Droit d'accès RGPD : savoir quelles données un organisme détient sur vous, avec le modèle de la CNIL

Un courtier, un annuaire, une boutique en ligne, votre ancien opérateur : chacun peut détenir un fichier à votre nom. L'article 15 du RGPD vous donne le droit d'en obtenir une copie, et l'article 12 fixe le délai. La CNIL publie un modèle de courrier. Voici comment s'en servir.

1. Ce que vous pouvez demander

Le droit d'accès permet d'obtenir : la confirmation que des données vous concernant sont traitées, une copie de ces données « en langage clair », leur origine, les destinataires, la durée de conservation et la finalité. C'est gratuit : « L'accès à ce droit est gratuit. »

2. La procédure, d'après la CNIL

1. Identifier l'organisme et, s'il en a un, son délégué à la protection des données (DPO). Son adresse figure dans la politique de confidentialité du site. 2. Envoyer la demande, par voie électronique (formulaire, email) ou par courrier. 3. Garder une trace : capture d'écran, accusé de réception. La CNIL insiste : « Demandez un accusé réception qui prouvera la date de votre démarche. »

3. Le modèle de courrier

La CNIL propose un modèle (cnil.fr/fr/modele/courrier/exercer-son-droit-dacces). Son générateur en ligne affiche « formulaire clos », mais le texte reste là : copiez-le. Il demande à l'organisme de confirmer s'il détient des données, d'en fournir une copie en langage clair (article 15), et rappelle le délai : « au plus tard dans un délai d'un mois à compter de la réception de ma demande ».

Vous complétez deux éléments : les informations souhaitées (tout, ou un fichier précis) et le mode de réception (email, courrier).

4. Pièce d'identité : seulement en cas de doute

L'organisme peut vérifier votre identité, mais pas vous imposer n'importe quoi : « il ne peut pas vous demander des pièces justificatives qui seraient abusives ». En pratique, une copie de pièce d'identité n'est due qu'en cas de doute raisonnable sur votre identité.

5. Le délai

Un mois à compter de la réception, « qui peut être porté à trois mois » si la demande est complexe, à condition que l'organisme vous l'explique dans le premier mois.

6. Sans réponse

Après un mois : « vous pouvez adresser une plainte auprès de la CNIL avec les éléments attestant de vos démarches préalables ». La preuve de l'envoi, c'est votre accusé de réception. Vous pouvez aussi demander le gel des données en attendant.

Accès, puis effacement

Le droit d'accès sert à savoir ; l'effacement (article 17) sert à faire disparaître. Chez un courtier en données, les deux se font dans le même courrier. C'est ce que contient chaque demande envoyée par RadarDelete : copie des données et de leur origine, effacement, opposition, et la réponse archivée.

Sources : CNIL, « Le droit d'accès : connaître les données qu'un organisme détient sur vous » ; CNIL, modèle de courrier « Exercer son droit d'accès » (cnil.fr), consultés le 5 novembre 2026.