Vous avez écrit à votre employeur, à votre banque ou à un site internet pour savoir quelles données il détient sur vous, et vous n’avez reçu aucune réponse. Ou une réponse partielle : une attestation vague, un extrait expurgé, un renvoi vers des mentions légales qui ne disent rien de votre dossier. Cette situation est l’une des plus fréquentes du contentieux des données personnelles, et l’une des mieux armées juridiquement. Le droit d’accès, prévu par l’article 15 du règlement (UE) 2016/679 du 27 avril 2016, dit règlement général sur la protection des données, donne à toute personne le droit d’obtenir la confirmation que des données la concernant sont traitées, d’y accéder et d’en recevoir une copie. En France, l’article 49 de la loi n° 78-17 du 6 janvier 1978 renvoie directement à ce texte européen : « Le droit d’accès de la personne concernée s’exerce dans les conditions prévues à l’article 15 du règlement (UE) 2016/679 du 27 avril 2016. »
Avant d’aller plus loin, il faut identifier le traitement, les parties et leurs rôles : qui détient vos données (employeur, établissement de crédit, assureur, administration, plateforme), en qualité de responsable du traitement, et pour quelles finalités (gestion du personnel, octroi de crédit, prospection, gestion des usagers). Cette identification conditionne tout : le destinataire de votre demande, le contenu exigible de la réponse et le juge compétent en cas de refus. Si votre difficulté porte uniquement sur vos courriels professionnels et l’étendue de ce que l’employeur doit communiquer depuis votre messagerie, un dossier consacré au droit d’accès du salarié à sa messagerie professionnelle traite déjà ce cas particulier. Le présent article donne la méthode générale, valable face à tout organisme, lorsque la copie demandée n’arrive pas ou arrive tronquée.
La démarche se déroule en trois temps. D’abord, formuler une demande complète qui ne laisse à l’organisme aucune excuse de procédure. Ensuite, à défaut de réponse satisfaisante dans le délai d’un mois, saisir la Commission nationale de l’informatique et des libertés, qui peut mettre l’organisme en demeure puis le sanctionner. Enfin, saisir le juge pour obtenir sous astreinte la communication de la copie et, le cas échéant, la réparation du préjudice. Deux décisions récentes montrent que les juges n’hésitent plus à ordonner ces communications : le 28 mai 2026, le juge des référés du tribunal judiciaire d’Arras a enjoint à un établissement de crédit de remettre la copie claire de toutes les données d’un client, y compris les zones de commentaires internes, sous astreinte ; le 27 février 2025, la cour d’appel de Rennes a ordonné à un employeur de communiquer à une salariée l’intégralité de son dossier de ressources humaines, de ses relevés de connexion et de ses courriels, sous astreinte également.
I. Ce que l’organisme doit vous remettre, et dans quel délai
A. Une confirmation, des informations précises et une copie fidèle de vos données
Le droit d’accès comporte trois couches. Premièrement, la confirmation : l’organisme doit dire si des données vous concernant sont ou non traitées. Un silence ou une réponse évasive sur ce point constitue déjà un manquement. Deuxièmement, l’accès aux données elles-mêmes, accompagné d’une série d’informations énumérées par le texte européen : les finalités du traitement, les catégories de données concernées, les destinataires auxquels elles ont été ou seront communiquées, la durée de conservation envisagée ou les critères qui permettent de la déterminer, l’existence de vos autres droits (rectification, effacement, limitation, opposition), le droit de saisir l’autorité de contrôle, l’origine des données lorsqu’elles n’ont pas été collectées auprès de vous, et l’existence d’une décision automatisée avec la logique suivie et ses conséquences prévues. Troisièmement, la copie : « fournit une copie des données »
Cette copie n’est pas un résumé rédigé par l’organisme. La Cour de justice de l’Union européenne a jugé, dans un arrêt du 4 mai 2023 (affaire C-487/21), que le droit d’obtenir copie une copie « fidèle et intelligible » de l’ensemble des données. La Cour ajoute que ce droit suppose celui d’obtenir la copie d’extraits de documents, voire de documents entiers ou d’extraits de bases de données, lorsque cette fourniture est indispensable pour exercer effectivement les droits garantis par le règlement, sous réserve des droits et libertés d’autrui. Concrètement, une banque ne peut pas se contenter d’attester qu’elle vous connaît ; elle doit remettre la reproduction lisible de ce qu’elle détient : pièces d’identité conservées, relevés, enregistrements, historique des incidents, et mentions internes vous concernant.
