Droit d'accès RGPD : comment savoir quelles données une entreprise détient sur vous

L'article 15 du RGPD vous autorise à demander à toute entreprise la copie gratuite des données qu'elle détient sur vous, la raison de leur usage, leurs destinataires, leur durée de conservation et surtout leur origine. Elle doit répondre en principe sous un mois. Sans réponse, vous pouvez saisir la CNIL. Voici la méthode, le courrier et la lecture de la réponse.

Un SMS d'une enseigne où vous n'avez jamais mis les pieds, un catalogue adressé à votre nom de jeune fille, un appel qui cite votre date de naissance : chacun de ces signaux pose la même question, « comment ont-ils eu mes coordonnées ? ». Le droit d'accès est l'outil prévu par le règlement européen pour y répondre. Il est moins connu que le droit à l'effacement, alors qu'il en est souvent la première étape : on supprime mieux ce que l'on a identifié.

Pour une vue d'ensemble de vos autres droits, consultez notre article Vos droits RGPD expliqués simplement.

Que pouvez-vous exiger exactement avec l'article 15 ?

Le droit d'accès ne se limite pas à un « oui, nous avons votre e-mail ». L'article 15 du RGPD vous donne droit à deux choses distinctes : la confirmation que l'entreprise traite ou non des données vous concernant, puis, si c'est le cas, une copie de ces données accompagnée d'informations précises sur leur traitement. Concrètement, la réponse doit couvrir :

• Les données elles-mêmes : identité, coordonnées, historique d'achats, notes internes, enregistrements d'appels, segments marketing (« client fidèle », « sensible aux promotions ») et scores éventuels.
• Les finalités : pourquoi ces données sont utilisées (gestion du contrat, prospection, lutte contre la fraude, statistiques).
• Les destinataires : à qui elles ont été ou seront transmises, y compris hors de l'Union européenne, avec les garanties prévues pour ces transferts.
• La durée de conservation, ou à défaut les critères qui la déterminent.
• La source : lorsque les données n'ont pas été collectées auprès de vous, toute information disponible sur leur origine.
• Les décisions automatisées : l'existence d'un profilage ou d'une décision prise par un algorithme, avec des informations utiles sur la logique suivie. Notre article sur les décisions automatisées détaille ce volet.
• Vos autres droits : le rappel que vous pouvez demander la rectification, l'effacement ou vous opposer, et saisir la CNIL.

La Cour de justice de l'Union européenne a précisé deux points utiles. Dans l'arrêt Österreichische Post du 12 janvier 2023 (affaire C-154/21), elle a jugé que vous pouvez obtenir l'identité précise des destinataires de vos données, et pas seulement des catégories vagues comme « partenaires commerciaux », sauf impossibilité ou demande manifestement abusive. Dans l'arrêt du 4 mai 2023 (affaire C-487/21), elle a indiqué que la « copie » doit être une reproduction fidèle et intelligible, qui peut inclure des extraits de documents ou de bases de données lorsque c'est nécessaire pour comprendre vos données.

Pourquoi les entreprises répondent mal, et ce que cela change pour vous

Répondre à une demande d'accès demande un minimum d'organisation, et beaucoup d'organismes n'en ont pas. En 2024, trente autorités européennes de protection des données ont contrôlé ensemble la façon dont 1 185 responsables de traitement (PME, grandes entreprises et entités publiques) gèrent ce droit. Le rapport du Comité européen de la protection des données adopté le 20 janvier 2025 relève notamment l'absence de procédure interne documentée, un usage excessif des exceptions pour écarter des demandes et des exigences d'identification disproportionnées.

La CNIL, qui a participé à cette action, a publié le même jour son bilan des contrôles menés en France. Elle y constate des réponses partielles : copie des données sans les informations sur le traitement, ou omission systématique de certains traitements et catégories de données. Elle a pris des mesures correctrices à l'encontre de plusieurs organismes.

Comment rédiger votre demande : le modèle prêt à copier

Aucune formule n'est obligatoire : un e-mail, un formulaire en ligne, un message depuis votre espace client ou un courrier papier sont tous valables. La CNIL met à disposition son propre modèle de courrier pour exercer le droit d'accès. Le modèle ci-dessous reprend la même base et ajoute les demandes qui rendent la réponse exploitable, notamment la source et les destinataires nommés.

