# Droit d’accès et droit à l’effacement : répondre en un mois, sans panique URL: https://pulsaiq.com/fr/guides/droit-acces-effacement/ Dernière révision: 2026-10-23 Langue: fr Base juridique: RGPD, art. 12, 15 et 17 Une méthode pour les demandes d’accès et d’effacement que vous pouvez répéter chaque fois que quelqu’un demande « quelles données avez-vous sur moi ? » ou dit « effacez tout ». Avec les délais comptés au jour près et sept réponses types prêtes à adapter. ## En deux minutes - **Délai : un mois à compter de la réception** de la demande, même si personne ne l’a encore lue. Vous pouvez le prolonger de deux mois si les demandes sont complexes ou nombreuses, mais vous devez le dire à la personne, avec les motifs, *dans* le premier mois. Art. 12, paragraphe 3 - **Gratuit.** Vous ne pouvez demander des frais raisonnables que pour des copies supplémentaires, ou refuser ou facturer lorsque la demande est manifestement infondée ou excessive, et vous devez pouvoir le démontrer. Art. 12, paragraphe 5 ; art. 15, paragraphe 3 - **Pas de formule magique.** Un e-mail à info@, une lettre ou un message à un collègue peuvent être une demande valable. La personne n’a pas à se justifier ni à citer le RGPD. CEPD, lignes directrices 01/2022 - **L’accès**, c’est une copie des données plus huit informations précises sur leur utilisation. Renvoyer à votre politique de confidentialité ne suffit pas. Art. 15 - **L’effacement** a six cas et cinq exceptions. Souvent, la bonne réponse est « nous avons effacé ceci et nous conservons cela jusqu’à telle date, pour tel motif ». Art. 17 ## Pour qui

Pour vous si

Vous recevez ces demandes dans une petite ou moyenne structure (direction, ressources humaines, service client), ou vous êtes le délégué à la protection des données (DPO) qui l’accompagne.

Pas pour vous si

Vous cherchez une analyse des demandes d’accès dans un contentieux, ou dans des organismes publics soumis à des règles propres. Pour cela, parlez à un avocat.

L’Oficina Rocha, Marta, Inês, Rui et les personnes qui leur écrivent sont fictifs. Les règles, les délais et les conclusions des autorités sont réels et sourcés.

## « Envoyez-moi tout ce que vous avez sur moi » Marta est responsable administrative de l’Oficina Rocha, un fabricant de meubles de 45 personnes près de Braga, dans le nord du Portugal, avec une boutique en ligne. Elle « s’occupe aussi du RGPD », le vendredi après-midi. Aujourd’hui, en vidant la boîte générale info@, elle trouve ceci : > **De :** paulo.m…@gmail.com · **À :** info@ · 6 octobre, 22 h 47 > > Bonsoir. J’ai quitté l’entreprise en juin. Je souhaite recevoir toutes les données personnelles que l’Oficina Rocha détient sur moi. Merci, Paulo Mendes L’e-mail a trois semaines. Le premier réflexe de Marta est très courant : « il l’a envoyé à la mauvaise adresse, est-ce que ça compte ? ». Ça compte. L’horloge a démarré le 6 octobre et s’arrête le 6 novembre. Il reste dix jours. Elle appelle Inês, la DPO externe qui accompagne l’entreprise. Inês garde son calme : « Dix jours suffisent si on commence aujourd’hui. Faisons-le dans le bon ordre. » Ce guide, c’est cet ordre. C’est fréquent. Quand les autorités européennes de protection des données ont examiné 1 185 organismes en 2024, l’un des problèmes les plus courants était de ne pas reconnaître les demandes qui ne citent pas le RGPD ou qui arrivent par des canaux qui ne sont pas prévus pour cela. Et 74 % de ces organismes avaient reçu entre zéro et dix demandes d’accès l’année précédente. Avec si peu de demandes, personne ne se souvient de la procédure au moment où il en a besoin. Source : [CEPD, rapport de l’action coordonnée de 2024 sur le droit d’accès](https://www.edpb.europa.eu/system/files/2025-01/edpb_cef-report-2024_20250116_rightofaccess_en.pdf) (adopté le 16 janvier 2025, en anglais). ## Reconnaître la demande Le RGPD n’impose aucune forme pour la demande. Elle peut arriver par e-mail, courrier, téléphone, formulaire web, réseaux sociaux ou en personne auprès d’un collègue. La personne n’a pas à écrire « article 15 » ni à expliquer pourquoi elle veut ses données. Le Comité européen de la protection des données (CEPD) est clair : vous n’avez pas à juger du « pourquoi », et vous ne pouvez pas refuser au seul motif que la demande ne cite pas la loi. Il y a une limite raisonnable. Si vous avez publié un canal dédié et que quelqu’un écrit à une adresse sans aucun rapport (l’exemple du CEPD est l’adresse du personnel d’entretien), la demande peut ne pas compter. Mais une adresse générale comme info@ ou celle du service client compte, et le CEPD attend de vous « tous les efforts raisonnables » pour la transmettre à la bonne personne. Le temps que la demande passe perdue dans une boîte ne prolonge pas le délai.

