Vous demandez à votre banque la copie de votre dossier, à votre ancien employeur vos évaluations, à un assureur l’enregistrement de vos appels : réponse de l’organisme, un devis. Cinquante, cent, parfois plusieurs centaines d’euros pour « frais de traitement », « frais de reproduction » ou « frais de dossier », payables d’avance, sans lesquels rien ne sera transmis. Cette pratique est le plus souvent illégale. Le droit européen pose un principe de gratuité pour la première copie de vos données personnelles, n’autorise des frais que dans deux cas strictement définis, et donne à la personne concernée un arsenal complet : mise en demeure, plainte devant la CNIL, action devant le juge des référés sous astreinte, et réparation du préjudice subi. Encore faut-il identifier ce que la copie doit contenir, prouver la demande et choisir le bon ordre des recours. Cet article explique quand vous pouvez refuser de payer, comment contraindre l’organisme à transmettre, et comment obtenir réparation lorsque le paiement exigé vous a retardé ou privé de vos droits.
I. Votre première copie est due sans aucun paiement : ce que dit le droit
A. Pourquoi l’organisme ne peut pas vous facturer la première copie de vos données ?
Le principe est posé sans détour par le règlement européen. L’article 12, paragraphe 5, du règlement (UE) 2016/679 dispose : « Aucun paiement n’est exigé pour fournir les informations au titre des articles 13 et 14 et pour procéder à toute communication et prendre toute mesure au titre des articles 15 à 22 et de l’article 34. » La cour d’appel de Rennes reproduit cette disposition dans son arrêt du 27 février 2025.
La demande d’accès de l’article 15 fait partie de ces mesures. Concrètement, lorsque vous demandez à une banque, à un assureur, à un opérateur téléphonique, à un ancien employeur ou à une administration la copie des données qu’ils détiennent sur vous, le responsable du traitement doit traiter votre demande et vous répondre sans vous réclamer d’argent. L’article 15, paragraphe 3, du même règlement ajoute : « Le responsable du traitement fournit une copie des données à caractère personnel faisant l’objet d’un traitement. » Le tribunal judiciaire d’Arras reproduit cette disposition dans son ordonnance du 28 mai 2026.
La Commission nationale de l’informatique et des libertés le traduit en langage courant sur sa page dédiée : la CNIL résume ainsi la règle : la copie des données vous concernant vous est remise gratuitement. Voir la réponse de la CNIL sur la gratuité de l’exercice du droit d’accès Et, à destination des professionnels, la CNIL rappelle le principe de gratuité des copies fournies dans le cadre d’une demande d’accès. Voir la page de la CNIL sur la réponse aux demandes de droit d’accès
Ce principe vaut quel que soit le support. Que vos données figurent dans un logiciel de gestion de la relation client, dans un dossier de ressources humaines, dans des relevés de connexion, dans un agenda partagé ou dans des courriels, la première copie vous est due sans paiement. Le tribunal judiciaire d’Arras l’a illustré le 28 mai 2026 dans un litige opposant un particulier à un établissement financier : le juge des référés a ordonné à la société « communiquer à M. [O] [G] une copie, en langage clair, de l’ensemble des données à caractère personnel le concernant qui figureraient dans ses fichiers informatisés ou manuels […] y compris celles figurant dans les zones […] ainsi que toute information disponible sur l’origine de ces données », sous astreinte de 100 euros par jour de retard passé huit jours. Autrement dit, l’organisme ne peut ni restreindre la copie aux seuls champs bien rangés de sa base, ni vous faire payer pour l’obtenir : les zones libres, les commentaires internes et les notes manuscrites numérisées en font partie dès lors qu’elles vous concernent.
La demande elle-même ne répond à aucun formalisme imposé : elle peut être faite sur place ou par écrit, par courrier postal ou par voie électronique, et lorsque vous présentez votre demande sous forme électronique, les informations doivent en principe vous être fournies par voie électronique, dans un format d’usage courant, sauf si vous demandez qu’il en soit autrement. Présentez-vous simplement, identifiez le traitement en cause quand vous le pouvez — compte bancaire, contrat de travail, dossier d’assurance, abonnement — et formulez une demande explicite de copie de l’ensemble des données vous concernant. Plus votre demande est précise et datée, plus le refus ou la facture qui suivra sera facile à contester : l’organisme ne pourra pas prétendre qu’il n’avait pas compris ce que vous attendiez.
