Aller au contenu principal
Quel logiciel RGPD

Quand pouvez-vous refuser une demande de droits ?

Pour qui : Vous recevez des demandes répétées, ou d’une personne avec qui vous êtes en conflit, et la tentation de ne plus répondre monte. Vous cherchez où passe la limite.

Vous pouvez refuser une demande manifestement infondée ou excessive, notamment répétitive. L’article 12 ajoute qu’il vous incombe de le démontrer. Le CEPD interprète ces deux notions étroitement. Dans tous les cas, informez la personne dans le mois : motifs, possibilité de saisir la CNIL, possibilité de saisir le juge.

D’autres limites jouent sur une partie de la réponse, sans permettre d’ignorer la demande : droits d’autrui, exceptions à l’effacement, données qui n’existent plus. La CNIL a sanctionné en 2026 des absences ou des lenteurs de réponse : 8 des 23 sanctions simplifiées qu’elle recense au 6 juillet 2026 concernent les droits d’accès ou d’effacement.

Notre avis

Considérez le refus total comme un dernier recours, documenté demande par demande. Le fait qu’une personne soit pénible, en litige ou mal polie ne vous y autorise pas, selon le CEPD. Refusez ce que le droit permet de refuser, et répondez au reste.

Pourquoi

  • Le texte place sur vous la démonstration du caractère manifestement infondé ou excessif.
  • Le CEPD rappelle qu’il n’y a guère de conditions à une demande d’accès, donc très peu de place pour le motif « manifestement infondé ».
  • Le silence est le pire choix : l’article 12 exige d’informer la personne dans le mois, même sans donner suite.

Ce qui change le choix

Une personne qui réclame la même chose à intervalle rapproché alors que rien n’a changé, ou qui propose de retirer sa demande contre un avantage : là, le caractère excessif devient défendable. Dans un conflit réel, faites relire le refus par un conseil.

L’ordre à suivre

  1. Répondez si vous le pouvez, même partiellement.
  2. Vérifiez les limites propres au droit invoqué : tiers, effacement, données disparues.
  3. Demande répétée sans changement : frais raisonnables d’abord, à examiner avant un refus.
  4. Refus total pour demande excessive ou manifestement infondée : avec dossier de preuve.

Quatre cas à ne pas confondre

Ajoutez deux situations plus rares : vous démontrez que vous ne pouvez pas identifier la personne, comme le prévoient les articles 11 et 12 ; ou une loi nationale limite le droit, ce que le CEPD invite à vérifier soigneusement.

Motifs de refus total ou partiel, droit en vigueur
SituationEffetSourceCe qu’il faut écrire
Demande manifestement infondée ou excessiveRefus ou frais raisonnablesArticle 12, paragraphe 5Les faits qui le montrent : dates des demandes, données inchangées, autre élément
Atteinte aux droits d’autrui, secret des affaires, propriété intellectuelleRefus partiel, en masquant ce qui pose problèmeArticle 15, paragraphe 4 ; CNIL ; CEPDCe qui est retiré et pourquoi, sans aller jusqu’à refuser toute la demande
Données déjà effacées selon votre durée de conservationAccès impossibleCNIL ; CEPDLe constat, avec la durée. N’effacez jamais pour échapper à la demande.
Exception à l’effacementConservation d’une partieArticle 17, paragraphe 3Ce qui est supprimé, ce qui reste, la base

Demandes répétées : combien de temps entre deux ?

Aucun intervalle chiffré ne vaut partout, écrit le CEPD. Il donne quatre critères : la fréquence à laquelle les données changent, leur nature, la finalité du traitement, et le fait que la nouvelle demande porte sur les mêmes informations. La CNIL ajoute qu’une personne qui redemande des données déjà détenues ne doit pas être systématiquement considérée comme excessive.

Deux exemples tirés du CEPD montrent l’écart. Un menuisier qui reçoit une demande tous les deux mois pour une seule table réalisée peut la juger excessive. Une plateforme sociale qui en reçoit une tous les trois mois ne le peut en principe pas, car les données changent sans cesse. Pour un organisme de crédit, le CEPD juge même un intervalle d’un an trop long pour parler d’excès.

Si une réponse par accès électronique ne vous coûte presque rien, le CEPD estime qu’un caractère excessif est peu probable.

Ce qui ne suffit pas, selon le CEPD

Une demande sans explication ou que vous jugez sans intérêt. Un ton grossier. L’intention de vous attaquer ensuite, sous réserve d’un droit national conforme à l’article 23. Le temps et l’effort nécessaires, à eux seuls. Un passé de demandes abusives ne permet pas non plus de présumer que la suivante l’est.

À l’inverse, le CEPD admet un caractère excessif si la personne propose de retirer sa demande contre un avantage, ou si la demande vise à harceler : intention annoncée de perturber, envois systématiques en campagne, avec ce but et cet effet.

Un refus qui tient

  1. Rassemblez les faits avant d’écrire. Dates des demandes, réponses déjà données, ce qui a changé ou non. Le CEPD conseille de documenter ces faits.
  2. Envisagez d’abord des frais raisonnables. Pour une demande excessive, le CEPD estime qu’un paiement est souvent plus adapté. Prévenez la personne avant de facturer : elle peut retirer sa demande.
  3. Écrivez sous un mois. Motifs, droit de saisir la CNIL, droit de saisir le juge. L’article 12 l’exige dans tous les cas d’inaction.
  4. Tracez la décision. Qui a décidé, quand, sur quelle base. Un outil peut garder cet historique ; il ne qualifie jamais la demande à votre place.

