Une demande d’accès fondée sur l’article 15 du RGPD arrive rarement à un bon moment : juste après un licenciement, au milieu d’un différend avec un client, quelques jours avant une audience. Le responsable du traitement a un mois pour répondre, et sa marge d’erreur a fondu à mesure que les juges ont précisé ce que la réponse doit contenir.
La CJUE a d’abord élargi le contenu de la réponse : identité des destinataires, copie intelligible, dates des consultations, première copie gratuite. Les juridictions françaises ont ensuite appliqué ce cadre à la messagerie professionnelle, sans toujours aller dans le même sens. Depuis mars 2026, le responsable peut aussi refuser une demande dont il prouve qu’elle sert seulement à fabriquer une indemnité.
2009 à 2017 : les fondations, sous la directive de 1995
Ces arrêts interprètent la directive 95/46, remplacée par le RGPD en 2018. Les juges les citent encore, parce que l’article 15 du RGPD a repris l’essentiel du droit d’accès prévu par l’ancienne directive.
7 mai 2009 · CJCE
Rijkeboer (C-553/07) : l’accès remonte dans le temps
Un habitant de Rotterdam voulait savoir à qui sa commune avait transmis ses données au cours des deux années précédentes. La commune n’en gardait la trace que pendant un an.
L’apport. Le droit d’accès porte aussi sur les communications passées. Les États doivent fixer une durée de conservation de ces informations qui laisse à la personne le temps d’exercer ses droits, en tenant compte de la charge pour le responsable. La question revient aujourd’hui avec les journaux de transmission et de consultation des logiciels.
17 juillet 2014 · CJUE
YS e.a. (C-141/12 et C-372/12) : un aperçu des données suffit
Des demandeurs de titre de séjour aux Pays-Bas réclamaient la note interne rédigée par l’agent instructeur avant la décision.
L’apport. Les éléments de la note qui décrivent le demandeur (nom, date de naissance, nationalité, sexe, appartenance ethnique, religion, langue) sont des données personnelles. L’analyse rédigée par l’agent n’en est pas une. Un aperçu complet et intelligible de ces données répond au droit d’accès, sans remise de la note elle-même. La CJUE nuancera cette solution en 2023 avec l’arrêt CRIF.
20 décembre 2017 · CJUE
Nowak (C-434/16) : une copie d’examen annotée concerne le candidat
Un expert-comptable stagiaire irlandais, recalé à un examen professionnel, demandait l’accès à sa copie.
L’apport. Les réponses du candidat et les annotations de l’examinateur sont des données personnelles du candidat. Une appréciation portée sur une personne entre donc dans le champ du droit d’accès. Ce droit ne permet pas pour autant de faire corriger après coup des réponses fausses.
2022 et 2023 : la réponse prend forme
Quatre ans après l’entrée en application du RGPD, les questions posées aux juges deviennent très concrètes : à qui les données ont-elles été transmises, qui les a consultées, sous quelle forme remettre la copie, qui paie cette copie. La CNIL commence dans le même temps à sanctionner les réponses incomplètes.
24 février 2022 · Conseil d’État
CE, n° 447495 : les agents qui consultent peuvent être des tiers protégés
Un allocataire demandait à la CAF de Seine-et-Marne les données identifiantes des journaux de connexion de l’application CAFPRO/CDAP, par laquelle des partenaires consultent les dossiers. La CAF avait refusé, et la CNIL n’avait pas fait droit à sa plainte.
L’apport. Les personnes qui ont consulté les données, destinataires au sens de l’article 15(1)(c), peuvent aussi être des tiers dont les droits limitent la copie au titre de l’article 15(4). La CJUE retiendra une logique proche en 2023 dans l’affaire Pankki S.
3 août 2022 · CNIL
Accor (SAN-2022-017) : 600 000 euros, dont l’article 15
Saisie de plaintes venues de plusieurs pays, la CNIL agit comme autorité chef de file. Une partie des plaintes porte sur la difficulté d’obtenir des données, notamment bancaires.
