L’article 15 du RGPD donne à toute personne le droit de savoir si vous traitez des données la concernant et, si oui, d’en obtenir une copie accompagnée d’informations sur le traitement : finalités, catégories de données, destinataires, durée de conservation, source, existence d’une décision automatisée. Vous devez répondre gratuitement dans un délai d’un mois, prolongeable de deux mois pour une demande complexe, en vérifiant l’identité du demandeur sans exiger plus que nécessaire.
L’essentiel
- Délai : un mois, prolongeable de deux mois avec information du demandeur ; gratuit sauf demande manifestement excessive ou répétitive.
- Contenu : une copie des données et huit informations sur le traitement, dans un format courant, électronique si la demande l’est.
- Limite : la copie ne doit pas porter atteinte aux droits d’autrui (secret des affaires, vie privée de tiers), ce qui autorise à occulter, pas à refuser en bloc.
- Depuis l’arrêt de la Cour de cassation du 18 juin 2025, un salarié peut demander la copie de ses e-mails professionnels, métadonnées comprises.
Ce que dit l’article 15
| Paragraphe | Ce que dit le texte |
|---|---|
| 15.1 – Contenu | Confirmation que des données sont traitées, accès aux données, et information sur : les finalités, les catégories de données, les destinataires (notamment hors UE), la durée de conservation ou ses critères, les droits de rectification, d’effacement, de limitation et d’opposition, le droit de réclamation auprès de la CNIL, la source des données si elles ne viennent pas de la personne, l’existence d’une décision automatisée avec sa logique et ses conséquences. |
| 15.2 – Transferts | En cas de transfert hors UE, la personne est informée des garanties appropriées. |
| 15.3 – Copie | Le responsable fournit une copie des données ; des copies supplémentaires peuvent être facturées à un coût raisonnable ; une demande électronique reçoit une réponse électronique courante. |
| 15.4 – Droits d’autrui | Le droit d’obtenir une copie ne porte pas atteinte aux droits et libertés d’autrui. |
Les modalités de délai et de gratuité viennent de l’article 12 : réponse dans un mois, prolongation de deux mois possible pour les demandes complexes ou nombreuses, information du demandeur dans le premier mois en cas de prolongation ou de refus.
Ce que cela change pour une PME
Une adresse et une procédure, avant la première demande
Une adresse de contact affichée dans la politique de confidentialité, une personne désignée pour traiter les demandes, et une procédure d’une page : vérifier l’identité, chercher les données dans chaque outil listé au registre, préparer la copie, relire pour les tiers, répondre, archiver la réponse. C’est l’étape 6 de notre guide de mise en conformité.
Vérifier l’identité sans en demander trop
Lorsque le demandeur écrit depuis l’adresse connue ou depuis son compte, aucune pièce supplémentaire n’est nécessaire. Une pièce d’identité ne se demande qu’en cas de doute raisonnable, et elle se supprime une fois la vérification faite ; la CNIL sanctionne la demande systématique de pièce d’identité.
Chercher partout où le registre dit que les données sont
Le CRM, mais aussi la messagerie, le logiciel de facturation, l’outil d’e-mailing, les sauvegardes récentes, les prestataires. Une réponse limitée au CRM est incomplète, et c’est le reproche le plus fréquent de la CNIL. Le registre sert ici de liste de contrôle.
Occulter les tiers, pas refuser
Un e-mail ou un document qui mentionne d’autres personnes se transmet en masquant leurs données ; un refus global n’est possible que si la demande est manifestement infondée ou excessive, et il doit être motivé. Pour les messageries de salariés, ce travail d’anonymisation peut représenter plusieurs jours.
Garder la preuve
La demande, la réponse datée et la copie transmise sont conservées, pour démontrer le respect du délai en cas de plainte. Les demandes de droits se tracent dans un journal simple : date de réception, nature, date de réponse.
Ce que la CNIL et les juges ont décidé
| Décision | Portée | Ce qu’il faut retenir |
|---|---|---|
| Free Mobile, 28 décembre 2022 | 300 000 euros (toutes causes) | Demandes de droit d’accès et d’opposition restées sans réponse ou traitées hors délai, parmi d’autres manquements (information, sécurité). |
| Criteo, 15 juin 2023 | 40 millions d’euros (toutes causes) | Réponses aux demandes d’accès jugées incomplètes : données transmises sans les informations permettant de les comprendre, et une partie des données non communiquée. |
| Cour de cassation, chambre sociale, 18 juin 2025 | Arrêt | Les e-mails professionnels d’un salarié sont des données personnelles ; l’employeur doit en communiquer la copie, métadonnées comprises, sur demande fondée sur l’article 15, sous réserve des droits des tiers. |
Le droit d’accès est, avec les cookies, le premier motif de plainte auprès de la CNIL : une demande sans réponse suffit à déclencher un contrôle, quelle que soit la taille de l’entreprise.
