Droit d'accès aux données RGPD : délai 1 mois et modèle 2026

En une phrase. Le droit d’accès (article 15 RGPD) permet à toute personne de demander à un responsable de traitement la confirmation que ses données sont traitées et, si oui, d’en obtenir une copie ainsi que les informations sur les finalités, les catégories de données, les destinataires, la durée de conservation et l’origine des données. Le délai de réponse est de un mois (extensible à trois mois pour les demandes complexes). Le défaut de réponse expose à des sanctions CNIL pouvant atteindre 4% du chiffre d’affaires mondial.

Le droit d’accès est l’un des droits les plus fréquemment exercés par les personnes concernées et l’un des plus contrôlés par la CNIL : 12 193 plaintes déposées en 2023 portaient sur un défaut de réponse à une demande d’accès, soit plus du tiers du total des plaintes reçues. Sa mise en œuvre opérationnelle est cependant souvent défaillante : délais dépassés, réponses incomplètes, vérification d’identité bâclée, refus mal motivés. Ce guide détaille la procédure complète conforme aux exigences CNIL et EDPB.

Pour les autres droits des personnes, voir notre exercice des droits RGPD. Pour le droit à l’effacement, droit à l’effacement RGPD. Pour le droit de rectification, droit de rectification RGPD.

Points clés

• Le droit d’accès est universel : toute personne peut l’exercer, sans justification.
• Délai de réponse : 1 mois à compter de la réception, extensible à 3 mois si demande complexe (motivation requise).
• La réponse doit inclure les données + 8 catégories d’information (finalités, catégories, destinataires, durée, droits, etc.).
• L’identité du demandeur doit être vérifiée — mais pas de manière disproportionnée (pas de copie de pièce d’identité par défaut).
• Le défaut de réponse ou la réponse manifestement incomplète est l’une des causes les plus fréquentes de plainte CNIL.

1. Périmètre du droit d’accès (article 15)

L’article 15 RGPD donne à toute personne concernée le droit :

• D’obtenir la confirmation que des données la concernant sont (ou ne sont pas) traitées
• D’accéder à ces données et d’en obtenir une copie
• D’obtenir les informations suivantes :

Information requise	Article 15 §1
Finalités du traitement	a)
Catégories de données concernées	b)
Destinataires (ou catégories de destinataires)	c)
Durée de conservation envisagée	d)
Droits (rectification, effacement, opposition, portabilité, plainte CNIL)	e)
Origine des données (si non collectées auprès de la personne)	f)
Existence d’une décision automatisée (article 22) avec logique sous-jacente	g)
Garanties pour les transferts internationaux (article 46)	h)

Important : la réponse n’est pas un simple dump de la base — elle doit être structurée et compréhensible pour la personne.

Chacune de ces rubriques appelle un niveau de précision que les réponses standardisées atteignent rarement :

Les finalités doivent être énoncées traitement par traitement. Une formule générique du type « pour la fourniture de nos services » ne satisfait pas l’art. 15(1)(a) : la CNIL attend l’énumération des finalités réelles (gestion du compte, exécution des commandes, prospection, lutte contre la fraude, statistiques).

Les destinataires — l’art. 15(1)© impose de communiquer les destinataires ou catégories de destinataires. La CJEU a tranché dans l’affaire RW c. Österreichische Post (C-154/21, 12 janvier 2023) : la personne a le droit d’obtenir l’identité concrète des destinataires, et non de simples catégories, sauf s’il est impossible de les identifier ou si la demande est manifestement infondée ou excessive. Nommer « nos partenaires » ne suffit donc plus.

La durée de conservation — l’art. 15(1)(d) exige la durée envisagée ou, à défaut, les critères permettant de la déterminer. Renvoyer à la durée de conservation applicable au traitement suppose d’avoir un calendrier de conservation à jour.

La source des données — lorsque les données n’ont pas été collectées auprès de la personne (achat de fichier, enrichissement, courtier en données), l’art. 15(1)(g) impose de communiquer toute information disponible sur leur origine. C’est le point sur lequel les réponses sont le plus souvent muettes.

Les décisions automatisées — l’art. 15(1)(h) impose non seulement de signaler l’existence d’un profilage ou d’une décision automatisée au sens de l’art. 22, mais aussi de fournir des « informations utiles concernant la logique sous-jacente » et les conséquences prévues pour la personne.

