Vous avez écrit à un organisme pour savoir quelles données il détient sur vous, et vous n’avez reçu aucune réponse. Ou une réponse évasive, renvoyant vers des mentions vagues, sans copie de vos données. Cette situation se présente dans des contextes variés : un salarié qui soupçonne que son employeur conserve des évaluations ou des messages le concernant, un particulier qui découvre son inscription dans un fichier d’incidents de paiement alors qu’il conteste la dette, un consommateur démarché sans relâche qui veut savoir d’où proviennent ses coordonnées. Dans chaque cas, la question pratique est la même : l’organisme peut-il garder le silence, et que faire s’il persiste ?
La réponse tient en deux temps. D’abord, le droit d’accès reconnu par le droit européen impose à l’organisme une réponse précise, dans un délai d’un mois, avec la copie des données et une série d’informations obligatoires. Ensuite, si l’organisme ne répond pas, deux voies se combinent : la plainte devant la Commission nationale de l’informatique et des libertés, qui peut mettre l’organisme en demeure, lui enjoindre la mise en conformité sous astreinte et prononcer des sanctions pécuniaires, et le recours devant le juge, qui peut ordonner la communication sous astreinte et accorder réparation du préjudice démontré. La jurisprudence récente illustre chacune de ces étapes, y compris leurs limites : un arrêt de la chambre sociale de la Cour de cassation du 24 juin 2026 rappelle qu’une simple violation du règlement ne suffit pas à ouvrir droit à réparation automatique. Cet article décrit la méthode complète, de la première demande jusqu’à la décision de justice.
I. Formuler une demande d’accès qui oblige l’organisme à répondre
A. Exiger la confirmation, la copie des données et les informations obligatoires
Le règlement (UE) 2016/679 du 27 avril 2016 (règlement général sur la protection des données, texte directement applicable dans l’Union, version en vigueur consultée sur EUR-Lex), dit règlement général sur la protection des données, pose le principe à son article 15, paragraphe 1 : toute personne concernée peut obtenir du responsable du traitement la confirmation que des données la concernant sont ou non traitées et, en cas de traitement, l’accès à ces données ainsi qu’une série d’informations énumérées par le texte. La liste qui suit est limitative et concrète : les finalités du traitement, les catégories de données concernées, les destinataires auxquels les données ont été ou seront communiquées, la durée de conservation envisagée ou les critères qui la déterminent, l’existence des autres droits (rectification, effacement, limitation, opposition), le droit d’introduire une réclamation auprès d’une autorité de contrôle, la source des données lorsqu’elles n’ont pas été collectées auprès de la personne, l’existence d’une prise de décision automatisée avec des informations utiles sur son fonctionnement, et l’éventuel transfert vers un pays hors Union européenne. Pour satisfaire cette exigence, la réponse doit apporter la copie et les informations énumérées de façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples.
Concrètement, l’organisme saisi doit fournir une copie des données ainsi que les informations prévues par le règlement : les finalités du traitement, les catégories de données, les destinataires, la durée de conservation ou les critères qui la déterminent, l’existence des autres droits, le droit de réclamation devant l’autorité de contrôle, la source des données non collectées auprès de la personne et l’existence d’une décision automatisée. La page de la Commission consacrée au droit d’accès détaille ces éléments pour les particuliers. L’exercice de ces droits est en principe gratuit : aucune somme ne peut être exigée pour fournir les informations et procéder aux communications, sauf les frais raisonnables prévus pour les demandes manifestement infondées ou excessives et pour les copies supplémentaires (cour d’appel de Rennes, 7e chambre prud’homale, 27 février 2025, n° RG 24/02772). Conservez la preuve de chaque démarche en sauvegardant la demande et en réalisant des captures d’écran des formulaires : ces pièces documenteront le refus, la réponse insatisfaisante ou l’absence de réponse à l’appui d’une plainte.
