Vous avez écrit à votre employeur, à votre banque, à votre assureur ou à une plateforme pour obtenir la copie des données qu’ils détiennent sur vous. Réponse reçue : le silence, un refus sec ou quelques lignes génériques, sans aucune copie. Cette situation se rencontre chaque semaine : un salarié qui veut vérifier son dossier avant une rupture, un client qui soupçonne un fichage, un candidat écarté qui veut comprendre. Le réflexe est le bon, car le droit d’accès vous permet de savoir si des données vous concernant sont traitées et d’en obtenir la communication dans un format compréhensible. Encore faut-il savoir ce que l’organisme vous doit exactement, dans quel délai, et ce que vous pouvez faire quand il refuse ou répond à moitié.
Le cadre tient en deux temps. D’abord, le contenu et les modalités de la réponse : confirmation, copie fidèle et intelligible, explications, gratuité et délai d’un mois. Ensuite, les refus que l’organisme peut vraiment vous opposer et les trois leviers qui s’offrent à vous : relance argumentée, plainte devant la CNIL et action devant le juge, avec la réparation du préjudice à la clé. Précision de périmètre : cet article traite du droit d’accès général du règlement général sur la protection des données. L’accès au dossier médical suit des délais et des circuits propres, et certains fichiers de police ou intéressant la sûreté de l’État relèvent d’un accès indirect, par l’intermédiaire de la CNIL.
En France, la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés complète le règlement : son article 49 dispose que « Le droit d’accès de la personne concernée s’exerce dans les conditions prévues à l’article 15 du règlement (UE) 2016/679 du 27 avril 2016. »
I. Ce que l’organisme vous doit quand vous exercez votre droit d’accès
A. La confirmation, la copie fidèle et les explications
L’article 15 du règlement général sur la protection des données, directement applicable en France, ouvre à toute personne concernée le droit d’obtenir du responsable du traitement la confirmation que des données la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès à ces données ainsi qu’une série d’informations : finalités, catégories de données, destinataires, durée de conservation envisagée ou critères pour la déterminer, droits de rectification, d’effacement, de limitation et d’opposition, droit de réclamation, source des données non collectées auprès de vous, et existence d’une décision automatisée avec la logique sous-jacente. La liste est longue, et c’est voulu : l’accès ne sert pas seulement à voir, il sert à contrôler l’exactitude des données, puis à les faire rectifier ou effacer au besoin. Ce droit d’accès s’accompagne du droit à l’information : l’article 48 de la loi du 6 janvier 1978 dispose que « Le droit à l’information s’exerce dans les conditions prévues aux articles 12 à 14 du règlement (UE) 2016/679 du 27 avril 2016. »
Le coeur du droit, c’est la copie : le responsable du traitement doit fournir une copie des données personnelles qui font l’objet du traitement. La Cour de justice de l’Union européenne a précisé la portée de cette obligation dans un arrêt du 4 mai 2023, en jugeant que la personne concernée doit recevoir une reproduction fidèle et intelligible de l’ensemble de ses données. Une liste partielle, un résumé approximatif ou un renvoi à des catégories vagues ne suffisent donc pas. La Cour ajoute que ce droit suppose celui d’obtenir la copie d’extraits de documents, voire de documents entiers, ou d’extraits de bases de données, si la fourniture d’une telle copie est indispensable pour exercer effectivement les droits conférés par le règlement, en tenant compte des droits et libertés d’autrui.
Cette jurisprudence éclaire les demandes les plus fréquentes. Un salarié peut exiger la copie des données contenues dans ses courriels professionnels, son agenda ou ses conversations internes, dès lors qu’elles le concernent. Un client d’une banque peut exiger les informations liées à la consultation de ses données : dans un arrêt du 22 juin 2023, la Cour a jugé que les dates et les finalités des opérations de consultation de ses données font partie des informations que la personne concernée a le droit d’obtenir. En revanche, la même décision refuse un droit général à connaître l’identité des salariés ayant procédé à ces consultations, sauf si cette information est indispensable à l’exercice effectif des droits, et à condition de tenir compte des droits de ces salariés. La limite est constante : le droit d’obtenir une copie ne porte pas atteinte aux droits et libertés d’autrui. Concrètement, l’organisme doit fournir la copie en protégeant les tiers, par exemple en occultant leurs données, plutôt que de tout refuser au motif qu’un tiers apparaît dans les documents.