Retenez donc la règle de départ : une demande d’accès initiale, formulée clairement, ouvre droit à une copie complète sans facture. Tout montant réclamé à ce stade doit être contesté par écrit, en visant les textes, avant d’engager la suite. La cour d’appel de Rennes, dans son arrêt du 27 février 2025, et le tribunal judiciaire d’Arras, dans son ordonnance du 28 mai 2026, reproduisent ces dispositions et les appliquent.
B. Les deux seules exceptions où des frais raisonnables peuvent être demandés
Le règlement admet deux situations dans lesquelles l’organisme peut réclamer de l’argent, et seulement ces deux-là. D’abord, la copie supplémentaire : « Le responsable du traitement peut exiger le paiement de frais raisonnables basés sur les coûts administratifs pour toute copie supplémentaire demandée par la personne concernée. », disposition que reproduit la cour d’appel de Rennes dans son arrêt du 27 février 2025. La CNIL précise le mode de calcul : seuls des frais raisonnables, en principe limités au coût de reproduction, peuvent être demandés pour une copie supplémentaire. Voir la réponse de la CNIL sur la gratuité de l’exercice du droit d’accès Un coût de reproduction, ce sont des frais de photocopie, d’impression ou d’envoi postal, pas des heures de travail facturées au tarif d’un prestataire, pas des frais de dossier, pas un forfait de traitement. Un organisme qui vous réclame 150 euros pour réimprimer un dossier qu’il vous a déjà transmis sous forme électronique ne facture pas un coût de reproduction : il dresse un obstacle.
Ensuite, la demande manifestement infondée ou excessive, notamment en raison de son caractère répétitif. L’article 12, paragraphe 5 — que reproduit la cour d’appel de Rennes — permet alors au responsable du traitement soit d’« exiger le paiement de frais raisonnables qui tiennent compte des coûts administratifs supportés pour fournir les informations, procéder aux communications ou prendre les mesures demandées », soit de refuser de donner suite. Mais cette seconde exception est étroitement encadrée : « Il incombe au responsable du traitement de démontrer le caractère manifestement infondé ou excessif de la demande. » C’est à lui de prouver, pas à vous de vous justifier. La CNIL avertit les organismes que le seul fait de redemander des données déjà communiquées ne suffit pas : il faut apprécier le délai écoulé entre les deux demandes, la possibilité que de nouvelles données aient été collectées ou que les données aient été modifiées. Une seconde demande formulée six mois après la première, alors que la relation contractuelle s’est poursuivie, n’a rien d’excessif.
Dans les deux cas, une limite absolue s’applique, rappelée par la CNIL aux professionnels : le coût des frais raisonnables ne doit pas devenir une entrave à l’exercice du droit d’accès. Voir la page de la CNIL sur la réponse aux demandes de droit d’accès Un montant dissuasif, un paiement exigé d’avance sans devis ni détail, ou des frais réclamés pour la toute première copie sortent du cadre. De même, l’organisme ne peut pas conditionner sa réponse à la production systématique d’une pièce d’identité : la règle posée par la CNIL est que « pas de pièce d’identité, sauf doute raisonnable » Exiger une copie de carte d’identité à un client déjà authentifié dans son espace en ligne, puis une facture, puis un formulaire interne supplémentaire, dessine une stratégie d’entrave que la CNIL et le juge sanctionnent.
Pour distinguer le légitime de l’abusif, regardez le montant et son assiette : quelques euros de frais postaux ou de photocopies pour un second exemplaire papier restent dans l’épure, tandis qu’un forfait de plusieurs dizaines ou centaines d’euros, des « frais de dossier » ou des heures de recherche facturées au tarif horaire transforment un droit en prestation payante. Exigez un devis détaillé poste par poste et la démonstration que votre demande entre dans l’une des deux exceptions, première copie supplémentaire ou caractère manifestement infondé ou excessif. Un organisme sérieux produit ce détail ; un organisme qui facture pour décourager se retranche derrière un tarif opaque.