L’ordonnance du tribunal judiciaire d’Arras du 28 mai 2026 (RG 26/00024, M. G. contre SA Floa) illustre cette exigence jusque dans le détail. Saisi par un client qui contestait tout contrat avec l’établissement et affirmait que son identité avait été usurpée, le juge des référés a ordonné à la banque de communiquer, « en langage clair », la copie de l’ensemble de ses données figurant dans ses fichiers informatisés ou manuels , y compris les zones de notes et de commentaires internes ainsi que les informations disponibles sur l’origine des données. Les zones de commentaires internes, souvent présentées comme relevant du secret de l’entreprise, n’échappent donc pas à la copie lorsque la demande est précise et l’obligation non sérieusement contestable. Le juge a assorti l’injonction d’une astreinte de 100 euros par jour de retard passé un délai de huit jours à compter de la signification, la liquidation relevant du juge de l’exécution.
La même logique vaut face à un employeur. Dans son arrêt du 27 février 2025 (RG 24/02772, Mme K. contre SASU Engie Green France), la cour d’appel de Rennes a condamné l’entreprise à communiquer à la salariée, dans les 60 jours de la notification, son dossier de ressources humaines complet depuis le 1er juin 2019 (recrutement, carrière, évaluations, rémunération, disciplinaire, fiches de poste, relevés du temps de travail), ses relevés de connexion au réseau interne pour les années 2020 à 2023, son agenda Outlook sur la même période, et l’ensemble des courriels de ses messageries Outlook et Teams, en retenant « l’émettrice ou la destinataire principale », à l’exclusion de ceux où elle figurait seulement en copie. La cour a exigé un format électronique courant, structuré et lisible, transmis par téléchargement sécurisé, avec anonymisation des données des tiers pour préserver leur vie privée, le secret des affaires et la propriété intellectuelle. Elle a réservé l’usage des pièces au seul contentieux prud’homal éventuel entre les parties, et assorti la transmission d’une astreinte de « 50 euros par jour de retard » après 60 jours, pour 90 jours. Ce cadrage montre l’équilibre que les juges appliquent : copie large, mais protection des tiers et usage encadré.
Le délai de réponse est strict. La Commission nationale de l’informatique et des libertés rappelle que l’organisme doit répondre « dans les meilleurs délais », et « dans un délai maximum d’un mois », conformément à l’article 12, paragraphe 3, du règlement : le responsable du traitement fournit les informations sur les mesures prises « dans un délai d’un mois ». Une prolongation de deux mois est possible compte tenu de la complexité et du nombre de demandes, à condition d’en informer la personne dans le mois de la réception. Que l’organisme réponde au fond ou prolonge le délai, il doit donc écrire à la personne dans le mois. En matière de données de santé, des délais propres s’appliquent : communication au plus tard dans les huit jours et au plus tôt dans les 48 heures, portés à deux mois si les informations remontent à plus de cinq ans, en application de l’article L. 1111-7 du code de la santé publique.
B. Formuler une demande qui ne laisse à l’organisme aucune excuse de procédure
La plupart des refus se perdent sur la forme de la demande. Pour les priver d’effet, la demande doit être écrite, datée, adressée au bon interlocuteur et conservée avec sa preuve d’envoi. Identifiez le responsable du traitement : l’employeur pour les données des salariés, l’établissement de crédit ou l’assureur pour les données des clients, l’administration pour les données des usagers, l’éditeur du site ou de l’application pour les données des comptes en ligne. Les coordonnées du délégué à la protection des données, quand il existe, figurent généralement dans la politique de confidentialité. Adressez la demande par lettre recommandée avec accusé de réception ou par courriel avec accusé, conservez les copies et notez la date de réception : c’est elle qui fait courir le mois.
La demande doit viser expressément la confirmation du traitement, l’accès aux données et la copie, avec les informations listées par l’article 15 : finalités, catégories de données, destinataires, durée de conservation, origine des données non collectées auprès de vous, existence d’une décision automatisée. Demandez la copie « en langage clair », sous un format électronique d’usage courant si votre demande est électronique, et réclamez « toute information disponible » sur l’origine des données lorsque vous soupçonnez une collecte indirecte, une usurpation d’identité ou un fichage dont vous ignorez la source. Dans l’affaire jugée à Arras, le client avait précisément demandé les zones de notes internes et l’adresse électronique utilisée pour lui adresser les documents : cette précision a permis au juge de faire droit à la demande sans contestation sérieuse possible.
