Droit d'accès RGPD : modèle de réponse et délais 2026

L’essentiel. Toute personne peut vous demander une copie de ses données, et vous avez un mois pour répondre (Art. 12(3) du RGPD), délai prolongeable de deux mois pour les demandes complexes. La réponse doit couvrir l’ensemble des données traitées — y compris celles détenues par vos sous-traitants — accompagnée des informations listées à l’article 15(1). Un délai dépassé ou une réponse partielle reste la première cause de plainte à la CNIL sur ce droit. Ci-dessous : le processus complet, un modèle de réponse et la checklist de contrôle.

Votre référent conformité reçoit un e-mail : « Merci de me transmettre toutes les données que vous détenez sur moi. » Le compteur démarre immédiatement. Ce droit — le droit d’accès de l’article 15 du RGPD — est l’un des plus exercés et l’un des plus contrôlés. En 2024, le droit d’accès a été le thème de l’action coordonnée annuelle des autorités européennes de protection des données, ce qui a conduit chaque autorité, dont la CNIL, à examiner en profondeur la façon dont les organismes traitent ces demandes. Résultat : mises en demeure, rappels à l’ordre et sanctions. Ce guide explique comment répondre proprement, dans les délais, sans surtransmettre ni sous-transmettre.

Ce que garantit l’article 15 du RGPD

Le droit d’accès prévu par l’article 15 du RGPD permet à toute personne d’obtenir du responsable de traitement la confirmation que des données personnelles la concernant sont — ou ne sont pas — traitées. Lorsque c’est le cas, la personne a droit à une copie de ces données ainsi qu’à un ensemble d’informations complémentaires sur le traitement.

Ce droit poursuit un objectif précis : permettre à la personne de vérifier la licéité du traitement et, le cas échéant, d’exercer ses autres droits (rectification, effacement, opposition). Il ne s’agit donc pas d’un droit à obtenir des documents, mais d’un droit à connaître ses données et le contexte de leur traitement.

Les informations à communiquer, prévues à l’article 15(1), sont les suivantes.

Information	Base	Précision pratique
Finalités du traitement	Art. 15(1)(a)	Pourquoi vous traitez ces données
Catégories de données	Art. 15(1)(b)	Identité, contact, navigation, paiement…
Destinataires	Art. 15(1)©	Y compris catégories de destinataires et sous-traitants
Durée de conservation	Art. 15(1)(d)	Durée envisagée ou critères de détermination
Existence des droits	Art. 15(1)(e)	Rectification, effacement, limitation, opposition
Droit de réclamation	Art. 15(1)(f)	Auprès de la CNIL
Origine des données	Art. 15(1)(g)	Si non collectées auprès de la personne
Décision automatisée	Art. 15(1)(h)	Existence, logique, conséquences (voir article 22)

Le Comité européen de la protection des données (CEPD) a précisé l’interprétation de ce droit dans ses lignes directrices sur le droit d’accès, adoptées en version définitive le 28 mars 2023. Elles constituent aujourd’hui la référence opérationnelle pour toute organisation.

Le processus en 6 étapes

Étape 1 — Réceptionner et enregistrer

Toute demande doit être tracée dès sa réception. La forme importe peu : e-mail, courrier, formulaire web, voire demande orale sont des canaux valides. Le RGPD n’impose aucun formalisme : vous ne pouvez pas exiger un formulaire maison comme condition de recevabilité.

En pratique :

• tenez un registre dédié des demandes de droits (date de réception, identité, canal, date limite de réponse) ;
• accusez réception rapidement, idéalement sous 48 heures ;
• attribuez un responsable interne du traitement de la demande.

Ce registre des demandes est distinct de votre registre des traitements, mais il peut y être rattaché. Il démontre votre diligence en cas de contrôle.

Étape 2 — Vérifier l’identité, proportionnellement

Avant de communiquer des données, il faut s’assurer que le demandeur est bien la personne concernée. L’article 12(6) du RGPD autorise à demander des informations supplémentaires pour lever un doute raisonnable sur l’identité — pas plus.

