Droit d’accès et droit à l’effacement : répondre en un mois, sans panique

Pour qui

L’Oficina Rocha, Marta, Inês, Rui et les personnes qui leur écrivent sont fictifs. Les règles, les délais et les conclusions des autorités sont réels et sourcés.

Scène 1 · mardi 27 octobre, 9 h 10

« Envoyez-moi tout ce que vous avez sur moi »

Marta est responsable administrative de l’Oficina Rocha, un fabricant de meubles de 45 personnes près de Braga, dans le nord du Portugal, avec une boutique en ligne. Elle « s’occupe aussi du RGPD », le vendredi après-midi. Aujourd’hui, en vidant la boîte générale info@, elle trouve ceci :

De : paulo.m…@gmail.com · À : info@ · 6 octobre, 22 h 47

Bonsoir. J’ai quitté l’entreprise en juin. Je souhaite recevoir toutes les données personnelles que l’Oficina Rocha détient sur moi. Merci, Paulo Mendes

L’e-mail a trois semaines. Le premier réflexe de Marta est très courant : « il l’a envoyé à la mauvaise adresse, est-ce que ça compte ? ». Ça compte. L’horloge a démarré le 6 octobre et s’arrête le 6 novembre. Il reste dix jours.

Elle appelle Inês, la DPO externe qui accompagne l’entreprise. Inês garde son calme : « Dix jours suffisent si on commence aujourd’hui. Faisons-le dans le bon ordre. » Ce guide, c’est cet ordre.

C’est fréquent. Quand les autorités européennes de protection des données ont examiné 1 185 organismes en 2024, l’un des problèmes les plus courants était de ne pas reconnaître les demandes qui ne citent pas le RGPD ou qui arrivent par des canaux qui ne sont pas prévus pour cela. Et 74 % de ces organismes avaient reçu entre zéro et dix demandes d’accès l’année précédente. Avec si peu de demandes, personne ne se souvient de la procédure au moment où il en a besoin.

Source : CEPD, rapport de l’action coordonnée de 2024 sur le droit d’accès (adopté le 16 janvier 2025, en anglais).

Modèle gratuit: le Registre des demandes d’accès et d’effacement transforme ce guide en tableur prêt à l’emploi.

ÉTAPE 1

Reconnaître la demande

Le RGPD n’impose aucune forme pour la demande. Elle peut arriver par e-mail, courrier, téléphone, formulaire web, réseaux sociaux ou en personne auprès d’un collègue. La personne n’a pas à écrire « article 15 » ni à expliquer pourquoi elle veut ses données. Le Comité européen de la protection des données (CEPD) est clair : vous n’avez pas à juger du « pourquoi », et vous ne pouvez pas refuser au seul motif que la demande ne cite pas la loi.

Il y a une limite raisonnable. Si vous avez publié un canal dédié et que quelqu’un écrit à une adresse sans aucun rapport (l’exemple du CEPD est l’adresse du personnel d’entretien), la demande peut ne pas compter. Mais une adresse générale comme info@ ou celle du service client compte, et le CEPD attend de vous « tous les efforts raisonnables » pour la transmettre à la bonne personne. Le temps que la demande passe perdue dans une boîte ne prolonge pas le délai.

CEPD, lignes directrices 01/2022 sur le droit d’accès, v2.1, paragraphes 13, 50 et 52 à 57 et exemples 8 et 9.

ÉTAPE 2

Compter le délai au jour près

Le RGPD dit « un mois », pas 30 jours. Le calcul suit les règles de l’UE sur les délais : le jour où la demande arrive ne compte pas, et le délai se termine le même jour du mois suivant. Si ce jour n’existe pas, il se termine le dernier jour du mois. S’il tombe un samedi, un dimanche ou un jour férié, il passe au jour ouvrable suivant.

Certaines autorités, comme la CNPD (l’autorité portugaise de protection des données), annoncent au public une réponse sous « 30 jours ». Travailler sur 30 jours est le moyen le plus sûr de ne jamais dépasser le mois.

Prolongation. Vous pouvez ajouter jusqu’à deux mois « au besoin, compte tenu de la complexité et du nombre de demandes ». À deux conditions : le dire à la personne dans le premier mois et en donner le motif (modèle 4). Une prolongation envoyée le 35e jour arrive trop tard.