Les questions que je pose en audit
- Où un client ou un salarié peut-il envoyer une demande d’accès, et qui lit cette boîte ?
- Combien de demandes avez-vous reçues ces deux dernières années, et où sont les réponses ?
- Si je vous demande mes données maintenant, dans quels outils allez-vous chercher, et en combien de temps ?
- Exigez-vous une pièce d’identité, et à quel moment la supprimez-vous ?
- Comment traitez-vous les e-mails et documents qui mentionnent d’autres personnes ?
- Vos prestataires (hébergeur, CRM, paie) sont-ils tenus par contrat de vous aider à répondre ?
- Avez-vous déjà eu une demande portant sur une boîte mail professionnelle, et comment l’avez-vous traitée ?
Prêt à l’emploi : la réponse type à une demande d’accès
Accusé de réception (sous 48 heures) : « Nous avons bien reçu votre demande d’accès à vos données personnelles le [date]. Nous vous répondrons au plus tard le [date + 1 mois]. Si votre demande concerne un volume important de données, nous pourrons prolonger ce délai de deux mois ; nous vous en informerons avant le [date + 1 mois]. »
Réponse : « Vous trouverez ci-joint la copie des données que nous détenons à votre sujet, extraites de [liste des outils]. Nous les traitons pour [finalités], sur la base de [base légale], et nous les conservons [durée]. Elles sont accessibles à [destinataires] ; aucun transfert hors Union européenne n’est effectué / elles sont transférées vers [pays] avec [garantie]. Elles proviennent de [source]. Vous pouvez demander leur rectification, leur effacement, la limitation ou vous opposer à leur traitement en écrivant à [adresse], et introduire une réclamation auprès de la CNIL. Certaines mentions concernant des tiers ont été occultées pour protéger leurs droits. »
Et en Suisse ?
La nLPD prévoit un droit d’accès équivalent à son article 25 : réponse gratuite dans les 30 jours, avec les mêmes informations (identité du responsable, données, finalité, durée, origine, destinataires, décisions automatisées), et des restrictions possibles pour protéger des tiers ou des intérêts prépondérants. Notre fiche sur le droit d’accès sous la nLPD détaille la procédure.
Ce que je constate en mission. La demande d’accès arrive presque toujours dans un contexte tendu : un salarié en litige, un client mécontent. Les entreprises qui s’en sortent bien sont celles qui ont écrit la procédure avant, parce qu’elles répondent dans le délai sans improviser. Celles qui n’ont rien préparé répondent en retard, de façon incomplète, et c’est cette réponse partielle, plus que le litige d’origine, qui finit devant la CNIL.
Thomas Blanc, DPO externalisé depuis 2018
Questions fréquentes
Peut-on refuser une demande d’accès ?
Seulement si elle est manifestement infondée ou excessive, par exemple répétée sans raison, et le refus doit être motivé et mentionner le droit de saisir la CNIL. Le volume de travail n’est pas un motif de refus, mais il justifie la prolongation de deux mois.
Un ancien salarié peut-il demander ses e-mails ?
Oui, depuis l’arrêt du 18 juin 2025, y compris après son départ. L’employeur transmet les messages et leurs métadonnées en occultant les données de tiers et les secrets d’affaires ; notre page sur l’anonymisation de boîte mail décrit la méthode.
Faut-il répondre à une demande faite par téléphone ?
Oui, le règlement n’impose pas de forme. Il est prudent de confirmer la demande par écrit pour fixer la date de départ du délai et conserver une trace.
Préparer vos réponses aux demandes de droits
La procédure de réponse et le journal des demandes font partie des livrables de notre audit RGPD ; dans le cadre d’un abonnement DPO externalisé, nous traitons les demandes avec vous.
Sources
- Règlement (UE) 2016/679, articles 12 et 15
- CNIL – Le droit d’accès
- CNIL – Les sanctions prononcées (Free Mobile 2022, Criteo 2023)