Que faire maintenant

Trois réflexes, le jour même

1La transmettreDonnez à ceux qui lisent les boîtes partagées (accueil, info@, service client, ressources humaines) une règle simple : tout message qui demande « mes données », « effacez-moi », « désinscrivez-moi » ou quelque chose d’approchant part le jour même vers une personne nommée.
2L’enregistrerNotez chaque demande dans un registre des demandes : date de réception, canal, type, échéance et responsable.
3Accuser réceptionEnvoyez un accusé de réception avec l’échéance. Le CEPD recommande de confirmer par écrit quand le délai commence et quand il se termine.Utiliser le modèle 1

[CEPD, lignes directrices 01/2022 sur le droit d’accès, v2.1](https://www.edpb.europa.eu/documents/guideline/guidelines-012022-on-data-subject-rights-right-of-access_en), paragraphes 13, 50 et 52 à 57 et exemples 8 et 9. ## Compter le délai au jour près Le RGPD dit « un mois », pas 30 jours. Le calcul suit les règles de l’UE sur les délais : le jour où la demande arrive ne compte pas, et le délai se termine le même jour du mois suivant. Si ce jour n’existe pas, il se termine le dernier jour du mois. S’il tombe un samedi, un dimanche ou un jour férié, il passe au jour ouvrable suivant. | Demande reçue | Délai d’un mois | Pourquoi | |----------------------|----------------------|---------------------------------------------------------------------------| | 6 oct. 2026 (mar.) | 6 nov. 2026 (ven.) | Le même jour du mois suivant. C’est le cas de Paulo. | | 31 janv. 2027 (dim.) | 1er mars 2027 (lun.) | Le 31 février n’existe pas, donc le 28. C’est un dimanche, donc le lundi. | | 3 mars 2027 (mer.) | 5 avr. 2027 (lun.) | Le 3 avril est un samedi, donc le jour ouvrable suivant. | Certaines autorités, comme la CNPD (l’autorité portugaise de protection des données), annoncent au public une réponse sous « 30 jours ». Travailler sur 30 jours est le moyen le plus sûr de ne jamais dépasser le mois. **Prolongation.** Vous pouvez ajouter jusqu’à deux mois « au besoin, compte tenu de la complexité et du nombre de demandes ». À deux conditions : le dire à la personne dans le premier mois et en donner le motif ([modèle 4](#r4)). Une prolongation envoyée le 35e jour arrive trop tard. **Vous répondez à des demandes en France ?** La loi Informatique et Libertés ne change pas ces délais pour une entreprise : ce sont ceux du RGPD. La CNIL publie une fiche pratique pour [répondre à une demande de droit d’accès](https://www.cnil.fr/fr/repondre-une-demande-de-droit-dacces), qui reprend les mêmes points : délai d’un mois, gratuité, vérification d’identité seulement en cas de doute raisonnable. Elle propose aussi aux particuliers des courriers types pour exercer leurs droits. Il vaut la peine de les connaître, car ce sont eux qui vous arriveront. Art. 12, paragraphe 3, du RGPD ; [règlement (CEE, Euratom) 1182/71](https://eur-lex.europa.eu/legal-content/FR/ALL/?uri=CELEX:31971R1182), art. 3 ; [CNPD, Direito ao apagamento dos dados](https://www.cnpd.pt/cidadaos/direitos/direito-ao-apagamento-dos-dados/) (en portugais). ## Vérifier l’identité, avec mesure Ne demandez des informations supplémentaires que si vous avez des doutes raisonnables sur l’identité du demandeur, et seulement ce dont vous avez réellement besoin. Le réflexe de demander à tout le monde une copie de la carte d’identité est une erreur : le CEPD estime qu’en général ce n’est pas un moyen adapté d’authentifier quelqu’un et que cela crée un risque de sécurité. Dans leur rapport de 2024, les autorités ont écrit que demander une pièce d’identité de façon systématique « peut constituer un traitement excessif ». Servez-vous de ce que vous avez déjà. Un client avec un compte sur la boutique en ligne peut confirmer via son compte. Un ancien salarié peut confirmer une information que lui seul et l’entreprise connaissent, ou recevoir la réponse aux coordonnées qui figurent déjà dans son dossier. Dans le cas de Paulo, son e-mail personnel figurait déjà dans son dossier RH, donc Inês n’a rien demandé de plus. Si vous devez vraiment vérifier, demandez-le dans les premiers jours ([modèle 2](#r2)) pour ne pas passer le mois à attendre. Art. 12, paragraphe 6, et considérant 64 du RGPD ; CEPD, lignes directrices 01/2022, paragraphes 73 à 77 et exemples 13 et 14 ; [CEPD, rapport de l’action coordonnée de 2024](https://www.edpb.europa.eu/system/files/2025-01/edpb_cef-report-2024_20250116_rightofaccess_en.pdf). ## Accès : ce que vous devez envoyer Une réponse d’accès a deux parties. Pensez à une chemise avec une copie à l’intérieur et une page de garde par-dessus.