Vous répondez à des demandes en France ?

La loi Informatique et Libertés ne change pas ces délais pour une entreprise : ce sont ceux du RGPD. La CNIL publie une fiche pratique pour répondre à une demande de droit d’accès, qui reprend les mêmes points : délai d’un mois, gratuité, vérification d’identité seulement en cas de doute raisonnable. Elle propose aussi aux particuliers des courriers types pour exercer leurs droits. Il vaut la peine de les connaître, car ce sont eux qui vous arriveront.

Art. 12, paragraphe 3, du RGPD ; règlement (CEE, Euratom) 1182/71, art. 3 ; CNPD, Direito ao apagamento dos dados (en portugais).

ÉTAPE 3

Vérifier l’identité, avec mesure

Ne demandez des informations supplémentaires que si vous avez des doutes raisonnables sur l’identité du demandeur, et seulement ce dont vous avez réellement besoin. Le réflexe de demander à tout le monde une copie de la carte d’identité est une erreur : le CEPD estime qu’en général ce n’est pas un moyen adapté d’authentifier quelqu’un et que cela crée un risque de sécurité. Dans leur rapport de 2024, les autorités ont écrit que demander une pièce d’identité de façon systématique « peut constituer un traitement excessif ».

Servez-vous de ce que vous avez déjà. Un client avec un compte sur la boutique en ligne peut confirmer via son compte. Un ancien salarié peut confirmer une information que lui seul et l’entreprise connaissent, ou recevoir la réponse aux coordonnées qui figurent déjà dans son dossier. Dans le cas de Paulo, son e-mail personnel figurait déjà dans son dossier RH, donc Inês n’a rien demandé de plus.

Si vous devez vraiment vérifier, demandez-le dans les premiers jours (modèle 2) pour ne pas passer le mois à attendre.

Art. 12, paragraphe 6, et considérant 64 du RGPD ; CEPD, lignes directrices 01/2022, paragraphes 73 à 77 et exemples 13 et 14 ; CEPD, rapport de l’action coordonnée de 2024.

ÉTAPE 4

Accès : ce que vous devez envoyer

Une réponse d’accès a deux parties. Pensez à une chemise avec une copie à l’intérieur et une page de garde par-dessus.

Ce qu’a déjà décidé la Cour de justice

Art. 15 du RGPD ; CJUE C-154/21, C-487/21, C-307/22, C-579/21 ; CEPD, lignes directrices 01/2022.

ÉTAPE 5

Où chercher

Le premier problème relevé par les autorités en 2024, ce sont des recherches trop étroites : regarder seulement la base de données principale et oublier les e-mails, les métadonnées, les fichiers non textuels ou les sauvegardes. Elles rappellent que vous ne pouvez pas limiter la réponse aux données que vous jugez pertinentes.

À l’Oficina Rocha, Rui, à l’informatique, a cherché le nom et les adresses e-mail de Paulo dans les boîtes, le serveur de fichiers et le logiciel de paie, et a confirmé que les enregistrements de juin avaient déjà été effacés dans le cycle normal. Cela lui a pris une matinée. Marta a sorti le dossier du personnel. Inês a tout relu et masqué les données des clients et des collègues.

CEPD, rapport de l’action coordonnée de 2024, problème 1 et recommandations ; art. 30 du RGPD.

Scène 2 · deux semaines plus tard

« Supprimez mon compte et tout ce que vous avez sur moi »

Paulo a reçu sa réponse le 4 novembre, deux jours avant l’échéance. Marta respire. Arrive alors un message, via le formulaire de la boutique en ligne, de Sofia, une cliente qui a acheté une table en 2024 et reçoit la newsletter.

Tout effacer semble simple. Mais la facture de la table porte le nom et l’adresse de Sofia, et la loi fiscale oblige à la conserver. La newsletter part par une plateforme externe. Et il y a des sauvegardes chaque nuit. Marta écrit à Inês : « J’efface ou pas ? ». La réponse : « Les deux. Voyons ce qui est quoi. »

ÉTAPE 6

Effacement : quand effacer, quand conserver

Le droit à l’effacement, aussi appelé « droit à l’oubli », n’est pas absolu. Vérifiez d’abord si l’un des cas s’applique. Vérifiez ensuite si une exception joue, au cas par cas et par écrit.

