Comment exercer son droit d'accès à ses données personnelles

Vous vous demandez ce qu'une entreprise, une administration ou un site sait de vous ? Vous avez le droit de le lui demander. Cette démarche s'appelle le droit d'accès. Elle est gratuite et assez simple, à condition de bien la préparer. Cet article suit la présentation qu'en fait la CNIL, l'autorité française de protection des données.

Ce qu'est le droit d'accès et sur quoi il repose

Le droit d'accès vous permet de savoir quelles informations les administrations, les organismes publics ou privés et les sociétés commerciales détiennent sur vous dans leurs fichiers. Il vous permet aussi d'en obtenir une copie.

En Europe et en France, vos données personnelles sont protégées par des textes comme le RGPD et la loi Informatique et Libertés. Le droit d'accès correspond à l'article 15 du RGPD. Chaque organisme, public ou privé, doit vous laisser exercer vos droits gratuitement.

À quoi cela sert-il, concrètement ?

• Savoir si vos données sont traitées ou non.
• Les recevoir dans un format compréhensible.
• Vérifier qu'elles sont exactes et, au besoin, les faire rectifier ou effacer.

La CNIL cite plusieurs situations courantes :

• Vérifier si vous figurez encore dans un fichier qui limite l'accès à certains services du quotidien, comme le fichier central des chèques.
• Obtenir une copie des données de votre dossier médical auprès d'un professionnel de santé.
• Savoir ce que détient un réseau social. Certains services en ligne proposent de télécharger une copie de vos données en quelques clics.

À qui écrire

Écrivez à l'organisme qui détient vos données : la société, l'association ou l'administration concernée. C'est une étape obligatoire. Avant de saisir la CNIL, vous devez d'abord exercer votre droit auprès de lui.

Pour trouver le bon interlocuteur :

1. Identifiez l'organisme.
2. Rendez-vous sur son site, dans la page consacrée à l'exercice de vos droits. Elle peut s'appeler « politique de confidentialité », « politique vie privée » ou « mentions légales ».
3. Cherchez-y les coordonnées du délégué à la protection des données ou du responsable du traitement.

Si ces coordonnées restent introuvables, la CNIL propose une fiche pratique sur son site pour vous aider.

Prenons l'exemple de Chloé, cité par la CNIL. Elle veut savoir ce que détient son réseau social préféré. Le plus souvent, une page d'information dédiée permet de télécharger ses données en quelques clics. Si ce n'est pas le cas, elle peut écrire au réseau social, avec un modèle de courrier de la CNIL, ou contacter directement son délégué à la protection des données.

Comment formuler la demande

Vous êtes libre du moyen. Vous pouvez passer par voie électronique (formulaire, adresse e-mail, bouton de téléchargement) ou par courrier.

Si vous écrivez par voie électronique, l'organisme vous répondra de la même façon. Précisez-le si vous préférez une réponse sur papier.

Dans votre message :

• Demandez une copie, en langage clair, de l'ensemble des données que l'organisme possède sur vous.
• Précisez le moyen par lequel vous souhaitez recevoir la réponse, si ce n'est pas le même que celui de votre demande.

La CNIL met à disposition un modèle de courrier et un générateur de courrier. Elle propose aussi des modèles pour des cas particuliers : organisme financier, vidéosurveillance, dossier médical, géolocalisation, fichier des incidents de remboursement des crédits et d'autres.

Et la pièce d'identité ?

L'organisme ne peut vous demander un justificatif que s'il a des doutes raisonnables sur votre identité. Le but est par exemple d'éviter une usurpation d'identité. Il ne peut pas exiger des pièces abusives, non pertinentes ou disproportionnées par rapport à votre demande.

Est-ce vraiment gratuit ?

Oui. Dans certains cas, des frais raisonnables liés au traitement du dossier peuvent toutefois être demandés, par exemple pour une copie supplémentaire.

Gardez une trace de tout

La CNIL qualifie cette étape de primordiale, car elle sera utile si vous devez ensuite porter plainte.

• Faites une capture d'écran de votre demande, des formulaires et de la réponse.
• Conservez une copie de vos e-mails.
• Pour un courrier, demandez un accusé de réception : il prouvera la date de votre démarche.

