Demande d’accès RGPD : comment réagir quand un client ou un salarié demande ses données

Un client, un ancien salarié ou un candidat vous écrit : « Je souhaite obtenir toutes les données personnelles que vous détenez sur moi. » Vous avez un mois pour répondre correctement. Pas plus.

Cette demande s’appelle une demande d’accès (ou « requête d’accès »). C’est l’un des droits les plus utilisés du RGPD, et une source fréquente de réclamations auprès de la CNPD, l’autorité luxembourgeoise de protection des données.

Bonne nouvelle : avec une méthode simple, vous pouvez y répondre sans stress et sans y passer des semaines. Voici comment faire, étape par étape.

Qu’est-ce qu’une demande d’accès ?

C’est le droit, pour toute personne, de savoir ce que votre entreprise fait de ses données. Il est prévu à l’article 15 du RGPD.

Concrètement, la personne peut obtenir trois choses :

1. Une confirmation : oui ou non, traitez-vous des données sur elle ?
2. Une copie de ces données.
3. Des explications sur ce que vous en faites : pourquoi, avec qui vous les partagez, combien de temps vous les gardez, etc.

Quatre points à retenir :

• Tout le monde peut la faire : clients, prospects, salariés, anciens salariés, candidats, fournisseurs (personnes physiques).
• Aucune forme imposée : un courriel, une lettre, un formulaire, un message au service client. Le mot « RGPD » n’a même pas besoin d’apparaître.
• Aucune justification requise : la personne n’a pas à dire pourquoi elle demande. Vous n’avez pas à le lui demander non plus.
• C’est gratuit : la première copie ne se facture pas.

Un cas fréquent : le salarié licencié qui demande ses données pour préparer un procès. Vous ne pouvez pas refuser pour ce motif. Le Comité européen de la protection des données (EDPB) le dit expressément.

Quel délai pour répondre ?

Un mois à compter de la réception de la demande. Et le plus tôt possible : si vous pouvez répondre en une semaine, faites-le.

Le délai démarre dès que la demande arrive par un canal officiel de l’entreprise (adresse générale, service client, DPO), même si personne ne l’a encore lue. Exemple : une demande reçue le 5 mars doit être traitée au plus tard le 5 avril. Si ce jour tombe un week-end ou un jour férié, vous avez jusqu’au jour ouvrable suivant.

Prolongation possible de deux mois, mais seulement si la demande est vraiment complexe (beaucoup de données, plusieurs services concernés, informations sur d’autres personnes à masquer). Dans ce cas, vous devez prévenir la personne avant la fin du premier mois et lui expliquer pourquoi.

Attention : « nous sommes débordés » ne suffit pas. Le simple fait que la réponse demande du travail ne rend pas la demande complexe.

Le délai est suspendu si vous devez demander à la personne de prouver son identité ou de préciser sa demande, à condition de le faire rapidement.

La méthode en 6 étapes

Étape 1 : enregistrez la demande le jour même

Notez la date de réception, le nom du demandeur et la date limite de réponse. Désignez une personne responsable du dossier. Accusez réception auprès du demandeur : c’est rassurant pour lui et cela montre votre sérieux.

Astuce : informez vos équipes qu’une demande peut arriver n’importe où (boîte générale, commercial, RH). Elle doit remonter immédiatement à la bonne personne.

Étape 2 : vérifiez l’identité, sans excès

Vous devez éviter d’envoyer des données à la mauvaise personne. Mais la vérification doit rester proportionnée.

• Si la demande vient de l’adresse e-mail habituelle du client, ou de son compte client, c’est souvent suffisant.
• En cas de doute réel, posez une question simple (numéro de client, date de la dernière commande).
• Ne demandez pas systématiquement une copie de carte d’identité. L’EDPB juge cette pratique disproportionnée lorsque vous pouvez vérifier l’identité autrement. Si vous devez voir une pièce d’identité, notez « pièce vérifiée » plutôt que d’en garder une copie.