2. Modalités de la demande

Forme de la demande

Le RGPD ne prescrit pas de forme. La demande peut être :

• Par courrier postal
• Par email (à privacy@… ou via formulaire dédié)
• Verbale (face-à-face, téléphone) — auquel cas le RT doit être en mesure de la documenter
• Via un formulaire en ligne

Erreur fréquente : exiger un formulaire spécifique. La CNIL a sanctionné des entreprises pour avoir refusé des demandes au motif qu’elles n’utilisaient pas le formulaire interne.

Identification du demandeur

Le RT doit s’assurer que le demandeur est bien la personne concernée (article 12 §6). Mais la vérification doit être proportionnée :

• Pour un compte client : vérifier via les identifiants du compte
• Pour une personne sans compte : nom, prénom, élément distinctif (date de naissance, dernière adresse connue)
• En cas de doute persistant : demander un élément complémentaire — mais pas systématiquement une copie de pièce d’identité

La CNIL a sanctionné plusieurs entreprises pour avoir exigé une copie de pièce d’identité de manière systématique, ce qui constitue une collecte de données disproportionnée.

3. Délais de réponse

Le délai de principe : 1 mois

À compter de la réception de la demande (article 12 §3).

L’extension à 3 mois

Possible si la demande est complexe ou si le RT reçoit un grand nombre de demandes. Conditions :

• Information du demandeur dans le délai d’un mois initial
• Motivation de l’extension
• L’extension ne peut pas excéder 2 mois supplémentaires (total maximum : 3 mois)

Le cas du refus

Si le RT refuse de donner suite à la demande (par exemple, demande manifestement infondée ou excessive), il doit :

• Informer le demandeur dans le délai d’un mois
• Motiver le refus
• Indiquer les voies de recours (CNIL, juge)

4. Contenu de la réponse

Forme

• Concise
• Transparente
• Compréhensible
• Aisément accessible
• Termes clairs et simples

(Article 12 §1)

Format

• Si la demande est faite par voie électronique, la réponse est faite par voie électronique sauf demande contraire (article 12 §3)
• Format structuré recommandé : PDF ou CSV pour les données, PDF pour les explications

Gratuit

La première copie est gratuite. Pour les copies supplémentaires, le RT peut percevoir des frais raisonnables basés sur les coûts administratifs (article 15 §3).

Données vs informations

La réponse doit fournir DEUX choses distinctes :

1. Une copie des données elles-mêmes
2. Les 8 informations listées à l’article 15 §1

Le simple envoi des données sans les informations contextuelles est non conforme.

5. Cas pratiques de réponse

Cas 1 — Demande d’un client e-commerce

Réponse type :

Confirmation : oui, vos données sont traitées par [Société].

Données détenues :
- Compte client (créé le [date]) : nom, prénom, email, téléphone, adresse
- Historique d'achats : 12 commandes entre [date] et [date]
- Préférences marketing : opt-in newsletter (consenti le [date])
- Logs de connexion : 47 connexions sur les 6 derniers mois

Pièce jointe : extract.json (vos données complètes)

Informations légales (article 15 §1) :
- Finalités : gestion du compte, exécution des commandes, marketing
- Catégories : données d'identification, contact, transaction, comportement
- Destinataires : Stripe (paiement), DHL (livraison), Mailchimp (marketing)
- Durée : compte 3 ans après dernière interaction, transactions 10 ans
- Droits : rectification, effacement, opposition, portabilité, plainte CNIL
- Origine : collectées auprès de vous lors de la création du compte
- Décision automatisée : aucune
- Transferts internationaux : Mailchimp (USA, EU-US Data Privacy Framework)

Pour toute question : dpo@societe.fr
Recours : CNIL (cnil.fr/plaintes)

Cas 2 — Demande d’un employé

Spécificités :

• Inclure les évaluations annuelles, fiches de paie, données de présence
• Pour les données partagées avec syndicats / IRP : préciser les catégories
• Pour les données de surveillance (vidéo, géolocalisation) : préciser les modalités — question fréquente chez les conducteurs et chauffeurs du transport et de la logistique, suivis en temps réel par la télématique embarquée

Cas 3 — Demande d’un prospect non-client

Réponse type si pas de données :

Confirmation : non, nous ne traitons aucune donnée personnelle vous
concernant à ce jour. Aucune action n'est requise.