Un point rassurera ceux dont les données sont anciennes : l’âge du traitement ne fait pas obstacle à la demande. Dans son arrêt du 22 juin 2023, la Cour de justice a jugé que l’article 15 s’applique à une demande d’accès portant sur des opérations de traitement effectuées avant la date d’entrée en application du règlement, dès lors que la demande elle-même a été présentée après cette date (arrêt du 22 juin 2023, affaire dite Pankki S). Un ancien salarié, un ex-client ou un candidat écarté il y a plusieurs années peut donc encore exercer son droit, pourvu que les données soient toujours conservées. C’est d’ailleurs toute la logique de la conservation limitée : si l’organisme détenait encore les données au jour de la demande, il doit les montrer ; s’il les a régulièrement effacées à l’issue de leur durée de conservation, il doit l’expliquer et le justifier.
B. La gratuité, le délai d’un mois et les formes à respecter
L’exercice du droit d’accès ne vous coûte rien pour la première copie : le règlement pose un principe de gratuité, et seuls des frais raisonnables basés sur les coûts administratifs peuvent être exigés pour une copie supplémentaire ou face à une demande manifestement infondée ou excessive. Surtout, vous n’avez pas à justifier votre demande. La CNIL le rappelle aux organismes : nul n’a à motiver sa demande d’accès, et chacun peut exercer son droit en parallèle d’une procédure contentieuse, devant le conseil de prud’hommes par exemple, ou d’une procédure administrative en cours (page des professionnels sur le droit d’accès). Un organisme qui rejette votre demande au seul motif qu’elle interviendrait pendant un litige vous oppose un refus sans fondement.
Le délai est strict. Le responsable du traitement doit fournir les informations sur les mesures prises dans les meilleurs délais et, en tout état de cause, dans un délai d’un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois compte tenu de la complexité et du nombre de demandes, mais l’organisme doit vous informer de la prolongation et de ses motifs dans le délai initial d’un mois. La CNIL précise aux professionnels qu’ils doivent répondre dans les meilleurs délais et dans un délai maximum d’un mois, et que la prolongation comme la réponse doivent être notifiées dans ce même délai d’un mois (page des professionnels sur le droit d’accès). Si vous présentez votre demande par voie électronique, la réponse doit en principe vous parvenir sous une forme électronique d’usage courant.
Côté pratique, trois réflexes protègent vos recours ultérieurs. D’abord, écrivez une demande précise : identité, périmètre des données visées, période concernée, copie demandée. Ensuite, conservez la preuve de chaque démarche : copie du courrier ou du courriel, accusé de réception, captures d’écran des formulaires, comme la CNIL le recommande aux particuliers (modèles de courrier et conseils de la CNIL). Enfin, notez la date de réception par l’organisme : c’est elle qui fait courir le mois. Sans ces preuves, une plainte ou une action en justice démarre sur de mauvaises bases.
Un dernier point de friction mérite d’être anticipé : la vérification de votre identité. Un organisme sérieux ne répond pas à l’aveugle, et le règlement l’y autorise dans une limite précise : lorsque le responsable du traitement a des doutes raisonnables sur l’identité de l’auteur d’une demande fondée sur les articles 15 à 21, il peut réclamer les informations supplémentaires nécessaires pour vérifier cette identité. Une copie de pièce d’identité peut donc être demandée en cas de doute réel, mais elle ne doit servir qu’à vous identifier, et l’organisme ne peut pas en exiger systématiquement davantage que nécessaire. De votre côté, adressez votre demande par un canal qui vous identifie déjà : espace client authentifié, courrier signé avec copie de pièce si besoin, ou demande sur place. La CNIL rappelle que les demandes peuvent être faites sur place ou par écrit, par voie postale ou électronique, et elle met à disposition des modèles de courrier pour cadrer la démarche dès le premier envoi.