Ce que l'organisme doit vous fournir

L'organisme doit vous remettre une copie des données personnelles qu'il détient sur vous. Il doit aussi vous donner les informations suivantes :

• les objectifs d'utilisation de vos données, c'est-à-dire à quoi elles servent ;
• les catégories de données collectées (nom, prénom, adresse, etc.) ;
• l'identité des destinataires à qui vos données sont ou seront communiquées ;
• la durée de conservation de vos données, ou les critères qui déterminent cette durée ;
• l'existence de vos autres droits : rectification, effacement, limitation, opposition ;
• la possibilité d'adresser une plainte à la CNIL ;
• la source des données, si elles n'ont pas été récoltées directement auprès de vous ;
• l'existence d'une décision automatisée, y compris un profilage, avec son fonctionnement, son importance et ses conséquences pour vous ;
• l'éventuel transfert de vos données hors de l'Union européenne ou vers une organisation internationale.

Pour les destinataires, l'organisme peut se limiter à des catégories (revendeur de données, autre site web, etc.) dans deux cas : si leur identification est impossible, notamment quand ils ne sont pas encore connus, ou si la demande est infondée ou excessive.

Pour une décision automatisée, les informations doivent être assez complètes pour que vous compreniez les raisons de la décision.

Le délai de réponse

L'organisme doit répondre dans les meilleurs délais et au plus tard sous un mois.

Ce délai peut être porté à trois mois, compte tenu de la complexité de la demande ou du nombre de demandes reçues. Dans ce cas, l'organisme doit vous expliquer les raisons de cette prolongation dans le premier mois.

Que faire sans réponse, ou avec une réponse incomplète

Pas de réponse

Si l'organisme ne répond pas dans le délai d'un mois et ne vous annonce pas de prolongation, vous pouvez adresser une plainte à la CNIL. Joignez les éléments qui prouvent vos démarches préalables : captures d'écran, copies d'e-mails, accusé de réception.

Pendant ce délai, vous pouvez aussi demander la limitation du traitement. Cela revient à « geler » l'utilisation de ces données.

Réponse incomplète ou refus

Si la réponse vous paraît incomplète, la CNIL recommande de demander d'abord à l'organisme de la compléter, en citant les données qui manquent selon vous. Si cela ne suffit pas, vous pouvez porter plainte auprès de la CNIL, toujours avec les justificatifs de vos démarches. Elle pourra intervenir à l'appui de votre demande.

Les limites du droit d'accès

Le droit d'accès n'est pas sans limites. La CNIL en signale trois.

• Certains fichiers sont très encadrés. Pour certains fichiers de police ou touchant à la sûreté de l'État, la loi ne vous laisse pas accéder directement aux informations. Vous pouvez y accéder de façon indirecte, par l'intermédiaire de la CNIL.
• Une demande infondée ou excessive. L'organisme peut ne pas y donner suite, mais il doit pouvoir prouver ce caractère infondé ou excessif.
• Les droits d'autrui. Seules vos données peuvent vous être communiquées, pas celles de tiers. L'accès ne doit pas non plus porter atteinte à la propriété intellectuelle, par exemple le droit d'auteur qui protège un logiciel, ni au secret des affaires.

Par où commencer si vous ne savez pas qui détient vos données

La difficulté est souvent là : on ne sait pas à quelle porte frapper. Notre analyse gratuite, sans compte, peut vous donner des pistes. Elle cherche parmi les résultats web publiquement visibles, les fuites de données publiques connues (via Have I Been Pwned) et un registre de courtiers en données. Le bilan s'affiche ensuite, après saisie d'un code à 6 chiffres reçu par e-mail.

Un bilan vide ne prouve pas qu'aucune donnée n'existe : l'analyse ne voit que ce qui est accessible publiquement. Et Remove Me n'envoie pas encore de demandes d'effacement à votre place. Le bilan peut en revanche vous donner des pistes pour savoir à quels organismes adresser votre demande d'accès, en suivant les étapes ci-dessus.

En résumé

1. Identifiez l'organisme et ses coordonnées de contact pour vos droits.
2. Envoyez votre demande par le moyen de votre choix, en demandant une copie en langage clair.
3. Conservez toutes les preuves : captures d'écran, e-mails, accusé de réception.
4. Attendez la réponse, au plus tard un mois, ou trois mois si l'organisme vous en explique les raisons.
5. Sans réponse satisfaisante, demandez d'abord de compléter, puis saisissez la CNIL avec vos justificatifs.

Le point de départ reste le même : savoir ce qui est visible sur vous. Notre analyse gratuite vous le montre, sans création de compte.

L'équipe Remove Me