Le droit d’accès permet à toute personne de savoir quelles données un organisme détient sur elle et d’en obtenir une copie. L’article 15 du Règlement général sur la protection des données (RGPD) le fonde. Ainsi, une administration, une entreprise ou une association doit y répondre, gratuitement et sous un mois.
La demande arrive souvent par un simple courriel, parfois en plein conflit avec un salarié ou un client. Cet article décrit la réponse du responsable du traitement, étape par étape, d’après la fiche de la Commission nationale de l’informatique et des libertés (CNIL) Professionnels : comment répondre à une demande de droit d’accès ?.
Qui peut exercer le droit d’accès, et auprès de qui
Toute personne physique peut exercer ce droit auprès de n’importe quel organisme qui traite ses données. La CNIL cite des cas courants. Par exemple, un client demande la copie de son dossier ou d’une conversation enregistrée avec le service client. De même, un salarié demande les données de son dossier administratif, un patient la copie de son dossier médical. Une personne peut aussi demander à une administration de confirmer que des données la concernant sont traitées.
La personne peut aussi mandater quelqu’un. Le mandataire présente alors un courrier qui précise l’objet du mandat, l’identité du demandeur et la sienne, et il justifie des deux identités. Pour un mineur ou un majeur protégé, les parents, les titulaires de l’autorité parentale ou le tuteur agissent.
Enfin, la demande n’a pas à être motivée. Elle reste valable même pendant un procès en cours, par exemple devant le conseil de prud’hommes. Un refus fondé sur ce seul contentieux ne tient pas.
De votre côté, informez les personnes de ce droit dès la collecte de leurs données. L’article 12 du RGPD vous demande aussi d’en faciliter l’exercice, par exemple avec un formulaire en ligne ou une adresse dédiée. Prévoyez enfin un circuit interne qui achemine chaque demande vers le bon interlocuteur, et rédigez les réponses dans un langage clair et simple.
Répondre à une demande de droit d’accès en quatre étapes
- Vérifiez l’identité du demandeur, si un doute existe.
- Si la demande porte sur un grand volume, demandez à la personne de préciser les données ou les traitements visés.
- Vérifiez que la réponse ne révèle pas les données d’un tiers, un secret des affaires ou une œuvre protégée.
- Répondez dans le délai, avec la copie des données et les informations de l’article 15.
Pièce d’identité : seulement en cas de doute raisonnable
Selon la CNIL, la personne justifie de son identité par tout moyen. Un numéro de client ou d’adhérent suffit souvent. De même, une demande envoyée depuis un espace où la personne s’est authentifiée, par exemple avec FranceConnect, peut suffire.
En revanche, si vous avez un doute raisonnable, demandez un document qui prouve l’identité, comme la copie d’une pièce d’identité. Adaptez donc le niveau de vérification à la sensibilité des données transmises.
Protéger les tiers sans bloquer la réponse
Un salarié n’obtient pas les données d’un collègue, ni une personne celles de son conjoint. En pratique, masquez dans les documents l’identité des tiers et les éléments qui permettent de les retrouver. Le reste du document se communique. L’article 15.4 du RGPD prévoit d’ailleurs que la copie ne doit pas porter atteinte aux droits et libertés d’autrui.
Les délais du droit d’accès
L’article 12.3 du RGPD impose une réponse dans les meilleurs délais, et au plus tard dans un mois. Ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. Toutefois, vous devez prévenir la personne de cette prolongation dans le premier mois.
Les données de santé suivent une règle propre, fixée par l’article L. 1111-7 du code de la santé publique. Un dossier médical se communique au plus tard dans les 8 jours suivant la demande, et au plus tôt après un délai de réflexion de 48 heures. Si les informations remontent à plus de cinq ans, le délai passe à deux mois.
Une réponse gratuite
La première copie est gratuite, selon l’article 12.5 du RGPD. Des frais raisonnables, fondés sur les coûts administratifs, ne s’appliquent qu’aux copies supplémentaires ou aux demandes manifestement infondées ou excessives. De plus, ces frais ne doivent pas freiner l’exercice du droit.
Le contenu de la réponse : la copie et l’article 15
Transmettez une copie des données, quel que soit leur support : papier, fichier, enregistrement sonore ou vidéo. Une copie d’écran d’un logiciel métier ou une retranscription fidèle convient. Toutefois, remettez le document entier si la personne en a besoin pour exercer ses autres droits.