Trois points où les organismes trébuchent

Fermer un compte n’est pas effacer les données. Les autorités ont demandé une meilleure prise de conscience de cette différence, car beaucoup d’organismes traitent les deux comme une seule chose.

En France, ce que vous gardez part en archive. La CNIL distingue la base active, l’archivage intermédiaire et l’archivage définitif. Les données conservées pour une obligation légale, comme la facture de Sofia, sortent de la base active : elles sont isolées, accessibles seulement aux personnes qui en ont besoin, puis supprimées à la fin de la durée de conservation.

Art. 17 et 19 du RGPD ; CEPD, rapport de l’action coordonnée de 2025 sur le droit à l’effacement (adopté le 10 février 2026, en anglais) ; CNIL, répondre à une demande de droit d’accès.

ÉTAPE 7

Refuser ou limiter, sur un terrain solide

Vous ne pouvez refuser, ou exiger des frais raisonnables, que si la demande est manifestement infondée ou excessive, notamment en raison de son caractère répétitif. Le CEPD dit que ces notions s’interprètent strictement, et c’est à vous de démontrer que la demande l’est. Une demande renouvelée parce que votre première réponse était incomplète n’est qu’un rappel, pas une nouvelle demande.

N’utilisez pas non plus le refus pour vous épargner du travail. Si quelqu’un demande tout et que vous avez des années de données dans de nombreux systèmes, vous pouvez lui demander s’il préfère commencer par un domaine précis (modèle 3). Mais le CEPD prévient que cette demande de précision ne peut pas servir à limiter la réponse. S’il dit « tout », envoyez tout.

Chaque fois que vous ne donnez pas suite à une demande, en tout ou en partie, vous devez répondre dans le délai d’un mois avec les motifs et informer la personne qu’elle peut introduire une réclamation auprès d’une autorité de contrôle et former un recours juridictionnel (modèle 7).

Art. 12, paragraphes 4 et 5, et art. 15, paragraphe 4, du RGPD ; CEPD, lignes directrices 01/2022, paragraphe 29 et section 6.

Ce qu’ont trouvé les autorités

Sept choses à ne pas faire

Ces problèmes sont revenus encore et encore.

1. 1
   Ne pas avoir de procédure écrite.Dix-sept autorités ont trouvé des organismes sans procédure d’effacement documentée et à jour. Certains révisent la leur tous les cinq ans, ou jamais.
2. 2
   Ne pas reconnaître la demande ni en accuser réception.Les demandes qui ne citent pas le RGPD, ou qui arrivent par des canaux non prévus, restent sans réponse.
3. 3
   Demander à tous une pièce d’identité.Formulaires web obligatoires, demandes uniquement par écrit et pièce d’identité par défaut sont autant d’obstacles à l’exercice du droit.
4. 4
   Chercher seulement dans la base principale.Les e-mails, les métadonnées, les fichiers non textuels et les sauvegardes restent de côté.
5. 5
   Répondre avec la politique de confidentialité.Des informations génériques, des destinataires seulement par catégories et des durées de conservation vagues, au lieu de réponses propres à la personne.
6. 6
   Garder le registre des demandes pour toujours.Des durées de conservation des demandes elles-mêmes allant de six mois à 45 ans, ou aucune. Fixez une durée et conservez ces registres à part.
7. 7
   Appliquer les exceptions de façon automatique.Plus d’une dizaine d’autorités ont vu des exceptions de l’art. 17, paragraphe 3, appliquées sans analyse au cas par cas, et des refus sans motif documenté.

CEPD, rapport de 2024 (accès) ; CEPD, rapport de 2025 (effacement).

À imprimer

Le mois, jour par jour

Réponses types

Sept réponses prêtes à adapter

Remplacez tout ce qui est entre [crochets]. Écrivez comme une personne écrit à une autre : ces réponses sont lues par celui qui a demandé et, parfois, par une autorité de contrôle.

