Le RGPD est souvent perçu comme un texte qui contraint les entreprises, rarement comme un outil que chacun peut activer soi-même. Le droit d’accès en est pourtant l’illustration la plus directe : n’importe qui peut demander à une entreprise ce qu’elle détient comme données personnelles à son sujet, et obtenir une réponse dans un délai fixé par la loi.
Ce qu’on peut demander
Le droit d’accès permet d’obtenir la confirmation qu’une entreprise traite ou non des données personnelles concernant la personne qui demande, ainsi qu’une copie de ces données, leur origine, les finalités du traitement, et les destinataires éventuels à qui elles ont été transmises. Ce droit couvre un périmètre large : historique d’achats, données de navigation associées à un compte, informations issues d’un programme de fidélité, ou toute autre donnée liée à une identité identifiable. Il ne se limite pas aux grandes plateformes numériques ; il s’applique à toute organisation, publique ou privée, qui traite des données personnelles.
Le délai d’un mois pour répondre
Une fois la demande reçue, l’entreprise dispose d’un délai d’un mois pour répondre, prolongeable de deux mois supplémentaires pour les demandes complexes ou nombreuses, à condition d’en informer le demandeur dans le délai initial. Passé ce délai sans réponse, ou face à un refus non justifié, un recours devient possible — ce n’est pas un simple geste de bonne volonté de la part de l’entreprise, c’est une obligation légale assortie d’un calendrier précis.
La forme de la réponse
La réponse doit être communiquée dans un format clair et accessible, gratuitement pour une première demande. Une entreprise ne peut pas se contenter d’un accusé de réception vague ou d’une réponse partielle sans justification : elle doit fournir les données elles-mêmes, ou expliquer précisément pourquoi elle ne le fait pas, en s’appuyant sur une exception prévue par le texte — ce qui reste rare en pratique pour de simples données de compte client.
Ce que couvre le droit à la portabilité
Distinct mais complémentaire, le droit à la portabilité permet de récupérer certaines données dans un format structuré et réutilisable, pour les transférer vers un autre service. Il concerne principalement les données fournies activement par la personne ou générées par son usage d’un service, et non l’ensemble des données que le droit d’accès permet lui de consulter. C’est ce droit qui rend concrètement possible, par exemple, de changer d’opérateur de messagerie ou de plateforme en récupérant ses données plutôt qu’en repartant de zéro.
Pourquoi ce droit reste si peu utilisé
Deux raisons expliquent surtout ce faible usage. La première tient à la méconnaissance pure et simple : beaucoup ignorent qu’une simple demande, souvent par courrier électronique au service concerné, suffit à déclencher l’obligation légale de réponse, sans formulaire complexe ni frais à engager. La seconde tient à l’utilité perçue, jugée abstraite tant qu’aucun litige concret ne pousse à vérifier ce qu’une entreprise détient réellement. Pourtant, ce droit devient concret dans des situations très ordinaires : vérifier les données conservées après la résiliation d’un abonnement, comprendre pourquoi une publicité ciblée semble anormalement précise, ou préparer un changement de prestataire en récupérant ses informations avant de couper le contrat en cours.
Le recours devant la CNIL
Quand une entreprise ne répond pas dans les délais, ou refuse sans justification valable, une réclamation peut être déposée auprès de la Commission nationale de l’informatique et des libertés, gratuitement et directement en ligne.
Toute personne peut adresser une plainte à la CNIL si elle estime que ses droits n’ont pas été respectés par un organisme, après avoir si possible tenté d’exercer directement ses droits auprès de cet organisme.
La CNIL peut ensuite instruire la réclamation, contacter l’organisme concerné et, dans les cas les plus graves, engager une procédure de sanction. Le détail de la procédure, les modèles de courrier et les délais actualisés se trouvent sur le site de la CNIL, qui reste la référence la plus fiable pour exercer ce droit sans se tromper de démarche. Ce même cadre s’applique aux données confiées à une suite collaborative professionnelle, dont l’hébergement et la conformité méritent d’être vérifiés avant tout engagement.
