Demande d’accès RGPD : comment répondre dans le délai d’un mois

Une demande de droit d’accès RGPD, c’est une personne qui vous demande les données personnelles que vous détenez sur elle. L’article 15 du RGPD lui donne droit à une copie de ces données et à une explication de leur usage, dans un délai d’un mois et, le plus souvent, gratuitement.

Ces demandes arrivent rarement au bon moment : un salarié qui vient de partir, un client qui conteste une facture, un prospect agacé par un cold email. Aucune formule n’est exigée : « envoyez-moi toutes les données que vous avez sur moi » suffit.

Ce guide vaut pour les petites équipes de l’UE comme pour les entreprises hors de l’UE qui ont des clients européens. Il fait partie de mon guide du RGPD pour les petites équipes.

Qui doit répondre, et qui peut demander

Toute personne dont vous détenez des données peut faire une demande : clients, prospects, abonnés, salariés actuels ou anciens. Elle n’a ni à se justifier ni à passer par un formulaire : un e-mail, un appel ou un message sur un réseau social suffit.

L’obligation pèse sur le responsable du traitement, l’entreprise qui décide pourquoi et comment les données sont utilisées. Si vous traitez des données pour un client, comme souvent une agence web, vous êtes sous-traitant : transmettez-lui la demande sans attendre et aidez-le à répondre (article 28.3.e).

Votre pays change surtout l’autorité : la CNIL en France, l’ICO (officiellement l’Information Commission depuis le 30 septembre 2026) au Royaume-Uni. Une entreprise suisse, québécoise ou marocaine qui vend à des personnes dans l’UE est en général concernée aussi (article 3.2) : mon guide sur le RGPD hors de l’UE détaille les deux critères.

Ce que vous devez envoyer : la copie et huit informations

Votre réponse comporte deux parties : une copie des données, et les informations de l’article 15.1 du RGPD (EUR-Lex), appliquées à cette personne :

1. Finalités du traitement.
2. Catégories de données : coordonnées, commandes, e-mails, notes d’appel.
3. Destinataires, y compris vos prestataires, et garanties des transferts hors de l’UE. La personne peut exiger leur nom, pas seulement leur catégorie (Cour de justice de l’UE, C-154/21).
4. Durée de conservation, ou les critères qui la fixent.
5. Droits de rectification, d’effacement, de limitation et d’opposition.
6. Réclamation : le droit de saisir la CNIL ou l’autorité compétente.
7. Source des données, si elles ne viennent pas de la personne.
8. Décisions automatisées, profilage compris, et leur logique.

Les points 1 à 6 figurent pour l’essentiel dans votre politique de confidentialité. Le point 7 est celui qu’oublient les entreprises qui prospectent : en décembre 2024, la CNIL a infligé 240 000 € d’amende à KASPR, dont l’extension Chrome fournit des coordonnées de contacts, notamment parce que ses réponses aux demandes d’accès taisaient l’origine des données (annonce de la CNIL).

La copie doit être complète et intelligible, ce qui peut impliquer des extraits, voire des documents entiers, quand le contexte est nécessaire (affaire C-487/21). Une demande reçue par e-mail appelle une réponse électronique, en PDF par exemple, sauf demande contraire (article 15.3).

Le délai d’un mois : calcul, prolongation, suspension

Le mois court à partir de la réception de la demande par votre entreprise, pas du jour où quelqu’un la remarque : reçue le 3 mars, réponse au plus tard le 3 avril (article 12.3).

Prolonger. Vous pouvez ajouter deux mois pour une demande complexe ou des demandes multiples de la même personne, si vous la prévenez dans le premier mois en expliquant pourquoi. Une semaine chargée ne rend pas une demande complexe ; quatre ans d’e-mails à relire, peut-être.