Bonjour [nom],
Nous avons reçu le [date de réception] votre demande portant sur [résumé : l’accès à vos données personnelles / l’effacement de vos données].
Nous vous répondrons au plus tard le [échéance]. Si la demande se révèle particulièrement complexe et que nous avons besoin de plus de temps, nous vous le dirons avant cette date en vous expliquant pourquoi.
La référence de votre demande est [numéro]. Pour toute question, il suffit de répondre à cet e-mail.
Cordialement,
[Nom]
[Fonction] · [Organisme]

Bonjour [nom],

Pour protéger vos données, nous devons être sûrs que la demande vient bien de vous. Dans ce cas précis, [motif concret : l’adresse e-mail utilisée n’est pas celle associée à votre compte].
Vous pouvez le confirmer de l’une de ces façons :
– [option proportionnée 1 : répondre depuis l’adresse associée à votre compte]
– [option proportionnée 2 : nous indiquer le numéro d’une commande récente]
Inutile de nous envoyer une copie de votre pièce d’identité. Dès réception de votre confirmation, nous poursuivrons le traitement de votre demande.
Cordialement,
[Nom] · [Organisme]

Bonjour [nom],

Nous avons commencé à rassembler vos données. Nous détenons des informations vous concernant dans [liste : votre dossier du personnel, des e-mails professionnels de [année] à [année], les registres d’accès au bâtiment].
Pour vous envoyer d’abord ce qui vous intéresse le plus, souhaitez-vous recevoir en priorité un domaine ou une période en particulier ? Si vous préférez tout recevoir, dites-le-nous et nous vous enverrons l’ensemble dans le délai, au plus tard le [échéance].
Cordialement,
[Nom] · [Organisme]

Bonjour [nom],
Nous travaillons sur votre demande du [date de réception]. Nous avons besoin de plus de temps parce que [motif concret : vos données se trouvent dans sept systèmes différents et comprennent environ [N] e-mails sur plusieurs années, que nous devons relire pour protéger les données d’autres personnes].
Pour cette raison, et comme le permet l’article 12, paragraphe 3, du RGPD, nous prolongeons le délai. Nous vous répondrons au plus tard le [nouvelle date, au maximum trois mois après la réception].
[Facultatif : En attendant, vous trouverez ci-joint [la partie déjà prête].]
Si vous n’êtes pas d’accord avec cette prolongation, vous pouvez introduire une réclamation auprès de [autorité de contrôle, par ex. la CNIL : www.cnil.fr].
Cordialement,
[Nom] · [Organisme]

Bonjour [nom],
En réponse à votre demande du [date de réception], vous trouverez ci-joint une copie des données personnelles que nous traitons à votre sujet [format : fichier PDF / dossier zip protégé par un mot de passe, que nous vous envoyons séparément].

Pourquoi nous utilisons vos données : [finalités précises, par ex. gérer votre contrat de travail, verser les salaires, respecter nos obligations fiscales et sociales].
Quelles données nous traitons : [catégories : identité, coordonnées, coordonnées bancaires, temps de travail, évaluations].
À qui nous les avons communiquées : [destinataires précis : URSSAF, administration fiscale, [nom du cabinet comptable], [nom de la mutuelle]].
Combien de temps nous les conservons : [durée ou critères pour chaque catégorie].
Vos droits : vous pouvez nous demander de rectifier ou d’effacer vos données, ou d’en limiter le traitement, et vous pouvez vous y opposer.
Vous pouvez introduire une réclamation auprès de [autorité de contrôle, par ex. la CNIL : www.cnil.fr].
D’où viennent les données : [vous nous les avez fournies / nous les avons obtenues auprès de [source]].
Décisions automatisées : [nous ne prenons aucune décision fondée exclusivement sur un traitement automatisé vous concernant / description et logique sous-jacente].
[Le cas échéant : Transferts hors de l’EEE : [pays, garantie utilisée].]