En pratique, face à une facture, demandez par écrit le détail des coûts et le fondement exact invoqué : première copie ou copie supplémentaire, et en quoi votre demande serait manifestement infondée ou excessive. Conservez la réponse : elle servira de pièce devant la CNIL puis devant le juge.
II. Contraindre l’organisme à transmettre et obtenir réparation : la méthode complète
A. Que doit contenir la copie, dans quel délai, et comment saisir la CNIL sans faute ?
Avant de payer quoi que ce soit, vérifiez ce que l’organisme vous doit vraiment, car beaucoup de litiges naissent d’une copie partielle présentée comme complète. La Cour de justice de l’Union européenne a jugé, dans son arrêt du 4 mai 2023, C-487/21, que le droit d’obtenir une copie implique qu’il soit remis à la personne concernée « reproduction fidèle et intelligible » de l’ensemble de ses données. La Cour précise que ce droit suppose celui d’obtenir la copie d’extraits de documents, voire de documents entiers, ou encore d’extraits de bases de données qui contiennent ces données, lorsque cette fourniture est indispensable pour permettre à la personne concernée d’exercer effectivement ses droits. Un tableau synthétique qui résume vos données sans les reproduire ne suffit donc pas si vous ne pouvez pas vérifier leur exactitude ni exercer vos droits de rectification, d’effacement ou d’opposition. C’est un point décisif face à un organisme qui vous adresse un récapitulatif de trois lignes puis vous propose la version « détaillée » contre paiement : le récapitulatif ne vaut pas copie, et la copie détaillée reste due sans frais s’il s’agit de votre première demande.
Le droit français applique cette exigence avec fermeté. La cour d’appel de Rennes, le 27 février 2025, a condamné une société d’énergie à communiquer à une salariée, dans un délai de soixante jours, son dossier de ressources humaines complet depuis le 1er juin 2019 — recrutement, historique de carrière, évaluation des compétences, rémunération, dossier disciplinaire, fiches de poste, relevés du contrôle du temps de travail — ainsi que ses relevés de connexion, son agenda Outlook et l’ensemble de ses courriels professionnels dont elle était émettrice ou destinataire principale pour les années 2020 à 2023, sous une forme électronique d’usage courant et sous astreinte provisoire de 50 euros par jour de retard pendant quatre-vingt-dix jours. La cour a seulement ordonné l’anonymisation des pièces pour préserver la vie privée des tiers, le secret des affaires et la propriété intellectuelle, ce qui illustre l’autre limite légale : « Le droit d’obtenir une copie visé au paragraphe 3 ne porte pas atteinte aux droits et libertés d’autrui. » L’organisme peut caviarder l’identité des tiers, pas refuser la copie ni la facturer sous prétexte qu’elle contient des tiers. De même, la cour d’appel de Paris, le 25 juin 2024, a condamné un syndicat à communiquer à une adhérente le courriel du 15 février 2022 adressé à l’administration : « Condamne l’union départementale CFE CGC de Seine-et-Marne à communiquer à Mme [T] le courriel du 15 février 2022 qu’elle a envoyé à la DRIEETS sous astreinte de 100 euros par jour de retard à compter du 10ème jour suivant la signification de la présente pour une durée de trois mois renouvelable ». Chaque document qui vous concerne doit être transmis, y compris lorsqu’il est embarrassant pour l’organisme.
Le délai, lui, ne se négocie pas. L’article 12, paragraphe 3, du règlement — reproduit par la cour d’appel de Rennes — impose au responsable du traitement de fournir les informations « dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande », prolongeable de deux mois seulement compte tenu de la complexité ou du nombre de demandes, à condition de vous informer des motifs du report dans le premier mois. La CNIL le confirme : la CNIL confirme que l’organisme doit répondre dans les meilleurs délais et au plus tard dans un délai d’un mois, délai qui peut être porté à trois mois compte tenu de la complexité ou du nombre de demandes. Voir la page de la CNIL sur le droit d’accès Un organisme qui subordonne sa réponse à un paiement préalable ne respecte pas ce délai : le compteur court dès la réception de votre demande, pas dès l’encaissement d’une facture. Si le mois s’écoule sans réponse, ou si la réponse oppose un refus de transmettre sans paiement, vous pouvez saisir la CNIL : faute de réponse dans le délai d’un mois ou d’information sur une prolongation, vous pouvez adresser une plainte à la CNIL en joignant les éléments attestant de vos démarches préalables. Voir la page de la CNIL sur le droit d’accès Et si la copie reçue est incomplète, la CNIL recommande de demander d’abord par écrit le complément à l’organisme, puis, faute de réponse satisfaisante, de déposer plainte en joignant les justificatifs de vos démarches.
