Demande d’accès ou d’effacement RGPD : la procédure d’une TPE

Un client écrit « envoyez-moi toutes mes données » ou « supprimez mon compte » : le délai commence, même si le message n’utilise pas le mot RGPD. Ce guide traite le dossier individuel, de sa réception à sa clôture. Il complète la protection générale des données et le registre des traitements sans les répéter. L’objectif est de répondre complètement, dans le bon délai et sans dévoiler les informations d’un tiers.

1. Reconnaissez une demande, quel que soit son canal

Une personne peut exercer ses droits par e-mail, formulaire, courrier, téléphone ou auprès d’un salarié. Le RGPD n’impose pas qu’elle cite un article ni qu’elle emploie une formule précise. « Que savez-vous sur moi ? », « corrigez mon ancienne adresse » ou « je ne veux plus apparaître dans votre fichier » doivent donc être orientés vers la personne responsable de la procédure.

Publiez un point de contact simple dans vos notices : une adresse e-mail suivie, une adresse postale et, si nécessaire, un formulaire accessible. N’obligez pas la personne à créer un nouveau compte ou à suivre un canal plus contraignant que celui de la collecte. En interne, expliquez aux personnes en accueil, vente et support comment transférer une demande sans l’interpréter ni promettre sa suppression immédiate.

Ouvrez un dossier avec un identifiant, la date et l’heure de réception, le canal, les coordonnées fournies, les droits possibles, le responsable et l’échéance. Évitez de recopier inutilement toutes les données personnelles dans un tableau partagé. Le dossier de suivi doit être protégé et accessible aux seules personnes chargées de la réponse.

La cartographie préparée dans le registre RGPD de la TPE indique les activités, outils, destinataires et durées à inspecter. Elle ne répond pas à la place de l’entreprise : la demande exige une recherche centrée sur une personne et sur le périmètre exprimé.

2. Calculez le délai dès la réception

La règle juridique est une réponse « dans les meilleurs délais » et, en principe, au plus tard dans le mois suivant la réception. Le calcul d’un délai mensuel ne signifie pas automatiquement trente jours. Lorsque le mois d’arrivée ne comporte pas le même quantième, ou que l’échéance tombe un jour non ouvré, appliquez les règles européennes de calcul et ne vous placez pas volontairement au dernier jour.

Si la demande est complexe ou si plusieurs demandes émanent de la même personne, le délai peut être prolongé de deux mois. Il faut alors informer la personne de la prolongation et de ses motifs dans le premier mois. Cette possibilité n’est pas un délai standard de trois mois ; documentez concrètement la complexité, le volume, les systèmes anciens ou les vérifications nécessaires.

Si la demande est incomplète ou si des informations complémentaires indispensables sont nécessaires pour confirmer l’identité, expliquez vite et précisément ce qui manque. Selon la CNIL, le délai de réponse est alors suspendu pendant l’attente et court à nouveau à la réception des éléments demandés ; consignez ces deux dates. Le responsable doit pouvoir démontrer sa diligence. Accusez réception sans attendre : indiquez la date retenue, le droit compris, les éventuelles précisions utiles et le canal de réponse prévu. Un accusé de réception ne remplace pas la réponse de fond.

3. Vérifiez l’identité sans collecter une pièce par réflexe

Vous devez éviter de communiquer des données à un imposteur, mais aussi faciliter l’exercice des droits. Le RGPD autorise une demande d’informations supplémentaires lorsqu’il existe un doute raisonnable sur l’identité. Il ne justifie pas l’exigence systématique d’une carte d’identité. Cherchez d’abord un moyen moins intrusif et cohérent avec la relation existante.

Pour un client connecté, une confirmation dans l’espace authentifié peut suffire. Pour une demande envoyée depuis l’adresse déjà enregistrée, posez si besoin une question que l’entreprise peut légitimement vérifier, sans demander un secret bancaire ou une information que vous ne détenez pas. Pour un ancien client dont l’adresse a changé, rapprochez plusieurs éléments proportionnés. Ne créez pas une copie d’identité durable si une simple vérification visuelle ou une partie masquée répond au doute.

Consignez le doute et la méthode retenue : adresse inhabituelle, homonyme, compte compromis signalé ou demande portant sur des données sensibles. Si une pièce est réellement nécessaire, précisez les éléments qui peuvent être masqués, protégez le transfert, limitez les accès et supprimez la copie dès qu’elle n’est plus utile, sous réserve de la preuve minimale à conserver.

Un mandataire peut agir pour la personne. Vérifiez son identité, l’identité du demandeur et le mandat, sans exiger plus que nécessaire. Pour un mineur ou une personne protégée, la capacité et la représentation dépendent de la situation. En cas d’incertitude importante, demandez un conseil adapté au lieu d’envoyer des données sensibles.

