Demandes RGPD répétées : documenter l'excès allégué

Une demande revient pour la quatrième fois et le service veut fermer le dossier. Avant de refuser, il faut identifier ce qui se répète : la demande elle-même, une relance sans réponse ou la réclamation concernant une copie incomplète. Ces situations ne se traitent pas avec un compteur automatique.

L’objectif est de rendre une décision que l’on puisse expliquer à la personne et défendre devant la CNIL. Cela suppose une chronologie, un examen des réponses réellement remises et une qualification distincte de chaque point encore ouvert.

La gratuité reste le point de départ

L’Art. 12(5) du RGPD permet, face à une demande manifestement infondée ou excessive, de réclamer des frais administratifs raisonnables ou de refuser d’agir. La preuve incombe au responsable du traitement. Aucun quota annuel n’est fixé. La copie supplémentaire de l’Art. 15(3) constitue une question distincte : elle ne transforme pas toute nouvelle demande en prestation payante. RGPD, Art. 12(5) et 15(3).

Pour une équipe, la première difficulté est souvent matérielle : retrouver le fichier envoyé, et non le brouillon conservé dans le dossier. Une lettre annonçant une annexe ne prouve pas que celle-ci était jointe. De même, une réponse marquée « clôturée » dans le logiciel peut correspondre à un lien expiré avant sa réception.

Préparez donc un dossier de preuve comportant le message reçu, la réponse sortante, ses annexes exactes et les incidents de remise connus. Ce travail permet d’identifier une demande réellement renouvelée et d’éviter de reprocher à la personne une défaillance de votre propre circuit.

Ce que précise Brillen Rottler en 2026

L’arrêt CJUE du 19 mars 2026, C-526/24, Brillen Rottler, admet qu’une première demande soit excessive. L’exception reste d’interprétation stricte, avec des exigences élevées de preuve : points 29, 31 et 35.

La Cour exige une appréciation de toutes les circonstances et la démonstration d’une intention abusive, notamment la création artificielle des conditions d’une indemnisation. Les informations publiques sur des démarches similaires auprès d’autres organismes peuvent compter, mais doivent être corroborées : points 36–45, spécialement 43. La qualification du cas concret reste au juge national.

L’arrêt ne supprime pas la réparation d’une violation du droit d’accès. Celle-ci suppose une violation, un dommage et un lien causal ; une indemnité n’est pas automatique : points 55 et 59–67.

Pour votre procédure, distinguez donc trois documents : la demande d’accès, une éventuelle réclamation indemnitaire et votre analyse de l’abus allégué. Leur présence dans le même fil de courriels ne suffit pas à démontrer la troisième.

Comparer les demandes, pas seulement leurs dates

Les lignes directrices 01/2022 du CEPD, version 2.1, sections 6.3.1 à 6.3.3, invitent à examiner les circonstances, l’évolution des données, les risques et la facilité de remise. Le ton impoli, l’absence d’explication ou l’intention d’utiliser les données dans un litige ne suffisent pas. Ces orientations antérieures se lisent avec la jurisprudence de 2026.

Une grille de comparaison peut distinguer les situations suivantes :

Cette grille est un outil d’organisation, pas une liste de décisions juridiques automatiques. Le gestionnaire doit pouvoir ajouter une situation non prévue et conserver un point ouvert. Une personne peut, dans le même message, demander une copie actualisée et contester une ancienne réponse.

Exemple : quatre courriels, trois problèmes encore ouverts

Cas entièrement fictif. Le client d’un éditeur de logiciel écrit le 2 septembre 2026 pour obtenir ses données. Le 9 septembre, l’entreprise lui envoie un export du compte et annonce les échanges de support en pièce jointe. Ceux-ci ne sont pas joints.

Le 11 septembre, le client réclame l’annexe. Le 16 septembre, il précise que le lien vers l’export affiche une erreur. Le 21 septembre, il demande également les données relatives à un classement de son compte intervenu le 18 septembre.

Le tableau interne affiche quatre messages et propose « demande répétitive : refus ». Pourtant, le dossier révèle trois problèmes : une pièce manquante, un accès défectueux et un événement postérieur à la première réponse. Voici une note de décision adaptée à ces faits :

Dossier D-42 — analyse du 23 septembre. Nous ne retenons pas le motif d’excès. L’envoi du 9 septembre ne contenait pas l’annexe annoncée et la copie du compte n’est pas accessible par le lien communiqué. Le message du 21 septembre vise en outre un classement nouveau. Le service support reconstitue l’annexe effectivement due ; l’administrateur prépare une remise sécurisée ; le responsable du classement identifie les données utilisées. Chaque action reçoit un responsable et une preuve de clôture.

Cette note ne prétend pas résoudre le fond du classement. Elle indique pourquoi le refus envisagé est abandonné et ce qui reste à rechercher. La direction peut suivre les actions sans considérer le quatrième courriel comme un quatrième abus.

Dans ce scénario, l’équipe programme une remise corrective le 24 septembre pour les éléments initiaux. Elle suit séparément le volet du 21 septembre. Cette séparation ne permet pas de reporter le traitement de la demande du 2 septembre. Le planning conserve les dates d’origine et distingue les informations déjà disponibles des recherches encore nécessaires.