Le projet européen sur l’abus de droit n’est pas applicable

Le projet Digital Omnibus a proposé un ajout à l’article 12 pour le droit d’accès. La Commission visait un usage à d’autres fins que la protection des données. Le mandat du Conseil du 21 octobre 2026 retire cette formule et retient une intention abusive qui peut être démontrée. La position du Parlement n’est pas arrêtée : sa fiche affiche « Awaiting committee decision » au 5 novembre 2026. Le texte n’est ni adopté, ni en vigueur.

N’écrivez donc pas dans un refus qu’un salarié détourne son droit d’accès à des fins de litige en vous fondant sur ce projet. Surveillez la procédure et revoyez votre modèle si un acte est publié.

Limites de cette page

Le détail du CEPD concerne le droit d’accès : pour les autres droits, les critères se transposent avec prudence. Le mandat du Conseil a été lu dans un document où suppressions et ajouts ne se distinguent qu’à la lecture visuelle. Les décisions de sanction simplifiée ne sont pas publiques : le bilan de la CNIL est la seule information lue sur elles.

Prochaine action

Rédigez un modèle de refus motivé qui nomme le fait, la CNIL et le recours au juge, et gardez la preuve dans un dossier par demande. Si le demandeur est en litige avec vous, ne refusez pas pour ce seul motif et faites relire le courrier.

Preuves et sources

Lu le 5 novembre 2026 : les articles 12, 15 et 17 du RGPD dans le texte publié par la CNIL ; sa fiche sur le droit d’accès, datée du 13 juin 2017, et son point du 6 juillet 2026 sur les sanctions simplifiées ; les lignes directrices 01/2022 du CEPD, version 2.1 du 30 mai 2024 ; le mandat du Conseil 14756/26 et la fiche du Parlement européen sur la procédure 2025/0360(COD).

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode

  • Fait lu. L’article 12 du RGPD permet au responsable, lorsque les demandes sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, d’exiger des frais raisonnables ou de refuser d’y donner suite, et lui fait démontrer ce caractère.

    Portée : Article 12, paragraphe 5, droit en vigueur au 5 novembre 2026.

    Réserve : Texte reproduit par la CNIL.

  • Fait lu. L’article 12 du RGPD impose, si le responsable ne donne pas suite à une demande, d’informer la personne sans tarder et au plus tard dans un délai d’un mois des motifs de son inaction et de la possibilité d’introduire une réclamation auprès d’une autorité de contrôle et de former un recours juridictionnel.

    Portée : Article 12, paragraphe 4.

    Réserve : Texte reproduit par la CNIL.

  • Déclaration de l’éditeur. Le CEPD interprète étroitement les notions de demande manifestement infondée ou excessive, estime que le motif manifestement infondé a une portée très limitée pour le droit d’accès, et indique que l’effort, l’absence de motif, un langage impoli ou l’intention d’agir ensuite contre le responsable ne rendent pas à eux seuls une demande excessive.

    Portée : Lignes directrices 01/2022, points 175 à 190, droit d’accès.

    Réserve : Sous réserve d’un droit national conforme à l’article 23.

  • Déclaration de l’éditeur. Le CEPD présente comme exemples de demande excessive l’offre de retirer la demande contre un avantage et une demande malveillante visant à harceler, notamment des envois systématiques en campagne ayant cet objet et cet effet.

    Portée : Lignes directrices 01/2022, point 190.

    Réserve : Exemples à apprécier au cas par cas.

  • Déclaration de l’éditeur. Le CEPD donne l’exemple d’un menuisier pour lequel des demandes tous les deux mois peuvent être jugées excessives, d’une plateforme sociale pour laquelle des demandes tous les trois mois ne le sont en principe pas, et d’organismes de crédit pour lesquels un intervalle d’un an entre deux informations gratuites est trop long pour qu’une demande soit excessive.

    Portée : Lignes directrices 01/2022, exemples 39 à 41.

    Réserve : Le CEPD écrit qu’aucun intervalle précis ne peut être déterminé de façon générale.

  • Déclaration de l’éditeur. La CNIL indique que redemander des données déjà détenues ne doit pas être considéré systématiquement comme excessif, et qu’il faut notamment apprécier le délai entre les deux demandes et la possibilité que de nouvelles données aient été collectées ou modifiées.

    Portée : Fiche CNIL sur le droit d’accès, datée du 13 juin 2017.

    Réserve : Droit d’accès.

  • Fait lu. Selon la CNIL, 8 des 23 sanctions simplifiées prononcées depuis janvier 2026 concernent le non-respect des droits d’accès ou d’effacement de plaignants, dont 4 sont associées à un défaut de coopération, pour des sociétés qui n’ont pas répondu ou ont mis trop longtemps à répondre.

    Portée : Bilan de la CNIL du 6 juillet 2026, montant cumulé de 133 750 euros pour les 23 sanctions.

    Réserve : Décisions non publiques, chiffres datés et non extrapolables.

  • Fait lu. Le projet Digital Omnibus n’est ni adopté ni en vigueur au 5 novembre 2026 ; la fiche du Parlement européen indique « Awaiting committee decision », et le mandat du Conseil du 21 octobre 2026 remplace la formule de la Commission sur l’usage à d’autres fins que la protection des données par une intention abusive pouvant être démontrée, pour les demandes d’accès.

    Portée : PROJET, procédure 2025/0360(COD), mandat 14756/26, article 3, point 4.

    Réserve : Lecture des marques de suppression dans un document rendu : la version finale peut différer.

  • Déclaration de l’éditeur. Selon le CEPD et la CNIL, des données déjà effacées conformément à une durée de conservation ne peuvent plus être communiquées, et le responsable ne doit pas effacer ou modifier des données en réponse à une demande d’accès pour y échapper.

    Portée : Lignes directrices 01/2022, points 37 à 39 ; fiche CNIL.

    Réserve : Droit d’accès.