Le curseur doit s’adapter au contexte :

• personne déjà authentifiée dans son espace client : aucune vérification supplémentaire n’est justifiée ;
• demande par e-mail depuis l’adresse enregistrée au compte : une confirmation via ce même canal suffit généralement ;
• doute réel ou données sensibles en jeu : une vérification renforcée peut se justifier, en ne conservant que le strict nécessaire et en supprimant ensuite les justificatifs.

La CNIL considère qu’exiger systématiquement une copie de pièce d’identité — surtout pour une personne déjà authentifiée — est une pratique excessive. Ce réflexe est d’ailleurs l’un des principaux motifs de plainte : il transforme un droit en parcours d’obstacles.

Étape 3 — Identifier et collecter les données

C’est l’étape la plus lourde opérationnellement. Il faut rechercher l’ensemble des données du demandeur là où elles se trouvent : CRM, ERP, bases applicatives, messageries, fichiers RH, outils de support, comptabilité, sauvegardes actives, et chez vos prestataires.

Pour mener une recherche complète :

• appuyez-vous sur votre registre des traitements pour lister tous les traitements concernant la catégorie de personnes du demandeur ;
• interrogez les services susceptibles de détenir des données (commercial, RH, support, comptabilité, marketing) ;
• n’oubliez pas les données chez vos prestataires : l’article 28 du RGPD impose au sous-traitant de vous assister dans l’exercice des droits.

Le CEPD parle d’une recherche raisonnable. Vous n’êtes pas tenu de restaurer des sauvegardes hors ligne ou de fouiller des archives inactives, sauf circonstance particulière. Mais une recherche limitée au seul CRM, en ignorant les e-mails et les tableurs métier, ne satisfait pas à l’obligation.

Étape 4 — Préparer la réponse

La réponse doit être « concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples », conformément aux obligations de transparence de l’article 12. Elle contient trois blocs :

1. La confirmation que vous traitez (ou non) des données concernant le demandeur.
2. Une copie des données — au format électronique courant si la demande a été faite par voie électronique (PDF, CSV, export). La première copie est gratuite (Art. 15(3)).
3. Les informations complémentaires de l’article 15(1) : finalités, catégories, destinataires, durée, droits, source, décision automatisée.

Le plus lisible : structurer la copie par traitement ou par catégorie de données, sous forme de tableau. Vous transmettez les données, pas nécessairement les documents bruts : un extrait structuré est souvent préférable à un vidage de base illisible.

Étape 5 — Tenir le délai d’un mois

L’article 12(3) fixe le délai à un mois à compter de la réception. Il peut être prolongé de deux mois si la demande est complexe ou si les demandes sont nombreuses — à condition d’en informer la personne dans le mois initial, en expliquant les raisons.

Le non-respect du délai est, de loin, la première cause de plainte sur le droit d’accès. Pour ne pas le rater :

• posez des alertes automatiques (rappel à J+15, alerte à J+25) ;
• prévoyez un circuit accéléré pour les demandes complexes ;
• documentez toute prolongation par une notification écrite.

Étape 6 — Transmettre de façon sécurisée

Les données envoyées en réponse restent des données personnelles : leur transmission doit être sécurisée.

• privilégiez la mise à disposition via l’espace client sécurisé ;
• en cas d’envoi par e-mail, chiffrez les pièces jointes contenant des données sensibles ou volumineuses ;
• pour un envoi postal de données sensibles, utilisez un courrier suivi.

La CNIL déconseille l’envoi de données en clair par e-mail non protégé, en particulier pour les données de santé ou financières. Un envoi mal sécurisé peut d’ailleurs se transformer en violation de données à notifier.

Calendrier type de traitement

Jalon	Action
J0	Réception → enregistrement au registre → accusé de réception → attribution interne
J1–J5	Vérification d’identité si nécessaire → identification des traitements via le registre
J5–J20	Collecte auprès des services internes et des sous-traitants → mise en forme
J20–J25	Revue par le DPO / référent → validation juridique si demande complexe
J25–J30	Envoi sécurisé → archivage de la réponse → mise à jour du registre

Si le mois n’est pas tenable, notifiez la prolongation avant J30 en la motivant.

Quand peut-on refuser (ou restreindre) l’accès ?

Le droit d’accès n’est pas absolu, mais les exceptions sont d’interprétation stricte.

