Vous avez écrit à votre banque, à votre assureur, à votre ancien employeur ou à une plateforme pour obtenir la copie des données qu’ils détiennent sur vous, et vous n’avez reçu que le silence, une réponse évasive ou un renvoi vers un espace client incomplet. Cette situation est l’une des plus fréquentes du contentieux des données personnelles : le droit d’accès existe, il est directement invocable, mais encore faut-il savoir exactement ce qu’il garantit, dans quel délai exiger une réponse, et par quel chemin contraindre un organisme qui se tait. Le Conseil d’État vient d’ailleurs de trancher, le 20 octobre 2026, un litige qui éclaire la frontière entre le droit d’accès et la simple demande de documents contractuels, à propos d’une plainte contre la banque Oney Bank. Cette décision toute récente, rendue sur une clôture de plainte par la Commission nationale de l’informatique et des libertés, mérite d’être lue avant toute démarche, car elle montre à la fois la force et les limites de l’article 15 du règlement général sur la protection des données. Cet article explique ce que vous pouvez exiger au mot près, comment prouver le silence de l’organisme, comment saisir la Commission puis le juge, et comment obtenir, sous astreinte, la communication de la copie, puis la réparation du préjudice subi.

I. Ce que le droit d’accès vous donne exactement, et ce qu’il ne donne pas

A. La confirmation, la copie et les informations que l’organisme vous doit

Le droit d’accès est défini par l’article 15 du règlement (UE) 2016/679 : toute personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès à ces données ainsi qu’à une série d’informations précises. Concrètement, une demande d’accès bien formulée ne se limite pas à réclamer une copie brute : elle porte sur la confirmation de l’existence du traitement, sur les finalités poursuivies, sur les catégories de données concernées, sur les destinataires auxquels les données ont été ou seront communiquées, sur la durée de conservation envisagée, sur les droits dont vous disposez, sur le droit d’introduire une réclamation auprès d’une autorité de contrôle, sur l’origine des données lorsqu’elles n’ont pas été collectées auprès de vous, ainsi que sur l’existence d’une prise de décision automatisée et sa logique. Chacun de ces points figure dans le texte européen, et chacun peut être exigé : un organisme qui ne transmet qu’une copie partielle, sans ces informations d’accompagnement, ne répond qu’incomplètement à la demande.

La forme de la réponse compte autant que son contenu. Le règlement prévoit que le responsable du traitement « fournit une copie des données » à caractère personnel faisant l’objet d’un traitement, tout en permettant d’exiger, « pour toute copie supplémentaire », le paiement de « frais raisonnables » adossés aux coûts administratifs (article 15, paragraphe 3, du RGPD). La première copie relève donc de la communication due au titre du droit d’accès, tandis que seules les copies supplémentaires peuvent donner lieu à des frais raisonnables adossés aux coûts administratifs. Lorsque la demande est présentée par voie électronique, les informations sont fournies sous une forme électronique d’usage courant, sauf demande contraire de votre part. Ce détail pratique a son importance : une banque ou un assureur qui vous renvoie vers un espace client ne satisfait à son obligation que si cet espace contient effectivement l’ensemble des données demandées, dans un format lisible et complet, et non un simple relevé d’opérations.

Le régime financier de la demande est protecteur. Le règlement pose qu’« Aucun paiement n’est exigé » pour fournir les informations et procéder aux communications et mesures prévues aux articles 13, 14, 15 à 22 et 34 (article 12, paragraphe 5, du RGPD). L’organisme ne peut donc vous facturer la réponse que dans deux cas strictement encadrés : la demande manifestement infondée ou excessive, notamment en raison de son caractère répétitif, qui autorise soit des frais raisonnables, soit un refus motivé de donner suite. Et dans cette hypothèse, la charge de la démonstration pèse sur lui, car c’est à lui qu’il « incombe » de démontrer, selon les termes du texte, le caractère manifestement infondé ou excessif de la demande (article 12, paragraphe 5, du RGPD). Autrement dit, ce n’est pas à vous de prouver que votre demande est raisonnable : c’est à l’organisme de démontrer, pièces à l’appui, qu’elle ne l’est pas. Cette répartition de la charge de la preuve structure tout le contentieux du refus.

