Demande d'accès à ses données personnelles (RGPD)

Le droit d'accès à ses données personnelles : ce que prévoit le RGPD

Le droit d'accès est l'un des droits fondamentaux reconnus à toute personne par le Règlement général sur la protection des données (RGPD). Inscrit à l'article 15 du RGPD, il vous permet de demander à n'importe quel organisme (entreprise, administration, association, plateforme en ligne) s'il détient des données vous concernant et, dans l'affirmative, d'en obtenir une copie. C'est un outil de transparence essentiel : il vous donne le moyen de vérifier quelles informations sont collectées sur vous, à quoi elles servent et avec qui elles sont partagées.

Quelles informations pouvez-vous obtenir ?

L'article 15 du RGPD ne se limite pas à la communication d'une simple liste. L'organisme doit vous fournir une copie des données ainsi qu'un ensemble d'informations précises sur le traitement :

• les finalités du traitement (pourquoi vos données sont utilisées) ;
• les catégories de données concernées (identité, coordonnées, données de paiement, historique de navigation, etc.) ;
• les destinataires ou catégories de destinataires, notamment en cas de transfert hors de l'Union européenne ;
• la durée de conservation envisagée, ou les critères permettant de la déterminer ;
• l'origine des données lorsqu'elles n'ont pas été collectées directement auprès de vous ;
• l'existence éventuelle d'une prise de décision automatisée, y compris le profilage.

Délai de réponse et gratuité

L'article 12 du RGPD encadre strictement la réponse de l'organisme. Celui-ci dispose d'un délai d'un mois à compter de la réception de votre demande pour y répondre. Ce délai peut être prolongé de deux mois supplémentaires lorsque la demande est particulièrement complexe ou que l'organisme reçoit un grand nombre de demandes ; il doit alors vous informer de cette prolongation, et de ses raisons, dans le mois initial.

La délivrance d'une première copie de vos données est gratuite (article 15(3) du RGPD). L'organisme ne peut réclamer des frais raisonnables, fondés sur les coûts administratifs, que pour les exemplaires supplémentaires. Une demande manifestement infondée ou excessive peut toutefois être refusée ou facturée, mais la charge de prouver ce caractère abusif pèse sur l'organisme.

Comment formuler votre demande

À qui l'adresser

Adressez votre demande à l'organisme concerné, idéalement à son délégué à la protection des données (DPO) lorsqu'il en a désigné un. Ses coordonnées figurent généralement dans la politique de confidentialité du site ou sur les documents contractuels. L'envoi en lettre recommandée avec accusé de réception est vivement recommandé : il fait courir le délai d'un mois de façon incontestable et constitue une preuve en cas de litige.

Les pièces à joindre

• une copie d'une pièce d'identité, lorsque l'organisme a un doute raisonnable sur votre identité ;
• toute référence utile (numéro de client, de contrat ou de compte) pour accélérer le traitement.

Les erreurs à éviter

• Ne pas dater ni conserver de preuve d'envoi : sans accusé de réception, le point de départ du délai d'un mois devient difficile à établir.
• Joindre trop de justificatifs d'identité : la fourniture d'une pièce d'identité ne doit être demandée qu'en cas de doute réel ; inutile de transmettre des documents sensibles non nécessaires.
• Confondre droit d'accès et droit à l'effacement : l'accès vous permet d'obtenir une copie, tandis que l'effacement (article 17) vise la suppression. Précisez clairement l'objet de votre demande.

Vos recours en cas de silence ou de refus

Si l'organisme ne répond pas dans le délai d'un mois, ou si sa réponse est incomplète, vous disposez de plusieurs leviers. Vous pouvez d'abord lui adresser une relance écrite rappelant l'article 15 du RGPD. En l'absence de réaction satisfaisante, vous êtes en droit de déposer une plainte auprès de la CNIL (Commission nationale de l'informatique et des libertés) directement sur le site cnil.fr. La CNIL peut instruire votre dossier, mettre l'organisme en demeure et, le cas échéant, prononcer une sanction. Enfin, vous pouvez saisir le tribunal compétent pour faire valoir vos droits et, éventuellement, obtenir réparation du préjudice subi. Le respect du droit d'accès figure parmi les thématiques de contrôle prioritaires de la CNIL : les organismes ont donc tout intérêt à y répondre sérieusement.