Si vous souhaitez exercer votre droit de manière préventive ou si
vous pensez que des données vous concernent malgré cette réponse,
nous vous invitons à nous contacter à dpo@societe.fr en précisant
les éléments d'identification supplémentaires.

6. Exceptions au droit d’accès

Le droit d’accès n’est pas absolu. Exceptions principales :

Article 15 §4 — Droits d’autres personnes

Le droit d’obtenir une copie ne doit pas porter atteinte aux droits d’autres personnes (par exemple, données concernant des tiers mêlées aux données du demandeur).

Article 23 — Limitations légales

La législation nationale peut limiter le droit d’accès pour certains motifs limitativement énumérés : sécurité nationale, défense, sécurité publique, prévention et poursuite des infractions pénales, indépendance de la justice, protection de la personne concernée ou des droits d’autrui. En France, la loi Informatique et Libertés organise des régimes spécifiques — notamment un droit d’accès indirect, exercé par l’intermédiaire d’un magistrat de la CNIL, pour les traitements intéressant la sûreté de l’État, la défense et la sécurité publique. Des règles propres s’appliquent également aux traitements de données de santé et aux traitements à des fins archivistiques, scientifiques ou statistiques.

Ces limitations sont d’interprétation stricte : elles ne dispensent jamais de répondre, seulement de communiquer certaines données. Le responsable doit donc motiver ce qu’il écarte, et sur quel fondement.

Demande manifestement infondée ou excessive

Article 12 §5 : le RT peut refuser ou facturer si la demande est manifestement infondée ou excessive. Mais cette exception est strictement interprétée — la simple lourdeur opérationnelle ne suffit pas.

7. Sanctions CNIL pour défaut de droit d’accès

Le non-respect du droit d’accès relève de l’art. 83(5)(b) RGPD : plafond de 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Trois décisions donnent la mesure de ce que la CNIL sanctionne réellement.

CLEARVIEW AI — 20 millions d’euros (délibération SAN-2022-019 du 17 octobre 2022). La société avait collecté des milliards de photographies sur Internet pour alimenter un moteur de reconnaissance faciale. Au-delà de l’absence de base légale, la formation restreinte a retenu un manquement à l’obligation de faciliter l’exercice des droits : les demandes d’accès restaient sans réponse, ou n’obtenaient qu’une réponse partielle limitée aux données des douze derniers mois. Aucune procédure interne de traitement des demandes n’existait.

FREE — 300 000 euros (délibération SAN-2022-022 du 30 novembre 2022). L’opérateur a été sanctionné sur le fondement des articles 12, 15, 17, 32 et 33. Sur le volet accès : réponses hors délai aux demandes d’abonnés, et absence d’information complète sur l’origine des données — l’oubli le plus courant, puisque l’art. 15(1)(g) est souvent lu comme facultatif.

BRICO PRIVÉ — 500 000 euros (délibération SAN-2021-008 du 14 juin 2021). Dont 300 000 € au titre des articles 5-1-e), 13, 17 et 32 du RGPD. La décision illustre le mécanisme d’entraînement : une plainte pour non-suppression a ouvert un contrôle qui a révélé des durées de conservation non définies et une information des personnes insuffisante. Un manquement aux droits des personnes est rarement sanctionné seul.

Deux enseignements pratiques. D’abord, la CNIL recourt à la procédure simplifiée pour les manquements évidents aux droits des personnes, ce qui rend ces sanctions plus rapides et plus nombreuses, même si les montants restent modestes. Ensuite, la faille sanctionnée n’est presque jamais un refus assumé : c’est l’absence de procédure documentée, qui produit mécaniquement des délais dépassés et des réponses incomplètes. Voir le bilan des sanctions CNIL 2026 pour la tendance en cours.

