Guides

Demande d'accès : comment répondre dans le délai d'un mois

Par Thiago de Jesus Freire, délégué à la protection des données externe, Hermetics

Mis à jour le 13 novembre 2026

Ce guide donne une information générale, à jour à la date indiquée ; il ne remplace pas l'examen de votre situation par votre délégué à la protection des données ou par votre conseil.

Une demande d'accès est le message par lequel une personne vous demande ce que vous détenez sur elle. Vous avez un mois à compter de la réception pour lui répondre, gratuitement, en lui remettant une copie de ses données à caractère personnel et les informations sur ce que vous en faites. Si vous ne donnez pas suite, vous le lui dites dans ce même mois, avec vos motifs et les recours dont elle dispose.

Reconnaître une demande, d'où qu'elle vienne

Le RGPD n'impose aucune forme à la demande. La personne n'a pas à citer le règlement ni l'article 15 : il suffit qu'elle dise vouloir connaître les données qui la concernent (lignes directrices, points 50 et 52)². Elle n'a pas non plus à expliquer pourquoi (source : CNIL, fiche citée)³.

Une demande envoyée à une adresse que vous avez vous-même communiquée, même si ce n'est pas celle que vous préférez, est en général valable, et ce détour ne vous autorise pas à prolonger le délai (point 53 et exemple 8)². Le salarié qui est l'interlocuteur habituel de la personne doit faire suivre. Seule une adresse prise au hasard, ou un salarié sans lien avec ces sujets, peut être écarté, et seulement si vous aviez clairement indiqué le bon canal (points 54 et 55)².

En pratique, chaque salarié doit savoir à qui transmettre. Un parcours interne efficace fait partie de ce qui est attendu de vous (source : CNIL, fiche citée)³.

Le délai : un mois, et comment il se compte

L'article 12, paragraphe 3, vous demande d'informer la personne des suites données à sa demande dans les meilleurs délais et, en tout état de cause, dans un délai d'un mois à compter de la réception¹. Ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. Vous devez alors prévenir la personne de cette prolongation et de ses motifs avant la fin du premier mois¹.

Le Comité européen de la protection des données précise le calcul (points 159 à 161)² :

• le délai court dès que la demande vous parvient par l'une de vos voies officielles, même si personne n'en a encore pris connaissance ;
• il se calcule selon le règlement n° 1182/71 : une demande reçue le 5 mars appelle une réponse au plus tard le 5 avril inclus ;
• si le mois suivant n'a pas de date correspondante, l'échéance est son dernier jour : reçue le 31 août, la demande est à traiter pour le 30 septembre ;
• si le dernier jour tombe un week-end ou un jour férié, vous avez jusqu'au jour ouvrable suivant.

Vérifier l'identité sans demander trop

Vous ne pouvez demander des informations supplémentaires pour confirmer l'identité que si vous avez des doutes raisonnables (article 12, paragraphe 6)¹. Une pièce d'identité ne s'exige donc pas par réflexe : en France, la personne peut justifier de son identité par tout moyen (source : CNIL, fiche citée)³.

Lorsque le doute existe, la vérification reste proportionnée au type de données, à la nature de la demande et au préjudice que causerait une divulgation à la mauvaise personne (lignes directrices, point 70)². Exiger la copie d'un document d'identité d'une personne que vous avez déjà authentifiée est disproportionné (point 73)².

Si vous posez la question sans tarder, le Comité admet que le délai soit suspendu jusqu'à la réponse (point 159)². Le règlement ne le dit pas lui-même : n'en faites pas une marge.

Ce que vous remettez

L'article 15, paragraphe 1, donne à la personne le droit d'obtenir la confirmation que des données la concernant sont ou ne sont pas traitées, l'accès à ces données, et les informations suivantes¹ :

• les finalités du traitement ;
• les catégories de données concernées ;
• les destinataires, nommément si la personne le demande et que c'est possible, sinon leurs catégories (lignes directrices, point 117)², avec, hors de l'Union, les garanties du transfert (article 15, paragraphe 2)¹ ;
• la durée de conservation prévue ou les critères qui la déterminent ;
• l'existence des droits de rectification, d'effacement, de limitation et d'opposition ;
• le droit d'introduire une réclamation auprès d'une autorité de contrôle ;
• la source des données, si elles n'ont pas été collectées auprès de la personne ;
• l'existence d'une décision automatisée, y compris un profilage, sa logique et ses conséquences.

Vous fournissez en plus une copie des données elles-mêmes (article 15, paragraphe 3)¹. Une liste des catégories de données que vous détenez ne suffit pas (source : CNIL, fiche citée)³. À une demande présentée par voie électronique, vous répondez sous une forme électronique d'usage courant, sauf si la personne demande autre chose¹.

Les limites, la gratuité, et qui doit prouver quoi

Les droits des autres

Le droit d'obtenir une copie ne doit pas porter atteinte aux droits et libertés d'autrui (article 15, paragraphe 4), ce qui vise notamment le secret des affaires et la propriété intellectuelle (considérant 63)¹. Une crainte générale ne suffit pas : vous devez pouvoir démontrer l'atteinte dans la situation concrète. Et la limite ne justifie pas un refus en bloc : vous masquez ce qui concerne les autres et vous remettez le reste (lignes directrices, points 172 et 173)².

La demande manifestement infondée ou excessive

Face à une demande manifestement infondée ou excessive, notamment par son caractère répétitif, vous pouvez exiger des frais raisonnables ou refuser de donner suite. C'est à vous de démontrer ce caractère (article 12, paragraphe 5)¹. Une demande n'est pas excessive parce qu'elle est impolie, ou parce que la personne compte utiliser ses données dans un litige contre vous (point 189)². Même une première demande peut toutefois être excessive si vous démontrez qu'elle poursuit une intention abusive (Cour de justice, 19 mars 2026, affaire C-526/24)⁴.

Hors de ce cas, la réponse est gratuite (article 12, paragraphe 5)¹, sauf des frais raisonnables pour une copie supplémentaire (article 15, paragraphe 3)¹.

Si vous ne donnez pas suite

Le silence n'est pas une réponse. Si vous ne donnez pas suite à la demande, vous en informez la personne sans tarder et au plus tard dans un délai d'un mois à compter de la réception. Vous lui indiquez vos motifs, la possibilité d'introduire une réclamation auprès d'une autorité de contrôle et celle de former un recours juridictionnel (article 12, paragraphe 4)¹. La règle vaut aussi pour un refus partiel (lignes directrices, point 193)².

Garder la preuve de ce que vous avez fait

Vous devez être en mesure de démontrer que vous respectez le règlement (article 5, paragraphe 2)¹. Le Comité recommande de confirmer la réception par écrit, avec les dates de début et de fin du délai (point 57), de documenter la manière dont vous avez fourni l'accès (point 131) et, en cas de refus, les faits qui le fondent (point 193)².

Notre conseil de praticiens : un dossier par demande, avec le message d'origine, la date de réception, ce qui a été envoyé, ce qui a été masqué et pourquoi.

Un calendrier pratique, jour par jour

Seule l'échéance vient du texte. Les étapes intermédiaires sont notre proposition. J désigne le jour de la réception.

Les erreurs fréquentes

• Attendre une demande « en bonne et due forme ». Aucune forme n'est exigée, et le délai court déjà.
• Prolonger sans le dire. La prolongation s'annonce, avec ses motifs, dans le premier mois.
• Refuser en silence. Le refus se motive et indique les recours, y compris devant votre autorité de contrôle.