Partie A · art. 15, paragraphe 3

Une copie des données

Une reproduction fidèle et intelligible. Elle peut inclure des extraits de documents, voire des documents entiers, lorsque c’est nécessaire pour que la personne comprenne les données et puisse exercer ses droits. Si la demande est arrivée par e-mail, répondez dans un format électronique d’usage courant.

La première copie est gratuite, même si la personne la veut pour autre chose, comme préparer une action en justice.

Partie B · art. 15, paragraphe 1

Huit informations, propres à la personne

aPourquoi vous utilisez les données (finalités)
bQuelles catégories de données vous détenez
cÀ qui vous les avez communiquées. Si la personne le demande, les destinataires précis, pas seulement les catégories
dCombien de temps vous les conservez, ou les critères
eLes droits de rectification, d’effacement, de limitation et d’opposition
fLe droit d’introduire une réclamation auprès d’une autorité de contrôle
gD’où viennent les données, si ce n’est pas la personne qui les a fournies
hLes décisions automatisées ou le profilage, et la logique sous-jacente

En plus · art. 15, paragraphe 2Si les données ont été transférées hors de l’Espace économique européen, les garanties qui encadrent ce transfert.

Ce qu’a déjà décidé la Cour de justice

C-154/21 · Österreichische PostDestinataires précisSi la personne le demande, on indique les destinataires précis, pas seulement les catégories, sauf si c’est impossible ou si la demande est manifestement infondée ou excessive.

C-487/21 · CRIFCe qu’est une copieUne reproduction fidèle et intelligible des données.

C-307/22 · FTPremière copie gratuiteLa première copie est gratuite et la personne n’a pas à justifier sa demande.

Masquez ce qui concerne d’autres personnes, ne refusez pasLa copie ne peut pas porter atteinte aux droits d’autrui (art. 15, paragraphe 4). Les e-mails de Paulo mentionnent des clients et des collègues. La réponse n’est pas de refuser, mais de masquer ce qui appartient aux autres et de remettre le reste. La Cour a aussi jugé que la personne a le droit de savoir quand et pourquoi ses données ont été consultées, mais en général pas le nom de chaque salarié qui les a consultées (C-579/21).

Art. 15 du RGPD ; CJUE [C-154/21](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:62021CJ0154), [C-487/21](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX%3A62021CJ0487), [C-307/22](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=celex%3A62022CJ0307), [C-579/21](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX%3A62021CJ0579) ; CEPD, lignes directrices 01/2022. ## Où chercher Le premier problème relevé par les autorités en 2024, ce sont des recherches trop étroites : regarder seulement la base de données principale et oublier les e-mails, les métadonnées, les fichiers non textuels ou les sauvegardes. Elles rappellent que vous ne pouvez pas limiter la réponse aux données que vous jugez pertinentes.

Six endroits à passer en revue, un par un

E-mail et messagerieBoîtes personnelles et partagées, Teams, le WhatsApp de l’entreprise.
RH et paieDossier du personnel, bulletins de paie, évaluations, suivi des absences.
CRM et boutique en ligneComptes, commandes, notes du service client.
Fichiers partagésDossiers, tableurs, documents numérisés.
Images et journauxEnregistrements de vidéosurveillance encore conservés, registres d’accès, journaux des systèmes.
PrestatairesCabinet comptable, plateforme d’e-mailing, support informatique.

La carte existe déjàSi vous avez un registre des activités de traitement, chaque ligne dit quelles données vous avez, pour quoi faire et où. Le CEPD recommande de s’en servir précisément pour cela.

Guide 1 : votre registre en un après-midi

À l’Oficina Rocha, Rui, à l’informatique, a cherché le nom et les adresses e-mail de Paulo dans les boîtes, le serveur de fichiers et le logiciel de paie, et a confirmé que les enregistrements de juin avaient déjà été effacés dans le cycle normal. Cela lui a pris une matinée. Marta a sorti le dossier du personnel. Inês a tout relu et masqué les données des clients et des collègues. [CEPD, rapport de l’action coordonnée de 2024](https://www.edpb.europa.eu/system/files/2025-01/edpb_cef-report-2024_20250116_rightofaccess_en.pdf), problème 1 et recommandations ; art. 30 du RGPD. ## « Supprimez mon compte et tout ce que vous avez sur moi » Paulo a reçu sa réponse le 4 novembre, deux jours avant l’échéance. Marta respire. Arrive alors un message, via le formulaire de la boutique en ligne, de Sofia, une cliente qui a acheté une table en 2024 et reçoit la newsletter. Tout effacer semble simple. Mais la facture de la table porte le nom et l’adresse de Sofia, et la loi fiscale oblige à la conserver. La newsletter part par une plateforme externe. Et il y a des sauvegardes chaque nuit. Marta écrit à Inês : « J’efface ou pas ? ». La réponse : « Les deux. Voyons ce qui est quoi. » ## Effacement : quand effacer, quand conserver Le droit à l’effacement, aussi appelé « droit à l’oubli », n’est pas absolu. Vérifiez d’abord si l’un des cas s’applique. Vérifiez ensuite si une exception joue, au cas par cas et par écrit.

