, l’une de ses thématiques de contrôle prioritaires, et 2024 s’est soldée par un montant record d’amendes cumulées (plus de 480 millions d’euros). Deux décisions illustrent les failles les plus fréquentes.

TotalEnergies Électricité et Gaz France — 1 000 000 € (décision du 23 juin 2022). La CNIL a notamment sanctionné le non-respect des modalités de réponse aux demandes : le fournisseur d’énergie ne traitait pas correctement, voire ignorait, certaines demandes d’accès et d’opposition à la prospection. Le message est clair : disposer d’un droit sur le papier ne suffit pas ; encore faut-il une procédure qui le rende effectif.

Carrefour France — 2 250 000 € (décision du 18 novembre 2020). Parmi les manquements retenus : des durées de conservation excessives, une information incomplète (notamment sur la durée de conservation et les transferts), et l’exigence systématique d’une copie de pièce d’identité pour l’exercice d’un droit — une pratique jugée contraire au principe de minimisation et aux exigences de l’article 12. L’affaire montre que la conformité exige non seulement de donner accès, mais aussi de garantir une transparence complète sur le cycle de vie de la donnée, sans multiplier les obstacles.

Au-delà de l’amende, une mauvaise gestion du droit d’accès expose à une atteinte à la réputation, à une perte de confiance et à des actions individuelles en réparation. Pour mesurer l’ensemble des risques, consultez notre guide sur les sanctions RGPD.

Guide pratique pour les organisations

Recevoir une demande d’accès déclenche un processus rigoureux. Voici les étapes clés.

1. Accuser réception et vérifier l’identité — de façon proportionnée, sans collecter plus que nécessaire.
2. Localiser les données dans tous vos systèmes : e-mails, bases de données, archives, outils métiers. C’est l’étape la plus chronophage — un registre des traitements à jour la simplifie considérablement.
3. Compiler une réponse intelligible intégrant les informations de contexte (voir la checklist plus haut).
4. Caviarder les données de tiers présentes dans les documents, pour respecter le paragraphe 4.
5. Transmettre par un canal sécurisé, dans le délai d’un mois, en utilisant le modèle ci-dessus.

Le cas particulier des ressources humaines. Les demandes de salariés sont fréquentes et sensibles : la portée des données est vaste (évaluations, e-mails, dossiers disciplinaires) et les documents impliquent souvent des tiers (managers, collègues, évaluateurs). Le caviardage y est essentiel, tout comme la vigilance sur les données sensibles ou de santé qui pourraient figurer dans un dossier.

Refus et demandes excessives. Le RGPD vous permet de refuser ou de facturer les demandes « manifestement infondées ou excessives » (répétitives, à visée de harcèlement), mais la charge de la preuve vous incombe. Un refus doit toujours être motivé et rappeler la voie de recours devant la CNIL.

Comment exercer son droit d’accès (côté personne concernée)

Si vous êtes la personne qui souhaite exercer son droit d’accès, la démarche est simple. Adressez votre demande à l’organisme qui détient vos données, idéalement à son DPO ; à défaut, le service client suffit. Aucun formalisme n’est requis, mais soyez clair. Vous pouvez vous inspirer de ce court modèle :

« Madame, Monsieur, sur le fondement de l’article 15 du RGPD, je souhaite obtenir la confirmation que vous traitez des données me concernant, y accéder et en recevoir une copie, ainsi que les informations relatives aux finalités, destinataires, durée de conservation et source de ces données. Vous en remerciant par avance, [nom, éléments d’identification]. »

Modèle indicatif fourni à titre documentaire — ne constitue pas un conseil juridique. À adapter à votre contexte avant usage. Version 1.0 — mise à jour : juillet 2026.

En l’absence de réponse dans le délai d’un mois, relancez le responsable de traitement, puis saisissez la CNIL d’une plainte gratuite si nécessaire.

Faire du droit d’accès un atout

La meilleure défense est structurelle. En intégrant la gestion des droits dès la conception de vos systèmes — le privacy by design —, vous facilitez nativement le traitement des demandes : bases de données structurées pour isoler et extraire facilement les informations d’un individu, procédures documentées, modèles prêts à l’emploi. Un audit RGPD périodique permet de vérifier que ces processus fonctionnent réellement, et un DPO externalisé peut piloter la démarche pour les organisations sans expertise interne. Bien géré, chaque droit d’accès devient un signal de sérieux envoyé à vos clients — un avantage concurrentiel, pas seulement une contrainte.

FAQ

La copie des données est-elle toujours gratuite ?

Oui pour la première copie : la Cour de justice de l’Union européenne l’a confirmé, y compris lorsque la demande poursuit un objectif étranger à la protection des données. Des frais raisonnables, fondés sur les coûts administratifs, ne peuvent être exigés que pour des copies supplémentaires ou pour une demande manifestement infondée ou excessive — la charge de la preuve pesant alors sur l’organisation.

Quel est le délai pour répondre à une demande d’accès ?

Un mois à compter de la réception. Ce délai est prolongeable de deux mois pour les demandes complexes ou nombreuses, à condition d’informer la personne dans le premier mois en justifiant le report.

Que faire si les données contiennent des informations sur d’autres personnes ?

Le paragraphe 4 de l’article 15 impose que la copie ne porte pas atteinte aux droits des tiers. Avant transmission, occultez (caviardez) les données personnelles d’autrui : noms, coordonnées, ou toute information identifiante. C’est un exercice d’équilibre entre le droit d’accès du demandeur et la vie privée des tiers.

Peut-on exiger une copie de pièce d’identité ?

Pas de manière systématique. La vérification d’identité doit rester proportionnée : si d’autres éléments permettent d’identifier la personne sans ambiguïté, réclamer une pièce d’identité peut être jugé excessif. La CNIL a sanctionné cette exigence systématique (affaire Carrefour) au titre du principe de minimisation.

Une association ou une PME est-elle vraiment concernée ?

Oui. L’article 15 s’applique à tout responsable de traitement, quelle que soit sa taille — y compris une association. L’absence de procédure interne n’est pas une excuse : c’est même l’un des griefs les plus fréquemment retenus par la CNIL.

Comment répondre à une demande portant sur une décision automatisée ?

Vous devez expliquer, de façon compréhensible, la logique de la décision : les principaux critères pris en compte et leur influence sur le résultat, ainsi que les conséquences pour la personne. La CJUE a précisé (2025) qu’il ne s’agit pas de divulguer l’algorithme complet, mais de fournir une explication claire — le secret des affaires ne justifiant pas un refus total. Voir notre analyse de l’article 22 du RGPD.

Conclusion

L’article 15 dépasse la simple contrainte légale. Sa maîtrise protège des sanctions et bâtit la confiance. Avec une procédure claire, un registre à jour et le modèle de réponse fourni ci-dessus, vous transformez une obligation en routine maîtrisée — et vous vous prémunissez contre le grief le plus banal, mais le plus régulièrement sanctionné, de tout le RGPD.