Vous avez demandé à une entreprise, à une administration, à votre employeur ou à un site de vous montrer les données qu’il détient sur vous. Vous avez envoyé un courrier précis, parfois avec une copie de pièce d’identité. Puis plus rien. Ou une réponse vague, incomplète, qui botte en touche. Ce silence n’est pas une simple impolitesse. Le droit européen impose une réponse dans un délai d’un mois. Passé ce délai, vous disposez d’un arsenal gradué : relance qui verrouille la preuve, plainte devant la Commission nationale de l’informatique et des libertés, action devant le juge pour obtenir la copie sous astreinte, puis réparation du préjudice.

Le cas est quotidien. Un salarié veut son dossier ressources humaines et ses relevés de connexion avant les prud’hommes. Un candidat écarté veut comprendre quelles informations ont circulé. Un client veut savoir pourquoi son compte a été fermé et où ses données sont parties. Un assuré veut la copie des enregistrements et des échanges qui ont fondé un refus. Chaque fois, la question est la même : qui détient quoi, sur quel fondement, communiqué à qui, conservé combien de temps. Le droit d’accès sert précisément à lever ce voile. Lorsqu’un organisme refuse de le lever, il faut contraindre.

Cet article décrit le contenu exigible de la copie, le délai d’un mois et ses exceptions, la méthode pour constituer un dossier qui tient devant la Commission et devant le juge, puis les deux voies de recours qui se complètent : la plainte devant l’autorité de contrôle et le recours juridictionnel avec injonction et indemnisation. Les exemples portent sur les employeurs, les banques et assurances, les opérateurs téléphoniques et numériques, les bailleurs et les administrations, car ce sont eux qui concentrent les refus et les réponses partielles.

I. Ce que l’organisme doit vous remettre, et dans quel délai

A. La confirmation, la copie et les informations qui expliquent le traitement

L’article 15 du règlement européen ouvre à chacun le droit d’obtenir du responsable du traitement la confirmation que des données le concernant sont traitées puis, dans ce cas, l’accès à ces données avec les informations qui les expliquent (présentation du droit d’accès par la Commission). La liste comprend notamment les finalités, les catégories de données, les destinataires, la durée de conservation envisagée ou les critères qui la déterminent, les droits de rectification, d’effacement, de limitation et d’opposition, le droit de réclamation, l’origine des données lorsqu’elles n’ont pas été collectées auprès de vous, ainsi que l’existence d’une décision automatisée avec des informations sur la logique appliquée.

Concrètement, une réponse conforme ne se limite pas à une attestation vague. Elle contient la copie des données elles-mêmes, pas seulement leur description. Pour un salarié, cela vise le dossier ressources humaines, l’historique de carrière, les évaluations, la rémunération, le dossier disciplinaire, les relevés de temps de travail et, selon les cas, les agendas et les courriels dont la personne est émettrice ou destinataire principale. La cour d’appel de Rennes a ainsi ordonné la communication du dossier ressources humaines complet depuis une date précise, des relevés de connexion par identifiant, de l’agenda et des courriels professionnels ciblés, sous forme électronique d’usage courant avec téléchargement pérenne et sécurisé, avec anonymisation des tiers (voir la décision 24/02772 du 27 février 2025). La cour y écrit : « Condamne la société Engie Green France à communiquer à Mme [B] [K] dans un délai de 60 jours à compter de la notification du présent arrêt, les documents suivants détenus par l’entreprise ». L’apport dépasse le cas d’espèce : le juge peut détailler pièce par pièce ce que l’employeur doit livrer, au lieu d’une injonction générique.

Pour un client d’une banque, d’un assureur ou d’un opérateur, la copie porte sur les données de compte, les enregistrements contractuels, les historiques de contact, les notes internes qui vous concernent, les destinataires auxquels vos données ont été transmises, y compris les prestataires et partenaires, et les durées de conservation appliquées. La page de la Commission consacrée au droit d’accès rappelle que ce droit permet de savoir si un organisme détient des données sur vous et d’en obtenir la communication, avec les informations qui l’accompagnent. La page destinée aux professionnels sur la réponse à une demande d’accès décrit symétriquement ce qu’un organisme diligent doit vérifier et transmettre : identité du demandeur, périmètre recherché, copie et informations, dans le délai.

