26 octobre 2026 · 30 min de lecture · Protection des données

Réforme du RGPD : le droit d’accès, outil probatoire, à l’épreuve de l’intention abusive

RGPDDroit d’accèsOmnibus numériqueContentieuxDroit du travail

Le 21 octobre 2026, le Comité des représentants permanents (Coreper) a arrêté le mandat de négociation du Conseil sur le règlement « omnibus numérique », qui modifierait le RGPD sur des points de fond huit ans après son entrée en application (1). Pour les avocats, une disposition compte plus que les autres. La Commission proposait de permettre au responsable du traitement de refuser une demande d’accès lorsque la personne concernée « abuse des droits conférés par le présent règlement à des fins autres que la protection de ses données » (2). Le Conseil a supprimé cette formule et lui substitue un critère d’intention abusive, dont la preuve incomberait au responsable du traitement (3).

La question n’a rien de théorique en France. La chambre sociale de la Cour de cassation a jugé le 18 juin 2025 que les courriels émis ou reçus par un salarié sur sa messagerie professionnelle sont des données à caractère personnel, auxquelles il a accès, contenu compris (4). Le 1er décembre 2025, le Conseil d’État a ajouté qu’une enquête interne ne dispense pas l’employeur de répondre (5). L’avocat d’un salarié, d’un patient ou d’un client de banque ne peut plus négliger la demande d’accès, et celui de l’entreprise doit savoir y répondre. En sens inverse, les deux rapporteures de la commission des affaires européennes du Sénat estimaient en mai 2026, dans un rapport d’information, que le droit d’accès est « de plus en plus détourné de sa vocation première » (6).

En bref : rien n’a changé à ce jour. Le RGPD s’applique dans sa rédaction de 2016, tel que l’interprète la Cour de justice : une demande d’accès n’a pas à être motivée et peut servir à préparer un procès. Même une première demande peut être refusée comme excessive, mais seulement si le responsable du traitement démontre de façon non équivoque une intention abusive, telle que la création artificielle des conditions d’une indemnisation. Le mandat du Conseil inscrirait ce critère à l’article 12, paragraphe 5, sans reprendre l’exclusion des demandes présentées à d’autres fins que la protection des données. Le Parlement européen n’a pas encore arrêté sa position, et les trilogues ne commenceront qu’ensuite.

Le droit d’accès, outil probatoire du contentieux français

Le procès civil français ne connaît pas de discovery. Pour obtenir avant tout procès des pièces détenues par l’adversaire, il faut passer par l’article 145 du code de procédure civile : justifier d’un motif légitime devant un juge, qui vérifie la nécessité et la proportionnalité de la mesure (7). L’article 15 du RGPD obéit à une tout autre logique. La personne concernée obtient la confirmation que des données la concernant sont traitées, une copie de ces données et les informations prévues par le texte. La première copie est gratuite ; le responsable du traitement dispose d’un mois pour répondre, délai prorogeable de deux mois compte tenu de la complexité et du nombre de demandes, et s’il ne donne pas suite, il doit en indiquer les motifs et les voies de recours (8).

Surtout, aucun motif n’est exigé. La CNIL l’écrit en toutes lettres dans sa fiche consacrée aux salariés : une personne « n’a pas à motiver sa demande » et peut exercer son droit d’accès « en parallèle d’une procédure contentieuse (devant le conseil de prud’hommes par exemple) » ; un refus fondé sur ce contentieux « ne serait pas valable » (9). Pas de juge à convaincre, pas de motif légitime à établir, un délai légal et une sanction possible en cas de silence : la différence avec l’article 145 est considérable.

Les courriels professionnels, données personnelles du salarié

Dans l’affaire jugée le 18 juin 2025, un directeur associé licencié pour faute avait demandé à son employeur la communication de son dossier. Il avait reçu ses documents contractuels, ses bulletins de paie et les pièces relatives au licenciement, mais aucun des courriels échangés pendant l’exécution du contrat. Condamné par la cour d’appel de Paris à des dommages-intérêts pour non-respect du droit d’accès, l’employeur soutenait devant la Cour de cassation que des courriels professionnels ne sont pas des données personnelles et que le droit d’accès aux données n’emporte pas un droit d’accès aux documents qui les contiennent.