Adressez-le au délégué à la protection des données (DPO) si l'entreprise en a désigné un : ses coordonnées figurent en principe dans la politique de confidentialité du site, rubrique « vos droits » ou « contact DPO ».

Trois précautions rendent ce courrier plus efficace :

• Listez toutes les variantes de vos coordonnées : ancienne adresse, nom d'usage, deuxième adresse e-mail. L'entreprise ne peut retrouver que ce que vous lui permettez de chercher.
• Gardez une preuve d'envoi : capture du formulaire avec l'accusé de réception, e-mail conservé dans vos envois, ou lettre recommandée avec accusé de réception pour un courrier papier. Elle vous servira en cas de plainte.
• N'envoyez pas spontanément votre pièce d'identité. Elle ne peut être exigée qu'en cas de doute raisonnable sur votre identité. Si elle est demandée, masquez ce qui n'est pas nécessaire et ajoutez sur la copie la mention de son destinataire et de la date.

Le plan d'action, par ordre de priorité

Le droit d'accès est d'autant plus utile qu'il s'inscrit dans une démarche. Voici comment l'organiser, du premier courrier au nettoyage durable de vos données.

Aujourd'hui

• Choisissez une ou deux cibles prioritaires : l'entreprise qui vous démarche sans que vous la connaissiez, puis celles qui détiennent le plus de données sur vous (opérateur, banque, enseigne à carte de fidélité).
• Trouvez le bon canal dans la politique de confidentialité : adresse du DPO, formulaire « exercer mes droits » ou adresse postale du service concerné.
• Envoyez la demande à partir du modèle ci-dessus et notez la date d'envoi dans votre agenda, avec un rappel à un mois.

Dans le mois qui suit

• Contrôlez la réponse avec la check-list plus bas : données, finalités, destinataires nommés, durée, source.
• Si l'entreprise annonce une prolongation, vérifiez qu'elle l'a fait dans le premier mois et qu'elle l'a motivée. Le délai maximal est alors de trois mois au total.
• Si la réponse est incomplète, répondez en citant précisément ce qui manque (par exemple : « votre réponse ne mentionne pas la source de mon numéro de téléphone »).

À l'expiration du délai

• Envoyez une relance courte qui rappelle la date de votre demande initiale.
• Sans réponse, saisissez la CNIL via son service de plainte en ligne, en joignant la copie de votre demande, la preuve d'envoi et votre relance.

Dans les mois qui viennent

• Exploitez la source identifiée : exercez votre droit d'opposition ou d'effacement auprès de l'organisme d'origine, pas seulement auprès de l'entreprise qui vous a contacté. Notre modèle de lettre RGPD de suppression est prévu pour cette étape.
• Si les appels commerciaux sont votre principal problème, demandez à l'entreprise sur quel consentement elle s'appuie et d'où il provient : depuis le 11 août 2026, le démarchage téléphonique repose sur votre accord préalable, comme l'explique notre article sur la fin du démarchage téléphonique sans consentement.
• Refaites l'exercice une fois par an auprès des organismes qui vous connaissent le mieux : les fichiers évoluent, les partenaires aussi.

La dernière étape est la plus lourde. Une seule demande d'accès révèle souvent qu'un fichier a été loué ou revendu à plusieurs reprises, et l'on découvre derrière un intermédiaire toute une chaîne de bases commerciales. Si vous ne voulez pas tenir ce suivi à la main, vous pouvez faire envoyer des demandes d'effacement fondées sur l'article 17 à plus de 100 courtiers de données, avec une relance automatique de ceux qui laissent passer le délai.

Comment lire la réponse : ce que chaque rubrique vous apprend

Une réponse au droit d'accès peut prendre la forme d'un fichier tableur, d'un PDF ou d'une archive téléchargeable. Ce tableau vous aide à transformer chaque rubrique en décision.

Check-list : votre réponse est-elle complète ?

Cochez chaque point au moment de la réception. Un seul manque justifie une demande de complément.

• La réponse confirme explicitement si des données vous concernant sont traitées, ou non.
• Une copie des données est jointe, lisible et compréhensible (pas de codes internes sans légende).
• Chaque traitement est associé à sa finalité, et pas seulement la gestion de votre compte client.
• Les destinataires sont nommés, ou l'entreprise explique pourquoi elle ne peut pas les nommer.
• La source est indiquée pour toute donnée que vous n'avez pas fournie vous-même.
• Les données de prospection (historique des campagnes reçues, consentements enregistrés) ne sont pas absentes alors que vous recevez des sollicitations.

