Demande d'accès à ses données personnelles (RGPD)

Mis à jour le · Particuliers

Le droit d'accès prévu par le règlement général sur la protection des données (RGPD) vous permet de savoir si une entreprise, une association ou une administration traite des données vous concernant et, si oui, d'en obtenir une copie. L'organisme doit répondre dans un délai d'un mois à compter de la réception de la demande, prolongeable de deux mois pour une demande complexe ou nombreuse, à condition de vous en informer. La première copie est gratuite.

Le modèle ci-dessous s'adresse au délégué à la protection des données (DPO) ou au service chargé des demandes RGPD. Il demande à la fois la copie des données et les informations sur leur utilisation : finalités, destinataires, durée de conservation, source.

Modèle à personnaliser

Cliquez dans la lettre pour la modifier ou remplissez les champs surlignés. Votre brouillon est enregistré sur cet appareil.

Remplir les champs

[Prénom Nom]
[Adresse]
[Code postal Ville]
[E-mail]
[numéro de client]

[Nom de l'entreprise]
À l'attention du délégué à la protection des données
[Adresse de l'entreprise]
[Code postal Ville de l'entreprise]

[Ville], le [Date]

Formulaire ou adresse e-mail dédiés aux demandes RGPD, ou lettre recommandée avec accusé de réception

Objet : Demande d'accès à mes données personnelles (article 15 du RGPD)

Madame, Monsieur,

En application de l'article 15 du règlement (UE) 2016/679 (RGPD), je vous demande de me confirmer si des données à caractère personnel me concernant sont traitées par votre organisme et, dans l'affirmative, de m'en communiquer une copie.

Pour faciliter vos recherches, je vous précise que je suis [client(e) sous le numéro numéro de client / ancien(ne) salarié(e) de date à date / utilisateur(trice) de votre site avec l'adresse E-mail / destinataire de vos sollicitations commerciales depuis date]. [Ma demande porte en particulier sur éléments précis : enregistrements d'appels, historique des achats, données de géolocalisation, dossier de crédit.]

Je vous demande également de m'indiquer : les finalités de ces traitements ; les catégories de données concernées ; les destinataires à qui elles ont été ou seront communiquées, notamment hors de l'Union européenne ; leur durée de conservation ; leur source, si elles n'ont pas été collectées auprès de moi ; et l'existence éventuelle d'une prise de décision automatisée, y compris un profilage.

Je vous remercie de me répondre dans le délai d'un mois prévu par le RGPD, [par voie électronique à l'adresse ci-dessus / par courrier]. À défaut, je me réserve la possibilité de saisir la Commission nationale de l'informatique et des libertés (CNIL).

Je vous prie d'agréer, Madame, Monsieur, l'expression de mes salutations distinguées.

[Prénom Nom]
Signature

Pièce jointe : [copie d'une pièce d'identité, uniquement si l'organisme a un doute raisonnable sur votre identité]

Que peut-on obtenir avec le droit d'accès RGPD ?

  • La confirmation que vos données sont, ou ne sont pas, traitées.
  • Une copie de ces données : informations de compte, historique d'achats, échanges, enregistrements, notes vous concernant, données de navigation rattachées à votre compte.
  • Les informations sur le traitement : finalités, destinataires, durée de conservation, source, transferts hors de l'Union européenne, décisions automatisées.
  • L'information sur vos autres droits : rectification, effacement, opposition, limitation, et réclamation auprès de la CNIL.

Le droit d'accès vaut à l'égard de tout organisme : entreprise, employeur, banque, assureur, association, hôpital, administration. Pour votre dossier médical, une procédure spécifique existe : voir la demande de dossier médical.

Délai de réponse et gratuité

L'organisme doit répondre dans le mois suivant la réception de la demande. Ce délai peut être prolongé de deux mois compte tenu de la complexité ou du nombre de demandes, mais l'organisme doit vous en informer dans le premier mois, en expliquant pourquoi. La première copie est gratuite ; des frais raisonnables peuvent être demandés pour des copies supplémentaires. Une demande manifestement infondée ou excessive, notamment répétitive, peut être refusée, mais c'est à l'organisme de le démontrer.

Justifier de son identité : jusqu'où ?

L'organisme peut demander des informations supplémentaires lorsqu'il a un doute raisonnable sur votre identité, par exemple si la demande ne provient pas de l'adresse e-mail rattachée au compte. Il ne doit pas exiger systématiquement une pièce d'identité quand d'autres moyens suffisent (connexion à l'espace client). Si une copie de pièce d'identité est nécessaire, vous pouvez masquer les informations inutiles (photo, numéro) selon les recommandations de la CNIL.

Pas de réponse : saisir la CNIL

  1. Relancez l'organisme en rappelant la date de votre demande et le délai d'un mois.
  2. Sans réponse ou avec une réponse incomplète, déposez une plainte en ligne auprès de la CNIL, en joignant la demande et la preuve de son envoi : voir la plainte à la CNIL.
  3. Vous pouvez aussi saisir le juge judiciaire, notamment si le défaut de réponse vous cause un préjudice.

Après l'accès, vous pouvez demander la correction de données inexactes ou leur suppression : voir la demande d'effacement de données.

Questions fréquentes

Un employeur doit-il répondre à une demande d'accès d'un salarié ?

Oui, le droit d'accès s'applique aux données traitées par l'employeur : dossier du personnel, évaluations, données de paie, courriels vous concernant dans certaines limites. L'employeur peut refuser la communication d'éléments qui porteraient atteinte aux droits d'autrui (par exemple l'identité d'autres salariés), mais doit alors communiquer le reste.

Peut-on demander l'accès aux enregistrements des appels passés au service client ?

Oui, si l'entreprise conserve des enregistrements de vos conversations, ce sont des données personnelles qui entrent dans le droit d'accès, pendant leur durée de conservation. Précisez les dates approximatives des appels pour faciliter la recherche.

Le droit d'accès permet-il d'obtenir des documents internes de l'entreprise ?

Il porte sur les données personnelles vous concernant, pas sur les documents en tant que tels. L'organisme peut donc extraire ou résumer les données plutôt que transmettre un document interne complet, à condition que la copie soit intelligible et complète quant aux données vous concernant.

Textes de référence

  • Règlement (UE) 2016/679 du 27 avril 2016 (RGPD), article 15 (droit d'accès) et article 12 (délais et modalités)
  • Loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés