Demande de droit d'accès : un mois pour répondre, et de quoi le prouver

« Bonjour, je souhaite savoir quelles données vous avez sur moi. » Ce message, reçu sur l'adresse de contact générale, un samedi, sans objet particulier et sans citer le moindre article, est une demande de droit d'accès. Elle n'a besoin d'aucun formulaire, d'aucun recommandé et d'aucun vocabulaire juridique pour être valable — et le compteur d'un mois démarre à sa réception, pas au moment où quelqu'un dans l'entreprise comprend de quoi il s'agit.

Le délai part de la réception — et la prolongation se demande DANS le premier mois

L'article 12.3 impose de répondre « dans les meilleurs délais et en tout état de cause dans un délai d'un mois à compter de la réception de la demande ». Ce délai peut être prolongé de deux mois compte tenu de la complexité et du nombre de demandes — mais à une condition que beaucoup découvrent trop tard : la personne doit être informée de cette prolongation, et de ses motifs, dans le mois qui suit la réception — pas au moment où la prolongation devient nécessaire.

Autrement dit, une prolongation annoncée au quarantième jour n'est pas une prolongation : c'est un retard. La conséquence pratique est inconfortable — le moment où l'on mesure qu'une demande est compliquée est souvent celui où le mois est déjà bien entamé. C'est précisément pour ça que la date de réception doit être un fait enregistré quelque part, pas un souvenir dans une boîte mail.

Réclamer une pièce d'identité n'est pas la règle, c'est l'exception

L'article 12.6 n'autorise à demander des informations supplémentaires qu'en cas de « doute raisonnable » sur l'identité du demandeur. La CNIL est explicite sur ce point dans sa fiche destinée aux professionnels : l'identité se vérifie par tout moyen, et la copie d'une pièce d'identité ne se justifie que si ce doute existe réellement.

Exiger systématiquement une carte d'identité revient donc à collecter une donnée supplémentaire — souvent plus sensible que celles demandées — à l'occasion d'une démarche qui porte justement sur la minimisation. Quand la personne écrit depuis l'adresse e-mail associée à son compte, le doute raisonnable est difficile à soutenir.

Ce que « accès » veut dire, exactement

Le droit d'accès n'est pas seulement « une copie des données ». L'article 15.1 énumère ce qui doit accompagner cette copie, et c'est cette partie qui est le plus souvent oubliée :

• Les finalités du traitement — pourquoi vous détenez ces données.
• Les catégories de données concernées.
• Les destinataires ou catégories de destinataires, y compris ceux situés hors de l'Union européenne.
• La durée de conservation envisagée, ou les critères qui permettent de la déterminer.
• L'existence des droits de rectification, d'effacement, de limitation et d'opposition.
• Le droit d'introduire une réclamation auprès d'une autorité de contrôle.
• La source des données lorsqu'elles n'ont pas été collectées auprès de la personne.
• L'existence d'une décision automatisée, et la logique sous-jacente le cas échéant.

L'article 15.3 y ajoute la copie des données elles-mêmes. Une réponse qui se contente d'un export brut, sans ces informations, répond à la moitié de la demande — et c'est la moitié la plus facile à reprocher, parce qu'elle se constate en lisant la réponse.

L'article 15.4 pose une limite qu'on oublie dans l'autre sens : la copie « ne doit pas porter atteinte aux droits et libertés d'autrui ». Un fil de discussion interne où un collègue est nommé, un signalement fait par un tiers — ces éléments demandent un arbitrage, pas un copier-coller intégral. Refuser en bloc pour autant est tout aussi faux : ce qui est attendu est un tri motivé.

Refuser est possible — mais c'est à vous de le démontrer

L'article 12.5 prévoit le cas des demandes « manifestement infondées ou excessives, notamment en raison de leur caractère répétitif » : elles autorisent des frais raisonnables ou un refus. La phrase suivante du même article est celle qui compte, et elle est rarement citée — c'est au responsable du traitement qu'il revient de démontrer ce caractère manifestement infondé ou excessif. La charge de la preuve est de votre côté, pas de celui du demandeur.

Et si vous ne donnez pas suite, l'article 12.4 n'autorise pas le silence : il faut informer la personne, au plus tard dans le mois, des motifs de votre inaction et de sa possibilité d'introduire une réclamation auprès d'une autorité de contrôle et de former un recours juridictionnel. Un refus motivé et daté est une position défendable. Une absence de réponse n'en est pas une — et c'est elle qui transforme une demande ordinaire en réclamation.

Ce qui reste, six mois plus tard

Une demande bien traitée et une demande mal traitée se ressemblent beaucoup sur le moment : dans les deux cas, quelqu'un a répondu quelque chose. Elles se distinguent le jour où l'on vous demande de reconstituer l'épisode. Quatre faits sont alors attendus : quand la demande est arrivée, quand vous avez répondu, ce que vous avez transmis, et ce que vous avez écarté — avec le motif.

Une boîte mail contient parfois ces quatre éléments, mais elle ne les présente pas : il faut les retrouver, et l'on retrouve rarement ce qu'on n'a pas rangé. Un registre des demandes tenu au fil de l'eau, même sommaire, répond aux quatre questions dans l'ordre où elles sont posées. Ce n'est pas une obligation formelle de l'article 15 — c'est la seule manière pratique de tenir l'article 5.2, qui vous demande d'être en mesure de démontrer ce que vous avez fait.

Cet article décrit le cadre, il ne remplace pas l'analyse de votre situation : le tri entre ce qui doit être communiqué et ce qui touche aux droits d'un tiers dépend du contenu réel de vos dossiers, et c'est là que se joue l'essentiel.