Joignez un justificatif d’identité seulement dans la mesure nécessaire. Le règlement autorise l’organisme qui a des doutes raisonnables sur votre identité à réclamer les informations supplémentaires utiles pour la vérifier, et la Commission rappelle aux professionnels qu’ils doivent vérifier que la demande n’émane pas d’un tiers. En revanche, exiger systématiquement une pièce d’identité complète ou des documents sans rapport avec la vérification peut constituer une entrave. Le Conseil d’État a admis, dans une décision du 9 avril 2024 commentée plus loin, qu’un responsable de traitement puisse demander à la personne de prouver son identité en application de l’article 77 du décret du 29 mai 2019. Envoyez donc une copie de pièce d’identité portant la mention de sa finalité, masquez les mentions inutiles, et refusez les pièces sans lien avec votre identification.
Rappelez dans votre courrier que la réponse est gratuite et due dans le mois. En principe, « aucun paiement n’est exigé » pour communiquer les informations et prendre les mesures demandées. Des frais raisonnables fondés sur les coûts administratifs ne peuvent être réclamés que pour toute copie supplémentaire au-delà de la première, ou lorsque la demande est manifestement infondée ou excessive, notamment répétitive ; c’est à l’organisme de démontrer ce caractère, et le coût ne doit jamais faire obstacle à l’exercice du droit. Si l’organisme invoque le caractère excessif de votre demande sans le démontrer, ou vous réclame un paiement pour la première copie, conservez cet écrit : il servira devant la Commission et devant le juge.
Distinguez enfin les régimes voisins pour adresser votre demande au bon guichet. L’accès à votre dossier médical suit les règles du code de la santé publique et s’exerce auprès de l’établissement ou du professionnel, avec les délais spécifiques rappelés ci-dessus. L’accès aux fichiers de police judiciaire et aux fichiers judiciaires, ainsi qu’au fichier des comptes bancaires, obéit à des règles différentes, que le service public de l’accès aux données personnelles signale expressément : une demande adressée au mauvais organisme fera perdre des semaines. De même, ne confondez pas le droit d’accès avec le droit à l’effacement, le droit d’opposition ou le droit à la portabilité, qui répondent à d’autres conditions : si l’organisme conserve vos données après votre départ, l’effacement relève d’une demande distincte, et si vous voulez bloquer un usage malgré votre opposition, la procédure diffère. Une demande d’accès bien ciblée reste le préalable utile dans tous les cas, car la copie reçue révèle ce que l’organisme détient et fonde les demandes suivantes.
II. Quand l’organisme refuse ou se tait : saisir la Commission, puis le juge
A. La plainte devant la Commission : mise en demeure, sanction et contrôle du juge
Si le mois s’écoule sans réponse, si la réponse est incomplète ou si l’organisme refuse sans motif sérieux, la première voie consiste à saisir la Commission nationale de l’informatique et des libertés. Toute personne qui estime qu’un traitement la concernant viole le règlement peut introduire une réclamation auprès de l’autorité de contrôle, en particulier dans l’État de sa résidence, de son lieu de travail ou du lieu de la violation. L’autorité saisie informe l’auteur de la réclamation de l’état d’avancement et de l’issue, y compris de la possibilité d’un recours devant le juge. La plainte en ligne devant la Commission s’effectue après avoir exercé vos droits auprès de l’organisme : joignez votre demande initiale, la preuve de sa réception, la réponse éventuelle et tout élément montrant le caractère incomplet ou tardif de la réponse.
La Commission dispose d’une gamme graduée de mesures. En application de l’article 20 de la loi du 6 janvier 1978, son président peut adresser au responsable un avertissement, le mettre en demeure de se conformer ou de satisfaire une demande d’exercice de droit, et saisir la formation restreinte, qui peut prononcer des sanctions, dont des amendes, ainsi que des injonctions de mise en conformité. Cette architecture a été précisée par le Conseil d’État dans une décision du 9 avril 2024 (n° 487715) rendue sur la plainte d’un administré qui reprochait à une commune de ne pas satisfaire son droit d’accès. Le Conseil d’État y rappelle que la Commission, saisie d’une plainte tendant à la mise en œuvre de ses pouvoirs, examine les faits et décide des suites en disposant « en principe, d’un large pouvoir d’appréciation », tenant compte de la gravité des manquements, du sérieux des indices, de la date et du contexte des faits et des intérêts généraux dont elle a la charge.