Pour protéger d’autres personnes, nous avons masqué [les données de collègues et de clients] dans [documents].
S’il manque quelque chose, ou pour toute question, il suffit de répondre à cet e-mail.
Cordialement,
[Nom] · [Organisme]

Bonjour [nom],

Nous avons traité votre demande du [date de réception].
Ce que nous avons effacé : [votre compte sur la boutique en ligne, l’historique de commandes qui y figurait, vos préférences et votre contact dans notre liste de diffusion].
Ce que nous devons conserver : [les factures de vos achats], parce que [obligation légale précise : la réglementation comptable et fiscale nous impose de les conserver pendant la durée légale]. Nous les conservons uniquement pour cette finalité, en archive à accès restreint, et les supprimerons le [date ou critère].
Qui d’autre nous avons prévenu : nous avons demandé à [nom de la plateforme d’e-mailing / autres destinataires] d’effacer vos données.
Sauvegardes : vos données existent encore dans les sauvegardes réalisées avant aujourd’hui. Ces sauvegardes sont automatiquement supprimées au plus tard le [date], et nous ne réutiliserons pas vos données si une sauvegarde devait être restaurée.
Si vous n’êtes pas d’accord avec cette réponse, vous pouvez introduire une réclamation auprès de [autorité de contrôle, par ex. la CNIL : www.cnil.fr] ou former un recours juridictionnel.
Cordialement,
[Nom] · [Organisme]

Bonjour [nom],

Nous avons examiné votre demande du [date de réception] et nous n’allons pas y donner suite [en totalité / en partie : précisez quelle partie].
Le motif : [explication concrète, par ex. le [date], nous avons répondu à une demande d’accès identique avec une copie complète de vos données, et nous n’avons traité aucune nouvelle donnée vous concernant depuis. / Les données dont vous demandez l’effacement sont nécessaires à notre défense dans une procédure judiciaire en cours, réf. [numéro] (article 17, paragraphe 3, point e, du RGPD), et seront effacées à la fin de la procédure.]
Si vous n’êtes pas d’accord, vous avez le droit d’introduire une réclamation auprès de [autorité de contrôle, par ex. la CNIL : www.cnil.fr] et de former un recours juridictionnel.
Cordialement,
[Nom] · [Organisme]

Ce qui pourrait changer · mis à jour le 21 oct. 2026

Une proposition de l’UE vise les demandes d’accès « abusives »

En novembre 2025, la Commission européenne a présenté le paquet Digital Omnibus, COM(2025) 837. Pour le droit d’accès, elle propose trois changements à l’art. 12, paragraphe 5 : permettre au responsable de refuser ou de facturer lorsque le droit d’accès est utilisé à d’autres fins que la protection de ses propres données ; alléger la charge de la preuve, de sorte qu’il suffise au responsable d’avoir « des motifs raisonnables de croire » qu’une demande est excessive ; et, dans un considérant, traiter comme excessives les demandes « trop larges et indifférenciées ».

Le CEPD et le Contrôleur européen de la protection des données ont partagé l’objectif de clarté, mais ont demandé la suppression de ces trois formulations (avis conjoint 2/2026, du 10 février 2026). Ils rappellent que, selon l’arrêt de la Cour de justice dans l’affaire C-307/22, les personnes n’ont pas à justifier leurs demandes.

En octobre 2026, les ambassadeurs de l’UE avaient à leur ordre du jour le mandat du Conseil pour négocier avec le Parlement européen. La proposition n’est pas la loi. Les règles de ce guide s’appliquent aujourd’hui. Nous mettrons à jour cet encadré quand un texte définitif sera publié au Journal officiel. Nous analysons la proposition plus en détail, violations de données comprises, dans notre article sur le Digital Omnibus.

Par ailleurs, une autre proposition (Omnibus IV) va étendre l’exemption de tenue d’un registre des activités de traitement aux organismes de moins de 1 000 personnes, sauf pour les activités à risque élevé (accord provisoire du 26 juin 2026). Même exempté, vous aurez toujours besoin de savoir où se trouvent vos données pour répondre à ces demandes.

COM(2025) 837 ; CEPD et Contrôleur européen de la protection des données, avis conjoint 2/2026 ; ordre du jour du Coreper, octobre 2026 ; procédure 2025/0130(COD).

Avant d’envoyer

Checklist

Questions courantes

Questions fréquentes

De combien de temps est-ce que je dispose pour répondre à une demande de droit d’accès ?

