Droit d’accès : les enjeux pour la PME
L’article 15 du RGPD donne à chacun le droit d’obtenir la confirmation que ses données sont traitées, une copie de ces données et des informations sur le traitement : finalités, catégories de données, destinataires, durée de conservation, source des données et existence d’une décision automatisée. Clients, prospects, candidats, salariés et anciens salariés sont concernés. La demande n’a pas à être motivée.
L’article 12 fixe les règles de réponse : dans les meilleurs délais et au plus tard dans un mois, avec une prolongation possible de deux mois si la demande est complexe ou si les demandes sont nombreuses, à condition d’en informer la personne dans le premier mois. La réponse est gratuite, sauf demande manifestement infondée ou excessive. Selon la CNIL, une pièce d’identité ne peut être exigée qu’en cas de doute raisonnable sur l’identité du demandeur.
Pour les salariés, la CNIL précise que le droit couvre les données contenues dans les courriels professionnels, métadonnées comprises, et qu’il peut s’exercer pendant un litige, y compris devant les prud’hommes. Les droits des tiers restent protégés : on occulte leurs données plutôt que de refuser, et un refus doit rester le dernier recours, motivé. Pour un volume important, la CNIL admet un tableau récapitulatif. En 2025, elle a rendu 14 décisions pour des demandes d’accès, d’effacement ou d’opposition non prises en compte.
La difficulté pratique est de retrouver les données partout où elles se trouvent : CRM, messagerie, outils no-code, assistants d’IA. Nous recommandons trois gestes : une adresse unique pour recevoir les demandes, une liste des outils à interroger tenue à jour, et un modèle de réponse prêt à l’emploi. Cette fiche est une information générale, à compléter par l’avis d’un conseil.
Exemple
Une société de services de 90 salariés reçoit la demande d’accès d’un ancien commercial, en litige avec elle. La responsable RH interroge 6 outils et retrouve 1 400 courriels dont il est expéditeur ou destinataire. Elle lui remet une copie de son dossier et un tableau récapitulatif des courriels, avec les données de tiers occultées, en 26 jours. Elle note dans un journal la date de réception, les outils consultés et la date d’envoi.
Questions fréquentes
Combien de temps a-t-on pour répondre à une demande de droit d’accès ?
Un mois au plus à compter de la réception. Ce délai peut être prolongé de deux mois pour une demande complexe ou des demandes nombreuses, à condition d’en informer la personne, avec les motifs, dans le premier mois.
Peut-on faire payer une demande d’accès ?
Non, la réponse est en principe gratuite. Des frais raisonnables ne sont possibles que pour des copies supplémentaires ou des demandes manifestement infondées ou excessives, notamment répétitives.
Faut-il demander une pièce d’identité ?
Seulement en cas de doute raisonnable sur l’identité du demandeur. La CNIL indique qu’elle ne peut pas être exigée de façon systématique.
Un salarié peut-il obtenir ses courriels professionnels ?
Oui, au titre des données personnelles qu’ils contiennent, métadonnées comprises. Les données de tiers peuvent être occultées, et la CNIL admet un tableau récapitulatif lorsque le volume est important.
Peut-on refuser une demande d’accès en cas de litige ?
Non. Selon la CNIL, un refus fondé uniquement sur l’existence d’un contentieux n’est pas valable.
Sources
- RGPD, chapitre III : droits de la personne concernée (articles 12 à 22), CNIL — consulté le 16 octobre 2026
- Le droit d’accès des salariés à leurs données et aux courriels professionnels, CNIL — consulté le 16 octobre 2026
- L’accès à son dossier professionnel, CNIL — consulté le 16 octobre 2026
- Droit d’accès, guichet unique, violation de données : le CEPD publie de nouvelles lignes directrices, CNIL — consulté le 16 octobre 2026
- Sanctions et mesures correctrices : la CNIL présente le bilan 2025, CNIL — consulté le 16 octobre 2026
Auteur
Clément Marchal a fondé le Cabinet Flourens. Depuis 2017, dont cinq ans à faire tourner des équipes, notamment dans un environnement régulé par l'AMF, il voit la même chose : l'IA entre dans l'entreprise par les salariés, pas par la direction. Personne ne sait qui l'utilise, sur quelles données, ni ce qu'elle rapporte. Avec Ardoise, le Cabinet Flourens met cet usage en ordre en six semaines : la carte des usages, des règles acceptées, deux automatisations ou agents IA sur vos outils et le dossier qui prouve ce que l'entreprise a fait.
L'histoire du cabinetMode d'Emploi, la lettre
Une méthode par semaine pour reprendre la main sur votre organisation. Désinscription en un clic.