Ce pouvoir d’appréciation n’est toutefois pas discrétionnaire lorsque le droit individuel d’accès est en jeu. La même décision énonce que, lorsque le plaignant invoque la méconnaissance de ses droits d’accès, de rectification, d’effacement, de limitation ou d’opposition, il reste recevable, sur le fondement des articles 49 et suivants de la loi du 6 janvier 1978 relatifs aux droits des personnes, à demander l’annulation du refus du président de mettre l’organisme en demeure de satisfaire sa demande, ou du refus de la formation restreinte de le lui enjoindre, et que le pouvoir d’appréciation de la Commission s’exerce alors « eu égard à la nature du droit individuel en cause, sous l’entier contrôle du juge de l’excès de pouvoir », comme le juge le Conseil d’État dans sa décision du 9 avril 2024 (n° 487715). Autrement dit, face à un vrai refus d’accès, le juge administratif contrôle pleinement l’inaction de la Commission. La décision ajoute une garantie de forme : le refus de donner suite à une plainte fondée sur le droit d’accès fait partie des décisions individuelles défavorables qui doivent être motivées, car il refuse un avantage dont l’attribution constitue un droit pour qui remplit les conditions légales, au sens du 6° de l’article L. 211-2 du code des relations entre le public et l’administration.
Dans cette affaire, la requête a finalement été rejetée, et il faut en comprendre la raison pour ne pas reproduire l’erreur du plaignant. La commune affirmait de manière vraisemblable ne détenir aucune donnée sur lui, la Commission avait rappelé à la commune ses obligations avant de clore la plainte, et le requérant n’apportait aucun élément établissant la détention de données ni une exigence abusive de justification d’identité. La leçon est directe : avant de saisir la Commission, rassemblez les indices de la détention (anciens contrats, bulletins de paie, relevés, captures d’écran de compte, courriers reçus, mentions de votre nom dans des échanges), et répondez aux demandes raisonnables de vérification d’identité. Une plainte documentée, qui démontre que l’organisme détient des données et n’a pas répondu dans le mois, place la Commission en situation d’agir ; une plainte générale, sans preuve de détention, s’expose à la clôture.
Comptez aussi avec les délais de la procédure administrative. Lorsque l’autorité compétente ne traite pas la réclamation ou n’informe pas son auteur de l’état d’avancement ou de l’issue dans les trois mois, la personne concernée peut former un recours devant le juge contre l’autorité elle-même. Parallèlement, rien n’oblige à attendre l’issue de la plainte pour agir contre l’organisme : le recours devant le juge judiciaire reste ouvert sans préjudice de la réclamation, et c’est souvent lui qui débloque concrètement la communication.
B. Le juge judiciaire : injonction sous astreinte, preuve du préjudice et réparation
Le règlement ouvre à chaque personne un « recours juridictionnel effectif ». L’action contre un responsable ou un sous-traitant peut être portée devant les juridictions de l’État membre où il dispose d’un établissement, ou devant celles de votre résidence habituelle, sauf pour une autorité publique agissant dans l’exercice de la puissance publique. En pratique française, le tribunal judiciaire statue au fond, et son président statue en référé, sur le fondement des article 834 du code de procédure civile et article 835 du code de procédure civile, pour les mesures urgentes.
Le référé est la voie rapide lorsque l’obligation de communiquer n’est pas sérieusement contestable. Dans l’affaire d’Arras, le demandeur avait adressé sa demande de copie et de limitation par lettre recommandée du 5 août 2025, reçue le 11 août, puis saisi la Commission le 28 janvier 2026 pour absence de réponse, avant d’assigner en référé le 26 février 2026. Le juge a rappelé que le responsable doit informer sur les mesures prises dans le mois de la réception, a constaté que la banque, pourtant détentrice avérée des données (nom, pièce d’identité, relevé bancaire), n’avait pas justifié la transmission, et en a déduit que « n’est pas sérieusement contestable ». Il a ordonné la communication de la copie claire et des informations sur l’origine, ainsi que la justification des mesures de limitation aux seuls besoins de l’enquête pénale en cours, chacune sous astreinte de 100 euros par jour de retard après huit jours. L’argument de la banque selon laquelle seule la Commission serait compétente pour ordonner ces communications a été écarté par l’ordonnance elle-même : le juge judiciaire ordonne l’exécution de l’obligation de faire.