L’apport. Une demande d’accès mal traitée devient un grief autonome, sanctionné avec la prospection sans consentement et le défaut d’information. Pour un groupe présent dans plusieurs États, le mécanisme de coopération européen joue dès que les plaignants résident à l’étranger.
21 octobre 2022 · Conseil d’État, publié au Lebon
CE, n° 459254 : la CNIL doit motiver un refus de donner suite
Une ancienne déléguée à la protection des données contestait les conditions d’exercice de sa mission et n’obtenait pas ses propres données auprès de la société qui l’employait. La CNIL avait clôturé sa plainte.
L’apport. Le refus de la CNIL de donner suite à une plainte fondée sur le droit d’accès refuse un avantage dont l’attribution constitue un droit. Il doit donc être motivé. Pour les DPO, la décision rappelle aussi que le RGPD les protège contre les mesures liées à leurs missions, sans les mettre à l’abri de tout licenciement.
12 janvier 2023 · CJUE
Österreichische Post (C-154/21) : le nom des destinataires
Un client de la poste autrichienne voulait savoir à quelles entreprises ses données avaient été communiquées. La poste se contentait d’indiquer des catégories.
L’apport. Le responsable donne l’identité des destinataires. Il ne peut s’en tenir aux catégories que si l’identification est impossible ou si la demande est manifestement infondée ou excessive. Un registre qui nomme sous-traitants et partenaires permet de répondre vite.
4 mai 2023 · CJUE
CRIF (C-487/21) : une copie fidèle et intelligible
Une personne avait demandé à l’agence d’évaluation de crédit CRIF une copie de ses données. L’agence lui avait envoyé un simple récapitulatif.
L’apport. La copie reproduit fidèlement et de façon intelligible l’ensemble des données traitées. Elle peut comprendre des extraits de documents, voire des documents entiers, quand ce contexte est indispensable pour comprendre les données et exercer ses droits. Le mot « informations » de l’article 15(3) désigne les données personnelles elles-mêmes et n’ouvre pas de droit autonome à des documents.
15 juin 2023 · CNIL
Criteo : 40 millions d’euros, dont un manquement au droit d’accès
La sanction vise d’abord la preuve du consentement au ciblage publicitaire. La CNIL retient aussi un manquement à l’article 15(1).
L’apport. Les personnes ne recevaient pas l’ensemble de leurs données et croyaient pourtant leur demande satisfaite. Une réponse partielle compte comme un manquement à part entière.
22 juin 2023 · CJUE
Pankki S (C-579/21) : dates et motifs des consultations
Un salarié, également client de sa banque, apprend que des collègues ont consulté son dossier client à plusieurs reprises. Il veut connaître l’identité des curieux et la raison de ces consultations.
L’apport. La personne a droit aux dates et aux finalités des consultations. Les salariés qui ont agi sous l’autorité du responsable ne sont pas des destinataires, et leur identité n’est pas due en principe, sauf si elle est indispensable à l’exercice des droits ; le juge met alors les intérêts en balance. Les journaux de consultation des logiciels métier entrent dans le périmètre de la réponse.
26 octobre 2023 · CJUE
FT (C-307/22) : aucun motif à donner, première copie gratuite
Un patient voulait une copie de son dossier médical pour engager la responsabilité de son dentiste. Le droit allemand mettait les frais de copie à sa charge.
L’apport. Le demandeur n’a pas à justifier sa demande, et un objectif contentieux ne la rend pas irrecevable. La première copie est gratuite : une loi nationale ne peut pas la rendre payante pour protéger les intérêts économiques des praticiens. Pour un dossier médical, la copie peut comprendre des documents entiers quand ils sont nécessaires à la compréhension des données.
Vos réponses aux demandes d’accès tiennent-elles compte de ces décisions ?
Un DPO du réseau DPO FRANCE relit vos procédures et vos modèles de réponse, puis vous aide à les valider avant envoi.
2024 et 2025 : la messagerie professionnelle entre dans le débat
Le droit d’accès devient un outil de preuve dans les contentieux du travail. Les salariés réclament leurs courriels, les employeurs objectent que l’article 15 n’a pas été conçu pour constituer un dossier, et les cours d’appel se partagent.
