Comment exercer son droit d'accès à ses données personnelles ?

Un droit de savoir

Le droit d'accès, prévu à l'article 15 du RGPD, permet à toute personne de demander à un organisme s'il détient des données la concernant et, si c'est le cas, d'en obtenir une copie ainsi qu'un ensemble d'informations sur leur utilisation. C'est souvent le premier droit exercé, car il conditionne les autres : on ne peut faire corriger ou effacer que ce que l'on connaît. Il s'exerce sans avoir à justifier d'un motif ; la Cour de justice l'a confirmé dans un arrêt du 26 octobre 2023 (affaire C-307/22), en jugeant qu'un patient peut obtenir gratuitement une première copie de son dossier médical même s'il souhaite l'utiliser dans un litige.

Ce que l'organisme doit communiquer

La réponse comprend la confirmation que des données sont ou ne sont pas traitées et, dans l'affirmative, l'accès aux données elles-mêmes, accompagné des informations listées à l'article 15 : les finalités, les catégories de données, les destinataires (la Cour de justice a précisé en janvier 2023, dans l'affaire C-154/21, que la personne peut obtenir l'identité précise des destinataires), la durée de conservation, l'existence des autres droits et du droit de saisir la CNIL, la source des données lorsqu'elles n'ont pas été collectées auprès de la personne, l'existence d'une décision automatisée et les garanties en cas de transfert hors de l'Union.

Qu'est-ce qu'une copie ?

La Cour de justice a jugé le 4 mai 2023 (affaire C-487/21) que le droit d'obtenir une copie suppose de remettre une reproduction fidèle et intelligible de l'ensemble des données, ce qui peut impliquer de communiquer des extraits de documents, voire des documents entiers, lorsque c'est indispensable pour comprendre les données dans leur contexte. Un simple résumé ne suffit donc pas toujours. Si la demande est faite par voie électronique, la réponse est fournie sous une forme électronique d'usage courant, sauf demande contraire.

Délai, forme et gratuité

L'organisme dispose d'un mois pour répondre, prolongeable de deux mois pour les demandes complexes, en informant la personne. La première copie est gratuite ; des frais raisonnables peuvent être demandés pour des copies supplémentaires. L'organisme peut demander de préciser une demande très large portant sur de nombreuses données, mais il ne peut pas en profiter pour retarder sa réponse. Une demande d'accès reste valable même si elle est formulée sans référence au RGPD, par exemple « je souhaite savoir ce que vous avez sur moi ».

Les limites du droit d'accès

Le droit d'obtenir une copie ne doit pas porter atteinte aux droits et libertés d'autrui (article 15, paragraphe 4) : l'organisme peut occulter les données de tiers, par exemple le nom d'un collègue dans un échange de courriels, ou protéger un secret des affaires, mais il doit le faire de manière ciblée et non refuser toute communication. Les demandes manifestement infondées ou excessives peuvent être refusées, à condition de le justifier. Certaines données relèvent de régimes spéciaux, comme les fichiers de renseignement ou de police, pour lesquels l'accès s'exerce indirectement par l'intermédiaire de la CNIL.

Les cas particuliers fréquents

Un salarié peut demander à son employeur l'accès à son dossier, à ses évaluations, à ses bulletins de paie, aux courriels qui le concernent ou aux enregistrements de badgeuse. Un candidat peut demander les notes prises sur lui lors d'un entretien. Une personne filmée peut demander à visionner les images qui la concernent, dans la limite de la durée de conservation et en masquant les autres personnes. Un patient accède à son dossier médical selon les règles combinées du RGPD et du Code de la santé publique. Les héritiers, enfin, disposent de droits limités pour les données d'une personne décédée, selon la loi Informatique et Libertés.

Après l'accès

Une fois la réponse obtenue, la personne peut décider d'exercer d'autres droits : faire corriger une erreur grâce au droit de rectification, demander la suppression de données inutiles grâce au droit à l'effacement, ou s'opposer à un usage. En cas d'absence de réponse ou de réponse incomplète après un mois, elle peut saisir la CNIL, qui intervient régulièrement auprès des organismes sur ce motif et a déjà sanctionné des entreprises qui ne répondaient pas aux demandes d'accès.

Les lignes directrices européennes sur le droit d'accès

Le Comité européen de la protection des données a adopté en 2023 la version finale de ses lignes directrices 01/2022 sur le droit d'accès. Elles précisent que ce droit comporte trois éléments : la confirmation que des données sont ou non traitées, l'accès aux données elles-mêmes et l'accès aux informations sur le traitement, comme les finalités, les destinataires et la durée de conservation. Elles rappellent que la personne n'a pas à motiver sa demande et que l'organisme ne peut pas refuser au motif que la demande servirait un autre objectif, par exemple préparer un contentieux. Elles détaillent les modalités de vérification de l'identité, le contenu de la copie, la gestion des demandes portant sur de grands volumes de données et les limites liées aux droits des tiers. Ces lignes directrices constituent la référence pour organiser une réponse complète.