Pour faire courir le délai et conserver la preuve des démarches, privilégiez un envoi qui horodate la réception, comme la lettre recommandée avec accusé de réception ou un canal électronique horodaté : dans l’affaire d’Arras, la mise en demeure puis la plainte furent adressées par lettre recommandée avec accusé de réception. La demande doit décrire précisément ce qui est sollicité : confirmation de l’existence d’un traitement, copie des données, et chacune des informations de l’article 15. Plus la demande est précise, plus le refus global devient difficile à justifier.
L’étendue de la copie exigible est large, comme le montrent les décisions récentes. Dans une ordonnance de référé du 28 mai 2026, le tribunal judiciaire d’Arras a ordonné à un établissement financier de communiquer au demandeur « une copie, en langage clair, de l’ensemble des données à caractère personnel le concernant qui figureraient dans ses fichiers informatisés ou manuels – y compris celles figurant dans les zones » blocs-notes » ou » commentaires « , ainsi que toute information disponible sur l’origine de ces données ». L’affaire concernait un homme inscrit au Fichier des incidents de remboursement des crédits aux particuliers alors qu’il affirmait n’avoir jamais contracté le crédit en cause et avait déposé plainte pour usurpation d’identité (tribunal judiciaire d’Arras, ordonnance de référé du 28 mai 2026, n° RG 26/00024). Les zones internes de commentaires des fichiers clients sont donc comprises dans le périmètre du droit d’accès, et la copie doit être intelligible, en langage clair.
Dans le contexte salarial, l’étendue est tout aussi concrète. Par arrêt du 27 février 2025, la cour d’appel de Rennes a condamné une société à communiquer à une ancienne directrice juridique, dans un délai de 60 jours, son dossier de ressources humaines complet (recrutement, historique de carrière, évaluation des compétences, rémunération, dossier disciplinaire, fiches de poste, relevés de temps de travail), ses relevés de connexion, son agenda Outlook et l’ensemble de ses courriels professionnels dont elle était l’émettrice ou la destinataire principale, en précisant que « les informations seront fournies sous une forme électronique d’usage courant » et que « les pièces seront anonymisées en vue de respecter le droit à la vie privée des tiers, le secret des affaires et le droit de la propriété intellectuelle » (cour d’appel de Rennes, 7e chambre prud’homale, 27 février 2025, n° RG 24/02772). La salariée avait formé sa demande par courriel en visant l’article 15 du règlement et en sollicitant une réponse « au plus tard dans un délai d’un mois ». L’arrêt montre que les messageries professionnelles et les outils internes (agendas, relevés de connexion, dossiers RH) relèvent du droit d’accès du salarié, sous réserve de la protection des tiers. Rappelons à ce propos qu’« Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance », ce qui impose à l’employeur d’informer préalablement le salarié des dispositifs de collecte qu’il utilise.
B. Faire courir le délai d’un mois et contester les refus non motivés
Le règlement impose un calendrier strict. Son article 12, paragraphe 3, impose au responsable du traitement de fournir à la personne concernée des informations sur les mesures prises à la suite d’une demande fondée sur les articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande. Le même texte autorise une prolongation de deux mois compte tenu de la complexité et du nombre de demandes, à condition d’en informer la personne dans un délai d’un mois à compter de la réception de la demande en indiquant les motifs du report. Le silence pur et simple après un mois constitue donc un manquement, sauf prolongation dûment notifiée.
Lorsque l’organisme refuse de donner suite, il ne peut pas se taire : l’article 12, paragraphe 4, prévoit que si le responsable du traitement ne donne pas suite à la demande, il en informe la personne sans tarder et au plus tard dans un délai d’un mois à compter de la réception de la demande, en lui exposant les motifs de son inaction ainsi que la possibilité d’introduire une réclamation auprès d’une autorité de contrôle et de former un recours juridictionnel. Autrement dit, un refus doit être motivé et accompagné de l’indication des voies de recours. Un refus verbal, une fin de non-recevoir non expliquée ou un renvoi vers un formulaire qui n’aboutit jamais ne remplissent pas cette condition.