Le délai de réponse est fixé par le texte lui-même, et c’est l’une des rares règles de délai du droit des données personnelles qui ne souffre aucune approximation. Le règlement dispose que le responsable du traitement fournit les informations sur les mesures prises « dans les meilleurs délais » et, en tout état de cause, « dans un délai d’un mois » à compter de la réception de la demande, ce délai pouvant « au besoin » être « prolongé de deux mois » compte tenu de la complexité et du nombre de demandes (article 12, paragraphe 3, du RGPD). L’organisme qui a besoin de cette prolongation doit vous en informer, avec les motifs du report, dans le délai initial d’un mois. S’il ne donne pas suite à votre demande, il doit vous en informer « sans tarder », et « au plus tard » dans un délai d’un mois à compter de la réception de la demande, en exposant les motifs de son inaction et en vous rappelant la possibilité d’introduire une « réclamation auprès d’une autorité de contrôle » et de former un recours juridictionnel (article 12, paragraphe 4, du RGPD). Un silence gardé au-delà d’un mois sans motif ni prolongation notifiée constitue donc, à lui seul, un manquement caractérisé, que vous pourrez faire constater.

Ce droit comporte toutefois une limite interne qu’il faut connaître avant d’agir, car elle conditionne la recevabilité de certaines demandes. Le règlement précise que le droit d’obtenir une copie « ne porte pas atteinte », pour reprendre ses termes, « aux droits et libertés d’autrui » (article 15, paragraphe 4, du RGPD). L’organisme peut donc occulter les passages qui révèlent des données de tiers ou des secrets protégés, mais il ne peut pas utiliser ce motif pour rejeter la demande en bloc : il doit trier, caviarder si nécessaire, et communiquer tout ce qui vous concerne. De même, le droit d’accès ne doit pas être confondu avec ses voisins : le droit à la portabilité vers un nouvel opérateur, qui permet de récupérer ses données dans un format structuré pour les transmettre à un autre prestataire, et le droit à l’effacement après fermeture d’un compte, qui vise la suppression et non la communication, obéissent à des conditions propres. Formuler votre demande sur le fondement exact de l’article 15, en visant la copie et les informations qu’il énumère, évite que l’organisme y réponde sur le terrain d’un autre droit.

B. La frontière tracée par le Conseil d’État le 20 octobre 2026 entre accès aux données et duplicata contractuel

La décision la plus récente en la matière a été rendue par le Conseil d’État le 20 octobre 2026, sous le numéro 511155, et elle concerne précisément l’articulation entre le droit d’accès et les demandes de documents bancaires (Conseil d’État, 20 octobre 2026, n° 511155). Une cliente demandait l’annulation de la décision par laquelle la Commission nationale de l’informatique et des libertés avait clôturé sa plainte relative à l’exercice de son droit d’accès auprès de l’établissement bancaire Oney Bank. Elle estimait que la Commission, en se déclarant incompétente pour connaître d’un litige avec sa banque, ne lui permettait pas de prendre connaissance de l’ensemble des données personnelles liées à son compte bancaire et ne relevait pas l’illégalité commise par la banque, qui entendait mettre à sa charge financière l’obtention d’une copie des éléments demandés. Elle demandait en outre au juge d’enjoindre à la Commission de faire communiquer les données bancaires contenues dans ses relevés de compte, une copie de ces documents, ainsi que les conditions générales et particulières des contrats souscrits.

Le Conseil d’État a rejeté l’ensemble de la requête : « Article 1er : La requête de Mme J… est rejetée » (Conseil d’État, 20 octobre 2026, n° 511155). Les motifs éclairent concrètement la portée du droit d’accès. Le juge relève qu’il ressortait des pièces du dossier que l’établissement bancaire avait proposé à la requérante l’accès à l’ensemble des données à caractère personnel dont elle demandait la communication, en lui laissant le choix entre leur téléchargement sur son espace client et l’envoi de duplicatas contre paiement, selon les conditions tarifaires précisées. La Commission avait constaté, d’une part, que la banque n’avait pas fait obstacle à l’exercice du droit d’accès garanti par l’article 15 du RGPD et, d’autre part, que la demande portait en réalité sur l’obtention d’un duplicata des documents relatifs au fonctionnement du compte. En déduisant de ces éléments qu’elle n’était pas compétente pour connaître d’un différend d’ordre contractuel, la Commission n’a pas commis d’erreur de droit au regard de l’article 15 du RGPD. Les conclusions à fin d’injonction ont été rejetées par voie de conséquence.