25 juin 2024 · Cour d’appel de Paris
RG 23/18268 : un courriel entier, sans motif légitime à justifier
Une ancienne militante syndicale réclamait le courriel dans lequel son union départementale parlait d’elle à l’administration.
L’apport. La cour ordonne la remise du courriel complet sous astreinte de 100 euros par jour. La demanderesse n’a pas à invoquer de motif légitime, et le responsable ne peut refuser qu’en démontrant un risque d’atteinte disproportionnée aux droits des tiers. La demande dirigée contre les dirigeants de l’union est jugée mal dirigée : seul le responsable du traitement doit répondre.
5 décembre 2024 · CNIL
KASPR : 240 000 euros, dont l’article 15
L’éditeur d’une extension de navigateur collectait des coordonnées professionnelles visibles sur LinkedIn et constituait une base d’environ 160 millions de contacts.
L’apport. Le manquement au droit d’accès s’ajoute au défaut d’information des personnes. Pour des données collectées indirectement, la réponse comprend toute information disponible sur leur source (article 15(1)(g)), ce qui suppose de tracer l’origine de chaque contact. La CNIL a clos l’injonction le 4 mars 2026.
9 janvier 2025 · CJUE
Österreichische Datenschutzbehörde (C-416/23) : le volume ne suffit pas
L’autorité autrichienne refusait de traiter les réclamations d’une personne qui en avait déposé 77 en moins de deux ans.
L’apport. Le nombre de demandes ne les rend pas excessives à lui seul. L’autorité doit établir une intention abusive. L’arrêt concerne les réclamations adressées à une autorité de contrôle, et la CJUE en reprendra la logique pour l’article 12(5) dans l’arrêt Brillen Rottler.
27 février 2025 · CJUE
Dun & Bradstreet Austria (C-203/22) : expliquer une décision automatisée
Un opérateur de téléphonie avait refusé à une cliente un abonnement de 10 euros par mois, sur la foi d’une évaluation de solvabilité automatisée fournie par Dun & Bradstreet.
L’apport. L’article 15(1)(h) impose d’expliquer la procédure et les principes réellement appliqués, de façon concise et compréhensible. Une formule mathématique ou la description de toutes les étapes de l’algorithme ne répond pas à cette exigence. Si le responsable invoque un secret d’affaires, il transmet les éléments protégés à l’autorité ou au juge, qui met les intérêts en balance ; une loi nationale ne peut pas exclure l’accès par principe.
27 février 2025 · Cour d’appel de Rennes
RG 24/02772 : les messages professionnels sont des données personnelles
Le jour même de l’arrêt Dun & Bradstreet, la cour de Rennes statue sur la messagerie professionnelle d’un salarié.
L’apport. Elle qualifie de données personnelles les messages envoyés et reçus par le salarié. La Cour de cassation adoptera la même position moins de quatre mois plus tard.
18 juin 2025 · Cour de cassation, chambre sociale
N° 23-19.022, publié : métadonnées et contenu des courriels
Un directeur du développement de Publicis Sapient France, licencié pour faute grave, avait demandé ses données. L’employeur lui avait transmis son contrat, ses bulletins de paie et des documents sur son véhicule de fonction, sans un seul courriel.
L’apport. Les courriels émis ou reçus sur la messagerie professionnelle sont des données personnelles du salarié. L’employeur fournit les métadonnées et le contenu, sauf atteinte aux droits et libertés d’autrui. Faute d’avoir justifié son silence, il est condamné à 500 euros de dommages-intérêts. L’avocate générale avait conclu à la cassation, et le cabinet CMS estime que l’arrêt dépasse l’objet du droit d’accès tel que la CJUE le définit. La chambre sociale reprend en réalité la position de la fiche CNIL publiée en janvier 2022.
3 septembre 2025 · Cour d’appel de Bruxelles
La copie d’un document reste l’exception
Saisie d’une demande de copie de documents, la cour belge s’appuie sur la jurisprudence de la CJUE.