Les cas particuliers à connaître avant d'écrire

Les données de santé. Pour votre dossier médical, le Code de la santé publique fixe un régime propre : la communication doit intervenir au plus tard dans les huit jours suivant la demande, et au plus tôt après un délai de réflexion de quarante-huit heures. Le délai passe à deux mois lorsque les informations datent de plus de cinq ans. La CJUE a par ailleurs jugé, dans un arrêt du 26 octobre 2023 (affaire C-307/22), que la première copie du dossier doit être gratuite, même si vous la demandez pour un motif étranger à la protection des données.

Les fichiers de police, de renseignement ou fiscaux. Pour certains fichiers publics sensibles, le droit d'accès est dit « indirect » : il s'exerce par l'intermédiaire de la CNIL, qui procède elle-même aux vérifications. Le modèle de cet article ne s'applique pas à ces fichiers.

Les réseaux sociaux et grandes plateformes. La plupart proposent un outil de téléchargement de vos données dans leurs paramètres. Il est pratique, mais il ne fournit pas toujours les destinataires, les sources ou les segments publicitaires. Si ces informations manquent, une demande écrite au DPO reste possible en complément.

Ce que le droit d'accès ne fait pas

Une demande d'accès vous informe, elle ne supprime rien. Obtenir la copie de vos données ne les retire pas des fichiers de l'entreprise ni de ceux de ses partenaires : pour cela, il faut exercer ensuite le droit d'opposition (article 21) ou le droit à l'effacement (article 17). Elle ne vous dit pas non plus si vos données ont été volées lors d'une cyberattaque chez un tiers : une entreprise ne liste pas, en réponse à l'article 15, les fichiers qui ont fuité ailleurs. Enfin, elle s'adresse à un organisme à la fois. Or vos coordonnées circulent en général dans des dizaines de bases commerciales, comme l'explique notre enquête sur les courtiers de données et ce qu'ils vendent.

C'est là que la démarche manuelle atteint sa limite. Pour savoir si votre adresse e-mail apparaît dans une fuite connue, vérifiez gratuitement si elle figure dans des bases piratées : le droit d'accès ne vous donnera jamais cette information.

Questions fréquentes

Une entreprise peut-elle refuser ma demande de droit d'accès ?

Elle ne peut refuser que dans des cas limités : demande manifestement infondée ou excessive (par exemple des demandes répétées sans raison), impossibilité de vous identifier, ou atteinte aux droits d'autres personnes pour certaines pièces. Le refus doit être motivé et vous indiquer que vous pouvez saisir la CNIL. Un refus de principe, sans explication, n'est pas conforme.

Le droit d'accès est-il payant ?

Non. La première copie de vos données est gratuite, quel que soit le motif de votre demande. L'entreprise peut seulement réclamer des frais raisonnables, fondés sur ses coûts administratifs, pour des copies supplémentaires, ou en cas de demande manifestement excessive.

Dois-je joindre une copie de ma pièce d'identité ?

Pas systématiquement. Si vous écrivez depuis l'adresse e-mail ou l'espace client connus de l'entreprise, cela suffit souvent à vous identifier. Une pièce d'identité ne peut être exigée qu'en cas de doute raisonnable sur votre identité. Si elle est demandée, envoyez une copie portant la mention de son destinataire et de la date, en masquant ce qui n'est pas utile, comme la photo ou le numéro du document si l'entreprise ne le réclame pas.

Que faire si l'entreprise ne répond pas dans le délai d'un mois ?

Vérifiez d'abord qu'elle ne vous a pas informé d'une prolongation de deux mois, ce qu'elle doit faire dans le premier mois et en la justifiant. Sans réponse ni prolongation, envoyez une relance courte en rappelant la date de votre première demande. Si le silence persiste, vous pouvez déposer une plainte en ligne auprès de la CNIL en joignant la copie de votre demande et la preuve de son envoi.

Puis-je savoir quel courtier a vendu mes coordonnées à une entreprise ?

Oui, c'est l'un des usages les plus utiles du droit d'accès. Lorsque les données n'ont pas été collectées auprès de vous, l'entreprise doit vous communiquer toute information disponible sur leur source. Demandez-le explicitement dans votre courrier. Avec le nom de la source, vous pouvez ensuite exercer votre droit d'opposition ou d'effacement directement auprès d'elle.