Vous devez effacer, dans les meilleurs délais, lorsque

Art. 17, paragraphe 1

aLes données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées.
bLa personne retire son consentement et il n’existe pas d’autre fondement juridique.
cLa personne s’oppose au traitement (art. 21) et il n’existe pas de motif légitime impérieux, ou elle s’oppose à la prospection.
dLes données ont fait l’objet d’un traitement illicite.
eUne obligation légale impose de les effacer.
fElles ont été collectées auprès d’un enfant dans le cadre de services en ligne (art. 8).

Vous pouvez les conserver, dans la mesure nécessaire, pour

Art. 17, paragraphe 3

aLa liberté d’expression et d’information.
bRespecter une obligation légale, ou exécuter une mission d’intérêt public.
cDes motifs d’intérêt public dans le domaine de la santé publique.
dDes fins archivistiques dans l’intérêt public, de recherche scientifique ou historique, ou statistiques.
eLa constatation, l’exercice ou la défense de droits en justice.

Le cas de Sofia

Effacé

Le compte sur la boutique en ligne, fermé
Son historique de navigation et ses préférences
Son abonnement à la newsletter
Son contact sur la plateforme d’e-mailing, à la demande de l’entreprise

Conservé

La facture, parce que la loi fiscale l’exige, mais seulement pendant la durée légale et seulement pour cette finalité

La réponse à Sofia : modèle 6

Trois points où les organismes trébuchent

SauvegardesLa moitié des autorités de l’action coordonnée de 2025 ont relevé des problèmes avec les sauvegardes. Si vous ne pouvez pas effacer un enregistrement précis d’une sauvegarde, documentez quand cette sauvegarde expire, assurez-vous que les données ne sont pas réutilisées en cas de restauration et dites-le à la personne.

« Anonymisé » qui ne l’est pasRemplacer un nom par un code ou masquer la moitié d’une adresse e-mail, c’est presque toujours de la pseudonymisation. Les données restent des données personnelles et la demande n’est pas satisfaite.

Prévenir les destinatairesVous devez notifier l’effacement à chaque destinataire à qui les données ont été communiquées, sauf si c’est impossible ou exige des efforts disproportionnés, et indiquer ces destinataires à la personne si elle le demande.

Fermer un compte n’est pas effacer les données. Les autorités ont demandé une meilleure prise de conscience de cette différence, car beaucoup d’organismes traitent les deux comme une seule chose.

En France, ce que vous gardez part en archive. La CNIL distingue la base active, l’archivage intermédiaire et l’archivage définitif. Les données conservées pour une obligation légale, comme la facture de Sofia, sortent de la base active : elles sont isolées, accessibles seulement aux personnes qui en ont besoin, puis supprimées à la fin de la durée de conservation.

Art. 17 et 19 du RGPD ; [CEPD, rapport de l’action coordonnée de 2025 sur le droit à l’effacement](https://www.edpb.europa.eu/system/files/2026-02/edpb_cef-report_2025_right-to-erasure_en.pdf) (adopté le 10 février 2026, en anglais) ; [CNIL, répondre à une demande de droit d’accès](https://www.cnil.fr/fr/repondre-une-demande-de-droit-dacces). ## Refuser ou limiter, sur un terrain solide Vous ne pouvez refuser, ou exiger des frais raisonnables, que si la demande est manifestement infondée ou excessive, notamment en raison de son caractère répétitif. Le CEPD dit que ces notions s’interprètent strictement, et c’est à vous de démontrer que la demande l’est. Une demande renouvelée parce que votre première réponse était incomplète n’est qu’un rappel, pas une nouvelle demande. N’utilisez pas non plus le refus pour vous épargner du travail. Si quelqu’un demande tout et que vous avez des années de données dans de nombreux systèmes, vous pouvez lui demander s’il préfère commencer par un domaine précis ([modèle 3](#r3)). Mais le CEPD prévient que cette demande de précision ne peut pas servir à limiter la réponse. S’il dit « tout », envoyez tout. Chaque fois que vous ne donnez pas suite à une demande, en tout ou en partie, vous devez répondre dans le délai d’un mois avec les motifs et informer la personne qu’elle peut introduire une réclamation auprès d’une autorité de contrôle et former un recours juridictionnel ([modèle 7](#r7)). Art. 12, paragraphes 4 et 5, et art. 15, paragraphe 4, du RGPD ; CEPD, lignes directrices 01/2022, paragraphe 29 et section 6. ## Sept choses à ne pas faire

2024 · Droit d’accès1 185 organismesexaminés par 30 autorités

2025 · Droit à l’effacement764 organismesexaminés par 32 autorités, dont la CNPD portugaise

Ces problèmes sont revenus encore et encore.