Lorsque l’organisme justifie sa facture ou son refus partiel par le secret des affaires ou la protection des tiers, vérifiez la proportionnalité : la jurisprudence admet l’anonymisation des noms et des éléments identifiants, jamais la rétention de vos propres données ni leur monnayage. Un bulletin de paie dont on masque le nom d’un collègue reste communicable ; un courriel dont on expurge vos propres propos ne l’est plus. Si l’organisme persiste, faites constater par écrit l’étendue exacte des occultations, car le juge contrôle poste par poste ce qui a été caché et pourquoi.
Pour que la plainte soit recevable et efficace, constituez dès maintenant un dossier : copie de votre demande initiale datée, preuve de son envoi et de sa réception, facture ou devis réclamé, détail des frais exigés, relance écrite contestant le paiement, réponse de l’organisme. Ce dossier servira aussi devant le juge. Notez que la CNIL n’est pas la seule voie : le service public officiel rappelle les droits d’accès, de rectification et d’effacement ainsi que le recours à la CNIL, et la jurisprudence des juridictions du fond montre que le juge judiciaire ordonne directement la communication sous astreinte, sans attendre l’issue de la plainte. Les deux voies peuvent avancer en parallèle. Si votre demande s’inscrit dans un conflit de travail, l’exercice du droit d’accès n’a pas à être motivé et peut être exercé parallèlement à la procédure prud’homale : la CNIL précise aux professionnels que le refus opposé au motif que la demande servirait un contentieux « ne serait pas valable ». La Cour de cassation, dans un arrêt du 3 octobre 2024 rendu sur la communication au conseil de prud’hommes de bulletins de salaire de salariés tiers à l’appui d’une action en discrimination syndicale, impose au juge de contrôler la licéité du traitement au regard de l’article 6 du règlement et de pondérer les intérêts en présence : vos données vous sont dues, celles des tiers doivent être protégées, et le juge tranche l’équilibre. Pour en savoir plus sur le cas général du refus pur et simple de transmettre, lire aussi notre analyse de l’organisme qui refuse de remettre la copie des données personnelles : exiger l’accès, saisir la CNIL et le juge, obtenir réparation.
B. Quel juge saisir, quelle réparation demander, et avec quelles pièces ?
Lorsque l’organisme maintient sa facture ou garde le silence, le juge judiciaire peut ordonner la remise de la copie. Le fondement européen est direct : l’article 79, paragraphe 1, du règlement — reproduit par la cour d’appel de Rennes — prévoit que « chaque personne concernée a droit à un recours juridictionnel effectif si elle considère que les droits que lui confère le présent règlement ont été violés du fait d’un traitement de ses données à caractère personnel effectué en violation du présent règlement ». L’action peut être portée devant les juridictions de l’État membre de votre résidence habituelle. En France, le juge des référés est la voie rapide : l’article 835 du code de procédure civile, en vigueur, permet au président du tribunal judiciaire de « prescrire en référé les mesures conservatoires ou de remise en état qui s’imposent, soit pour prévenir un dommage imminent, soit pour faire cesser un trouble manifestement illicite », et, lorsque l’obligation n’est pas sérieusement contestable, d’« ordonner l’exécution de l’obligation même s’il s’agit d’une obligation de faire ». Ordonner la remise de la copie de vos données est exactement l’exécution d’une obligation de faire qui n’est pas sérieusement contestable dès lors que votre demande initiale est établie et qu’aucune des deux exceptions payantes n’est démontrée par l’organisme.