4. Distinguez accès, effacement, opposition et rectification

Le droit d’accès permet de savoir si des données sont traitées, d’en recevoir une copie et d’obtenir les informations prévues par l’article 15 : finalités, catégories, destinataires, durée ou critères, droits, source lorsque les données ne viennent pas de la personne, réclamation auprès d’une autorité et, le cas échéant, informations sur certaines décisions automatisées et transferts.

Le droit à l’effacement répond à des motifs précis : données devenues inutiles, retrait d’un consentement sans autre fondement, opposition recevable, traitement illicite, obligation légale d’effacer ou collecte concernant un enfant dans le cadre visé par le texte. Il n’est pas absolu. Des données peuvent devoir être gardées pour respecter une obligation légale, exercer ou défendre un droit en justice, ou pour d’autres exceptions de l’article 17.

« Ne m’envoyez plus de publicité » relève souvent de l’opposition à la prospection, à exécuter sans attendre, et non de la suppression de toutes les factures. « Mon nom est mal orthographié » relève de la rectification. Une même phrase peut cumuler plusieurs droits. Reformulez votre compréhension et traitez chaque branche séparément plutôt que de choisir le droit le plus simple.

La démarche générale de protection des données clients aide à définir les bases, durées et notices. Dans le dossier individuel, vous appliquez ces choix à une personne réelle et vous vérifiez si une exception concerne chaque catégorie de données.

5. Cherchez par personne, activité et copie

Partez des identifiants confirmés : nom, anciennes coordonnées, numéro client, téléphone, e-mail, pseudonyme ou identifiant technique pertinent. Recherchez les variantes et périodes utiles sans aspirer toutes les données de l’entreprise. Établissez une liste de systèmes à partir du registre : CRM, facturation, messagerie, support, stockage, agenda, téléphone professionnel, formulaire, outil marketing, sauvegardes et prestataires.

Interrogez les équipes qui détiennent réellement les informations. Une donnée peut se trouver dans une boîte nominative, une note libre, une pièce jointe ou un export ponctuel. Le guide sur l’organisation des dossiers clients réduit ces copies parallèles. N’effectuez pas pour autant une fouille disproportionnée : définissez des critères reproductibles, notez les emplacements et justifiez les limites.

Demandez aux sous-traitants l’assistance prévue au contrat lorsque les données ne sont pas accessibles directement. La responsabilité de répondre reste celle du responsable de traitement. La checklist d’un sous-traitant SaaS explique comment vérifier les fonctions d’export, de suppression et d’assistance avant le jour où une demande arrive.

Pour les sauvegardes, distinguez disponibilité courante et copies de secours isolées. Une suppression immédiate dans chaque sauvegarde peut être techniquement impossible ou nuire à l’intégrité de la restauration. Documentez alors la mise hors d’usage courant, la durée de rotation, les protections et le mécanisme empêchant la réintroduction durable après restauration. Cette approche doit rester cohérente avec vos obligations et votre analyse.

6. Constituez une copie compréhensible et protégez les tiers

Le droit porte sur les données personnelles de la personne, pas nécessairement sur la copie intégrale de tous les documents. Un document peut néanmoins être le moyen le plus fidèle de rendre les données intelligibles. Choisissez entre export structuré, extraits, tableaux ou documents expurgés selon le contexte. Expliquez les codes, abréviations et sources afin que la copie soit réellement compréhensible.

Relisez les résultats pour repérer les données de clients, salariés, témoins ou interlocuteurs tiers, les secrets d’affaires et les droits de propriété intellectuelle. La protection des droits d’autrui ne permet pas de refuser automatiquement tout accès. Masquez ce qui doit l’être, fournissez le reste et expliquez la limite. Pour des échanges où plusieurs personnes sont impliquées, évaluez le contenu ligne par ligne si nécessaire.

Ajoutez les informations de contexte prévues par l’article 15. Une pile de captures sans finalités, destinataires ni durées est incomplète. Indiquez aussi la source lorsque les données n’ont pas été collectées auprès de la personne et les garanties applicables aux transferts concernés. Utilisez des dates et catégories précises plutôt que des formules génériques.

La première copie est gratuite. Pour des copies supplémentaires, des frais raisonnables fondés sur les coûts administratifs peuvent être envisagés. Face à une demande manifestement infondée ou excessive, notamment répétitive, le responsable peut dans les conditions du RGPD demander des frais raisonnables ou refuser d’agir, mais il porte la charge de la preuve. Cette exception doit être maniée avec prudence et documentée.

7. Décidez l’effacement catégorie par catégorie

Construisez un tableau avec la donnée, la finalité, la base, la durée, le motif demandé et la décision. Une adresse utilisée seulement pour une newsletter peut être retirée, tandis qu’une facture doit rester conservée selon les obligations applicables. La fin d’une relation ne rend pas automatiquement inutile toute trace : une preuve contractuelle peut être archivée avec un accès restreint au lieu de rester dans l’outil quotidien.