L’apport. L’article 15(3) n’ouvre pas de droit général à la copie d’un document. Le document entier se justifie quand il est nécessaire à l’intelligibilité des données, comme l’avait dit l’arrêt CRIF.
2 octobre 2025 · Cour d’appel de Paris
RG 25/02502 : le contenu des messages Outlook et Teams
Un salarié de la banque ABN AMRO (Neuflize OBC) avait reçu un PDF de 5 395 pages limité aux métadonnées de ses messages : dates, heures, objets, adresses.
L’apport. Les métadonnées seules ne suffisent pas. La cour ordonne la copie du contenu intégral des messages Outlook et Teams sur la période demandée, sous astreinte de 20 euros par document et par jour de retard. Elle exclut les pièces jointes, qui peuvent relever du secret des affaires, refuse l’accès aux applications et écarte l’agenda et les horaires de connexion, qu’elle ne qualifie pas de données personnelles.
13 novembre et 18 décembre 2025 · Cour d’appel de Paris
RG 25/04270 : la messagerie ne se consulte pas en bloc
Dans deux arrêts, la cour refuse d’ordonner la communication de l’intégralité d’une messagerie professionnelle sur le seul fondement du RGPD.
L’apport. Le droit d’accès ne permet pas une consultation générale et exhaustive de la messagerie ou des dossiers de l’entreprise. Dans l’arrêt du 18 décembre, la cour considère qu’un courriel ne contient en principe, comme données du demandeur, que son nom et son adresse électronique, sauf preuve contraire. Cette lecture s’écarte nettement de l’arrêt de la Cour de cassation du 18 juin 2025, et les praticiens attendent que la chambre sociale se prononce de nouveau.
1er décembre 2025 · Conseil d’État
TotalEnergies SE (n° 498023) : l’enquête interne n’écarte pas le droit d’accès
Trois salariés impliqués dans une enquête interne ouverte après des signalements s’opposaient au traitement de leurs données et demandaient à y accéder. L’employeur invoquait une obligation légale. La CNIL avait prononcé un rappel à l’ordre.
L’apport. Une enquête interne ne fait pas obstacle par principe au droit d’accès. L’employeur doit prouver que la demande est manifestement infondée ou excessive, ou que la communication porte atteinte aux droits d’autrui ; à défaut, il occulte ce qui doit l’être et communique le reste. Le Conseil d’État confirme aussi le manquement au délai de réponse et admet le droit d’opposition, puisque la loi n’impose pas l’enquête interne.
2026 : l’abus de droit, la preuve et le contrôle des plaintes
L’année 2026 apporte la première limite nette posée par la CJUE au droit d’accès. Le Conseil d’État précise de son côté ce qu’il attend des plaignants comme des responsables, et la CNIL multiplie les petites sanctions pour des demandes laissées sans réponse.
Janvier à juillet 2026 · CNIL, procédure simplifiée
Huit sanctions sur vingt-trois pour des droits ignorés
Sur 23 sanctions simplifiées prononcées depuis janvier 2026, 8 visent des demandes d’accès ou d’effacement restées sans réponse ou traitées trop tard, dont 4 avec un défaut de coopération avec la CNIL. Parmi elles figurent 2 000 euros contre des candidats aux élections législatives (15 janvier) et 5 000 euros contre une société de vente à distance sur catalogue (12 mars).
L’apport. Une seule demande ignorée suffit à déclencher une amende, quelle que soit la taille de l’organisme. La procédure simplifiée plafonne l’amende à 20 000 euros, et le silence face aux courriers de la CNIL alourdit le dossier.
19 mars 2026 · CJUE
Brillen Rottler (C-526/24) : une première demande peut être abusive
Un résident autrichien s’abonne à la lettre d’information d’un opticien allemand, exerce son droit d’accès treize jours plus tard, puis réclame au moins 1 000 euros après le refus. L’opticien produit des articles et reportages décrivant le même schéma auprès de nombreuses entreprises.
