Le droit d’accès aux données personnelles permet à chacun de demander à une entreprise, une association ou une administration quelles informations elle détient sur lui, et d’en obtenir une copie. Garanti par le RGPD, il est gratuit, et l’organisme doit répondre dans un délai d’un mois, selon la CNIL.
- Qui interroger
- L’organisme qui traite les données : boutique en ligne, opérateur, réseau social, employeur, mairie.
- Délai
- Un mois, prolongeable de deux mois pour une demande complexe, avec information dans le premier mois.
- Sans réponse
- Plainte en ligne auprès de la CNIL, copie de la demande à l’appui.
Ce que couvre le droit d’accès au titre du RGPD
Le droit d’accès, prévu par l’article 15 du règlement général sur la protection des données (RGPD), donne le droit de savoir si un organisme traite des données vous concernant et, si oui, d’en recevoir une copie. La réponse doit aussi indiquer pourquoi ces données sont utilisées, à qui elles sont transmises, combien de temps elles sont conservées et d’où elles viennent lorsqu’elles n’ont pas été fournies par vous. Historique de commandes, enregistrements d’appels, données de localisation, notes d’un dossier client ou profil publicitaire entrent dans le champ.
Le droit vaut face à tout organisme, privé ou public. La fiche de la CNIL sur le droit d’accès rappelle que chaque organisme doit permettre d’exercer ses droits gratuitement ; seule une copie supplémentaire peut donner lieu à des frais raisonnables. Savoir ce qu’une entreprise conserve est souvent la première étape avant de demander la rectification ou l’effacement d’informations, un réflexe qui s’inscrit dans la gestion plus large de ses données personnelles en ligne.
Rédiger la demande : à qui l’adresser et que demander
Une demande d’accès s’adresse au délégué à la protection des données (DPO) de l’organisme lorsqu’il en a désigné un, sinon à son service client. Ses coordonnées figurent dans la politique de confidentialité du site, souvent accessible en pied de page. Beaucoup de services en ligne proposent aussi un formulaire ou un outil de téléchargement des données dans les paramètres du compte : c’est le chemin le plus rapide.
À défaut, un courriel ou un courrier recommandé avec accusé de réception fait l’affaire. La demande gagne à être précise :
- se présenter avec les éléments qui permettent de vous retrouver (identifiant client, adresse électronique du compte, numéro de contrat) ;
- viser l’article 15 du RGPD et demander une copie de toutes les données vous concernant ;
- demander les finalités, les destinataires, la durée de conservation et la source des données ;
- indiquer le format souhaité pour la réponse, électronique de préférence.
L’organisme peut demander un justificatif d’identité s’il a un doute raisonnable sur votre identité, mais pas exiger systématiquement une pièce d’identité quand le compte suffit à vous identifier. Conserver une copie datée de la demande sera utile en cas de plainte.
Délai de réponse : un mois, parfois trois
Un organisme saisi d’une demande d’accès doit répondre le plus rapidement possible, et au plus tard dans le délai d’un mois. Selon la CNIL, il peut prolonger ce délai de deux mois, soit trois mois au total, lorsque la demande est complexe ou que les demandes sont nombreuses, par exemple quand il faut rassembler un grand volume de documents. Il doit alors vous prévenir de la prolongation et de ses raisons avant la fin du premier mois.
Un refus est possible dans des cas limités, notamment face à une demande manifestement infondée ou excessive, répétée sans raison. Il doit être motivé et mentionner la possibilité de saisir la CNIL. Une réponse partielle, qui oublie une catégorie de données évoquée dans la politique de confidentialité, justifie une relance écrite qui cite précisément ce qui manque.
Sans réponse : saisir la CNIL
La CNIL peut être saisie lorsqu’un organisme ne répond pas dans le délai d’un mois, refuse sans motif valable ou fournit une réponse insatisfaisante. La plainte en ligne de la CNIL demande d’avoir d’abord exercé son droit auprès de l’organisme, et de joindre la copie de la demande initiale et des échanges qui ont suivi. La CNIL instruit la plainte, intervient auprès de l’organisme et peut prononcer des sanctions dans les cas les plus graves.
Pour un litige qui mêle données personnelles et préjudice, comme un refus d’accès à son dossier par un employeur ou une fuite de données suivie d’une fraude, un avocat en droit du numérique évalue s’il faut aller au-delà de la plainte et demander réparation devant le juge. Des structures de médiation numérique aident aussi à rédiger les courriers ; la rubrique aides et accompagnement au numérique indique où les trouver.
Droit d’accès aux données : trois situations courantes
Peut-on demander ses données à un réseau social ?
Un réseau social est soumis au droit d’accès comme tout organisme qui traite des données de résidents européens. La plupart proposent un outil de téléchargement de l’archive du compte dans leurs paramètres de confidentialité.
Faut-il payer pour obtenir une copie de ses données ?
La première copie des données est gratuite. Seules les copies supplémentaires peuvent être facturées, à un coût raisonnable lié aux frais administratifs.
Peut-on exercer le droit d’accès pour un proche ?
Une autre personne peut exercer le droit d’accès à votre place avec un mandat écrit et un justificatif de son identité. Pour un enfant mineur, ce sont en principe les titulaires de l’autorité parentale qui agissent.