Le droit d’accès RGPD permet d’obtenir une copie de ses données personnelles. Il ne garantit pas, dans toutes les situations, la reproduction gratuite des documents qui les contiennent. Pour une entreprise, cette distinction impose d’examiner précisément la demande : quelles données faut-il communiquer, sous quelle forme et avec quel contexte pour les rendre compréhensibles ?
La décision du Conseil d’État du 20 octobre 2026, n° 511155, illustre cette frontière. Elle invite aussi les responsables de traitement à structurer leur gestion des demandes, depuis leur réception jusqu’à la conservation des preuves de réponse.
Une cliente demandait ses relevés et ses documents contractuels.
L’affaire concernait une cliente d’Oney Bank qui souhaitait obtenir les relevés détaillés de comptes associés à des crédits renouvelables, avec les mouvements de fonds et les soldes, ainsi que les documents contractuels correspondants.
La banque lui avait proposé d’accéder à l’ensemble des données personnelles demandées par téléchargement depuis son espace client. Elle proposait également l’envoi de duplicata payants, selon les conditions tarifaires communiquées.
Insatisfaite, la cliente avait saisi la CNIL, puis contesté devant le Conseil d’État la clôture de sa plainte. Le Conseil d’État rejette son recours : au regard des éléments recueillis, l’accès aux données avait été proposé et le différend restant concernait l’obtention de duplicata dans le cadre de la relation contractuelle.
Le point déterminant est donc l’accès proposé à l’ensemble des données demandées. La décision ne constitue pas une autorisation générale de facturer les réponses aux demandes d’accès.
Les données bancaires restent pleinement concernées par l’article 15.
Les dates d’opération, libellés, débits, crédits et soldes constituent des informations personnelles lorsqu’ils se rapportent à une personne physique identifiée ou identifiable.
La CNIL distingue ainsi la reproduction exacte d’un relevé bancaire de la communication des informations personnelles qu’il contient. Une restitution sur un autre support, notamment un tableau, peut répondre à une demande d’accès.
Le responsable de traitement doit toutefois vérifier ce que cette restitution permet réellement de comprendre. Un fichier contenant des montants sans dates, des codes internes inexpliqués ou des opérations privées de leur contexte peut laisser la personne dans l’impossibilité d’interpréter ses données.
Changer le support est possible. Appauvrir l’information au point de la rendre incompréhensible ne permet pas de satisfaire correctement au droit d’accès.
La copie d’un document peut devenir nécessaire.
Dans son arrêt du 4 mai 2023, affaire C-487/21, la Cour de justice de l’Union européenne précise que la personne doit recevoir une reproduction fidèle et intelligible de l’ensemble de ses données personnelles faisant l’objet d’un traitement.
Cette exigence peut nécessiter la communication d’extraits de documents, de documents entiers ou d’extraits de bases de données lorsque cela est indispensable à l’exercice effectif des droits.
La question à examiner dépasse donc le choix entre un fichier et un document original. Il faut déterminer si les informations fournies restent compréhensibles sans leur contexte.
À titre d’exemple, un export faisant apparaître un taux ou une échéance sans expliquer à quelle opération ils correspondent pourrait nécessiter un complément documentaire. Cette appréciation dépend du contenu effectivement communiqué.
La décision du Conseil d’État doit se lire à la lumière de cette exigence européenne. Elle ne tranche pas expressément toutes les situations dans lesquelles un document devient indispensable à la compréhension des données.
Un espace client peut suffire, sous certaines conditions.
Un dispositif de téléchargement peut faciliter l’exercice du droit d’accès. Le Comité européen de la protection des données envisage expressément l’utilisation d’outils permettant aux personnes de récupérer elles-mêmes leurs données.
Pour le responsable de traitement, la présence d’un bouton de téléchargement appelle néanmoins des vérifications concrètes :
- Le périmètre disponible couvre-t-il les données visées par la demande ?
- La personne peut-elle effectivement accéder au dispositif et conserver une copie ?
- Les fichiers sont-ils lisibles et les informations compréhensibles ?
- Les informations complémentaires exigées par l’article 15 sont-elles également fournies ?
- Les modalités de communication protègent-elles les données contre un accès indu ?
Un renvoi vers un espace client doit donc correspondre à une solution effective. Si certaines données demandées en sont absentes, il faut organiser une réponse complémentaire.
La gratuité demeure le principe.
La première copie des données personnelles est, en principe, gratuite. L’article 15 permet de demander des frais raisonnables fondés sur les coûts administratifs pour des copies supplémentaires. L’article 12 prévoit également des exceptions encadrées pour les demandes manifestement infondées ou excessives.
Un tarif contractuel de duplicata ne suffit donc pas à rendre payante une communication nécessaire à l’exercice du droit d’accès.
Le délai de réponse est d’un mois à compter de la réception de la demande. Une prolongation de deux mois est possible lorsque les conditions réglementaires sont réunies, avec information motivée de la personne dans le premier mois.
Pourquoi DPO SUITE constitue un outil idéal pour organiser cette gestion.
Cette affaire révèle une difficulté quotidienne : une même demande peut mêler accès aux données, récupération de documents et contestation contractuelle. Pour y répondre correctement, l’entreprise doit coordonner son analyse, ses recherches et ses échéances.
DPO SUITE est particulièrement adapté à cette organisation. Son module de gestion des droits réunit le suivi des demandes, les délais réglementaires, les modèles de réponse et la traçabilité des preuves. Ses registres et sa cartographie apportent aussi un appui pour identifier les traitements et les applications à examiner.
| Besoin opérationnel | Apport de DPO SUITE |
|---|---|
| Organiser l’instruction de la demande. | Centraliser son suivi dans le module des droits. |
| Retrouver les traitements concernés. | S’appuyer sur les registres et la cartographie. |
| Respecter les échéances. | Suivre les délais réglementaires et les actions à mener. |
| Préparer une réponse cohérente. | Utiliser des modèles à adapter à l’analyse du dossier. |
| Justifier les démarches réalisées. | Conserver la traçabilité et les preuves de traitement. |
L’intérêt de cette organisation est de permettre au DPO d’expliquer les choix retenus : périmètre recherché, données communiquées, compléments nécessaires et réponse apportée. Le logiciel soutient ce travail ; l’appréciation du caractère complet et intelligible de la communication reste à effectuer pour chaque dossier