La jurisprudence de la Cour de justice

La Cour de justice a rendu plusieurs arrêts importants sur le droit d'accès. Dans l'arrêt Österreichische Post du 12 janvier 2023 (C-154/21), elle a jugé que la personne a le droit de connaître l'identité des destinataires concrets de ses données, et pas seulement leurs catégories, sauf impossibilité ou demande manifestement infondée. Dans l'arrêt F.F. du 4 mai 2023 (C-487/21), elle a précisé que le droit d'obtenir une copie implique la reproduction fidèle et intelligible des données, ce qui peut nécessiter la communication d'extraits de documents ou de bases de données lorsque c'est indispensable pour comprendre les données. Dans l'arrêt FT du 26 octobre 2023 (C-307/22), elle a jugé qu'un patient a le droit d'obtenir gratuitement une première copie de son dossier médical, même si sa demande vise à engager la responsabilité du médecin. Ces décisions renforcent la portée du droit d'accès et limitent les motifs de refus.

Le droit d'accès du salarié

Le droit d'accès est de plus en plus utilisé par les salariés, notamment dans le cadre d'un litige avec leur employeur. Le salarié peut obtenir une copie des données le concernant détenues par l'employeur : dossier administratif, évaluations, données de paie, données de badgeuse ou de géolocalisation, et courriels dans lesquels il est cité, dans la mesure où ils contiennent des données le concernant. La Cour de cassation a jugé, dans un arrêt du 18 juin 2025, que les courriels émis ou reçus par le salarié dans le cadre de son activité professionnelle constituent des données personnelles au sens du RGPD et que le salarié a droit d'y accéder, sous réserve des droits des tiers. L'employeur doit alors organiser une recherche dans la messagerie, ce qui peut représenter un volume important, et occulter les informations relatives à d'autres personnes lorsque c'est nécessaire.

Le droit d'accès au dossier médical

Le patient dispose d'un droit d'accès spécifique à son dossier médical, prévu par l'article L. 1111-7 du Code de la santé publique, qui s'articule avec le RGPD. Il peut y accéder directement ou par l'intermédiaire d'un médecin qu'il désigne, dans un délai de huit jours, porté à deux mois lorsque les informations datent de plus de cinq ans. La première copie est gratuite en vertu du RGPD, comme l'a rappelé la Cour de justice.

Les demandes répétitives ou massives

Un organisme peut refuser une demande manifestement infondée ou excessive, notamment en raison de son caractère répétitif, ou exiger le paiement de frais raisonnables tenant compte des coûts administratifs. Il lui appartient de démontrer ce caractère. Une personne qui renouvelle sa demande chaque semaine sans que les données aient changé peut se voir opposer un refus ; une personne qui demande l'accès une fois par an ne peut pas l'être. Le fait qu'une demande porte sur un grand volume de données ne la rend pas excessive : l'organisme peut alors demander à la personne de préciser les données ou les traitements visés, sans pouvoir l'y contraindre. Pour les copies supplémentaires, des frais raisonnables peuvent être demandés.

Modèle de réponse à une demande d'accès

Une réponse complète comporte plusieurs éléments. Elle confirme que des données concernant la personne sont traitées. Elle fournit une copie des données, organisée de façon lisible, par exemple par traitement ou par outil. Elle indique les finalités, les catégories de données, les destinataires ou catégories de destinataires, la durée de conservation ou les critères permettant de la déterminer, l'existence des autres droits et du droit de réclamation auprès de la CNIL, la source des données lorsqu'elles n'ont pas été collectées auprès de la personne, l'existence éventuelle d'une décision automatisée et, le cas échéant, les garanties encadrant les transferts hors de l'Union. Lorsque la demande a été faite par voie électronique, la réponse est fournie sous une forme électronique d'usage courant, sauf demande contraire. Pour des données sensibles, un envoi sécurisé, par exemple par un lien protégé, est préférable.

Le droit d'accès face aux fichiers de police

Pour certains fichiers de police et de renseignement, le droit d'accès s'exerce de manière indirecte par l'intermédiaire de la CNIL, qui désigne un magistrat pour procéder aux vérifications. Pour d'autres fichiers, comme le traitement des antécédents judiciaires, le droit d'accès est devenu direct pour certaines données, auprès du ministère de l'Intérieur, avec la possibilité de saisir le procureur de la République pour obtenir la rectification ou l'effacement de mentions. Ces régimes relèvent de la directive police-justice et du titre III de la loi Informatique et Libertés, et non du RGPD.