Symétriquement, la gratuité est la règle pour la première copie : aucun paiement n’est exigé pour fournir les informations prévues par les articles 13 et 14 ni pour procéder aux communications et prendre les mesures prévues par les articles 15 à 22. Ce n’est que face à des demandes manifestement infondées ou excessives, notamment répétitives, que l’organisme peut exiger des frais raisonnables ou refuser de donner suite, et c’est à lui de démontrer ce caractère excessif. Une facture présentée pour une première demande ordinaire est donc un signal d’alerte, pas une pratique normale.
II. Quand l’organisme refuse ou ne répond qu’à moitié : les refus valables et vos recours
A. Les refus que l’organisme peut vraiment vous opposer, et leurs limites
Premier point, souvent mal compris des deux côtés : le droit d’accès porte sur vos données, pas sur les documents en tant que tels. La cour d’appel de Versailles l’a illustré le 3 juin 2026 dans un litige entre un salarié et son employeur (arrêt n° RG 25/02036, chambre sociale 4-2, sur ordonnance de référé du conseil de prud’hommes de Nanterre du 11 juin 2025). Le salarié réclamait sur le fondement de l’article 15 du règlement la remise de courriels, de conversations Teams, de son calendrier professionnel, de la plainte interne pour harcèlement, des conclusions de l’enquête interne et du règlement intérieur. La cour distingue : les courriels professionnels envoyés et reçus, l’agenda et les conversations Teams contiennent des données personnelles du salarié et doivent être communiqués, avec occultation des données des tiers non indispensables et injonction de n’utiliser ces données qu’aux fins de l’instance au fond, dans un délai de trois mois. En revanche, la plainte interne, les conclusions de l’enquête, le règlement intérieur et un courriel de plainte dont le salarié ne démontre pas qu’il contient des données numériques lui appartenant ne constituent pas des données à caractère personnel au sens de l’article 4 du règlement, et la demande est rejetée sur ce fondement. La leçon est nette : réclamez des données vous concernant, et identifiez-les précisément, plutôt qu’une liasse de documents en bloc. Le juge suit la même ligne de partage.
Deuxième limite, symétrique : la protection des tiers ne justifie ni un refus global ni une communication brute. La deuxième chambre civile de la Cour de cassation, le 3 octobre 2024 (pourvoi n° 21-20.979, arrêt n° 859 FS-B+R, dans un contentieux prud’homal opposant un salarié à une caisse de Crédit Mutuel), impose au juge une méthode précise, reprise depuis par les cours d’appel : vérifier les motifs invoqués et la nature des pièces, veiller à la minimisation en ordonnant au besoin d’office l’occultation des données des tiers non indispensables à l’exercice du droit à la preuve, et enjoindre aux parties de n’utiliser ces données qu’aux seules fins de l’action (texte de l’arrêt sur le site de la Cour de cassation). Transposée au droit d’accès, la méthode signifie qu’un organisme doit caviader les mentions relatives aux tiers et vous remettre le reste, au lieu de se retrancher derrière la présence d’un tiers pour ne rien transmettre.
Troisième série de refus possibles, strictement encadrés : les demandes manifestement infondées ou excessives, notamment par leur caractère répétitif, comme des demandes multiples et rapprochées d’une copie déjà fournie. La CNIL admet que l’organisme ne réponde pas dans ce cas, mais exige qu’il justifie sa décision (page des professionnels). Notez la nuance, importante en pratique : le fait de demander des données dont vous disposez déjà ne rend pas la demande automatiquement excessive. Il faut apprécier le délai entre les deux demandes, la possibilité que de nouvelles données aient été collectées ou que les anciennes aient été modifiées. De même, si les données ne sont plus conservées ou ont été effacées, l’accès devient matériellement impossible, par exemple pour des enregistrements de vidéosurveillance déjà écrasés : l’organisme doit alors l’expliquer, pas se taire. Enfin, certains fichiers régaliens, notamment en matière de police ou de sûreté de l’État, relèvent d’un accès indirect exercé par l’intermédiaire de la CNIL, et non d’une communication directe.
