GDPR Data Subject Access Request Guide : Répondre Aux Demandes D'Accès En Un Mois

Le règlement (UE) 2016/679 — le GDPR — ouvre à toute personne concernée un droit d'accès à ses données. L'article 15 en fixe le contenu, l'article 12 en fixe la procédure. CE GDPR data subject access request guide reprend les deux articles, les précisions des lignes directrices 01/2022 du CEPD, et la façon dont un industriel peut documenter sa réponse dans un système ISO 9001 ou ISO 27001.

CE que l'article 15 impose concrètement

L'article 15 §1 du GDPR énumère huit mentions à fournir en plus de la confirmation du traitement : finalités, catégories de données, destinataires ou catégories de destinataires, durée de conservation ou critères retenus, existence des droits d'accès, de rectification, d'effacement, de limitation et d'opposition, droit d'introduire une réclamation auprès d'une autorité de contrôle, source des données lorsqu'elles n'ont pas été collectées auprès de la personne, existence d'une décision automatisée incluant le profilage et logique sous-jacente.

L'article 15 §3 ajoute l'obligation de fournir une copie des données à caractère personnel en cours de traitement. La première copie est gratuite. L'article 12 §1 impose par ailleurs une communication concise, transparente, compréhensible et aisément accessible, rédigée en des termes clairs et simples.

Point souvent négligé : le droit d'accès porte sur les données de la personne, pas sur les documents qui les contiennent. Une facture peut être communiquée sous forme d'extrait ; un courriel peut être restitué sans les échanges relatifs à des tiers.

Délais : un mois, prolongeable de deux

L'article 12 §3 fixe le délai à un mois à compter de la réception de la demande. Il peut être prolongé de deux mois lorsque la demande est complexe ou lorsque le responsable de traitement est saisi d'un nombre élevé de demandes. La prolongation n'est pas automatique : elle doit être motivée et notifiée au demandeur dans le mois suivant la réception, en indiquant les raisons du report.

Point de départ et calcul du délai

Le point de départ est la réception de la demande, pas la date à laquelle le service compétent en prend connaissance. Une demande reçue le 3 du mois doit recevoir une réponse au plus tard le 3 du mois suivant. En cas de doute raisonnable sur l'identité du demandeur, l'article 12 §6 permet de solliciter des informations complémentaires — mais cette demande d'identification doit être traitée sans retard indu et ne saurait servir à différer artificiellement la réponse.

Le délai vaut aussi pour les refus. Un refus doit être notifié, motivé et accompagné de l'information sur les voies de recours, conformément à l'article 12 §4. C'est le premier chiffre que retient tout GDPR data subject access request guide sérieux : trente jours, pas plus, sauf justification écrite.

Contenu de la réponse et exceptions

Le GDPR n'impose pas de format. L'article 15 §3 précise toutefois que lorsque la demande est formulée par voie électronique, la copie est fournie sous une forme électronique courante, sauf demande contraire du demandeur. Un PDF lisible, un CSV ou un export structuré conviennent ; un fichier propriétaire illisible ne convient pas.

Trois limites encadrent le droit d'accès. L'article 15 §4 rappelle que le droit d'obtenir une copie ne doit pas porter atteinte aux droits et libertés d'autrui : les données de tiers sont occultées. Le considérant 63 indique que le droit d'accès ne doit pas porter atteinte au secret des affaires, sans que celui-ci puisse fonder un refus général et systématique. Enfin, l'article 23 autorise les États membres à restreindre le droit d'accès par voie législative, notamment en matière fiscale, pénale ou de sécurité nationale.

Ne pas confondre les régimes : l'article 15 (accès) est distinct de l'article 16 (rectification), de l'article 17 (effacement) et de l'article 20 (portabilité). Une demande d'accès n'oblige pas à supprimer les données.

Demandes manifestement infondées ou excessives

L'article 12 §5 prévoit deux régimes : la gratuité de principe, et la possibilité de facturer des frais raisonnables ou de refuser lorsqu'une demande est manifestement infondée ou excessive. Le caractère répétitif, le volume disproportionné, l'absence d'identification ou l'usage détourné du droit constituent des indices, pas des preuves automatiques.

La charge de la preuve pèse sur le responsable de traitement. Un refus doit être documenté : date, motif, base juridique, décision et validation. Les lignes directrices 01/2022 du CEPD insistent sur CE point — la démonstration du caractère abusif se fait au cas par cas, jamais par principe.

Industrialiser le processus avec ISO 9001 et ISO 27001

Une réponse ponctuelle ne suffit pas. Les auditeurs attendent une procédure maîtrisée. ISO 9001 §7.5 impose la maîtrise des informations documentées et §10.2 le traitement des non-conformités. ISO 27001 apporte la classification des données, le contrôle d'accès et la journalisation. Un processus type comporte un canal de réception unique, un accusé de réception horodaté, une fiche de demande, un circuit de validation juridique, un modèle de réponse et un registre.

CE registre alimente des indicateurs utiles : nombre de demandes reçues, délai moyen de réponse, taux de respect du délai d'un mois, nombre de prolongations, nombre de refus. Ces indicateurs remontent en revue de direction.

Le sujet dépasse la seule fonction juridique. Dans l'industrie, les dossiers techniques exigés pour la mise sur le marché — par exemple dans le cadre du règlement (UE) 2023/1230 sur les machines — contiennent des journaux d'essais, des rapports d'incidents ou des enregistrements vidéo qui identifient des opérateurs. Les échanges avec un organisme notifié, décrits dans le guide sur l'implication des organismes notifiés, peuvent également contenir des données de personnel. Une demande d'accès peut donc traverser la production, la qualité et la conformité réglementaire.

Preuves attendues lors d'un contrôle

Face à une autorité de contrôle, quatre éléments sont systématiquement demandés : l'horodatage de la réception, la traçabilité des recherches internes, la copie de la réponse envoyée et, le cas échéant, la motivation du refus ou de la prolongation. Un jeu d'exigences détaillées et une checklist opérationnelle aident à structurer ces preuves avant l'audit, plutôt qu'après la mise en demeure.

Dernier point : CE GDPR data subject access request guide ne remplace pas une analyse au cas par cas. Le délai d'un mois est court ; la préparation, elle, se fait à froid.