L’apport. Une première demande peut être excessive au sens de l’article 12(5) si le responsable démontre, de façon non équivoque, qu’elle vise à créer artificiellement les conditions d’une indemnisation. Les informations publiques sur des demandes en série peuvent servir de preuve. La violation du droit d’accès ouvre droit à réparation au titre de l’article 82, même sans opération de traitement, à condition de prouver un dommage réel ; aucune réparation n’est due quand le comportement du demandeur en est la cause déterminante. L’arrêt FT reste valable : vouloir utiliser ses données dans un procès ne rend pas une demande abusive.
17 juin 2026 · Cour d’appel de Versailles
RG 25/02730 : courriels, agenda et données de productivité en référé
Une salariée licenciée pour inaptitude envisageait d’agir pour discrimination liée à sa grossesse et pour heures supplémentaires. Sa demande d’accès d’octobre 2024 avait reçu, neuf mois plus tard, une réponse partielle sans courriels ni agenda.
L’apport. La cour rejette la mesure d’instruction de l’article 145 du code de procédure civile, faute d’éléments rendant les griefs plausibles. Sur le fondement de l’article 15, elle ordonne en référé la communication de deux ans et demi de courriels, de l’agenda et des données de productivité, avec occultation des coordonnées personnelles des tiers. Les 10 000 euros de dommages-intérêts sont refusés, faute de préjudice invoqué. Sur l’agenda, Versailles s’écarte de la cour d’appel de Paris.
24 juin 2026 · Cour de cassation, chambre sociale
N° 25-10.397, publié : le juge cantonne une demande trop large
Un négociateur immobilier sous statut d’agent commercial, qui soutenait avoir travaillé comme salarié, réclamait en référé sa messagerie professionnelle sur plus de quatre ans. La cour d’appel de Paris avait rejeté la demande et jugé qu’elle ne relevait pas de l’article 15, faute d’être assez précise et proportionnée.
L’apport. La Cour de cassation casse sur le terrain de l’article 145 du code de procédure civile. Le régime de preuve propre à la durée du travail n’exclut pas cette mesure, et le juge doit examiner la demande concrètement, la limiter et occulter les données des tiers. L’arrêt ne tranche pas la proportionnalité propre à l’article 15, qui reste une question ouverte.
7 octobre 2026 · Conseil d’État
DILA (n° 509210) : le juge vérifie lui-même les articles 15 et 16
Un usager avait adressé à la Direction de l’information légale et administrative une série de demandes d’accès et de rectification, puis saisi la CNIL, qui a classé sa plainte.
L’apport. Le Conseil d’État examine les pièces pour savoir si le responsable a manqué à ses obligations. Aucun manquement n’étant établi, le classement est confirmé.
20 octobre 2026 · Conseil d’État
N° 506441 : le plaignant doit documenter sa plainte
Un patient réclamait l’intégralité de son dossier médical à un établissement public de santé et jugeait incomplets les éléments reçus. La CNIL lui a demandé trois fois ses échanges avec l’établissement, puis a clôturé la plainte.
L’apport. Le juge exerce un entier contrôle sur les suites données par la CNIL à une plainte relative au droit d’accès. La clôture tient malgré tout, parce que le plaignant n’a transmis ni ses échanges ni les réponses aux questions de la CNIL. Côté responsable, une réponse datée et archivée reste la meilleure défense.
20 octobre 2026 · Conseil d’État
Oney Bank (n° 511155) : copie des données et duplicata de documents
Une cliente demandait à Oney Bank les relevés détaillés de ses crédits renouvelables et les documents contractuels, et contestait la facturation des duplicatas.
L’apport. La copie des données due au titre de l’article 15 est gratuite ; le duplicata de documents bancaires peut être payant selon le contrat. La banque offrait le téléchargement des données dans l’espace client ou l’envoi de duplicatas payants. Le Conseil d’État juge que l’accès n’a pas été entravé et que le reste relevait d’un différend contractuel, hors du champ de la CNIL.
5 novembre 2026 · CJUE
Lindenberg (C-205/25) : l’autorité de contrôle répond aussi à l’article 15
Un journaliste spécialisé dans la protection des données avait déposé une réclamation auprès de l’autorité bavaroise, puis demandé l’accès aux données le concernant dans le dossier. L’autorité lui opposait une loi régionale qui excluait tout accès à ses dossiers.