8. Procédure interne recommandée

Étape 1 — Réception et accusé

• Boîte mail dédiée (privacy@… ou rgpd@…)
• Accusé de réception sous 5 jours ouvrés (bonne pratique)
• Création d’un ticket dans le système de gestion (idéal : registre des demandes)

Étape 2 — Vérification d’identité (J+1 à J+5)

• Si compte : vérifier via login
• Sans compte : vérifier nom + élément distinctif
• Demande d’élément complémentaire uniquement si doute raisonnable

Étape 3 — Collecte des données (J+5 à J+15)

Coordination avec les équipes :

• IT : extract base de données
• RH (si concerné) : fichier personnel
• Marketing : données comportementales
• Support : historique tickets

Étape 4 — Compilation de la réponse (J+15 à J+25)

• Format structuré (PDF + CSV/JSON pour les données)
• Inclure les 8 informations contextuelles
• Anonymiser les données de tiers si présentes

Étape 5 — Envoi (J+25 à J+30)

• Par email ou courrier selon la demande
• Garder trace de l’envoi
• Conserver le dossier 5 ans (preuve de conformité)

Les quatre points de défaillance

Quatre éléments de cette procédure déterminent, à eux seuls, la conformité de la réponse.

Le canal de réception. Une adresse dédiée (dpo@ ou rgpd@) ou un formulaire RGPD centralisé. Sans canal identifié, les demandes arrivent au service client, au commercial ou sur les réseaux sociaux, et le délai d’un mois court sans que personne ne le sache. Le DPO, lorsqu’il est désigné, est le point de contact naturel.

Le registre des demandes. Date de réception, identité, périmètre, date de réponse, pièces envoyées. C’est l’unique élément de preuve exploitable en cas de contrôle : une réponse envoyée mais non tracée équivaut, devant la CNIL, à une absence de réponse.

La cartographie des systèmes. Le registre des activités de traitement (art. 30) sert de plan des lieux : CRM, base RH, logs techniques, outils marketing, sous-traitants. Sans lui, l’étape 3 devient une chasse au trésor et la réponse est incomplète par construction — ce qui est en soi un manquement.

La qualification juridique. Distinguer une demande d’accès (art. 15) d’une demande de portabilité (art. 20) ou d’effacement (art. 17), et indiquer en tête de réponse la base juridique sur laquelle elle est traitée. Les équipes qui traitent ces demandes doivent être formées à cette qualification : y répondre trop largement expose autant que d’y répondre trop étroitement.

9. Outillage et automatisation

Pour les organisations recevant plus de 5-10 demandes par mois, l’outillage devient nécessaire. Legiscope gère le workflow complet : ticketing, vérification d’identité, coordination interne, compilation de la réponse, suivi des délais. Pour une PME avec 50-100 demandes par an, le gain est de 30-60 minutes par demande.

Pour aller plus loin : exercice des droits RGPD, droit à l’effacement RGPD, droit de rectification RGPD, droit à la portabilité.

Conclusion

Le droit d’accès est l’élément le plus visible de la conformité RGPD pour les personnes concernées — c’est par lui qu’elles vérifient si une organisation est sérieuse sur la protection des données. Une procédure interne claire, des délais respectés et des réponses structurées transforment une obligation en signal de confiance. À l’inverse, l’absence de réponse est l’une des causes les plus fréquentes de plainte CNIL.

FAQ

Quel est le délai de réponse à une demande d’accès RGPD ?

Un mois à compter de la réception (article 12 §3 RGPD), extensible à trois mois pour les demandes complexes ou en cas de grand nombre de demandes. L’extension doit être motivée et notifiée au demandeur dans le délai initial d’un mois.

Peut-on exiger une copie de la pièce d’identité ?

Non, pas systématiquement. La CNIL considère que la copie de pièce d’identité ne doit être demandée qu’en cas de doute raisonnable sur l’identité du demandeur. Demander cette copie pour toute demande est disproportionné et a fait l’objet de plusieurs sanctions CNIL.

Que doit contenir la réponse ?

Deux éléments : (1) une copie des données traitées, (2) les 8 informations légales de l’article 15 §1 (finalités, catégories, destinataires, durée, droits, origine, décision automatisée, transferts internationaux). Le simple envoi des données sans les informations légales est non conforme.

Le droit d’accès est-il gratuit ?

La première copie est gratuite. Pour les copies supplémentaires, le RT peut facturer des frais raisonnables basés sur les coûts administratifs réels. Les demandes manifestement infondées ou excessives peuvent être refusées ou facturées.

Que faire si le RT ne répond pas ?

Vous pouvez (1) le relancer en lui rappelant l’article 15 RGPD et le délai d’un mois, (2) déposer une plainte auprès de la CNIL via cnil.fr/plaintes, (3) introduire un recours devant le tribunal compétent. La CNIL a sanctionné plusieurs entreprises pour défaut de réponse aux demandes d’accès en 2023-2025.