La chambre sociale rejette le pourvoi par un arrêt publié au Bulletin. Les courriels émis ou reçus par le salarié grâce à sa messagerie professionnelle « sont des données à caractère personnel », et le salarié a le droit d’y accéder, l’employeur devant lui fournir « tant les métadonnées (horodatage, destinataires) que leur contenu », sauf atteinte aux droits et libertés d’autrui (point 16). L’employeur n’ayant communiqué ni les métadonnées ni le contenu et n’invoquant « aucun motif pour expliquer cette abstention », la cour d’appel a pu juger cette abstention fautive et réparer le préjudice qu’elle a souverainement évalué (points 17 et 18) (4).

La portée de l’arrêt doit être mesurée exactement. La Cour n’était saisie ni d’une question d’abus ni des intentions du salarié, puisque l’employeur n’avait opposé aucune raison à son refus ; l’arrêt ne dit donc pas qu’une demande inspirée par un contentieux ne peut jamais être abusive. Il fixe trois points utiles : le contenu des courriels entre dans le droit d’accès, une demande restée sans réponse peut donner lieu à réparation, et cette réparation peut être demandée au juge prud’homal dans le litige même où le licenciement est contesté.

L’enquête interne ne justifie pas un refus

Le 1er décembre 2025, le Conseil d’État a rejeté le recours de TotalEnergies SE contre le rappel à ses obligations légales que lui avait adressé la présidente de la CNIL. Trois salariés, impliqués dans une enquête interne ouverte à la suite de signalements qui les visaient ou dont ils étaient les auteurs, s’étaient vu refuser l’accès à leurs données (5).

Le Conseil d’État rappelle l’article 12, paragraphe 5, et la charge de la preuve qui pèse sur le responsable du traitement, puis se fonde sur la jurisprudence de la Cour de justice selon laquelle la copie est due même lorsque la demande poursuit un autre but que la vérification de la licéité du traitement (point 10). Il en déduit que le traitement de données dans le cadre d’une enquête interne « ne fait pas obstacle, par principe, à l’exercice de son droit d’accès à ces données par le salarié », « à moins que l’employeur démontre le caractère manifestement infondé ou excessif de la demande » ou que la communication porte atteinte aux droits d’autrui. En l’absence d’un tel caractère, il appartenait seulement à la société « de procéder à l’occultation des informations susceptibles de porter atteinte aux droits et libertés d’autrui » (point 11) (5).

Rendue par les 10e et 9e chambres réunies et inédite au Recueil Lebon, la décision pose une règle nette : occulter plutôt que refuser. Elle précise aussi que le délai d’un mois n’a pas été prorogé par l’ordonnance du 25 mars 2020 relative à l’urgence sanitaire (point 12), et que le traitement lié à une enquête interne ne relève pas de l’obligation légale de l’article 6, paragraphe 1, point c), de sorte que l’employeur devait examiner l’opposition des salariés et motiver un éventuel refus (points 7 à 9).

Article 15 du RGPD et article 145 du code de procédure civile : deux voies distinctes

L’arrêt de la chambre sociale du 24 juin 2026 montre comment les deux voies se croisent. Un négociateur immobilier lié par un contrat d’agent commercial, qui revendiquait la qualité de salarié pour obtenir un rappel d’heures supplémentaires, demandait en référé, sur le fondement de l’article 145, la communication de toute sa messagerie professionnelle sur plus de quatre ans. La cour d’appel de Paris avait refusé : le régime probatoire de l’article L. 3171-4 du code du travail suffisait, et la demande lui paraissait trop générale et non proportionnée, y compris au regard de l’article 15 du RGPD (7).

La Cour de cassation casse, au visa notamment de l’article 145 et des articles 5 et 6 du RGPD. L’article 145 ne peut être écarté en matière de durée du travail au motif que la loi aménage la preuve des heures accomplies. Le juge doit rechercher si la communication est nécessaire à l’exercice du droit à la preuve et proportionnée au but poursuivi, puis déterminer les mesures indispensables, « au besoin en cantonnant d’office le périmètre de la production de pièces sollicitée » (point 8). Au titre de la minimisation, il lui appartient d’ordonner, au besoin d’office, l’occultation des données de tiers non indispensables et d’enjoindre aux parties de n’utiliser ces données qu’aux fins de l’action en rappel de salaire (points 9 et 10). L’affaire est renvoyée devant la cour d’appel de Paris autrement composée ; à notre connaissance, la cour de renvoi ne s’est pas encore prononcée.