Devant le juge des prud’hommes et la cour d’appel, la salariée obtient des résultats comparables, avec un cadrage propre au contentieux du travail. Dans l’arrêt de Rennes, l’employeur soutenait que la demande de copie intégrale de la messagerie porterait atteinte aux droits des tiers et au secret des affaires, et réclamait des précisions sur les destinataires, expéditeurs, périodes et thématiques, avant de considérer la demande comme clôturée faute de réponse. La cour a rejeté la fin de non-recevoir tirée du défaut d’intérêt à agir, a ordonné la communication large décrite plus haut, et a réglé la question des tiers par l’anonymisation plutôt que par le refus : les pièces sont anonymisées pour respecter la vie privée des tiers, le secret des affaires et la propriété intellectuelle, puis réservées au seul contentieux prud’homal des parties. Pour un salarié en litige avec son employeur, cet arrêt fournit le modèle de ce qu’il faut demander : dossier de ressources humaines, relevés de temps et de connexion, agenda, courriels émis et reçus à titre principal, sous format exploitable et sécurisé.
Reste la question de l’argent. Le règlement prévoit que le droit d’obtenir « réparation du préjudice subi », chaque acteur répondant du dommage causé par le traitement en violation, sauf preuve que le fait dommageable ne lui est nullement imputable. Mais le juge des référés d’Arras a rejeté les provisions de 4 000 et 2 000 euros sollicitées pour préjudice moral, au motif qu’aucun préjudice indemnisable caractérisé et que l’obligation d’indemniser « se heurte à une contestation sérieuse ». Le demandeur, qui invoquait une négligence dans la vérification d’identité lors de l’octroi du crédit et des manœuvres déloyales autour de sa radiation du fichier des incidents de remboursement, n’a donc rien obtenu en référé sur ce point, alors même qu’il obtenait les injonctions de communiquer. La leçon est nette : en référé, l’injonction de remettre la copie s’obtient vite dès lors que la détention est établie et le délai dépassé ; l’indemnisation exige la démonstration, au fond, d’un dommage précis et de son lien avec la violation, avec pièces à l’appui (refus de crédit, perte de chance, frais engagés, troubles attestés). Ne présentez une demande chiffrée qu’avec ses justificatifs, et distinguez la provision d’urgence de l’action en réparation au fond.
Préparez enfin le dossier comme un contentieux de la preuve. Conservez l’original de votre demande et sa preuve de réception, la réponse ou l’absence de réponse avec ses dates, les relances, la plainte devant la Commission et ses suites, et tout indice de la détention (contrats, relevés, captures, attestations). Si l’organisme finit par communiquer après assignation, demandez au juge de lui donner acte de ses déclarations et de statuer sur les frais : dans l’affaire d’Arras, la banque, qui succombait sur les injonctions, a été condamnée aux dépens et à 1 000 euros au titre de l’article 700 du code de procédure civile, malgré le rejet des provisions. Une communication tardive n’efface ni le manquement au délai d’un mois ni les frais que votre action a rendus nécessaires.
Face à un organisme qui refuse ou tarde à remettre la copie de vos données, la méthode tient donc en quatre réflexes : identifier précisément le responsable et le traitement, exiger par écrit la confirmation, les informations et la reproduction fidèle de l’ensemble des données, laisser courir le mois en conservant chaque preuve, puis saisir la Commission et le juge sans attendre. Les décisions de 2024 à 2026 convergent : la copie doit être complète et intelligible, y compris les notes internes vous concernant ; le silence gardé plus d’un mois ouvre la voie de la mise en demeure et de la sanction ; et le juge ordonne la remise sous astreinte dès lors que la détention est établie. La réparation, elle, se mérite par la preuve du dommage. Constitué tôt, le dossier transforme un refus en injonction, et une injonction en dossier soldé.
Besoin d’un avis rapide sur votre dossier
Vous avez demandé la copie de vos données à votre employeur, votre banque, votre assureur ou un site, et l’organisme refuse, répond partiellement ou garde le silence depuis plus d’un mois. Maître Reda KOHEN, avocat au Barreau de Paris, examine votre demande, vos preuves d’envoi et la réponse reçue, puis vous indique s’il faut saisir la Commission nationale de l’informatique et des libertés, assigner en référé pour obtenir la copie sous astreinte, ou engager une action en réparation. Consultation téléphonique en 48 heures avec un avocat du cabinet. Téléphone : 06 46 60 58 22. Contact : https://kohenavocats.fr/formulaire-de-contact/.