Vérifier l’identité. Ne demandez d’informations supplémentaires qu’en cas de doute raisonnable (article 12.6). La CNIL rappelle qu’une pièce d’identité ne doit pas être exigée systématiquement et qu’une demande faite depuis un espace authentifié peut suffire (fiche de la CNIL) ; une demande venue de l’adresse que vous utilisez déjà avec ce client n’appelle en général pas de justificatif. Si vous demandez un complément, le délai ne repart qu’à sa réception, selon la CNIL : demandez-le le premier jour.

Faire préciser. Si vous détenez beaucoup d’informations sur la personne, le considérant 63 vous permet de lui demander ce qu’elle vise. Au Royaume-Uni, le Data (Use and Access) Act 2025 a créé une suspension officielle (« stop the clock », article 12A, en vigueur depuis le 5 février 2026) : le délai s’arrête le jour de votre question et repart le lendemain de la réponse, comme l’explique le guide de l’ICO (en anglais). Le RGPD européen ne prévoit pas cette pause.

Frais et refus. La première copie est gratuite ; les copies supplémentaires peuvent être facturées au coût administratif (article 15.3). Vous ne pouvez facturer des frais raisonnables ou refuser que si la demande est manifestement infondée ou excessive, par exemple la même demande chaque semaine, et c’est à vous de le prouver (article 12.5).

Comment répondre à une demande de droit d’accès RGPD en sept étapes

1. Enregistrez-la le jour même et désignez un responsable.
2. Accusez réception, avec la date à laquelle la personne peut attendre une réponse.
3. Faites préciser seulement si c’est nécessaire, en proposant de tout envoyer si elle préfère.
4. Cherchez partout son nom, ses adresses e-mail, ses numéros de téléphone et son numéro client :
   • boîtes mail, y compris celles des collègues, adresses partagées comme contact@ et archives ;
   • CRM, outils de cold emailing et de newsletter ;
   • formulaires du site, commandes, comptes clients, facturation et comptabilité ;
   • espaces partagés comme Google Drive ou OneDrive ;
   • WhatsApp Business, Slack ou Teams, journaux et enregistrements d’appels, agendas ;
   • dossiers papier classés par nom, et sauvegardes qui contiennent des données disparues ailleurs.
5. Relisez et caviardez. Retirez les données d’autres personnes quand leur communication porterait atteinte à leurs droits (article 15.4), sans noircir des documents entiers. Ce que vos collègues ont écrit sur le demandeur, opinions comprises, fait partie de ses données.
6. Rédigez la réponse avec la copie et les huit points (modèle ci-dessous).
7. Envoyez-la de façon sécurisée et gardez-en la trace. Vérifiez deux fois l’adresse : envoyer un dossier à la mauvaise personne est une violation de données personnelles. Utilisez un fichier protégé par un mot de passe envoyé par SMS, ou un lien de partage qui expire.

Les outils sur mesure comptent aussi : l’application interne que j’ai développée pour qu’un installateur de climatisation suive ses prospects, ses chantiers et ses appels est un endroit à fouiller au même titre qu’une boîte mail, et vos sous-traitants, comme l’éditeur de votre CRM, doivent vous aider à chercher chez eux.

Modèle de réponse à adapter

Joignez les fichiers ou envoyez un lien, et gardez chaque rubrique, même quand la réponse est « aucune ».

Objet : Votre demande d’accès à vos données (reçue le [date])

Madame, Monsieur,

Nous avons reçu votre demande le [date]. Conformément à l’article 15
du RGPD, voici vos données et l’usage que nous en faisons.

1. Vos données : en pièce jointe [fiche CRM ; 37 e-mails vous
   concernant ; 4 factures], en retirant si besoin les données
   d’autres personnes.
2. Finalités : [exécution de notre contrat ; comptabilité imposée
   par la loi ; newsletter, avec votre consentement].
3. Catégories : [coordonnées, commandes, e-mails, notes d’appel].
4. Destinataires : [notre expert-comptable ; nos prestataires de
   messagerie et de CRM, leur pays et la garantie encadrant tout
   transfert hors de l’UE].
5. Conservation : [dossier client : X ans après la fin du contrat ;
   factures : Y ans, selon nos obligations comptables].
6. Source : [vous-même / site de votre société].
7. Décisions automatisées : aucune.
8. Vos droits : rectification, effacement, limitation, opposition,
   et réclamation auprès de la CNIL.