Les motifs de refus recevables sont encadrés. L’organisme peut écarter les demandes manifestement infondées ou excessives, notamment par leur caractère répétitif, et peut alors exiger des frais raisonnables ou refuser de donner suite, mais c’est à lui de démontrer ce caractère. Il peut également demander les informations nécessaires pour confirmer l’identité du demandeur lorsqu’il doute raisonnablement de celle-ci. En revanche, la quantité des données ne suffit pas, à elle seule, à caractériser une demande manifestement infondée ou excessive, et c’est au responsable du traitement de démontrer ce caractère (cour d’appel de Rennes, 7e chambre prud’homale, 27 février 2025, n° RG 24/02772). Dans l’affaire d’Arras, la demande avait été adressée directement à l’établissement financier qui détenait les données, et son absence de réponse a ouvert les deux recours décrits ci-après.
II. Sans réponse : contraindre l’organisme et obtenir réparation
A. Déposer une plainte devant la CNIL, qui peut ordonner de répondre et sanctionner
Le droit européen ouvre à chacun un recours administratif : toute personne qui estime qu’un traitement de ses données méconnaît ses droits peut adresser une réclamation à l’autorité de contrôle. En France, cette autorité est la Commission nationale de l’informatique et des libertés, que le demandeur dans l’affaire d’Arras a saisie par lettre recommandée avec accusé de réception du 28 janvier 2026 pour absence de réponse à sa demande d’accès. En pratique, la plainte gagne à être documentée : joindre la copie de la demande initiale et la preuve de son envoi, puis du silence ou du refus opposé — dans l’affaire d’Arras, la plainte faisait suite à une mise en demeure par lettre recommandée du 5 août 2025 restée sans réponse. Constituez ce dossier dès la demande initiale : il servira à documenter le refus, la réponse insatisfaisante ou l’absence de réponse à l’appui d’une plainte.
Une fois saisie, la Commission dispose de pouvoirs directs sur l’organisme. La formation restreinte de la Commission peut enjoindre la mise en conformité du traitement, y compris sur les obligations d’information et de facilitation de l’exercice des droits : dans une affaire, elle a enjoint la mise en conformité avec les articles 5, paragraphe 1, point c), 12, 13, 14, 21 et 44 du règlement, sous astreinte de 500 euros par jour de retard à l’issue d’un délai d’un mois (Conseil d’État, 1er mars 2021, n° 437808) ; dans une autre, elle a enjoint la mise en conformité avec les articles 12, paragraphe 2, et 32 du règlement, sous astreinte de 500 euros par jour de retard à l’issue d’un délai de trois mois (Conseil d’État, 26 avril 2022, n° 449284). Au-delà de l’injonction, la formation restreinte prononce des sanctions pécuniaires dont le montant varie selon les affaires : 500 000 euros dans la première, 250 000 euros dans la seconde. La délibération de sanction peut être rendue publique, comme dans la première affaire où la publication fut ordonnée pendant deux ans.
La procédure de sanction ordinaire de la Commission suit un chemin balisé : La sanction est prononcée par la formation restreinte de la Commission, après une phase contradictoire : la mise en demeure préalable n’est pas une condition obligatoire, le Conseil d’État jugeant que « le prononcé d’une sanction par la formation restreinte de la CNIL n’est pas subordonné à l’intervention préalable d’une mise en demeure du responsable du traitement ou de son sous-traitant par le président de la CNIL » (Conseil d’État, 26 avril 2022, n° 449284). En pratique, la Commission met souvent en demeure avant de sanctionner : dans l’affaire Futura, la société fut mise en demeure de procéder sous deux mois aux modifications nécessaires à la mise en conformité, avant l’amende de 500 000 euros (Conseil d’État, 1er mars 2021, n° 437808). La délibération de sanction peut être contestée devant le Conseil d’État, comme le montrent les deux arrêts du Conseil d’État cités. Les pouvoirs de sanction de la Commission en matière de traitements de données ont déjà été illustrés sur ce site à propos des preuves attendues par la CNIL après une cyberattaque, qui détaille les manquements techniques (authentification, habilitations, journalisation) retenus par l’autorité.