L’arrêt ne dit pas si le droit d’accès est lui-même soumis à une exigence de proportionnalité : le raisonnement de la cour d’appel sur l’article 15 est seulement rappelé (point 12), et la cassation est prononcée sur le terrain de l’article 145. Il éclaire en revanche le contraste entre les deux voies. Par l’article 145, il faut convaincre un juge, qui peut cantonner la mesure mais aussi ordonner la production de documents entiers. Par l’article 15, le demandeur n’a rien à justifier, mais n’obtient que ses propres données, sous réserve des droits d’autrui : la CNIL rappelle que le droit d’accès « ne porte que sur les données à caractère personnel contenues dans les courriels » et admet qu’un tableau de ces données et des métadonnées puisse suffire (9).

Le droit national offre un troisième outil. L’article 49 de la loi Informatique et Libertés renvoie à l’article 15 du RGPD et ajoute qu’en cas de risque de dissimulation ou de disparition des données, « le juge compétent peut ordonner, y compris en référé, toutes mesures de nature à éviter cette dissimulation ou cette disparition » (10). C’est le fondement naturel d’une demande de conservation lorsqu’on craint la suppression d’une messagerie après un départ.

Ce que les juridictions françaises n’ont pas encore tranché

Dans l’affaire TotalEnergies, le Conseil d’État s’est borné à constater l’absence de caractère manifestement infondé ou excessif. Nous n’avons identifié aucune décision publiée de la Cour de cassation ou du Conseil d’État qui reconnaisse ce caractère à une demande d’accès liée à un litige, ni qui examine l’abus au regard des deux éléments retenus par la Cour de justice. La CNIL ne va pas au-delà de l’article 12 : son seul exemple de demande excessive vise des « demandes multiples et rapprochées dans le temps d’une copie déjà fournie », et redemander des données déjà communiquées « ne doit pas être considéré systématiquement comme une demande excessive » (11). Le juge français tranchera donc la question à la lumière de la jurisprudence de la Cour de justice.

Le droit en vigueur : quand une demande d’accès peut-elle être refusée ?

L’article 12, paragraphe 5, du RGPD pose le principe de gratuité et une seule exception générale : « Lorsque les demandes d’une personne concernée sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif », le responsable du traitement peut exiger des frais raisonnables ou refuser d’y donner suite. La phrase suivante règle la preuve : « Il incombe au responsable du traitement de démontrer le caractère manifestement infondé ou excessif de la demande. » (8) Quatre décisions de la Cour de justice éclairent ce texte.

FT et Addiko Bank : le motif de la demande est indifférent

Dans FT, un patient qui soupçonnait des erreurs dans ses soins dentaires demandait à son dentiste une copie gratuite de son dossier médical. La Cour juge que ni l’article 12, paragraphe 5, ni l’article 15 ne subordonnent la première copie à l’invocation d’un motif : ces dispositions « ne donnent donc pas au responsable du traitement la possibilité d’exiger de motifs de la demande d’accès » (point 38). Le considérant 63, selon lequel l’accès permet de prendre connaissance du traitement et d’en vérifier la licéité, ne saurait être interprété en ce sens que la demande « doit être rejetée si elle vise un objectif autre » que celui-là (point 43) (12).

L’ordonnance Addiko Bank du 27 mai 2024 confirme la solution en matière bancaire. L’autorité croate de protection des données avait infligé une amende à une banque qui refusait de remettre à ses clients la copie de leur documentation de crédit. Statuant par ordonnance motivée (article 99 de son règlement de procédure), la Cour dit pour droit que l’obligation de fournir une copie « s’impose au responsable du traitement, même lorsque cette demande est motivée par un but étranger à ceux visés au considérant 63, première phrase, de ce règlement » (13). C’est cette ordonnance, qu’il qualifie d’arrêt, que cite le Conseil d’État dans l’affaire TotalEnergies (5).

Demandes excessives : pas d’abus sans intention abusive

L’arrêt du 9 janvier 2025 concernait l’autorité autrichienne de protection des données, qui refusait d’instruire les réclamations d’une personne en ayant déposé un grand nombre. La Cour rattache cette faculté au principe général selon lequel les justiciables ne peuvent se prévaloir frauduleusement ou abusivement des normes de l’Union (point 49). L’autorité doit établir « l’existence d’une intention abusive », le nombre de réclamations « n’étant pas, à lui seul, suffisant » (point 50), en démontrant que ce nombre s’explique par « une finalité autre, sans lien avec cette protection » (point 56) (14). L’arrêt portait sur l’article 57, paragraphe 4, mais Brillen Rottler en a transposé le raisonnement à l’article 12, paragraphe 5.