Trois enseignements pratiques découlent de cette décision pour toute personne qui veut obtenir ses données. D’abord, le droit d’accès ne donne pas droit à des duplicatas gratuits de documents contractuels : les relevés de compte, les contrats et les conditions générales relèvent de la relation contractuelle et de sa tarification, non de l’article 15. Ensuite, une mise à disposition complète sur l’espace client peut satisfaire au droit d’accès, à condition qu’elle couvre effectivement l’ensemble des données demandées : si des rubriques manquent, notamment les notes internes, les commentaires des conseillers ou les informations sur l’origine des données, la réponse reste incomplète et contestable. Enfin, la Commission n’est pas le juge du contrat : une plainte qui porte en réalité sur un différend tarifaire ou contractuel sera clôturée, tandis qu’une plainte qui démontre un obstacle à l’accès aux données personnelles suit son cours. La formulation de votre demande initiale est donc décisive : visez expressément l’article 15 du RGPD, listez la copie des données, la confirmation du traitement, les finalités, les destinataires, la durée de conservation et l’origine des données, et distinguez cette demande de toute demande de duplicata de contrat.

Cette exigence de complétude trouve une illustration saisissante dans une ordonnance de référé du tribunal judiciaire d’Arras du 28 mai 2026, qui a ordonné à un établissement financier de communiquer au demandeur « une copie, en langage clair, de l’ensemble des données à caractère personnel le concernant qui figureraient dans ses fichiers informatisés ou manuels », y compris celles figurant dans les zones de notes et de commentaires, ainsi que toute information disponible sur l’origine de ces données (tribunal judiciaire d’Arras, ordonnance de référé du 28 mai 2026). Le juge n’a pas admis une réponse partielle : les annotations internes des conseillers, les blocs-notes et les commentaires font partie des données personnelles dès lors qu’ils se rapportent à la personne, et l’origine des données doit être indiquée. Cette solution donne la mesure de ce qu’un espace client ou un relevé standard ne contient presque jamais, et justifie que la demande d’accès vise expressément ces rubriques. Elle montre aussi que le juge judiciaire, saisi en référé, ordonne directement la communication, sans attendre l’issue d’une plainte devant la Commission.

II. Quand l’organisme se tait : prouver le silence, saisir la Commission, saisir le juge

A. La gradation qui fonctionne, de la demande traçée à la plainte devant la Commission

La première étape est une demande écrite et traçée, car tout le contentieux ultérieur reposera sur la preuve de ce que vous avez demandé et de ce que l’organisme n’a pas fait. Adressez votre demande au délégué à la protection des données lorsque l’organisme en a désigné un, ou à défaut au service client ou au siège, par un moyen qui établit la date de réception : lettre recommandée avec accusé de réception, courriel avec accusé, ou formulaire dédié dont vous conservez une copie horodatée. Joignez la justification de votre identité, strictement limitée à ce qui permet de vous identifier, sans transmettre plus de pièces que nécessaire. Formulez la demande sur le fondement exprès de l’article 15 du RGPD et détaillez chaque poste : confirmation que des données vous concernant sont traitées, copie de l’ensemble de ces données y compris les notes et commentaires internes, finalités, catégories, destinataires, durée de conservation, origine des données non collectées auprès de vous, existence d’une décision automatisée et sa logique. Demandez une réponse sous un mois, conformément au délai légal, et conservez l’original de chaque envoi.

Si le délai d’un mois expire sans réponse complète, adressez une relance qui constate le dépassement et annonce la suite : réclamation devant la Commission nationale de l’informatique et des libertés et recours devant le juge. Cette relance n’est pas une formalité inutile : elle établit la persistance du manquement, elle interrompt toute discussion ultérieure sur une prétendue prolongation qui ne vous aurait jamais été notifiée, et elle démontre votre bonne foi si l’organisme invoque plus tard le caractère excessif de vos demandes. Rassemblez dès ce stade votre dossier de preuve : la demande initiale et sa preuve de réception, la relance, les réponses partielles reçues, les captures de l’espace client montrant l’absence des rubriques demandées, et tout échange où l’organisme oppose un motif de refus. Un dossier chronologique et complet fait la différence devant la Commission comme devant le juge, car il transforme une plainte vague en un manquement daté et documenté.

