Vos droits sur vos données
Une entreprise a refusé ou ignoré ma DSAR — et maintenant ?
Un guide posé et pratique sur vos prochaines étapes lorsqu'une organisation s'oppose à votre demande d'accès aux données, ou reste silencieuse — et le régulateur vers lequel vous pouvez vous tourner.
En bref
Si une entreprise refuse ou ignore votre DSAR, vérifiez d'abord le motif et si le délai d'un mois est écoulé. Envoyez une courte relance écrite. Si vous n'êtes toujours pas satisfait, vous avez le droit de saisir le régulateur de la protection des données — en France, la CNIL (Commission nationale de l'informatique et des libertés).
D'abord, vérifiez ce qui s'est réellement passé
Une réponse qui ressemble à un refus n'en est pas toujours un. Au titre du RGPD (article 15), une organisation dispose en général d'un mois à compter de la date à laquelle elle reçoit votre demande et confirme votre identité. Si ce mois n'est pas encore écoulé, l'organisation est peut-être simplement encore dans les temps. Pour une demande complexe, elle peut prolonger le délai de deux mois supplémentaires, mais elle doit vous informer de cette prolongation au cours du premier mois.
La première étape consiste donc à lire calmement ce qui vous a été envoyé. L'organisation vous a-t-elle demandé de confirmer votre identité avant de commencer ? A-t-elle expliqué qu'une partie de vos données est refusée au titre d'une exception limitée, par exemple des informations qui révéleraient les données personnelles d'une autre personne ? Connaître le motif réel vous indique quelle prochaine étape convient — une vérification d'identité manquante est très différente d'un refus catégorique.
- Vérifiez la date d'envoi de la demande et si un mois s'est écoulé.
- Repérez toute étape de vérification d'identité que l'organisation attend.
- Notez tout motif ou exception invoqué pour refuser une partie des données.
Envoyez une relance courte et claire
Si le délai est écoulé sans réponse, ou si la réponse est incomplète, une brève relance écrite suffit souvent. Restez factuel : indiquez la date de votre demande initiale, qu'il s'agissait d'une demande d'accès à vos données personnelles au titre du RGPD, et que vous n'avez pas reçu de réponse complète dans le délai d'un mois. Demandez-leur de confirmer ce qu'ils détiennent et de fournir la copie à laquelle vous avez droit.
Mettez-le par écrit — le courriel convient — et conservez une copie de ce que vous envoyez et quand. Une trace écrite claire compte si vous décidez ensuite d'escalader. Vous n'avez besoin ni de langage juridique ni de formulaire particulier ; un message simple et daté qui mentionne votre droit d'accès suffit.
- Mentionnez la date de votre demande initiale et le délai d'un mois.
- Demandez clairement la confirmation de ce qu'ils détiennent et une copie.
- Conservez les copies datées de chaque message, au cas où vous escaladeriez.
Votre droit de saisir le régulateur
Si vous avez relancé et que vous n'êtes toujours pas satisfait — l'organisation continue de refuser, reste silencieuse au-delà du délai, ou donne une réponse que vous estimez incorrecte — vous avez le droit de saisir le régulateur de la protection des données. En France, il s'agit de la CNIL (Commission nationale de l'informatique et des libertés), l'autorité indépendante de protection des données, sur cnil.fr.
La CNIL peut examiner la manière dont une organisation a traité votre demande. La réclamation est gratuite, et vous pouvez la faire vous-même. Il est généralement utile de donner d'abord à l'organisation une réelle occasion de corriger les choses, mais la voie vers le régulateur vous reste ouverte si cela ne fonctionne pas.
Ceci constitue une information générale et non un conseil juridique. Pour des conseils adaptés à votre propre situation, envisagez de vous adresser à un professionnel qualifié.
- Vous pouvez saisir la CNIL sur cnil.fr — c'est gratuit, et vous pouvez le faire vous-même.
- Tentez d'abord une relance claire auprès de l'organisation, puis escaladez si besoin.
- Conservez votre correspondance datée pour étayer votre réclamation.
Foire aux questions
Dans quel délai une entreprise doit-elle répondre à ma DSAR ?
En général, un mois à compter de la date à laquelle elle reçoit votre demande et confirme votre identité. Pour une demande complexe, le délai peut être prolongé de deux mois supplémentaires, mais l'organisation doit vous informer de cette prolongation au cours du premier mois.
Une entreprise peut-elle refuser purement et simplement ma DSAR ?
Elle peut refuser certaines informations au titre d'exceptions limitées — par exemple lorsque les divulguer révélerait les données personnelles d'une autre personne — et elle peut refuser des demandes manifestement excessives. Mais elle doit motiver sa décision. Un refus brut sans explication est quelque chose que vous pouvez contester.
Que peut réellement faire la CNIL ?
La CNIL (Commission nationale de l'informatique et des libertés) peut examiner la manière dont une organisation a traité votre demande d'accès et lui indiquer là où elle a manqué à ses obligations. La réclamation est gratuite et vous pouvez la faire vous-même sur cnil.fr. Il est généralement préférable de donner d'abord à l'organisation l'occasion de corriger les choses.
Termes associés
Ceci constitue une information générale et non un conseil juridique. Pour des conseils adaptés à votre propre situation, envisagez de vous adresser à un professionnel qualifié.
Relu par le juriste fondateur d'OSINTA — 2026-06-27.
Voyez votre empreinte, puis agissez en confiance
OSINTA vous aide à voir ce qui est public à votre sujet et à formuler et acheminer votre propre demande d'accès — vous décidez à chaque étape. Il ne contacte personne à votre place et ne promet aucun résultat.