• Demande manifestement infondée ou excessive (Art. 12(5)) : notamment le caractère répétitif. Une même demande réitérée sans changement de circonstances peut être écartée — mais une demande annuelle reste légitime.
• Droits des tiers (Art. 15(4)) : si la copie révèle des données concernant d’autres personnes (échanges d’e-mails mentionnant des tiers, par exemple), vous caviardez les données de tiers plutôt que de refuser en bloc.
• Restrictions légales : certaines dispositions (secret de l’instruction, secret des affaires dans des limites étroites) peuvent restreindre l’accès, mais elles ne permettent pas un refus général.

Dans tous les cas, un refus total ou partiel doit être motivé par écrit et rappeler le droit de saisir la CNIL. Un refus non motivé est un manquement en soi.

Cas particuliers fréquents

Salarié ou ancien salarié. Le droit d’accès s’applique pleinement à la relation de travail : fiches de paie, évaluations, e-mails professionnels mentionnant le salarié, données de vidéosurveillance, logs de connexion. L’employeur ne peut pas opposer un secret des affaires général pour refuser les données d’évaluation.

Données de vidéosurveillance. La personne a le droit d’accéder aux images la concernant. Il faut identifier les séquences pertinentes et caviarder les tiers. Comme la durée de conservation est courte (souvent 30 jours), gelez les images dès réception de la demande, sous peine de ne plus pouvoir y répondre.

Mineur. Le droit peut être exercé par le représentant légal, dont il faut vérifier l’identité et le lien avec l’enfant. En droit français, à partir de 15 ans, le mineur peut exercer seul ses droits pour les services de la société de l’information.

Mandataire ou avocat. Un tiers peut agir au nom de la personne s’il dispose d’un mandat en bonne et due forme. La vérification du mandat précède toute communication.

Modèle de réponse à une demande d’accès

Modèle indicatif fourni à titre documentaire — ne constitue pas un conseil juridique. À adapter à votre contexte avant usage. Version 2026-07 — droitaccès-v1.

Objet : Réponse à votre demande d’accès (article 15 du RGPD)

Madame, Monsieur,

Nous faisons suite à votre demande d’accès reçue le [date]. Après vérification, nous vous confirmons que nous traitons des données personnelles vous concernant. Vous trouverez ci-dessous une copie de ces données ainsi que les informations relatives à leur traitement.

1. Copie de vos données (voir tableau joint, organisé par traitement).

2. Finalités : [ex. gestion de la relation client, facturation, prospection].

3. Catégories de données : [identité, coordonnées, historique d’achat, données de navigation…].

4. Destinataires / catégories de destinataires : [services internes concernés ; sous-traitants : hébergeur, prestataire d’emailing, etc.].

5. Durée de conservation : [durée par finalité, ou critères de détermination].

6. Origine des données : [collecte directe / source tierce précisée].

7. Décision automatisée / profilage : [existence, logique, conséquences — ou « aucune »].

8. Vos droits : vous disposez des droits de rectification, d’effacement, de limitation et d’opposition, ainsi que du droit d’introduire une réclamation auprès de la CNIL (www.cnil.fr).

Pour toute question, vous pouvez contacter notre délégué à la protection des données à [adresse].

[Signature]

Checklist de contrôle avant envoi

• [ ] La demande est enregistrée au registre des demandes de droits.
• [ ] L’identité est vérifiée de façon proportionnée (pas de pièce d’identité systématique).
• [ ] La recherche couvre tous les traitements, y compris chez les sous-traitants.
• [ ] La copie est complète et lisible (format électronique si demande électronique).
• [ ] Les huit informations de l’article 15(1) figurent dans la réponse.
• [ ] Les données de tiers sont caviardées.
• [ ] La première copie est gratuite.
• [ ] La réponse part avant J30 (ou la prolongation est notifiée avant J30).
• [ ] La transmission est sécurisée.
• [ ] La réponse et sa date sont archivées.

Les erreurs les plus fréquentes

1. Exiger une pièce d’identité par principe. La vérification doit être proportionnée. Pour un client déjà authentifié, c’est excessif.