Face à tout refus, l’organisme supporte une obligation de forme qui conditionne la suite : si l’organisme ne donne pas suite à une demande, il doit motiver sa décision et informer le demandeur des voies et délais de recours pour la contester (page des professionnels). Un refus non motivé, ou qui ne mentionne aucun recours, constitue déjà un manquement. Conservez-le soigneusement : il fera pièce maîtresse de votre plainte et, le cas échéant, de votre dossier devant le juge.
Reste le cas particulier des fichiers régaliens. Pour certains fichiers de police ou intéressant la sûreté de l’État, la loi n’ouvre pas un accès direct : la personne concernée exerce alors un droit d’accès indirect, par l’intermédiaire de la CNIL, qui procède aux vérifications nécessaires (demande de vérification sur un fichier de police ou de renseignement). Si votre demande vise un employeur, une banque, un assureur, un bailleur, un opérateur ou une plateforme, vous relevez en revanche du droit commun décrit plus haut, et un renvoi à un prétendu régime dérogatoire doit être regardé avec méfiance. De même, le régime du dossier médical, avec ses délais et ses circuits propres, ne concerne que les données de santé détenues par les professionnels et établissements de santé : il ne dispense pas votre employeur ou votre banque de répondre sur les autres données qu’ils détiennent sur vous.
Enfin, un mot sur la preuve des manquements. La Cour de cassation, dans l’arrêt du 3 octobre 2024 précité (texte de l’arrêt sur le site de la Cour de cassation), rappelle que le juge contrôle les motifs invoqués, la nature des pièces et la minimisation des données des tiers. Conservez donc chaque pièce de la chronologie : demande initiale, preuve de réception, réponse partielle ou refus, relance, silence ensuite constaté. C’est cette chronologie complète, et non une affirmation générale, qui permet au juge comme à la CNIL de qualifier le manquement.
B. Vos trois leviers : relance, plainte CNIL et juge
Le premier levier est une relance argumentée, qui n’est pas une simple formalité. Quand la réponse est incomplète, la CNIL recommande, avant toute saisine, de demander à l’organisme de compléter sa réponse avec les données que vous estimez manquantes, en joignant ensuite les justificatifs de ces démarches préalables à une éventuelle plainte (conseils de la CNIL aux particuliers). Cette relance écrite, idéalement en recommandé ou avec accusé de réception, rappelle le délai d’un mois, vise l’article 15 et l’arrêt de la Cour de justice sur la copie fidèle et intelligible, et demande la motivation écrite de tout refus maintenu avec l’indication des voies de recours. Pendant ce temps, vous pouvez demander la limitation du traitement, c’est-à-dire le gel de l’utilisation des données contestées, pour éviter qu’elles soient modifiées ou effacées avant que votre droit soit examiné.
Le deuxième levier est la plainte devant la CNIL. Le règlement ouvre à toute personne le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État de sa résidence habituelle, de son lieu de travail ou du lieu de la violation présumée, dès lors qu’elle estime qu’un traitement de ses données méconnaît le règlement. En pratique française, la CNIL exige une démarche préalable : vous devez d’abord avoir exercé votre droit auprès de l’organisme, et vous ne pouvez la saisir qu’après un refus, une réponse insatisfaisante ou une absence de réponse dans le délai d’un mois, preuves à l’appui. L’autorité vous informe ensuite de l’état d’avancement et de l’issue de votre réclamation. Ses pouvoirs sont réels : mise en demeure, injonction, amende administrative.
Pour maximiser les chances de votre plainte, constituez un dossier complet : demande initiale datée, preuve de sa réception par l’organisme, réponse reçue ou capture établissant le silence à l’issue du mois, relance et réponse complémentaire. La CNIL statue au vu de ces pièces : une plainte sans preuve de démarche préalable est fragile, tandis qu’une chronologie documentée lui permet de qualifier rapidement le manquement et d’engager, si nécessaire, une procédure de contrôle puis de sanction. Gardez une copie de tout ce que vous transmettez, et notez les dates : en matière de droits des personnes, le calendrier est souvent aussi décisif que le fond.