1
Ne pas avoir de procédure écrite.Dix-sept autorités ont trouvé des organismes sans procédure d’effacement documentée et à jour. Certains révisent la leur tous les cinq ans, ou jamais.
2
Ne pas reconnaître la demande ni en accuser réception.Les demandes qui ne citent pas le RGPD, ou qui arrivent par des canaux non prévus, restent sans réponse.
3
Demander à tous une pièce d’identité.Formulaires web obligatoires, demandes uniquement par écrit et pièce d’identité par défaut sont autant d’obstacles à l’exercice du droit.
4
Chercher seulement dans la base principale.Les e-mails, les métadonnées, les fichiers non textuels et les sauvegardes restent de côté.
5
Répondre avec la politique de confidentialité.Des informations génériques, des destinataires seulement par catégories et des durées de conservation vagues, au lieu de réponses propres à la personne.
6
Garder le registre des demandes pour toujours.Des durées de conservation des demandes elles-mêmes allant de six mois à 45 ans, ou aucune. Fixez une durée et conservez ces registres à part.
7
Appliquer les exceptions de façon automatique.Plus d’une dizaine d’autorités ont vu des exceptions de l’art. 17, paragraphe 3, appliquées sans analyse au cas par cas, et des refus sans motif documenté.

[CEPD, rapport de 2024 (accès)](https://www.edpb.europa.eu/system/files/2025-01/edpb_cef-report-2024_20250116_rightofaccess_en.pdf) ; [CEPD, rapport de 2025 (effacement)](https://www.edpb.europa.eu/system/files/2026-02/edpb_cef-report_2025_right-to-erasure_en.pdf). ## Le mois, jour par jour

Le même déroulé sert pour l’accès et pour l’effacement. Les jours se comptent à partir de la réception de la demande.

Jour 0Enregistrer. La noter et en accuser réception.
Jours 1–5Vérifier. L’identité, seulement en cas de doute. La portée de la demande.
Jours 5–20Rassembler. Chercher dans chaque système et chez chaque prestataire, avec le registre des activités comme carte. Pour l’effacement : décider ce qui part, ce qui reste et pourquoi.
Jours 20–25Relire. Masquer les données des tiers. Préparer les huit informations.Prolonger maintenant, si besoin
Jusqu’au jour 30Envoyer. Réponse, copie, preuve d’envoi. Clôturer la ligne du registre.

## Sept réponses prêtes à adapter Remplacez tout ce qui est entre \[crochets\]. Écrivez comme une personne écrit à une autre : ces réponses sont lues par celui qui a demandé et, parfois, par une autorité de contrôle.

Au début

01Accusé de réceptionJour 0. Pour toutes les demandes.

Objet : Nous avons bien reçu votre demande – réf. [numéro]

Bonjour [nom],

Nous avons reçu le [date de réception] votre demande portant sur [résumé : l’accès à vos données personnelles / l’effacement de vos données].

Nous vous répondrons au plus tard le [échéance]. Si la demande se révèle particulièrement complexe et que nous avons besoin de plus de temps, nous vous le dirons avant cette date en vous expliquant pourquoi.

La référence de votre demande est [numéro]. Pour toute question, il suffit de répondre à cet e-mail.

Cordialement,
[Nom]
[Fonction] · [Organisme]

Base : art. 12, paragraphe 3, du RGPD. Le CEPD recommande de confirmer par écrit quand le délai commence et quand il se termine (lignes directrices 01/2022, paragraphe 57).

02Vérification d’identitéSeulement en cas de doute raisonnable. À envoyer dans les premiers jours.

Objet : Votre demande – réf. [numéro] – confirmation

Bonjour [nom],

Pour protéger vos données, nous devons être sûrs que la demande vient bien de vous. Dans ce cas précis, [motif concret : l’adresse e-mail utilisée n’est pas celle associée à votre compte].

Vous pouvez le confirmer de l’une de ces façons :
– [option proportionnée 1 : répondre depuis l’adresse associée à votre compte]
– [option proportionnée 2 : nous indiquer le numéro d’une commande récente]

Inutile de nous envoyer une copie de votre pièce d’identité. Dès réception de votre confirmation, nous poursuivrons le traitement de votre demande.

Cordialement,
[Nom] · [Organisme]

Base : art. 12, paragraphe 6, du RGPD ; CEPD, lignes directrices 01/2022, paragraphes 73 à 77.