Trois frontières doivent être identifiées dès la demande. D’abord, le droit d’accès porte sur vos données, pas sur celles des autres. L’organisme doit occulter ou anonymiser les informations relatives aux tiers, le secret des affaires et les éléments couverts par un droit légitime, sans utiliser ce motif pour vider votre demande. Ensuite, le droit d’accès ne donne pas un accès illimité à tous les documents internes : il donne accès aux données personnelles vous concernant et aux informations énumérées par le texte, avec une copie. Enfin, certains régimes spéciaux coexistent : en matière de santé, par exemple, « Toute personne a accès à l’ensemble des informations concernant sa santé détenues, à quelque titre que ce soit, par des professionnels de santé », avec des délais propres et l’intervention possible d’un médecin ou d’une commission en psychiatrie. Si votre demande porte sur un dossier médical hospitalier, il faut articuler les deux régimes et saisir vite la bonne voie, au lieu d’opposer un modèle unique à un hôpital.

Le premier réflexe utile consiste donc à écrire une demande ciblée : identité et coordonnées, objet explicite fondé sur l’article 15 du règlement, périmètre daté, support de réponse électronique souhaité, copie de pièce d’identité seulement si l’organisme ne peut vous identifier autrement, conservation de la preuve d’envoi et de réception. Une demande qui cite le fondement, vise des catégories précises et fixe l’échéance d’un mois place l’organisme face à ses obligations. Une demande floue l’autorise à répondre à côté.

B. Le délai d’un mois, sa prolongation encadrée, l’identité et les frais

Le délai est strict. Le règlement impose au responsable du traitement d’informer la personne des mesures prises à la suite de sa demande dans les meilleurs délais et au plus tard sous un mois à compter de la réception (ce qu’un organisme diligent doit vérifier et transmettre selon la Commission). La prolongation de deux mois n’est possible qu’au besoin, compte tenu de la complexité et du nombre de demandes, et l’organisme doit vous informer de cette prolongation et de ses motifs dans le délai initial d’un mois. Lorsque la demande est présentée par voie électronique, la réponse doit, lorsque c’est possible, suivre la même voie, sauf demande contraire de votre part.

Le silence gardé pendant un mois sans information sur une prolongation constitue déjà un manquement. Il en va de même d’une réponse qui se borne à accuser réception sans indiquer les mesures prises, ou qui renvoie à des conditions générales illisibles. Le texte ajoute une garantie procédurale : lorsqu’il ne donne pas suite, il doit en avertir la personne sans tarder et au plus tard sous un mois, en motivant son inaction et en rappelant la possibilité de saisir l’autorité de contrôle et le juge (comment l’organisme doit répondre selon la Commission). Un organisme qui ne répond rien, ou qui refuse sans motiver et sans indiquer les recours, viole donc deux obligations à la fois : répondre sur le fond et informer sur les voies de contestation.

L’identification mérite une vigilance particulière. L’organisme peut demander des informations supplémentaires seulement s’il a des doutes raisonnables sur votre identité. Il ne peut transformer la vérification d’identité en obstacle : exiger systématiquement une copie de pièce d’identité non prévue, un déplacement ou un formulaire propriétaire alors que l’adresse électronique d’envoi correspond au compte connu, puis invoquer votre refus pour ne pas répondre, caractérise une entrave. À l’inverse, si vous écrivez depuis une adresse inconnue pour obtenir des données sensibles, joindre d’emblée un justificatif proportionné accélère le traitement et prive l’organisme d’un prétexte. La documentation professionnelle de la Commission sur la réponse aux demandes insiste sur cette proportionnalité : vérifier sans collecter plus que nécessaire, puis traiter.

Les frais obéissent à la même logique. Le principe est la gratuité. L’organisme ne peut facturer que si vos demandes sont manifestement infondées ou excessives, notamment par leur caractère répétitif, et c’est à lui de démontrer ce caractère. Une première demande précise, même large, n’est pas excessive par principe. Une seconde demande identique à quelques jours d’intervalle, sans élément nouveau, peut en revanche être qualifiée d’excessive, avec facturation de frais raisonnables ou refus motivé. Si l’organisme vous réclame un paiement pour une première copie, exigez l’écrit qui motive le caractère infondé ou excessif et conservez-le : ce sera une pièce centrale de la plainte et du recours.