Le 21 juillet 2026, elle a ainsi sanctionné d’une amende de 300 000 euros une société de services informatiques pour des manquements relatifs aux droits des personnes, après avoir constaté que, sur 265 demandes reçues en 2024, plus des trois quarts n’avaient pas été traitées ou ne l’avaient pas été de manière satisfaisante (communiqué de la CNIL). Cette décision, qui portait sur le droit à l’effacement et la transparence, montre le prix d’une gestion défaillante des droits : le droit d’accès obéit à la même exigence de traitement effectif.
Le troisième levier est le juge, sans préjudice de la plainte : chaque personne concernée dispose d’un recours juridictionnel effectif quand elle estime que ses droits ont été violés par un traitement non conforme. L’action se porte devant les juridictions de l’État membre où le responsable dispose d’un établissement, ou devant celles de votre résidence habituelle. Et le droit national renforce l’arsenal : l’article 49 de la loi du 6 janvier 1978 dispose que « En cas de risque de dissimulation ou de disparition des données à caractère personnel, le juge compétent peut ordonner, y compris en référé, toutes mesures de nature à éviter cette dissimulation ou cette disparition. » Pour un salarié face à son employeur, le conseil de prud’hommes peut être saisi, y compris en référé pour obtenir rapidement une injonction de communiquer : dans l’affaire jugée à Versailles en juin 2026, la cour a ordonné la production des courriels, de l’agenda et des conversations Teams dans un délai maximum de trois mois, tout en écartant l’astreinte à ce stade et en condamnant l’employeur aux dépens et à 2 000 euros de frais irrépétibles. Dans les autres situations, le tribunal judiciaire statue, en référé ou au fond, et peut ordonner la communication sous astreinte. À la clé, la réparation : toute personne qui subit un dommage matériel ou moral du fait d’une violation du règlement a le droit d’en obtenir réparation auprès du responsable du traitement ou du sous-traitant. L’impossibilité de vérifier ses données, l’usage d’informations inexactes ou la privation d’un moyen de preuve peuvent caractériser un préjudice moral, dont le montant relève de l’appréciation souveraine des juges au vu des pièces.
Deux nuances contentieuses méritent d’être connues avant d’agir. D’abord, l’astreinte n’est pas automatique : dans l’affaire versaillaise de juin 2026, la cour a ordonné la communication dans un délai de trois mois tout en jugeant qu’une astreinte n’était pas justifiée à ce stade, preuve que le juge gradue la contrainte selon l’attitude de l’organisme. Ensuite, les frais irrépétibles peuvent sanctionner l’obstination : l’employeur condamné à Versailles a supporté les dépens des deux instances et 2 000 euros au titre de l’article 700 du code de procédure civile. Autrement dit, un organisme qui contraint une personne à saisir le juge pour obtenir ce que la loi lui devait déjà s’expose à payer, au-delà de la communication elle-même.
Conclusion : une méthode en quatre temps
Un organisme qui détient des données sur vous ne peut ni les garder pour lui ni vous répondre par des généralités : il doit confirmer le traitement, remettre une copie fidèle et intelligible, expliquer les finalités, les destinataires et la conservation, et le faire gratuitement dans un délai d’un mois. Retenez la méthode qui gagne les dossiers. D’abord, une demande écrite précise, adressée à l’organisme, si possible à son délégué à la protection des données, avec la preuve de l’envoi et de la réception. Ensuite, une relance de complément dès que la réponse est partielle, en visant les textes et la motivation du refus. Puis, passé le mois sans réponse satisfaisante, une plainte devant la CNIL avec l’ensemble des justificatifs, en demandant au besoin le gel de l’utilisation des données. Enfin, l’action devant le juge, prud’homal pour le salarié ou judiciaire pour les autres situations, pour obtenir l’injonction de communiquer, l’astreinte et la réparation du préjudice. Le droit d’accès n’est pas un droit aux documents : il porte sur vos données, sous réserve des droits des tiers que le juge fait protéger par l’occultation. C’est précisément parce qu’il est ciblé qu’il est efficace, à condition d’agir vite, par écrit et avec des preuves à chaque étape. La méthode fixée par la Cour de cassation le confirme : face à des données mêlées à celles de tiers, le juge ordonne l’occultation et la communication du reste (arrêt du 3 octobre 2024), au lieu d’avaliser le refus global.