03Question sur la portéePour les gros volumes de données. Jamais pour limiter la réponse.

Objet : Votre demande d’accès – réf. [numéro]

Bonjour [nom],

Nous avons commencé à rassembler vos données. Nous détenons des informations vous concernant dans [liste : votre dossier du personnel, des e-mails professionnels de [année] à [année], les registres d’accès au bâtiment].

Pour vous envoyer d’abord ce qui vous intéresse le plus, souhaitez-vous recevoir en priorité un domaine ou une période en particulier ? Si vous préférez tout recevoir, dites-le-nous et nous vous enverrons l’ensemble dans le délai, au plus tard le [échéance].

Cordialement,
[Nom] · [Organisme]

Base : considérant 63 du RGPD ; CEPD, lignes directrices 01/2022, paragraphe 35, point b. Sans réponse, poursuivez avec la demande complète.

Si vous avez besoin de plus de temps

04ProlongationDoit arriver dans le premier mois, avec le motif.

Objet : Votre demande – réf. [numéro] – nouveau délai

Bonjour [nom],

Nous travaillons sur votre demande du [date de réception]. Nous avons besoin de plus de temps parce que [motif concret : vos données se trouvent dans sept systèmes différents et comprennent environ [N] e-mails sur plusieurs années, que nous devons relire pour protéger les données d’autres personnes].

Pour cette raison, et comme le permet l’article 12, paragraphe 3, du RGPD, nous prolongeons le délai. Nous vous répondrons au plus tard le [nouvelle date, au maximum trois mois après la réception].

[Facultatif : En attendant, vous trouverez ci-joint [la partie déjà prête].]

Si vous n’êtes pas d’accord avec cette prolongation, vous pouvez introduire une réclamation auprès de [autorité de contrôle, par ex. la CNIL : www.cnil.fr].

Cordialement,
[Nom] · [Organisme]

Base : art. 12, paragraphe 3, du RGPD. Envoyez-la avant la fin du premier mois, avec un motif concret.

Dans la réponse finale

05Réponse d’accèsLe courrier qui accompagne la copie des données.

Objet : Réponse à votre demande d’accès – réf. [numéro]

Bonjour [nom],

En réponse à votre demande du [date de réception], vous trouverez ci-joint une copie des données personnelles que nous traitons à votre sujet [format : fichier PDF / dossier zip protégé par un mot de passe, que nous vous envoyons séparément].

1. Pourquoi nous utilisons vos données : [finalités précises, par ex. gérer votre contrat de travail, verser les salaires, respecter nos obligations fiscales et sociales].
2. Quelles données nous traitons : [catégories : identité, coordonnées, coordonnées bancaires, temps de travail, évaluations].
3. À qui nous les avons communiquées : [destinataires précis : URSSAF, administration fiscale, [nom du cabinet comptable], [nom de la mutuelle]].
4. Combien de temps nous les conservons : [durée ou critères pour chaque catégorie].
5. Vos droits : vous pouvez nous demander de rectifier ou d’effacer vos données, ou d’en limiter le traitement, et vous pouvez vous y opposer.
6. Vous pouvez introduire une réclamation auprès de [autorité de contrôle, par ex. la CNIL : www.cnil.fr].
7. D’où viennent les données : [vous nous les avez fournies / nous les avons obtenues auprès de [source]].
8. Décisions automatisées : [nous ne prenons aucune décision fondée exclusivement sur un traitement automatisé vous concernant / description et logique sous-jacente].
[Le cas échéant : Transferts hors de l’EEE : [pays, garantie utilisée].]

Pour protéger d’autres personnes, nous avons masqué [les données de collègues et de clients] dans [documents].

S’il manque quelque chose, ou pour toute question, il suffit de répondre à cet e-mail.

Cordialement,
[Nom] · [Organisme]

Base : art. 15, paragraphes 1 à 4, du RGPD. Ne remplacez pas les points 1 à 8 par un lien vers votre politique de confidentialité.

06Confirmation d’effacementTotal ou partiel, avec ce qui est conservé et jusqu’à quand.

Objet : Votre demande d’effacement – réf. [numéro]

Bonjour [nom],

Nous avons traité votre demande du [date de réception].

Ce que nous avons effacé : [votre compte sur la boutique en ligne, l’historique de commandes qui y figurait, vos préférences et votre contact dans notre liste de diffusion].

Ce que nous devons conserver : [les factures de vos achats], parce que [obligation légale précise : la réglementation comptable et fiscale nous impose de les conserver pendant la durée légale]. Nous les conservons uniquement pour cette finalité, en archive à accès restreint, et les supprimerons le [date ou critère].

Qui d’autre nous avons prévenu : nous avons demandé à [nom de la plateforme d’e-mailing / autres destinataires] d’effacer vos données.

Sauvegardes : vos données existent encore dans les sauvegardes réalisées avant aujourd’hui. Ces sauvegardes sont automatiquement supprimées au plus tard le [date], et nous ne réutiliserons pas vos données si une sauvegarde devait être restaurée.