Brillen Rottler : une première demande peut être excessive

Les faits sont devenus un cas d’école. En mars 2023, une personne résidant en Autriche s’abonne au bulletin d’information d’une entreprise familiale d’optique d’Arnsberg, en Allemagne, et lui adresse treize jours plus tard une demande d’accès. L’opticien la rejette comme abusive, puis saisit le juge pour faire constater qu’il ne doit aucune réparation, en invoquant des reportages, des articles de blog et des bulletins d’information d’avocats décrivant le même procédé auprès d’autres entreprises : inscription, demande d’accès, puis demande d’indemnisation. L’intéressé réclame reconventionnellement au moins 1 000 euros au titre de l’article 82 (points 12 à 16) (15). Le 19 mars 2026, la Cour a jugé :

Une première demande d’accès peut être « excessive ». La notion est toutefois d’interprétation stricte : le responsable du traitement ne peut s’en prévaloir « qu’à titre exceptionnel » et les critères « doivent être élevés » (point 35).
L’abus suppose un élément objectif, un respect formel des conditions sans que l’objectif de la réglementation soit atteint, et un élément subjectif, la volonté d’obtenir un avantage de la réglementation de l’Union « en créant artificiellement les conditions requises pour son obtention » (point 36).
Le responsable du traitement doit établir une intention abusive au vu de l’ensemble des circonstances (point 40) et démontrer « de façon non équivoque » que la demande visait, non à prendre connaissance du traitement, mais à « créer artificiellement les conditions requises pour l’obtention d’une réparation » (point 41).
Sont à prendre en compte le fait que les données ont été fournies sans contrainte, le but de cette fourniture, le temps écoulé avant la demande et le comportement de la personne (point 42).
Le fait que des informations publiques décrivent un procédé systématique « peut, certes, être pris en considération afin d’établir des intentions abusives », à condition d’être corroboré par d’autres éléments pertinents (point 43).
La violation du droit d’accès ouvre droit à réparation au titre de l’article 82 (point 55), mais le dommage moral, qui peut consister en une perte de contrôle ou une incertitude, doit avoir été effectivement subi, et le lien de causalité est rompu lorsque le comportement de la personne en est la cause déterminante (points 65 à 67).

Le point 40 : une phrase à ne pas isoler

Une phrase de l’arrêt sera citée par tous les responsables du traitement confrontés à une demande inspirée par un litige. Selon le point 40, l’intention abusive peut être constatée « lorsque cette personne introduit cette demande pour une finalité autre que celle de prendre connaissance du traitement de ces données et d’en vérifier la licéité, afin de pouvoir, par la suite, obtenir une protection des droits qu’elle tire de ce règlement » (15). Isolée, la formule semble viser le salarié licencié qui réclame ses courriels pour contester son licenciement.

Replacée dans l’arrêt, elle ne le vise pas. La Cour exige les deux éléments de l’abus, décrit l’avantage recherché comme un avantage tiré de la réglementation de l’Union elle-même, impose une interprétation stricte et des critères élevés, et cite FT sans s’en écarter (points 22 et 23). Le salarié n’a pas créé le traitement pour pouvoir s’en plaindre : ses données existent parce qu’il a travaillé dans l’entreprise, et c’est son licenciement, non sa demande, qui fonde son action. Brillen Rottler vise la réclamation fabriquée : une relation nouée volontairement, une demande dans les jours qui suivent, un procédé répété auprès de nombreux responsables du traitement. Cette lecture est la nôtre, et les responsables du traitement la contesteront. Le Conseil d’État, qui a jugé l’accès dû dans le cadre d’une enquête interne en s’appuyant sur Addiko Bank, va dans le même sens (5).

La réforme du RGPD : où en est la procédure ?