Étape 3 : clarifiez la demande si nécessaire

Par défaut, une demande porte sur toutes les données de la personne. Si vous en détenez beaucoup (un salarié avec dix ans d’ancienneté, par exemple), vous pouvez lui demander de préciser ce qui l’intéresse. Elle n’est pas obligée de le faire : si elle maintient sa demande globale, vous devez y répondre en entier.

Étape 4 : cherchez partout

C’est l’étape la plus longue. Passez en revue tous les endroits où des données peuvent se trouver :

• logiciels métier (CRM, comptabilité, facturation, paie) ;
• boîtes e-mail et messageries internes ;
• serveurs, dossiers partagés, cloud ;
• dossiers papier (dossier du personnel, contrats) ;
• outils de vos prestataires (hébergeur, logiciel RH en ligne, agence marketing).

Cherchez par nom, prénom, adresse e-mail, numéro de client ou de matricule. Votre registre des traitements est votre meilleur allié : il liste justement où se trouvent les données.

Important : ne supprimez rien pendant ce temps. Les données doivent être fournies telles qu’elles existaient au moment de la demande, même si elles sont inexactes.

Étape 5 : préparez et envoyez la réponse

Rassemblez la copie des données et les informations obligatoires (détaillées dans la section suivante). Rédigez en langage clair : si vos données contiennent des codes internes, expliquez-les.

Envoyez le tout sous une forme durable et lisible (PDF, export de fichier courant). Si la demande est arrivée par e-mail, répondez par voie électronique, sauf si la personne demande autre chose. Pour des données sensibles, protégez l’envoi (fichier chiffré, mot de passe communiqué séparément).

Étape 6 : gardez une trace

Conservez un dossier : date de réception, échanges, ce qui a été envoyé, date d’envoi. En cas de contrôle ou de réclamation, c’est à vous de prouver que vous avez bien répondu.

Que devez-vous envoyer exactement ?

Votre réponse comporte deux volets : la copie des données et les informations sur leur utilisation.

La copie des données, c’est tout ce qui concerne la personne : coordonnées, historique d’achats, factures, échanges d’e-mails, notes internes, évaluations annuelles, données de connexion, enregistrements, etc. Une notion large : une note manuscrite dans un dossier compte aussi.

Les informations obligatoires (article 15 du RGPD) :

Ce que vous devez indiquer	Exemple concret
Pourquoi vous utilisez les données	Gestion des commandes, paie, prospection
Quels types de données	Identité, coordonnées, données bancaires
À qui vous les transmettez	Comptable, transporteur, logiciel de paie
Combien de temps vous les gardez	10 ans pour les factures
Ses droits	Rectification, effacement, limitation, opposition
Son droit de saisir la CNPD	Réclamation auprès de l’autorité de contrôle
D’où viennent les données, si ce n’est pas d’elle	Fichier acheté, partenaire commercial
Décision automatisée ou profilage, s’il y en a	Scoring automatique d’un client
Transferts hors Union européenne et garanties	Hébergement aux États-Unis, clauses contractuelles types

Bonne nouvelle : l’essentiel figure déjà dans votre politique de confidentialité et votre registre des traitements. Il suffit de l’adapter à la personne concernée.

Pouvez-vous refuser ou limiter la réponse ?

Rarement. Les exceptions sont étroites et c’est à vous de prouver qu’elles s’appliquent.

Les données d’autres personnes. La copie ne doit pas porter atteinte aux droits d’autrui (collègues, autres clients, secrets d’affaires). La solution n’est pas de refuser, mais de masquer les passages concernés. Exemple : dans un e-mail interne, vous noircissez le nom et les propos du collègue qui n’ont rien à voir avec le demandeur.

Les demandes manifestement infondées ou excessives. Vous pouvez alors refuser ou demander des frais raisonnables. Mais ces notions s’interprètent de façon très restrictive. Une demande est excessive surtout lorsqu’elle se répète sans raison, alors que rien n’a changé dans vos fichiers. Un ton agressif ou des demandes passées ne suffisent pas.

Les copies supplémentaires. La première copie est gratuite. Pour les suivantes, vous pouvez facturer des frais raisonnables, limités aux coûts administratifs.