Ensuite, ajoutez les informations exigées par l’article 15. La CNIL les reprend une à une. Cochez chaque point avant l’envoi.
- Les finalités du traitement.
- Les catégories de données concernées.
- Les destinataires ou catégories de destinataires, en particulier hors de l’Union européenne.
- La durée de conservation, ou les critères qui la fixent.
- Les droits de rectification, d’effacement, de limitation et d’opposition.
- Le droit d’introduire une réclamation auprès de la CNIL.
- La source des données, si elles n’ont pas été collectées auprès de la personne.
- L’existence d’une décision automatisée, y compris un profilage, et sa logique.
- Les garanties d’un éventuel transfert hors de l’Union européenne.
Une réponse limitée aux données fournies par la personne, ou à une liste de catégories, reste incomplète. La CNIL cite d’ailleurs ce cas comme une erreur. Si un sous-traitant détient les données, il doit vous aider à répondre, selon l’article 28 du RGPD.
Transmettre la réponse en sécurité
Une demande électronique appelle une réponse électronique d’usage courant, sauf demande contraire. Choisissez alors un envoi sécurisé. Par courrier, la CNIL conseille le recommandé avec accusé de réception. Vous pouvez aussi mettre les données à disposition sur un espace en ligne sécurisé. Sur une clé USB, chiffrez les données et transmettez le code par un autre canal. Enfin, si la demande arrive au guichet sans réponse immédiate possible, remettez un avis de réception daté et signé.
Refuser une demande de droit d’accès
Le refus reste l’exception. Il vise les demandes manifestement infondées ou excessives, par exemple des demandes répétées et rapprochées d’une copie déjà fournie. Il vise aussi les données déjà effacées : une image de vidéosurveillance, conservée en principe 30 jours, n’existe plus au-delà.
Une seconde demande n’est pas forcément excessive pour autant. Regardez le temps écoulé et les données ajoutées depuis. Dans tous les cas, motivez le refus et indiquez les voies et délais de recours. La personne dont la demande reste sans réponse ou sans suite satisfaisante peut en effet adresser une réclamation à la CNIL. Enfin, la loi peut limiter le droit d’accès pour la sécurité nationale ou la défense, comme le permet l’article 23 du RGPD.
Garder la trace de chaque demande
Notez la date de réception, les vérifications faites, la date et le contenu de la réponse. Cette trace prouve le respect des délais en cas de plainte. Par exemple, DPO Suite, l’application de DPO FRANCE, comprend un module de suivi des demandes de droits. Notre page sur le registre des traitements complète la méthode, et notre article sur la demande de droit d’accès dans une école privée en donne un cas concret.
Sources consultées
Les étapes, l’identité, les tiers, les délais, la gratuité, la transmission et le refus viennent de la fiche CNIL Professionnels : comment répondre à une demande de droit d’accès ?.
Le point de vue de la personne concernée figure dans la fiche CNIL Le droit d’accès : connaître les données qu’un organisme détient sur vous.
Les articles 12, 15, 23 et 28 figurent dans le règlement (UE) 2016/679, texte publié sur EUR-Lex.
Questions fréquentes
Quel délai pour répondre à une demande de droit d’accès ?
Le délai est d’un mois au plus après la réception de la demande. Il peut être prolongé de deux mois pour une demande complexe ou en cas de nombreuses demandes, à condition d’en informer la personne dans le premier mois.
Peut-on exiger une pièce d’identité pour un droit d’accès ?
Non, sauf en cas de doute raisonnable sur l’identité du demandeur. La CNIL admet une justification par tout moyen, par exemple un numéro de client ou une connexion à un espace authentifié.
Le droit d’accès est-il gratuit ?
Oui, la première copie est gratuite. Des frais raisonnables ne s’appliquent qu’aux copies supplémentaires ou aux demandes manifestement infondées ou excessives.
Un salarié peut-il demander l’accès à ses données pendant un litige ?
Oui. Le droit d’accès n’a pas à être motivé et s’exerce même pendant une procédure devant le conseil de prud’hommes, sous réserve des droits des tiers.
Quand peut-on refuser une demande de droit d’accès ?
Un refus n’est possible que pour une demande manifestement infondée ou excessive, ou si les données n’existent plus. Il doit être motivé et indiquer les voies et délais de recours.
Quel délai pour accéder à son dossier médical ?
Le dossier médical se communique au plus tard dans les 8 jours suivant la demande, après un délai de réflexion de 48 heures. Le délai passe à deux mois si les informations datent de plus de cinq ans.