Un mois à compter de la réception, jusqu’au même jour du mois suivant (art. 12, paragraphe 3). Si la demande est complexe ou si vous en avez beaucoup, vous pouvez prolonger de deux mois au plus, à condition de le dire à la personne dans le premier mois et de lui expliquer pourquoi.

Puis-je demander une copie de la carte d’identité pour vérifier l’identité ?

En règle générale, non. Vous ne pouvez demander des informations supplémentaires que si vous avez des doutes raisonnables sur l’identité du demandeur (art. 12, paragraphe 6), et le CEPD estime qu’une copie de pièce d’identité n’est en général pas un moyen adapté. Servez-vous de ce que vous avez déjà, comme le compte client ou les coordonnées qui figurent dans son dossier.

Puis-je faire payer la copie des données ?

La première copie est gratuite, et la personne n’a pas à expliquer pourquoi elle la veut (C-307/22). Vous ne pouvez demander des frais raisonnables que pour des copies supplémentaires (art. 15, paragraphe 3) ou lorsque la demande est manifestement infondée ou excessive, et vous devez pouvoir le démontrer (art. 12, paragraphe 5).

Un client demande l’effacement. Dois-je aussi effacer les factures ?

Non, tant que la loi vous oblige à les conserver. Le droit à l’effacement ne s’applique pas dans la mesure où le traitement est nécessaire pour respecter une obligation légale (art. 17, paragraphe 3, point b). Gardez seulement la facture, seulement pour cette finalité et seulement pendant la durée légale, effacez le reste et expliquez-le dans votre réponse. En France, placez ce que vous gardez en archivage intermédiaire, à accès restreint.

Qui répond à la demande : l’entreprise ou le DPO ?

L’entreprise, en tant que responsable du traitement. Le DPO conseille, surveille le délai et sert de point de contact pour les personnes (art. 38, paragraphe 4), mais la décision et la réponse reviennent au responsable. Le guide du DPO externalisé avec plusieurs clients explique où s’arrête le rôle du DPO.

Et si ma réponse envoie par erreur les données d’une autre personne ?

C’est une violation de données personnelles. Essayez de rappeler le message ou demandez sa suppression, documentez-le et évaluez le risque : s’il y a un risque, vous avez 72 heures pour le notifier à l’autorité de contrôle. Le guide des 72 premières heures montre comment décider.

Sources officielles uniquement

Sources

Législation et jurisprudence

• Règlement (UE) 2016/679 (RGPD), art. 8, 12, 15, 17, 19, 21 et 30 et considérants 63 et 64 (EUR-Lex)
• Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (Légifrance)
• Règlement (CEE, Euratom) 1182/71, règles applicables aux délais (EUR-Lex)
• CJUE, C-154/21, Österreichische Post (12 janv. 2023), destinataires
• CJUE, C-487/21, F.F. et CRIF (4 mai 2023), ce qu’est une « copie »
• CJUE, C-579/21, J.M. et Pankki S (22 juin 2023), consultations par les salariés
• CJUE, C-307/22, FT et DW (26 oct. 2023), première copie gratuite

Comité européen de la protection des données (CEPD)

• Lignes directrices 01/2022 sur le droit d’accès, v2.1 (avril 2023)
• Rapport de l’action coordonnée de 2024, droit d’accès (en anglais)
• Rapport de l’action coordonnée de 2025, droit à l’effacement (en anglais)
• CEPD et Contrôleur européen de la protection des données, avis conjoint 2/2026 sur le Digital Omnibus (en anglais)

Autorités nationales et procédure législative

• CNIL, répondre à une demande de droit d’accès
• CNPD, Direito de acesso aos dados (en portugais)
• CNPD, Direito ao apagamento dos dados (en portugais)
• Commission européenne, COM(2025) 837, Digital Omnibus
• Conseil de l’UE, ordre du jour du Coreper, 9 oct. 2026 (en anglais)
• Parlement européen, procédure 2025/0130(COD), Omnibus IV

Dernière révision : 21 octobre 2026. Nous révisons ce guide chaque fois que la loi ou les orientations des autorités changent.

Ce guide est une information générale sur le RGPD et ne constitue pas un conseil juridique. Pour un cas précis, parlez à votre DPO ou à un avocat.

L’Oficina Rocha et toutes les personnes des scènes sont fictives.