La méthode de preuve conditionne la suite. Envoyez la demande par un canal qui établit la réception : lettre recommandée avec accusé de réception, courriel avec accusé ou dépôt dans l’espace client avec capture datée et numéro de dossier. Notez la date de réception, calculez l’échéance à un mois, puis relancez à l’échéance par un second écrit qui rappelle le fondement, récapitule l’historique et annonce la plainte et le recours. Cette relance n’est pas une formalité de politesse. Elle fige le silence, elle démontre votre diligence et elle empêche l’organisme de prétendre ensuite qu’il n’avait pas compris ou qu’il attendait une pièce. Joignez-y la première demande et ses preuves de dépôt.

Identifiez tôt le délégué à la protection des données lorsque l’organisme en a désigné un. Ses coordonnées figurent souvent dans la politique de confidentialité, les mentions d’information ou la réponse du service client. Écrivez-lui en copie de la mise en demeure, car il centralise les demandes et son silence pèse dans l’appréciation du manquement. Si aucun délégué n’est joignable et que l’organisme emploie plus de quelques dizaines de personnes ou traite des données sensibles à grande échelle, notez-le dans la plainte : l’absence de relais interne explique parfois la désorganisation, sans jamais l’excuser. Demandez également, dans la mise en demeure, la référence du traitement dans le registre interne et la base légale invoquée. Un organisme qui ne peut citer ni finalité précise, ni base légale, ni durée de conservation prépare mal sa défense devant la Commission et devant le juge.
À partir de là, deux voies se complètent au lieu de s’exclure.

II. Contraindre l’organisme, faire sanctionner le refus et obtenir réparation

A. Mettre en demeure, saisir la Commission, exploiter l’issue de la plainte

La plainte devant l’autorité de contrôle est un droit propre. Chacun peut adresser une réclamation à l’autorité de contrôle, notamment celle de sa résidence habituelle, de son lieu de travail ou du lieu de la violation alléguée, sans préjudice des autres recours (démarche officielle pour adresser une plainte). En France, cette autorité est la Commission nationale de l’informatique et des libertés. La page officielle pour adresser une plainte décrit la démarche en ligne et les pièces à joindre.

N’attendez pas pour structurer le dossier comme un enquêteur. La Commission traite des milliers de plaintes et donne la priorité aux dossiers complets et lisibles. Votre dossier doit contenir la chronologie datée, la copie de la demande initiale avec preuve de réception, la relance avec preuve de réception, la réponse éventuelle même partielle, la pièce d’identité strictement nécessaire, et un tableau qui oppose, ligne par ligne, ce que vous avez demandé et ce que vous avez reçu. Précisez le responsable de traitement, son adresse et son délégué à la protection des données si vous l’avez identifié, le contrat ou la relation en cause, et les conséquences concrètes du silence : impossibilité de contester un licenciement, un refus de crédit, une résiliation ou une inscription, prolongation d’une prospection non voulue, anxiété liée à l’ignorance des destinataires.

La Commission informe l’auteur de la plainte de l’état d’avancement et de l’issue, y compris de la possibilité d’un recours juridictionnel contre elle. Concrètement, l’issue peut prendre plusieurs formes : médiation ou rappel qui débloque la copie, mise en demeure de se conformer dans un délai, contrôle puis sanction financière ou injonction, ou classement sans suite si l’organisme régularise ou si les faits ne sont pas établis. Chaque issue reste utile. Une mise en demeure qui fait enfin produire la copie prouve le manquement initial et servira devant le juge pour la réparation. Une réponse tardive arrachée après plainte établit la durée du silence. Même un classement doit être exploité : si votre plainte est classée ou reste sans réponse utile, l’analyse détaillée des recours après une plainte sans effet, déjà publiée sur ce site, décrit la voie judiciaire autonome qui subsiste (lire l’analyse sur la plainte sans réponse ou classée et le recours au juge). La plainte ne purge jamais votre droit d’agir en justice contre l’organisme.