Deux limites doivent être comprises avant de saisir la Commission. L’indemnisation du préjudice s’obtient devant le juge, sur le fondement de l’article 82 du règlement qui ouvre le droit à réparation contre le responsable du traitement ou le sous-traitant, tandis que les décisions de la Commission prononcent des injonctions, des astreintes et des amendes. Celui qui réclame des dommages et intérêts doit donc saisir le juge. Le recours juridictionnel reste ouvert en parallèle de la réclamation, le règlement prévoyant un recours effectif sans préjudice des autres voies.
B. Saisir le juge : injonction sous astreinte et réparation du préjudice démontré
Le recours juridictionnel contre l’organisme est ouvert indépendamment de la plainte : l’article 79, paragraphe 1, du règlement ouvre à chaque personne concernée, sans préjudice de tout recours administratif ou extrajudiciaire y compris la réclamation devant l’autorité de contrôle, un droit à un recours juridictionnel effectif lorsqu’elle considère que les droits que lui confère le règlement ont été violés du fait d’un traitement de ses données effectué en violation de celui-ci. L’action peut être portée devant les juridictions de l’État membre où l’organisme est établi ou devant celles de la résidence habituelle de la personne concernée. En France, le juge des référés peut être saisi pour obtenir rapidement une injonction de communiquer, comme dans les affaires de Rennes, de Paris et d’Arras, et la réparation du préjudice peut y être demandée sous forme de provision, comme le montrent les demandes provisionnelles examinées à Arras, ou portée devant le juge du fond.
Les injonctions sous astreinte prononcées récemment montrent l’efficacité de cette voie. La cour d’appel de Rennes, infirmant une ordonnance de référé prud’homale, a condamné l’employeur à communiquer les données, cette transmission étant assortie d’une astreinte provisoire de 50 euros par jour de retard à l’expiration du délai de 60 jours suivant la signification de la décision et pour une durée de 90 jours, la cour s’en réservant la liquidation, outre 2 500 euros au titre des frais irrépétibles. La cour a au passage rejeté la fin de non-recevoir tirée du défaut d’intérêt à agir, ce qui confirme que l’ancien salarié conserve un intérêt à obtenir ses données après la rupture du contrat. Dans un autre litige, la cour d’appel de Paris a condamné une union départementale syndicale à communiquer à une ancienne trésorière le courriel qu’elle avait adressé à l’administration, « sous astreinte de 100 euros par jour de retard à compter du 10ème jour suivant la signification de la présente pour une durée de trois mois renouvelable », avec 2 500 euros de frais irrépétibles (cour d’appel de Paris, pôle 1, chambre 3, 25 juin 2024, n° RG 23/18268). L’affaire portait sur une liste mentionnant l’appartenance syndicale de l’intéressée, donnée dont l’article 9 du règlement interdit en principe le traitement ; la cour a ordonné la communication du courriel sous astreinte, le droit d’obtenir copie impliquant une reproduction fidèle et intelligible permettant d’exercer effectivement les autres droits, dont la rectification, l’effacement, la limitation et l’opposition.
Le tribunal judiciaire d’Arras a suivi la même logique dans l’affaire d’inscription contestée au fichier des incidents de crédit : outre la communication en langage clair incluant les zones internes de commentaires, il a ordonné à l’établissement de justifier des mesures destinées à limiter le traitement des données aux seuls besoins de l’enquête pénale en cours, en précisant qu’une astreinte de 100 euros par jour de retard courrait passé un délai de 8 jours à compter de la signification de l’ordonnance, le juge de l’exécution restant compétent pour liquider l’astreinte. Le demandeur avait au préalable mis l’organisme en demeure par lettre recommandée, sollicité la limitation du traitement sur le fondement de l’article 18 du règlement, puis déposé plainte devant la Commission pour absence de réponse à sa demande d’accès. L’ordonnance illustre l’articulation des voies : mise en demeure privée, plainte devant l’autorité, puis injonction judiciaire rapide.