Si l’effacement est accepté, supprimez les données des usages actifs, exports, listes marketing, espaces partagés et appareils concernés. Informez les destinataires auxquels les données ont été communiquées de la rectification, de l’effacement ou de la limitation, sauf impossibilité ou effort disproportionné dans les conditions de l’article 19. Sur demande, indiquez ces destinataires à la personne.

Si une catégorie doit être conservée, expliquez le fondement, la durée ou le critère, les accès restreints et les autres actions réalisées. Ne dites pas « suppression impossible » parce que le logiciel ne possède pas un bouton. Cherchez anonymisation, archivage séparé, ticket éditeur ou remplacement du champ. Une difficulté technique interne ne crée pas à elle seule une exception juridique.

Pour éviter de réimporter une personne opposée à la prospection, une liste d’opposition minimale peut être nécessaire. Expliquez sa finalité : elle ne sert pas à relancer le contact, mais à respecter son choix. Réduisez-la à l’identifiant utile, protégez-la et fixez sa durée selon le cadre applicable.

8. Répondez par un canal sûr et conservez une preuve proportionnée

Adaptez le canal au volume et à la sensibilité. Un espace authentifié, un fichier chiffré avec secret transmis séparément ou un courrier suivi peuvent être appropriés. Évitez la pièce jointe non protégée envoyée à une adresse non confirmée. Le guide du partage sécurisé de fichiers clients aide à choisir expiration, authentification et retrait d’accès.

La réponse finale doit rappeler la demande, décrire les actions, fournir la copie ou confirmer l’effacement, expliquer les refus partiels, annoncer les suites et indiquer la possibilité de saisir la CNIL. Si vous refusez d’agir, informez la personne des motifs et des voies de recours au plus tard dans le délai applicable.

Conservez le message initial, les dates, la vérification d’identité retenue, les systèmes consultés, les responsables sollicités, les décisions, les opérations effectuées et la preuve d’envoi. Ne gardez pas indéfiniment une seconde copie complète des données uniquement pour prouver que vous avez répondu. Définissez une durée de conservation du dossier de droits selon vos risques et prescriptions, avec des accès limités.

Si la recherche révèle un envoi antérieur au mauvais destinataire ou une exposition, ouvrez séparément la procédure de violation de données personnelles. Ne retardez pas la réponse au droit, mais coordonnez les faits, mesures de protection et communications.

9. Exemple hypothétique : un ancien client demande « tout supprimer »

Une petite entreprise reçoit le 6 août un e-mail provenant de l’adresse connue d’un ancien client. Celui-ci demande la copie de ses données puis leur suppression. L’exemple est fictif : il illustre la méthode, pas une décision universelle. Le responsable accuse réception, confirme les deux droits et ouvre une échéance mensuelle. Aucun document d’identité n’est réclamé, car l’adresse, le numéro client et le contexte concordent sans signal de fraude.

Le registre fait apparaître le CRM, la facturation, la messagerie, un outil de support et un prestataire de signature. La recherche retrouve les coordonnées, deux devis, une facture, des messages et un ticket. Un message contient le téléphone d’un salarié tiers : il est masqué dans la copie. La réponse explique les finalités, destinataires, durées et sources.

L’entreprise efface le profil commercial, retire le contact des campagnes et demande au support SaaS de purger une pièce jointe. Elle conserve la facture et certaines preuves contractuelles dans une archive à accès limité, avec leur durée applicable. Elle explique ce refus partiel, confirme les autres suppressions et conserve une trace brève de l’opposition pour éviter une nouvelle prospection.

Enfin, elle met à jour son mode opératoire : l’export de signature n’était pas répertorié et l’outil de support ne proposait pas une suppression autonome. La demande devient ainsi un test de la cartographie, sans transformer le dossier individuel en audit général retardant la réponse.

Sources officielles et primaires : Règlement (UE) 2016/679 — articles 12 à 23 ; CNIL — répondre à une demande de droit d’accès, dont le cas des données de santé ; CNIL — les droits des personnes ; Comité européen de la protection des données — lignes directrices 01/2022 sur le droit d’accès. Consultées le 3 août 2026. Les exceptions et durées dépendent de la situation et des obligations sectorielles ; faites valider les cas sensibles.

En résumé

Une demande d’accès ou d’effacement se traite comme un dossier daté, pas comme un simple e-mail au support. La TPE qualifie les droits, vérifie l’identité de façon proportionnée, recherche dans chaque activité, protège les tiers, arbitre les exceptions et répond par un canal sûr. La preuve porte sur la méthode, les décisions et les actions, sans recréer une copie inutile de toutes les données.