Deux erreurs fréquentes doivent être évitées. La première consiste à saisir la Commission avec une demande nouvelle, plus large que celle adressée à l’organisme, ce qui permet à ce dernier de soutenir qu’il n’a jamais été mis en mesure de répondre. Saisissez la Commission sur le même périmètre, puis élargissez ensuite par une demande distincte si besoin. La seconde consiste à multiplier les plaintes identiques qui se contredisent sur les dates. Une plainte unique, actualisée par des compléments datés, pèse davantage que trois signalements approximatifs. Si l’organisme vous oppose en cours de procédure une prolongation de deux mois, exigez l’écrit qui la notifie avec ses motifs : une prolongation invoquée après l’échéance, sans notification préalable, ne régularise pas le dépassement.

Le cas de l’employeur mérite un traitement distinct car il concentre les refus stratégiques. L’employeur craint que la copie alimente un contentieux prud’homal et oppose le secret des affaires, la charge de travail ou la protection des collègues. La cour d’appel de Rennes répond point par point : intérêt à agir reconnu au salarié même après la rupture, communication détaillée ordonnée, format électronique structuré imposé, anonymisation des tiers prévue, utilisation cantonnée au contentieux prud’homal, et sanction financière du retard. Le dispositif prévoit que la transmission est « assortie d’une astreinte provisoire de 50 euros par jour de retard, à l’expiration du délai de 60 jours suivant la signification de la présente décision, et pour une durée de 90 jours ». L’enseignement est transposable : demandez au juge une liste précise de documents, un format exploitable, un délai chiffré et une astreinte, au lieu d’une formule générale qui se prête à l’exécution partielle.

B. Saisir le juge pour obtenir la copie sous astreinte, puis la réparation

Le recours juridictionnel contre l’organisme est autonome et ne suppose pas l’épuisement de la plainte. La plainte devant l’autorité ne ferme aucune porte judiciaire : chacun garde le droit à un recours juridictionnel effectif contre le responsable ou le sous-traitant lorsque les droits conférés par le règlement ont été méconnus (voies de recours, responsabilité et sanctions décrites par la Commission). En pratique française, la voie rapide est le référé devant le président du tribunal judiciaire pour faire cesser un trouble manifestement illicite ou obtenir l’exécution d’une obligation non sérieusement contestable.

Le fondement procédural doit être choisi avec soin. « Dans tous les cas d’urgence, le président du tribunal judiciaire ou le juge des contentieux de la protection dans les limites de sa compétence, peuvent ordonner en référé toutes les mesures qui ne se heurtent à aucune contestation sérieuse ou que justifie l’existence d’un différend. ». Et « Le président du tribunal judiciaire ou le juge des contentieux de la protection dans les limites de sa compétence peuvent toujours, même en présence d’une contestation sérieuse, prescrire en référé les mesures conservatoires ou de remise en état qui s’imposent, soit pour prévenir un dommage imminent, soit pour faire cesser un trouble manifestement illicite. ». Attention à ne pas confondre : le premier texte vise les mesures sans contestation sérieuse en cas d’urgence, le second vise la remise en état face à un trouble manifestement illicite même si la discussion est sérieuse. Le silence gardé après une demande d’accès complète relève typiquement du trouble manifestement illicite, car l’obligation de répondre dans le mois résulte directement du règlement. Vos conclusions doivent donc qualifier précisément le trouble : absence totale de réponse à l’échéance, réponse partielle qui omet la copie ou les destinataires, refus non motivé, exigence abusive de frais ou de pièces.

La cour d’appel de Paris illustre la méthode du référé efficace dans un litige où une personne réclamait la communication d’un courriel la concernant. La cour ordonne la remise du message précis, sous astreinte journalière, avec condamnation aux dépens et à une somme pour les frais de procédure. Elle écrit : « Condamne l’union départementale CFE CGC de Seine-et-Marne à communiquer » à Mme [T] « le courriel du 15 février 2022 qu’elle a envoyé à la DRIEETS », sous « astreinte de 100 euros par jour de retard à compter du 10ème jour suivant la signification de la présente décision ». Transposez ce modèle à votre litige : identifiez chaque pièce manquante, demandez sa communication sous astreinte par jour de retard à compter d’un délai bref après la signification, prévoyez la réserve de liquidation de l’astreinte, et sollicitez une provision si le préjudice est déjà chiffrable. Pensez enfin aux frais de procédure : « Le juge condamne la partie tenue aux dépens ou qui perd son procès à payer : 1° A l’autre partie la somme qu’il détermine, au titre des frais exposés et non compris dans les dépens », ce qui permet de demander une somme au titre de l’article 700 du code de procédure civile en plus des dépens.