Pour toute question, répondez à cet e-mail.

[Nom], [entreprise], [coordonnées]

Pour les durées de conservation, voyez mon guide sur la durée de conservation des données clients et prospects.

Quand la demande vient d’un ancien salarié ou d’un client mécontent

Beaucoup de demandes arrivent sur fond de litige, avant une procédure aux prud’hommes ou une réclamation, et c’est permis. La personne n’a pas à se justifier, et la Cour de justice a confirmé en octobre 2023 que la première copie reste gratuite même quand elle doit servir à une action contre vous (affaire C-307/22). Répondez dans le délai et complètement : une réponse tardive ou lacunaire lui offre un second grief.

Vous pouvez refuser une demande abusive, mais la barre est haute. En mars 2026, la Cour a jugé qu’une première demande peut être refusée comme abusive, à condition de s’appuyer sur des faits documentés propres à cette demande ; une demande d’indemnisation en arrière-plan ne suffit pas à elle seule (affaire C-526/24, Brillen Rottler). La proposition de Digital Omnibus de la Commission européenne faciliterait le refus des demandes faites à d’autres fins que la protection des données ; au 19 octobre 2026, elle est encore en négociation et n’a pas force de loi (voir mon article sur le Digital Omnibus).

Faites tout passer par une seule personne, et écrivez vos e-mails internes comme si le demandeur devait les lire un jour. Après une demande d’accès, c’est possible.

Les autres demandes : effacement, rectification, opposition, portabilité

Les autres droits des articles 16 à 22 suivent le même délai d’un mois et le même registre.

• Effacement (article 17) : supprimez les données dont vous n’avez plus besoin, ou celles visées par un retrait du consentement ou par une opposition que vous ne pouvez pas écarter. Gardez ce qu’imposent la loi ou un contentieux, comme les factures (article 17.3), et prévenez ceux à qui vous avez communiqué les données (article 19).
• Rectification (article 16) : corrigez les données inexactes et complétez celles qui sont incomplètes.
• Opposition à la prospection (article 21.3) : absolue. Arrêtez immédiatement et gardez l’adresse dans une liste d’exclusion pour qu’un prochain import ne la fasse pas revenir.
• Portabilité (article 20) : les données fournies par la personne et traitées de façon automatisée, sur la base du consentement ou d’un contrat, lui reviennent dans un fichier lisible par machine (un CSV par exemple) ou partent chez un autre prestataire si c’est techniquement possible.

Tenir un registre des demandes, et savoir quand passer la main

Un tableur suffit pour la plupart des petites équipes, avec une ligne par demande, conservée tant qu’une réclamation ou une action reste possible :

Si le RGPD britannique s’applique à vous, vous devez aussi, depuis le 19 juin 2026, offrir un moyen de vous adresser une réclamation, un formulaire par exemple, et en accuser réception sous 30 jours. Mon article sur le RGPD britannique après le Data (Use and Access) Act détaille les autres changements.

Ce guide donne des informations générales, pas un conseil juridique. La plupart des demandes se traitent sans avocat ; un avocat se justifie quand la demande s’inscrit dans un contentieux prud’homal ou judiciaire, vient de l’avocat de la partie adverse, porte sur des données de santé ou d’autres données sensibles, ou oblige à relire des années d’e-mails. Si vous avez un DPO, associez-le dès le premier jour : les personnes concernées peuvent le contacter directement pour exercer leurs droits (article 38.4).

Si vous recevez des demandes tous les mois, automatisez la partie fastidieuse : un formulaire ou une règle de messagerie qui inscrit chaque demande au registre, calcule l’échéance et relance son responsable une semaine avant.