2. Répondre partiellement. Fournir le seul CRM en oubliant e-mails, tableurs et sous-traitants. Le droit porte sur toutes les données.

3. Dépasser le délai sans notification. Si vous avez besoin de plus d’un mois, vous devez le dire avant l’expiration du délai initial. Le silence vaut manquement.

4. Facturer la première copie. L’article 15(3) est clair : la première copie est gratuite. Des frais raisonnables ne se justifient qu’à partir de la deuxième.

5. Confondre droit d’accès et droit d’opposition. Une demande d’accès n’emporte pas suppression ; si la personne veut faire cesser un traitement, elle relève du droit d’opposition, qui obéit à ses propres règles.

6. Ne rien documenter. En contrôle, la CNIL demandera la preuve que les demandes ont été traitées dans les délais. Sans registre, pas de preuve de conformité.

Sanctions et enjeux

Le non-respect du droit d’accès expose à des sanctions administratives pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial (Art. 83(5)(b)). Au-delà de l’amende, le risque réputationnel est réel : les décisions de la CNIL sont publiques et relayées.

Le droit d’accès figure parmi les thématiques suivies de près par la CNIL depuis plusieurs années, et l’action coordonnée européenne de 2024 sur ce droit a confirmé la vigilance des autorités. Un traitement laborieux des demandes n’est donc plus un simple irritant opérationnel : c’est un facteur de risque documenté.

Lorsque le volume de demandes augmente, un logiciel RGPD permet d’industrialiser le suivi : enregistrement, alertes de délai, traçabilité de la réponse. Le workflow décrit ci-dessus reste le même, mais il devient auditable. Une AIPD peut par ailleurs s’imposer en amont si le traitement concerné présente un risque élevé.

Ce qu’il faut retenir

• Répondez sous un mois, prolongeable de deux mois sur justification notifiée à temps.
• Vérifiez l’identité de façon proportionnée — jamais de pièce d’identité systématique pour un client authentifié.
• Couvrez toutes les données, y compris chez vos sous-traitants.
• Caviardez les données de tiers plutôt que de refuser.
• La première copie est gratuite.
• Documentez tout : registre des demandes et archivage de la réponse sont vos preuves.

FAQ

La demande de droit d’accès doit-elle être écrite ?

Non. Le RGPD n’impose aucune forme. Une demande peut être formulée par e-mail, courrier, formulaire web ou oralement. Vous pouvez encourager un canal écrit pour faciliter la traçabilité, mais un refus fondé uniquement sur la forme serait contraire au règlement.

Peut-on facturer la réponse à une demande d’accès ?

La première copie est obligatoirement gratuite (Art. 15(3)). Des frais raisonnables « basés sur les coûts administratifs » ne peuvent être demandés que pour les copies supplémentaires. En pratique, la quasi-totalité des demandes ne donnent lieu qu’à une seule copie.

Que faire si les données contiennent des informations sur des tiers ?

L’article 15(4) prévoit que l’accès ne doit pas porter atteinte aux droits d’autrui. Si la copie révèle des données de tiers (e-mails mentionnant d’autres personnes, par exemple), vous les anonymisez ou les caviardez avant transmission, plutôt que de refuser intégralement la demande.

Quel est le délai exact et peut-on le prolonger ?

Le délai est d’un mois à compter de la réception (Art. 12(3)). Il peut être prolongé de deux mois pour les demandes complexes ou nombreuses, à condition d’en informer la personne dans le mois initial en précisant les raisons du retard.

Le droit d’accès permet-il d’obtenir tous les documents de l’entreprise ?

Non. Le droit d’accès porte sur les données personnelles de la personne, pas sur les documents internes en tant que tels ni sur des informations sans lien avec elle. Une demande dont l’objet réel est d’obtenir des pièces pour un contentieux, sans rapport avec les données personnelles, peut être qualifiée d’infondée.

Un salarié peut-il accéder à ses e-mails professionnels ?

Oui, dans la mesure où ces e-mails contiennent des données personnelles le concernant. L’employeur doit toutefois protéger les données des tiers mentionnés et peut écarter les éléments couverts par des restrictions légitimes. Les données d’évaluation et de gestion RH entrent dans le périmètre du droit d’accès.