La réparation du préjudice suit la communication ou l’accompagne. Le règlement ouvre à quiconque subit un dommage matériel ou moral du fait d’une violation la faculté d’en obtenir réparation auprès du responsable du traitement ou du sous-traitant (voies de recours, responsabilité et sanctions décrites par la Commission). Le droit français complète par la responsabilité civile : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. ». Et chacun dispose d’un fondement propre pour la sphère privée : « Chacun a droit au respect de sa vie privée. ». Le préjudice réparable ne se présume pas. Il se prouve par des pièces : refus de crédit ou d’assurance faute d’explication, perte de chance de contester un licenciement sans les relevés, temps passé à relancer, frais engagés, prospection subie malgré l’opposition, anxiété documentée par des attestations et, le cas échéant, un suivi médical. Les juges indemnisent plus volontiers un dossier qui chiffre poste par poste qu’une demande globale non étayée.

L’articulation entre les acteurs doit être identifiée avant d’assigner. Si vos données sont traitées par un sous-traitant pour le compte d’un client, dirigez d’abord la demande vers le responsable du traitement, puis mettez en cause le bon défendeur selon le contrat. Si un éditeur de logiciel ou un prestataire informatique conserve vos données après la fin du contrat, combinez le fondement contractuel de restitution et le fondement du droit d’accès et d’effacement. Si le litige mêle un fichier de police ou de renseignement, le régime d’accès indirect par la Commission s’applique et le référé direct est voué à l’échec : vérifiez la nature du fichier avant d’agir. Si le litige porte sur un dossier médical, articulez la demande au titre du règlement et celle au titre du code de la santé publique, avec leurs délais respectifs, au lieu d’enfermer l’hôpital dans un seul visa.

En pratique parisienne et francilienne, le calendrier doit intégrer les délais de mise en état et d’audiencement du référé, la nécessité de faire signifier l’ordonnance pour faire courir l’astreinte, et la préparation du procès au fond si l’organisme persiste. Constituez dès l’origine un bordereau numéroté : demande, preuve de réception, relance, réponse partielle, plainte à la Commission et son récépissé, échanges avec le délégué à la protection des données, contrat en cause, captures de l’espace client, attestations de préjudice, chiffrage. Un bordereau clair accélère l’audience de référé et crédibilise la demande d’astreinte. Une liasse désordonnée fait douter de la précision du périmètre et conduit à un renvoi ou à une injonction vague, difficile à exécuter.

Préparez l’exécution dès l’assignation. L’astreinte ne court qu’après signification de la décision qui l’ordonne, et sa liquidation suppose la preuve de l’inexécution partielle ou totale à l’échéance. Faites constater par un commissaire de justice la persistance du silence ou le caractère incomplet de la copie reçue après l’ordonnance : captures datées de l’espace client, export du fichier reçu avec sa liste de pièces, comparatif entre les catégories ordonnées et celles transmises. Si l’organisme envoie après l’échéance un lot complémentaire, versez-le immédiatement au dossier avec sa date de réception effective, car le juge liquidera l’astreinte au prorata des jours de retard avérés. Cette rigueur transforme une injonction théorique en pression financière réelle et alimente la demande indemnitaire.

En conclusion, ne laissez pas un silence devenir un droit acquis pour l’organisme. Une demande précise fondée sur l’article 15, une relance qui constate l’échéance d’un mois, une plainte documentée devant la Commission et, si nécessaire, un référé qui réclame pièce par pièce la copie sous astreinte forment une chaîne cohérente. Chaque étape nourrit la suivante : la preuve du silence fonde la plainte, la plainte et la mise en demeure fondent le trouble manifestement illicite, l’injonction inexécutée fonde l’astreinte liquidée, et l’ensemble fonde la réparation. Le droit d’accès n’est pas une faveur. C’est une obligation dont le juge assure l’exécution et dont la violation se répare.