L’apport. Pour les traitements liés à la réclamation, l’autorité de contrôle est responsable du traitement et doit répondre au plaignant. Une exclusion générale par la loi nationale est contraire au RGPD : les restrictions de l’article 23 supposent un examen proportionné, et les données des tiers peuvent être occultées. Le plaignant n’obtient pas pour autant chaque note interne du dossier.
Répondre à une demande d’accès en novembre 2026
Le délai d’un mois court dès la réception. Une prorogation de deux mois reste possible, à condition de l’annoncer et de la motiver dans ce premier mois : le Conseil d’État a confirmé le manquement de TotalEnergies sur ce point.
La réponse comprend les données elles-mêmes, sous une forme intelligible, et les informations de l’article 15(1), dont l’identité des destinataires et la source des données collectées indirectement. Quand une donnée n’a pas de sens sans son contexte, l’extrait ou le document entier fait partie de la copie.
Les droits des tiers se gèrent par occultation, document par document, avec un motif pour chaque catégorie masquée. Un refus global fondé sur le secret des correspondances ou sur une enquête interne ne tient pas devant le juge.
Un litige en cours ne justifie aucun refus. L’abus suppose une intention démontrée, et le dossier se construit au fil de l’eau : demandes en série auprès de plusieurs entités, menace indemnitaire jointe à la demande.
Pour la messagerie professionnelle, la divergence entre la Cour de cassation et la cour d’appel de Paris place les employeurs dans une position inconfortable. En attendant un nouvel arrêt, une réponse ciblée par période et par objet, après avoir invité le demandeur à préciser sa demande comme le permet le considérant 63, limite le risque des deux côtés.
Suivre chaque demande d’accès dans DPO SUITE
DPO SUITE enregistre chaque demande d’exercice des droits, suit son avancement étape par étape et rassemble les demandes en cours dans un tableau de bord. L’historique de chaque dossier reste disponible le jour où la CNIL ou un juge demande comment la réponse a été construite.
Les DPO du réseau DPO FRANCE accompagnent la relecture et la validation de vos réponses.
Sources
- CJCE, 7 mai 2009, Rijkeboer, C-553/07 : EUR-Lex
- CJUE, 17 juillet 2014, YS e.a., C-141/12 et C-372/12 : EUR-Lex
- CJUE, 20 décembre 2017, Nowak, C-434/16 : EUR-Lex
- Conseil d’État, 24 février 2022, n° 447495 : ArianeWeb
- CNIL, délibération SAN-2022-017 du 3 août 2022 (Accor) : CNIL
- Conseil d’État, 21 octobre 2022, n° 459254 : ArianeWeb
- CJUE, 12 janvier 2023, Österreichische Post, C-154/21 : EUR-Lex
- CJUE, 4 mai 2023, Österreichische Datenschutzbehörde et CRIF, C-487/21 : EUR-Lex
- CNIL, sanction Criteo du 15 juin 2023 : CNIL
- CJUE, 22 juin 2023, Pankki S, C-579/21 : EUR-Lex
- CJUE, 26 octobre 2023, FT, C-307/22 : EUR-Lex
- Cour d’appel de Paris, pôle 1 chambre 3, 25 juin 2024, RG 23/18268
- CNIL, sanction KASPR et clôture de l’injonction : CNIL
- CJUE, 9 janvier 2025, Österreichische Datenschutzbehörde, C-416/23 : EUR-Lex
- CJUE, 27 février 2025, Dun & Bradstreet Austria, C-203/22 : EUR-Lex
- Cour d’appel de Rennes, 27 février 2025, RG 24/02772
- Cour de cassation, chambre sociale, 18 juin 2025, n° 23-19.022, publié au Bulletin
- Cour d’appel de Bruxelles, 3 septembre 2025
- Cour d’appel de Paris, pôle 6 chambre 2, 2 octobre 2025, RG 25/02502
- Cour d’appel de Paris, pôle 6 chambre 2, 18 décembre 2025, RG 25/04270
- Conseil d’État, 1er décembre 2025, TotalEnergies SE, n° 498023 : ArianeWeb
- CNIL, sanctions simplifiées prononcées en 2026 : CNIL
- CJUE, 19 mars 2026, Brillen Rottler, C-526/24 : EUR-Lex
- Cour d’appel de Versailles, chambre sociale 4-2, 17 juin 2026, RG 25/02730
- Cour de cassation, chambre sociale, 24 juin 2026, n° 25-10.397, publié au Bulletin : Cour de cassation
- Conseil d’État, 7 octobre 2026, n° 509210 : ArianeWeb
- Conseil d’État, 20 octobre 2026, n° 506441 : ArianeWeb
- Conseil d’État, 20 octobre 2026, n° 511155 : ArianeWeb
- CJUE, 5 novembre 2026, Lindenberg, C-205/25 : EUR-Lex
- CNIL, compilation de jurisprudence sur le droit d’accès : CNIL
Questions fréquentes
Quel est le délai pour répondre à une demande d’accès RGPD ?