La réclamation devant la Commission constitue la deuxième marche. Le règlement lui-même l’annonce : l’organisme qui ne donne pas suite doit vous rappeler la possibilité d’introduire une « réclamation auprès d’une autorité de contrôle » et de former un recours juridictionnel (article 12, paragraphe 4, du RGPD). La démarche est décrite par le service public, qui explique comment exercer ses droits sur ses données personnelles et quels recours saisir en cas de difficulté (service-public.fr, protection des données personnelles). Joignez à votre plainte l’intégralité du dossier constitué : la Commission examine les pièces, demande des observations à l’organisme, et peut mettre en demeure, prononcer des mesures correctrices ou sanctionner. La décision du 20 octobre 2026 rappelle cependant la limite de cette voie : la Commission clôture les plaintes qui portent en réalité sur un différend contractuel, comme une facturation de duplicatas, et elle constate l’absence d’obstacle lorsque l’organisme a proposé un accès complet aux données. Pour éviter la clôture, votre plainte doit démontrer précisément l’obstacle à l’article 15 : rubriques manquantes, informations d’accompagnement non fournies, refus non motivé dans le délai, ou frais exigés pour la première copie en dehors de toute demande excessive. La précision de la demande conditionne d’ailleurs tout le contrôle de la Commission : le Conseil d’État a validé, le 31 décembre 2024, la clôture d’une plainte dirigée contre le refus du préfet de police de communiquer la copie des données, parce que la demande portait sur un ensemble indéterminé de traitements et que l’intéressé n’avait pas précisé sa demande malgré l’invitation de la Commission (Conseil d’État, 31 décembre 2024, n° 488201). Le juge a estimé que la Commission n’avait commis ni erreur de droit ni erreur d’appréciation en considérant que ce défaut de précision ne la mettait pas à même d’exercer son contrôle du refus opposé au titre du droit d’accès, et il a rejeté la requête : « Article 1er : La requête de M. C… est rejetée » (Conseil d’État, 31 décembre 2024, n° 488201). Visez donc des traitements déterminés, nommez les fichiers ou services concernés, et datez votre demande : une plainte précise est une plainte contrôlable. rubriques manquantes, informations d’accompagnement non fournies, refus non motivé dans le délai, ou frais exigés pour la première copie en dehors de toute demande excessive.

Reste la question des demandes que l’organisme peut légitimement écarter. Le règlement l’autorise à refuser ou à facturer lorsque les demandes sont manifestement infondées ou excessives, notamment répétitives, à charge pour lui de démontrer ce caractère (article 12, paragraphe 5, du RGPD). La doctrine et la pratique des autorités admettent par exemple qu’une même copie intégrale réclamée chaque semaine sans motif nouveau puisse être qualifiée d’excessive, tandis qu’une demande ponctuelle, précise et documentée ne l’est quasiment jamais. Un commentaire juridique récent consacré aux refus opposés pour mauvaise foi du demandeur souligne que le refus doit rester l’exception, motivé et proportionné, et que l’organisme qui s’en prévaut s’expose au contrôle du juge sur la réalité de l’abus allégué. Ne multipliez donc pas les demandes identiques : une demande initiale complète, une relance, puis la plainte et le juge forment une gradation crédible qu’aucun organisme ne pourra présenter comme abusive.

B. Le juge ordonne la communication sous astreinte et répare le préjudice, y compris à Paris

Le juge judiciaire est la voie la plus directe pour obtenir la copie qui vous est refusée, car il ordonne lui-même la communication au lieu de se borner à sanctionner l’organisme. La cour d’appel de Paris l’a illustré le 25 juin 2024 dans un litige où une adhérente réclamait à son syndicat la communication d’un courriel adressé à l’administration : infirmant la décision entreprise, la cour a condamné l’organisme à communiquer le courriel, « sous astreinte de 100 euros par jour de retard à compter du 10ème jour suivant la signification de la présente décision, cette astreinte courant pour une durée de trois mois renouvelable », et a alloué une indemnité de procédure de 2 500 euros (cour d’appel de Paris, pôle 1, chambre 3, 25 juin 2024). L’enseignement dépasse le cas du syndicat : le juge assortit l’injonction de communiquer d’une astreinte journalière qui rend le silence coûteux, et il renouvelle cette pression tant que l’organisme ne s’exécute pas. Pour les lecteurs parisiens, cette solution rendue par la cour d’appel de Paris donne la mesure de ce que les juridictions de la capitale ordonnent concrètement : la communication forcée, chiffrée jour par jour, plutôt qu’une simple déclaration de principe.