Les données déjà supprimées. Si elles ont été effacées avant la demande, conformément à vos durées de conservation, vous ne pouvez pas les fournir. Dites-le simplement.

Si vous refusez, même en partie, vous devez l’écrire au demandeur dans le délai d’un mois, expliquer pourquoi et lui rappeler qu’il peut saisir la CNPD ou un tribunal.

Les 7 erreurs les plus fréquentes

1. Ignorer la demande parce qu’elle ne mentionne pas le RGPD ou qu’elle est mal formulée.
2. Laisser filer le délai parce que la demande est restée dans la boîte d’un commercial en congé.
3. Exiger une copie de carte d’identité de façon systématique.
4. Demander pourquoi la personne veut ses données, ou refuser parce qu’elle prépare un procès.
5. Envoyer une réponse incomplète : seulement les coordonnées, sans les e-mails, notes internes ou informations obligatoires.
6. Supprimer des données après réception de la demande pour « alléger » la réponse.
7. Envoyer les données d’autres personnes sans les masquer.

Que risquez-vous si vous ne répondez pas ?

La personne peut déposer une réclamation auprès de la CNPD. Celle-ci vous contactera, vous demandera des explications et pourra vous ordonner de répondre.

En cas de manquement, le RGPD prévoit des amendes administratives pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Ce plafond est rarement atteint pour une PME, mais une sanction, même modeste, a un coût d’image.

La personne peut aussi saisir les tribunaux et demander réparation de son préjudice.

Enfin, une demande mal gérée envenime souvent un conflit existant, avec un salarié ou un client mécontent. Une réponse rapide et complète, au contraire, désamorce bien des tensions.

Questions fréquentes

Un avocat peut-il faire la demande pour son client ?

Oui. Une personne peut passer par un tiers (avocat, proche, association). Vous pouvez simplement vérifier que ce tiers a bien un mandat.

Dois-je fournir les documents originaux ou un résumé ?

Vous pouvez présenter les données sous forme de tableau ou de compilation, à condition que rien ne soit omis ni déformé. Dans certains cas, notamment quand le contexte est nécessaire pour comprendre, il faut fournir les extraits ou les documents eux-mêmes.

Et si je n’ai aucune donnée sur la personne ?

Répondez-le clairement, par écrit, dans le délai d’un mois. Cette confirmation fait partie du droit d’accès.

Mon sous-traitant (logiciel RH, hébergeur) doit-il répondre à ma place ?

Non. C’est vous, l’entreprise, qui êtes responsable de la réponse. Votre prestataire doit vous aider à retrouver les données, ce que prévoit normalement votre contrat avec lui.

Une personne peut-elle refaire une demande chaque mois ?

Cela dépend de la fréquence à laquelle ses données changent chez vous. Des demandes répétées à intervalle très rapproché, alors que rien n’a bougé, peuvent être jugées excessives. En cas de doute, faites-vous conseiller avant de refuser.

En résumé

Une demande d’accès n’est pas une attaque. C’est un droit, et y répondre correctement est simple si vous êtes organisé :

• enregistrez la demande et notez la date limite (un mois) ;
• vérifiez l’identité sans excès ;
• cherchez dans tous vos outils, y compris chez vos prestataires ;
• envoyez la copie des données et les informations obligatoires ;
• masquez ce qui concerne d’autres personnes ;
• gardez une trace de tout.

Le meilleur conseil : préparez-vous avant de recevoir la première demande. Une procédure interne d’une page et un modèle de réponse vous feront gagner un temps précieux le jour venu.

Vous avez reçu une demande d’accès délicate, par exemple d’un salarié en conflit ? Les avocats d’Infuero, au Luxembourg, vous aident à analyser la demande, à préparer une réponse conforme au RGPD et à mettre en place une procédure adaptée à votre PME. Contactez-nous.

Sources

• Règlement (UE) 2016/679 (RGPD), articles 12 et 15.
• EDPB, Lignes directrices 01/2022 sur les droits des personnes concernées : droit d’accès, version 2.0.