Un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois compte tenu de la complexité et du nombre de demandes, à condition d’informer le demandeur de la prolongation et de ses motifs dans le premier mois (article 12, paragraphe 3, du RGPD). Le Conseil d’État a confirmé en décembre 2025 un manquement pour non-respect de ce délai.
Peut-on refuser une demande d’accès parce qu’un litige est en cours ?
Non. Depuis l’arrêt FT du 26 octobre 2023, la CJUE juge que le demandeur n’a pas à motiver sa demande, même quand il prépare une action contre le responsable du traitement. Un refus suppose de démontrer une demande manifestement infondée ou excessive, ce qui exige une intention abusive au sens de l’arrêt Brillen Rottler du 19 mars 2026.
Une première demande d’accès peut-elle être abusive ?
Oui, dans des cas exceptionnels. La CJUE l’admet depuis le 19 mars 2026 (C-526/24) lorsque le responsable démontre de façon non équivoque que la demande vise à créer artificiellement les conditions d’une indemnisation. Des informations publiques sur des demandes en série peuvent servir de preuve, et la charge de cette preuve pèse sur le responsable.
Un salarié peut-il obtenir ses courriels professionnels par une demande d’accès ?
La Cour de cassation l’admet depuis le 18 juin 2025 : l’employeur fournit les métadonnées et le contenu des courriels, sauf atteinte aux droits et libertés d’autrui. La cour d’appel de Paris refuse depuis fin 2025 une consultation générale et exhaustive de la messagerie. En attendant un nouvel arrêt de la Cour de cassation, une réponse ciblée par période et par objet, avec occultation des données des tiers, limite le risque.
Faut-il donner le nom des destinataires des données ?
Oui. Depuis l’arrêt Österreichische Post du 12 janvier 2023, le responsable donne l’identité des destinataires, sauf impossibilité ou demande manifestement infondée ou excessive. Les salariés qui consultent les données sous l’autorité du responsable ne sont pas, en principe, des destinataires à nommer (arrêt Pankki S du 22 juin 2023).
La copie des données peut-elle être facturée ?
La première copie est gratuite, et une loi nationale ne peut pas la rendre payante (CJUE, 26 octobre 2023, C-307/22). Des frais raisonnables sont possibles pour les copies supplémentaires. Le Conseil d’État distingue aussi la copie gratuite des données et le duplicata de documents contractuels, qui peut rester payant (20 octobre 2026, Oney Bank).
Que risque un organisme qui ne répond pas à une demande d’accès ?
La CNIL peut prononcer une amende, jusqu’à 20 000 euros en procédure simplifiée et bien davantage en procédure ordinaire. Le juge des référés peut ordonner la communication sous astreinte, et le demandeur peut obtenir des dommages-intérêts s’il prouve un préjudice. L’absence de réponse constitue aussi une contravention de cinquième classe (article R. 625-11 du code pénal).
Pour aller plus loin
Notre guide de référence : le DPO externalisé à temps partagé.