Si vous n’êtes pas d’accord avec cette réponse, vous pouvez introduire une réclamation auprès de [autorité de contrôle, par ex. la CNIL : www.cnil.fr] ou former un recours juridictionnel.

Cordialement,
[Nom] · [Organisme]

Base : art. 17, paragraphes 1 et 3, et art. 19 du RGPD. Vérifiez les durées légales de conservation avec votre expert-comptable.

07Refus motivéRare. Toujours avec les motifs et les voies de recours.

Objet : Votre demande – réf. [numéro]

Bonjour [nom],

Nous avons examiné votre demande du [date de réception] et nous n’allons pas y donner suite [en totalité / en partie : précisez quelle partie].

Le motif : [explication concrète, par ex. le [date], nous avons répondu à une demande d’accès identique avec une copie complète de vos données, et nous n’avons traité aucune nouvelle donnée vous concernant depuis. / Les données dont vous demandez l’effacement sont nécessaires à notre défense dans une procédure judiciaire en cours, réf. [numéro] (article 17, paragraphe 3, point e, du RGPD), et seront effacées à la fin de la procédure.]

Si vous n’êtes pas d’accord, vous avez le droit d’introduire une réclamation auprès de [autorité de contrôle, par ex. la CNIL : www.cnil.fr] et de former un recours juridictionnel.

Cordialement,
[Nom] · [Organisme]

Base : art. 12, paragraphes 4 et 5, du RGPD. Gardez une note interne de l’analyse qui justifie le refus.