La réparation pécuniaire obéit en revanche à une condition stricte que les demandeurs sous-estiment souvent. La Cour de cassation rappelle qu’« Aux termes de ce texte, toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. » Par arrêt du 24 juin 2026, la chambre sociale de la Cour de cassation a cassé partiellement un arrêt qui avait accordé 5 000 euros de dommages et intérêts à un salarié au motif que le non-respect du règlement lui aurait « nécessairement » causé un préjudice (Cour de cassation, chambre sociale, 24 juin 2026, n° de pourvoi 24-22.792). La Cour vise l’article 82, paragraphe 1, et rappelle la jurisprudence de la Cour de justice de l’Union européenne, qui dit pour droit qu’« il s’oppose à une règle ou une pratique nationale subordonnant la réparation d’un dommage moral, au sens de cette disposition, à la condition que le préjudice subi par la personne concernée ait atteint un certain degré de gravité », qu’« une réparation pécuniaire fondée sur ladite disposition doit permettre de compenser intégralement le préjudice concrètement subi du fait de la violation de ce règlement, et non une fonction punitive », et que « la personne demandant réparation au titre de cette disposition est tenue d’établir non seulement la violation de dispositions de ce règlement, mais également que cette violation lui a causé un dommage matériel ou moral » (Cour de cassation, chambre sociale, 24 juin 2026, n° de pourvoi 24-22.792, paragraphes 6 et 7, citant CJUE, 4 mai 2023, Österreichische Post, n° C-300/21 et CJUE, 25 janvier 2024, n° C-687/21).
Deux précisions complètent ce rappel. D’une part, la Cour de justice refuse toute condition de gravité minimale du préjudice moral : un préjudice moral même modeste, s’il est établi, ouvre droit à réparation. D’autre part, la réparation remplit une fonction compensatoire et non punitive : elle doit compenser intégralement le préjudice concrètement subi, sans enrichissement. Le montant se détermine selon les règles internes de chaque État membre, dans le respect des principes d’équivalence et d’effectivité. L’article 1240 du code civil énonce quant à lui le principe général de la responsabilité civile : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer » (article 1240 du code civil).
Le juge d’Arras, statuant en référé sur le fondement des articles 834 et 835 du code de procédure civile, a ordonné la communication et la limitation sous astreinte, mais a rejeté les deux demandes de provision pour préjudice moral, l’une liée à l’inscription au fichier, l’autre aux manœuvres reprochées à l’établissement. L’injonction de communiquer et l’indemnité provisionnelle obéissent ainsi à des conditions distinctes devant le juge des référés, sans préjuger du droit à réparation au fond ouvert par l’article 82 du règlement. Pour le demandeur, l’enseignement est direct : documenter le préjudice réellement subi avec des pièces datées, plutôt que d’invoquer la seule violation, car « Il incombe à chaque partie de prouver conformément à la loi les faits nécessaires au succès de sa prétention ». C’est ce dossier probatoire, et non l’indignation légitime face au silence, qui emporte la réparation.
Conclusion
Face à un organisme qui ne répond pas à une demande d’accès, la méthode tient en quatre temps. Formuler une demande écrite, précise et prouvée, visant la confirmation, la copie en langage clair et chacune des informations de l’article 15 du règlement. Laisser expirer le délai d’un mois, en n’acceptant qu’une prolongation notifiée et motivée ou un refus écrit indiquant les voies de recours. Déposer une plainte documentée devant la Commission, qui peut ordonner à l’organisme de répondre et prononcer des sanctions, en sachant qu’elle n’indemnise pas. Saisir en parallèle le juge pour obtenir la communication sous astreinte et, avec un préjudice établi par pièces, la réparation intégrale du dommage subi. Chacune de ces étapes s’appuie sur des textes directement applicables et sur une jurisprudence récente qui en précise la portée et les limites. Celui qui respecte cet ordre — demande, preuve du silence, autorité, juge — se place dans les meilleures conditions pour contraindre l’organisme à répondre et, le cas échéant, pour être indemnisé.
Besoin d’un avis rapide sur votre dossier
Vous rencontrez une difficulté avec l’exercice de votre droit d’accès ou un litige en matière de numérique et données personnelles ? Maître Reda KOHEN, avocat au Barreau de Paris, vous reçoit pour une consultation sur votre dossier en numérique et données personnelles. Pour un premier échange, appelez le 06 46 60 58 22 ou écrivez via la page formulaire de contact.