L’ordonnance du tribunal judiciaire d’Arras du 28 mai 2026 confirme que le juge des référés est l’aiguillon le plus rapide. Statuant en référé, le tribunal a donné acte à l’établissement financier de sa déclaration et a ordonné la communication d’une copie en langage clair de l’ensemble des données, y compris les zones de notes et de commentaires, ainsi que les informations sur l’origine des données (tribunal judiciaire d’Arras, ordonnance de référé du 28 mai 2026). Le considérant est remarquable par son exigence : le langage doit être clair, le périmètre couvre les fichiers informatisés comme manuels, et les annotations internes ne sont pas exclues. En pratique parisienne et francilienne, la même demande se porte devant le tribunal judiciaire du domicile du demandeur ou du siège de l’organisme, et la procédure de référé permet d’obtenir l’injonction en quelques semaines lorsque le manquement est manifeste, sans attendre le jugement au fond. Joignez-y systematically la demande d’astreinte : les deux décisions citées montrent que les juges l’accordent dès lors que le silence a duré et que la communication reste inexécutée à la date de l’audience.

Lorsque la demande de communication se heurte à des données mêlant votre situation et celle de tiers, la Cour de cassation a fixé la méthode que tout juge doit suivre. Dans un arrêt du 3 octobre 2024, la deuxième chambre civile juge qu’il appartient au juge saisi, en référé ou au fond, d’une demande de communication de documents concernant des tiers et contenant des données personnelles, de rechercher si cette communication n’est pas « nécessaire à l’exercice du droit à la preuve » et « proportionnée au but poursuivi » (Cour de cassation, 2e chambre civile, 3 octobre 2024, n° 21-20.979). La Cour a cassé l’arrêt qui n’avait pas mené cette recherche, rappelant que la protection des données des tiers ne fait pas obstacle par principe à la communication : le juge concilie les intérêts en ordonnant la production des seuls éléments nécessaires, après avoir vérifié l’existence d’un motif légitime. Cette solution intéresse directement les salariés qui réclament leurs évaluations, leurs courriels ou leurs dossiers disciplinaires : l’employeur ne peut pas opposer en bloc la confidentialité des documents partagés, et le juge tranche au cas par cas. Un guide pratique consacré aux salariés et aux cadres rappelle d’ailleurs que le droit d’accès s’exerce aussi dans la relation de travail, face à un employeur qui détient des volumes considérables de données sur ses collaborateurs.

Enfin, le silence ou le refus injustifié ouvre droit à réparation. Le règlement dispose que « Toute personne » ayant subi un dommage matériel ou moral du fait d’une violation du règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant « réparation du préjudice subi » (article 82, paragraphe 1, du RGPD). Le préjudice moral résultant de l’impossibilité prolongée d’accéder à ses propres données, de l’inquiétude sur l’usage qui en est fait et des démarches imposées pour les obtenir est indemnisable dès lors que la violation est établie : demande restée sans réponse au-delà du délai, copie incomplète malgré relance, ou refus non motivé. Constituez ce préjudice comme le reste du dossier : journal des démarches, temps consacré, échanges avec l’organisme, conséquences concrètes comme un crédit ou un recrutement compromis par des données inexactes que vous n’avez pas pu vérifier à temps. Le juge qui ordonne la communication sous astreinte est aussi celui qui chiffre ce préjudice, et les décisions citées montrent qu’il n’hésite pas à assortir l’injonction d’une condamnation financière. À Paris comme en Île-de-France, où siègent de nombreux responsables de traitement nationaux, cette combinaison de l’injonction sous astreinte et de la réparation fait du recours judiciaire l’aboutissement naturel d’une demande d’accès restée sans réponse.

En définitive, le droit d’accès est un droit complet : confirmation du traitement, copie des données y compris internes, informations d’accompagnement, réponse dans le mois, sans paiement pour la première communication, avec réclamation et recours en cas de silence. La décision du Conseil d’État du 20 octobre 2026 en dessine la limite avec netteté : elle ne convertit pas l’article 15 en droit au duplicata gratuit des documents contractuels, et la Commission clôt les plaintes qui confondent les deux terrains. Mais dès que la demande vise réellement les données personnelles et qu’elle est formulée avec précision, le silence de l’organisme devient un manquement constatable, la plainte devient recevable, et le juge ordonne la communication sous astreinte tout en réparant le préjudice. Ne laissez donc pas une demande sans réponse s’enliser : tracez, relancez à l’expiration du mois, saisissez la Commission sur l’obstacle précis à l’article 15, puis demandez au juge la copie en langage clair, l’astreinte journalière et l’indemnisation. Vos données vous appartiennent d’abord par le droit d’y accéder.