## Une proposition de l’UE vise les demandes d’accès « abusives » En novembre 2025, la Commission européenne a présenté le paquet Digital Omnibus, COM(2025) 837. Pour le droit d’accès, elle propose trois changements à l’art. 12, paragraphe 5 : permettre au responsable de refuser ou de facturer lorsque le droit d’accès est utilisé à d’autres fins que la protection de ses propres données ; alléger la charge de la preuve, de sorte qu’il suffise au responsable d’avoir « des motifs raisonnables de croire » qu’une demande est excessive ; et, dans un considérant, traiter comme excessives les demandes « trop larges et indifférenciées ». Le CEPD et le Contrôleur européen de la protection des données ont partagé l’objectif de clarté, mais ont demandé la suppression de ces trois formulations (avis conjoint 2/2026, du 10 février 2026). Ils rappellent que, selon l’arrêt de la Cour de justice dans l’affaire C-307/22, les personnes n’ont pas à justifier leurs demandes. En octobre 2026, les ambassadeurs de l’UE avaient à leur ordre du jour le mandat du Conseil pour négocier avec le Parlement européen. La proposition n’est pas la loi. **Les règles de ce guide s’appliquent aujourd’hui.** Nous mettrons à jour cet encadré quand un texte définitif sera publié au Journal officiel. Nous analysons la proposition plus en détail, violations de données comprises, dans notre article sur le Digital Omnibus. Par ailleurs, une autre proposition (Omnibus IV) va étendre l’exemption de tenue d’un registre des activités de traitement aux organismes de moins de 1 000 personnes, sauf pour les activités à risque élevé (accord provisoire du 26 juin 2026). Même exempté, vous aurez toujours besoin de savoir où se trouvent vos données pour répondre à ces demandes. [COM(2025) 837](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=celex:52025PC0837) ; [CEPD et Contrôleur européen de la protection des données, avis conjoint 2/2026](https://www.edpb.europa.eu/system/files/documents/2026-02/edpb_edps_jointopinion_202602_digitalomnibus_en.pdf) ; [ordre du jour du Coreper, octobre 2026](https://data.consilium.europa.eu/doc/document/ST-13654-2026-REV-3/en/pdf) ; [procédure 2025/0130(COD)](https://oeil.europarl.europa.eu/oeil/en/procedure-file?reference=2025%2F0130%28COD%29). ## Checklist ## Questions fréquentes ### De combien de temps est-ce que je dispose pour répondre à une demande de droit d’accès ? Un mois à compter de la réception, jusqu’au même jour du mois suivant (art. 12, paragraphe 3). Si la demande est complexe ou si vous en avez beaucoup, vous pouvez prolonger de deux mois au plus, à condition de le dire à la personne dans le premier mois et de lui expliquer pourquoi. ### Puis-je demander une copie de la carte d’identité pour vérifier l’identité ? En règle générale, non. Vous ne pouvez demander des informations supplémentaires que si vous avez des doutes raisonnables sur l’identité du demandeur (art. 12, paragraphe 6), et le CEPD estime qu’une copie de pièce d’identité n’est en général pas un moyen adapté. Servez-vous de ce que vous avez déjà, comme le compte client ou les coordonnées qui figurent dans son dossier. ### Puis-je faire payer la copie des données ? La première copie est gratuite, et la personne n’a pas à expliquer pourquoi elle la veut (C-307/22). Vous ne pouvez demander des frais raisonnables que pour des copies supplémentaires (art. 15, paragraphe 3) ou lorsque la demande est manifestement infondée ou excessive, et vous devez pouvoir le démontrer (art. 12, paragraphe 5). ### Un client demande l’effacement. Dois-je aussi effacer les factures ? Non, tant que la loi vous oblige à les conserver. Le droit à l’effacement ne s’applique pas dans la mesure où le traitement est nécessaire pour respecter une obligation légale (art. 17, paragraphe 3, point b). Gardez seulement la facture, seulement pour cette finalité et seulement pendant la durée légale, effacez le reste et expliquez-le dans votre réponse. En France, placez ce que vous gardez en archivage intermédiaire, à accès restreint. ### Qui répond à la demande : l’entreprise ou le DPO ? L’entreprise, en tant que responsable du traitement. Le DPO conseille, surveille le délai et sert de point de contact pour les personnes (art. 38, paragraphe 4), mais la décision et la réponse reviennent au responsable. Le guide du DPO externalisé avec plusieurs clients explique où s’arrête le rôle du DPO. ### Et si ma réponse envoie par erreur les données d’une autre personne ? C’est une violation de données personnelles. Essayez de rappeler le message ou demandez sa suppression, documentez-le et évaluez le risque : s’il y a un risque, vous avez 72 heures pour le notifier à l’autorité de contrôle. Le guide des 72 premières heures montre comment décider. ## Sources ### Législation et jurisprudence - [Règlement (UE) 2016/679 (RGPD)](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32016R0679), art. 8, 12, 15, 17, 19, 21 et 30 et considérants 63 et 64 (EUR-Lex) - [Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés](https://www.legifrance.gouv.fr/loda/id/JORFTEXT000000886460) (Légifrance) - [Règlement (CEE, Euratom) 1182/71](https://eur-lex.europa.eu/legal-content/FR/ALL/?uri=CELEX:31971R1182), règles applicables aux délais (EUR-Lex) - [CJUE, C-154/21, Österreichische Post](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:62021CJ0154) (12 janv. 2023), destinataires - [CJUE, C-487/21, F.F. et CRIF](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX%3A62021CJ0487) (4 mai 2023), ce qu’est une « copie » - [CJUE, C-579/21, J.M. et Pankki S](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX%3A62021CJ0579) (22 juin 2023), consultations par les salariés - [CJUE, C-307/22, FT et DW](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=celex%3A62022CJ0307) (26 oct. 2023), première copie gratuite ### Comité européen de la protection des données (CEPD) - [Lignes directrices 01/2022 sur le droit d’accès, v2.1](https://www.edpb.europa.eu/documents/guideline/guidelines-012022-on-data-subject-rights-right-of-access_en) (avril 2023) - [Rapport de l’action coordonnée de 2024, droit d’accès](https://www.edpb.europa.eu/system/files/2025-01/edpb_cef-report-2024_20250116_rightofaccess_en.pdf) (en anglais) - [Rapport de l’action coordonnée de 2025, droit à l’effacement](https://www.edpb.europa.eu/system/files/2026-02/edpb_cef-report_2025_right-to-erasure_en.pdf) (en anglais) - [CEPD et Contrôleur européen de la protection des données, avis conjoint 2/2026 sur le Digital Omnibus](https://www.edpb.europa.eu/system/files/documents/2026-02/edpb_edps_jointopinion_202602_digitalomnibus_en.pdf) (en anglais) ### Autorités nationales et procédure législative - [CNIL, répondre à une demande de droit d’accès](https://www.cnil.fr/fr/repondre-une-demande-de-droit-dacces) - [CNPD, Direito de acesso aos dados](https://www.cnpd.pt/cidadaos/direitos/direito-de-acesso-aos-dados/) (en portugais) - [CNPD, Direito ao apagamento dos dados](https://www.cnpd.pt/cidadaos/direitos/direito-ao-apagamento-dos-dados/) (en portugais) - [Commission européenne, COM(2025) 837, Digital Omnibus](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=celex:52025PC0837) - [Conseil de l’UE, ordre du jour du Coreper, 9 oct. 2026](https://data.consilium.europa.eu/doc/document/ST-13654-2026-REV-3/en/pdf) (en anglais) - [Parlement européen, procédure 2025/0130(COD), Omnibus IV](https://oeil.europarl.europa.eu/oeil/en/procedure-file?reference=2025%2F0130%28COD%29) **Dernière révision :** 21 octobre 2026. Nous révisons ce guide chaque fois que la loi ou les orientations des autorités changent. Ce guide est une information générale sur le RGPD et ne constitue pas un conseil juridique. Pour un cas précis, parlez à votre DPO ou à un avocat. L’Oficina Rocha et toutes les personnes des scènes sont fictives.