Les ordonnances rendues en la matière montrent ce que vous pouvez obtenir. À Arras, la communication intégrale y compris les zones de commentaires, sous astreinte de 100 euros par jour de retard ; à Paris, la communication d’un courriel précis sous astreinte de 100 euros par jour pendant trois mois renouvelables ; à Rennes, la communication d’un dossier salarial complet sous astreinte de 50 euros par jour pendant quatre-vingt-dix jours, avec condamnation de l’employeur à 2 500 euros au titre des frais irrépétibles. Demandez donc au juge, outre la communication sous astreinte : la description précise des pièces attendues, le format électronique d’usage courant, l’interdiction de caviarder au-delà de l’identité des tiers, et la liquidation de l’astreinte par le juge de l’exécution en cas d’inexécution. Si l’organisme a déjà perçu un paiement indu, ajoutez la restitution de la somme versée : des frais exigés hors des deux cas légaux sont sans cause et doivent être remboursés, avec intérêts à compter de la mise en demeure.
La réparation du préjudice suit le même chemin. L’article 82, paragraphe 1, du règlement ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement le droit d’obtenir réparation du responsable du traitement ou du sous-traitant. Le retard pris dans un recrutement, la perte d’une chance dans un contentieux prud’homal faute de pièces, les démarches multipliées, le stress d’une surveillance incomprise, les prélèvements ou décisions pris sur la base de données que vous n’avez pas pu vérifier : tous ces postes peuvent être chiffrés et justifiés. En droit interne, ils se rattachent au principe général de responsabilité : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » La violation du règlement constitue la faute, et l’astreinte prononcée par le juge, liquidée ensuite par le juge de l’exécution en cas d’inexécution persistante, donne à l’injonction de communiquer son efficacité concrète. Joignez à l’assignation la chronologie complète, la facture contestée, la preuve du paiement si vous avez payé sous contrainte pour débloquer un dossier urgent, et la démonstration du lien entre le retard et votre préjudice. Parallèlement, la plainte CNIL reste utile : l’article 77, paragraphe 1, du règlement — reproduit par la cour d’appel de Rennes — ouvre à « toute personne concernée » le « droit d’introduire une réclamation auprès d’une autorité de contrôle », et l’autorité informe l’auteur de la réclamation de l’état d’avancement et de l’issue. Une mise en demeure de la CNIL ou une sanction rendue publique pèse lourd dans la négociation et devant le juge. Les orientations européennes sur le droit d’accès, les lignes directrices 01/2022 du Comité européen de la protection des données sur le droit d’accès, détaillent ces obligations des responsables de traitement et peuvent être citées à l’appui de votre argumentation.
Votre courrier de contestation gagne à suivre un modèle fixe : objet mentionnant la demande d’accès initiale et sa date, rappel de votre identité et de votre numéro de client ou de dossier, périmètre précis des données réclamées, format électronique d’usage courant exigé, visa des articles 12 et 15 du règlement, refus motivé du paiement réclamé avec demande du détail des coûts, et mise en demeure de transmettre sous un mois. Envoyez-le en recommandé avec accusé de réception ou par tout moyen conférant date certaine, et conservez-en une copie avec ses pièces jointes.
Conservez chaque pièce au moins jusqu’à l’issue complète du litige, y compris après la transmission obtenue : la facture contestée, la preuve du paiement sous contrainte, les échanges avec le délégué à la protection des données et le récépissé de plainte CNIL fondent la demande de réparation et, le cas échéant, la restitution de l’indu. Menées ensemble, la voie administrative et la voie judiciaire se renforcent : la plainte documentée crédibilise l’assignation, et l’ordonnance de référé obtenue accélère souvent le traitement de la plainte.
En résumé : ne payez jamais une première copie sans exiger le détail écrit du fondement invoqué ; contestez toute facture qui ne correspond ni au coût de reproduction d’une copie supplémentaire ni à une demande démontrée comme manifestement infondée ou excessive ; faites courir le délai d’un mois dès votre demande ; saisissez la CNIL en joignant vos preuves ; puis demandez au juge des référés la communication sous astreinte, la restitution de l’indu et la réparation de votre préjudice. Un organisme qui facture l’accès parie sur votre découragement : une mise en demeure précise, une plainte documentée et une assignation chiffrée inversent ce calcul.