Le droit d'accès et les enregistrements

Le droit d'accès s'étend aux enregistrements audio et vidéo. Un client peut demander une copie de l'enregistrement d'un appel avec un service client ; une personne filmée par une caméra de vidéosurveillance peut demander à visionner les images la concernant, dans la limite de la durée de conservation, généralement de quelques jours à un mois. L'organisme doit alors flouter ou masquer les autres personnes apparaissant sur les images, ou refuser la communication si cela n'est pas possible sans porter atteinte à leurs droits, en proposant par exemple un visionnage sur place. Pour les enregistrements d'appels, une transcription ou une copie du fichier audio peut être fournie. La demande doit être formulée rapidement, compte tenu des courtes durées de conservation.

Les erreurs courantes dans la réponse

Les réponses aux demandes d'accès présentent souvent les mêmes défauts. Certains organismes se contentent d'un résumé des données au lieu d'une copie, ou envoient un export technique illisible, plein de codes et d'abréviations. D'autres oublient les informations sur le traitement, comme les destinataires ou les durées. Beaucoup ne fouillent pas les messageries, les enregistrements d'appels ou les outils des prestataires. Certains exigent systématiquement une pièce d'identité, ou subordonnent la réponse à la justification d'un motif. Enfin, les délais sont fréquemment dépassés sans information de la personne. Chacun de ces défauts peut fonder une plainte et une sanction.

Le droit d'accès comme outil de transparence

Au-delà de son usage individuel, le droit d'accès est devenu un outil de transparence collective. Des chercheurs, des journalistes et des associations l'utilisent pour comprendre le fonctionnement de plateformes, de courtiers en données ou d'applications, en coordonnant des demandes d'accès de nombreuses personnes. L'association noyb, fondée par Max Schrems, a ainsi engagé plusieurs procédures à la suite de réponses incomplètes de grands acteurs du numérique. Pour les organismes, cette évolution renforce l'importance de réponses complètes et cohérentes, qui peuvent être comparées entre elles et rendues publiques.

Le droit d'accès dans les relations de travail : précautions

Pour l'employeur, une demande d'accès d'un salarié ou d'un ancien salarié appelle une organisation rigoureuse. Il doit identifier les traitements concernés à partir du registre, interroger les services, rechercher les courriels et documents dans lesquels le salarié est identifié, puis examiner ceux qui contiennent des informations sur d'autres personnes, afin de les occulter si leur communication porterait atteinte à leurs droits. Les échanges entre l'employeur et son avocat, couverts par le secret professionnel, et les informations relevant du secret des affaires peuvent justifier des limitations, à condition d'être motivées. L'employeur ne peut pas refuser l'accès au motif que le salarié prépare un recours devant le conseil de prud'hommes. En revanche, il peut demander au salarié de préciser sa demande lorsqu'elle porte sur un volume considérable de courriels, et prolonger le délai de réponse en l'en informant.

Exercer son droit d'accès : modèle de demande

Une demande d'accès peut être très simple. Elle identifie la personne et l'organisme, se réfère à l'article 15 du RGPD et demande la confirmation que des données sont traitées, une copie de ces données et les informations sur le traitement. Par exemple : « Madame, Monsieur, en application de l'article 15 du règlement général sur la protection des données, je vous demande de me confirmer si vous traitez des données me concernant et, dans l'affirmative, de m'en communiquer une copie, ainsi que les finalités, les destinataires, la durée de conservation et la source de ces données. Je vous remercie de me répondre dans le délai d'un mois prévu par le règlement. » La CNIL propose un modèle de courrier sur son site, que l'on peut adapter à chaque situation. Il est utile de conserver la preuve de l'envoi, par exemple un accusé de réception ou une copie du courriel.

L'accès aux données détenues par les banques et les assureurs

Les clients des banques et des assurances exercent fréquemment leur droit d'accès, par exemple pour comprendre un refus de crédit, connaître les informations transmises à un fichier comme le fichier national des incidents de remboursement des crédits aux particuliers, géré par la Banque de France, ou obtenir l'historique de leurs opérations. Pour les fichiers de la Banque de France, le droit d'accès s'exerce directement auprès d'elle, gratuitement, au guichet ou en ligne. Les établissements doivent aussi expliquer, en cas de refus de crédit fondé sur un score, les principaux éléments qui ont conduit à la décision, en vertu des règles sur les décisions automatisées et de la réglementation bancaire.

L'accès aux données des applications et des objets connectés

Les applications mobiles et les objets connectés collectent souvent des données en arrière-plan, comme la localisation, les données d'usage ou les mesures de capteurs. La personne peut demander l'accès à l'ensemble de ces données. Les grandes plateformes proposent des outils de téléchargement des données du compte, qui facilitent l'exercice du droit d'accès et de portabilité, mais ne couvrent pas toujours toutes les données ni toutes les informations exigées par l'article 15, comme les destinataires précis. Le règlement européen sur les données, applicable depuis le 12 septembre 2025, renforce par ailleurs le droit des utilisateurs d'objets connectés d'accéder aux données générées par leur utilisation et de les partager avec des tiers.