La remise sécurisée d’une copie volumineuse traite le choix du canal. Un mécanisme de téléchargement simple, accompagné d’une explication utilisable, peut supprimer les relances liées à la remise sans réduire les droits de la personne.

Si vous envisagez malgré tout une restriction

Constituez une note contradictoire au sens pratique : elle doit aussi présenter ce qui affaiblit votre hypothèse. Il ne s’agit pas d’inventer une procédure préalable universelle, mais d’éviter une analyse qui sélectionne seulement les faits favorables au refus.

La note peut suivre six rubriques :

1. Périmètre précis. Reproduire la demande examinée et isoler les autres droits ou sujets du même message.
2. Réponse antérieure. Identifier son contenu, sa date de remise et les éventuelles réserves alors formulées.
3. Évolution constatée. Rechercher les modifications pertinentes depuis cette réponse, avec les services concernés.
4. Faits invoqués. Distinguer documents disponibles, déclarations de tiers, rapprochements incertains et simples impressions.
5. Arguments contraires. Consigner les omissions, incidents, données nouvelles ou explications plausibles de la démarche.
6. Décision proposée. Expliquer pourquoi les éléments permettraient une restriction, sur quel volet et avec quelle alternative examinée.

Un document externe mentionnant une personne portant le même nom mérite d’abord une vérification d’attribution. Ne transformez pas une homonymie en fait acquis. Une synthèse interne qui omet cette incertitude sera moins fiable que les pièces sur lesquelles elle prétend s’appuyer.

Le DPO, lorsqu’il est désigné, peut éclairer l’analyse ; le responsable du traitement reste responsable de sa décision. Faites relire les cas litigieux avant notification et conservez la version du raisonnement effectivement retenue, pas seulement une note modifiée après contestation.

Frais : établir le fondement avant le montant

Le CEPD précise que le choix entre frais et refus doit être adapté au cas. Il recommande d’annoncer les frais envisagés afin que la personne puisse décider de maintenir sa demande. Une facturation ne devient pas justifiée parce que son calcul est détaillé. CEPD, lignes directrices précitées, points 191–194.

Illustration comptable fictive, sans tarif recommandé : une fiche estime 20 minutes d’extraction à 36 € par heure et 10 minutes de remise sécurisée au même coût. Le calcul donne 12 € + 6 € = 18 €. Cela ne démontre ni le caractère excessif de la demande ni le caractère raisonnable des hypothèses retenues.

Dans D-42, cette fiche ne permettrait donc aucune facturation au titre de l’excès : l’entreprise corrige sa remise et examine un élément nouveau. Ajouter 40 € de « gestion des réclamations » ne résoudrait pas cette absence de fondement. Le chiffrage vient après la qualification, jamais à sa place.

Conservez séparément les opérations prévues, leur durée, la méthode de coût et l’explication adressée à la personne. Une ligne globale « forfait RGPD » ne permettrait pas de comprendre ce qui est facturé.

Notifier et surveiller la qualité de la réponse

L’Art. 12(3) prévoit une réponse dans le mois suivant la réception de la demande, avec prolongation possible de deux mois selon la complexité et le nombre de demandes, annoncée et motivée dans le premier mois. En cas d’inaction, l’Art. 12(4) impose d’expliquer les motifs sans tarder, au plus tard dans le mois, et d’indiquer réclamation et recours juridictionnel. RGPD, Art. 12(3)–(4).

Une réponse défendable identifie le message concerné, expose les faits déterminants et précise le sort des autres points. Évitez une lettre qui refuse « toute future demande » : votre dossier concerne une situation examinée, pas un statut permanent attribué à son auteur. Le guide de réponse au droit d’accès aide à organiser cette notification.

Dans le suivi interne, mesurez les relances causées par une pièce manquante, une information incompréhensible ou un incident technique. Les indicateurs de qualité des réponses aux droits doivent permettre de corriger ces causes. Un faible nombre de dossiers ouverts obtenu par des clôtures prématurées masquerait le problème au lieu de le résoudre.

Ce qu’il faut retenir

• Comptez les sujets à traiter, pas seulement les messages reçus.
• Vérifiez les preuves de la réponse précédente avant d’invoquer une répétition.
• Documentez aussi les éléments qui contredisent votre hypothèse d’excès.
• Distinguez qualification, choix de la mesure, calcul des frais et notification.

FAQ

Peut-on paramétrer un refus après trois demandes ?

Un tel paramétrage remplacerait l’analyse du dossier par un compteur. Utilisez plutôt un signal de revue humaine, qui affiche les réponses antérieures et les points encore ouverts.

Faut-il justifier pourquoi on veut ses données ?

L’absence d’explication ne suffit pas à qualifier la demande d’excessive. Un échange peut clarifier son périmètre sans exiger une justification personnelle comme condition générale de traitement.

Une lettre d’avocat ou une menace de plainte suffit-elle ?

Non. Conservez le courrier dans le dossier et examinez son contenu. Le recours à un conseil ne dispense pas l’organisme de rechercher les données et de motiver une éventuelle restriction.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.