La Commission a présenté l’omnibus numérique le 19 novembre 2025, dans le cadre de son programme de simplification (2). Ce règlement unique modifierait notamment le RGPD, le règlement applicable aux institutions de l’Union, la directive « vie privée et communications électroniques », le règlement sur les données et la directive NIS 2. Le volet consacré à l’intelligence artificielle, présenté séparément, a été adopté le 29 juin 2026 selon le Conseil (1). Le volet relatif aux données, qui contient les modifications du RGPD, en est là :

10 février 2026 : avis conjoint 2/2026 du Comité européen de la protection des données (CEPD) et du Contrôleur européen de la protection des données (EDPS), hostile notamment à la nouvelle définition des données à caractère personnel et opposé au lien établi entre l’abus du droit d’accès et la finalité de la demande (16).
25 février 2026 : les commissions ITRE et LIBE du Parlement européen, saisies conjointement, désignent Aura Salla (PPE) et Marina Kaljurand (S&D) comme rapporteures (17).
22 juin 2026 : projet de rapport des rapporteures ; les amendements des autres membres sont déposés le 27 juillet (17) (18).
21 octobre 2026 : sous présidence irlandaise, le Coreper arrête le mandat du Conseil, publié le lendemain sous la cote ST 14756/26 (1) (3).

Restent le vote des commissions, l’adoption du mandat du Parlement, puis les trilogues ; au 26 octobre 2026, la fiche de procédure du Parlement indique toujours « Awaiting committee decision » (17). Les négociations ne s’ouvriront qu’une fois le Parlement doté d’une position, et la feuille de route « One Europe, One Market », signée le 24 avril 2026 à Nicosie, prévoit de conclure tous les paquets de simplification d’ici la fin de 2027 (1).

Le calendrier d’application mérite attention. Selon le mandat du Conseil, le règlement entrerait en vigueur le troisième jour suivant sa publication au Journal officiel, et les modifications du RGPD s’appliqueraient dès ce jour, sans période transitoire. Seules font exception les nouvelles règles de notification des violations de données, applicables dix-huit mois plus tard, et la notification par le point d’entrée national, trente mois plus tard (3). Les procédures de traitement des demandes d’accès devraient donc être à jour dès la publication du texte.

Réforme du RGPD : trois textes sur les demandes d’accès abusives

Le mandat du Conseil ne modifie pas l’article 15 lui-même (3). La discussion porte sur l’exception de l’article 12, paragraphe 5, et sur le considérant qui l’accompagne. Le mandat du Conseil n’existe qu’en anglais, et le projet de rapport du Parlement, l’avis conjoint du CEPD et de l’EDPS et le communiqué du Conseil ont été lus dans leur version anglaise : les passages de ces textes cités dans la suite de l’article sont nos traductions.

La proposition de la Commission (novembre 2025)

Critère : le responsable du traitement pourrait exiger des frais ou refuser lorsque les demandes sont manifestement infondées ou excessives, « ou également, lorsqu’il s’agit de demandes au titre de l’article 15, parce que la personne concernée abuse des droits conférés par le présent règlement à des fins autres que la protection de ses données » (2).
Charge de la preuve : allégée. Le responsable du traitement devrait démontrer « que la demande est manifestement infondée ou qu’il existe des motifs raisonnables de croire qu’elle est excessive ». Le considérant justifie cette « charge de la preuve moins lourde » par le fait que l’abus relève du comportement du demandeur.
Considérant 35 : la personne concernée « devrait être aussi précise que possible » et « les demandes trop larges ou génériques devraient également être considérées comme excessives ». Exemples d’abus : provoquer un refus afin d’exiger ensuite une indemnisation, faire un usage excessif du droit d’accès dans la seule intention de nuire, présenter une demande en proposant de la retirer « en échange d’une forme quelconque d’avantage » (2).

Le mandat du Conseil (octobre 2026)

Critère : la référence aux « fins autres que la protection » des données disparaît. Le responsable du traitement pourrait exiger des frais ou refuser, s’agissant d’une demande au titre de l’article 15, « lorsqu’une intention abusive de la personne concernée qui présente ces demandes peut être démontrée » (3).
Charge de la preuve : elle reste sur le responsable du traitement, mais la formule des « motifs raisonnables de croire » est conservée et étendue. Il lui faudrait démontrer que la demande est manifestement infondée ou qu’il existe des motifs raisonnables de croire, « au vu de l’ensemble des circonstances pertinentes de l’espèce », que la demande est excessive ou qu’il existe une intention abusive.
Motivation et frais : le responsable du traitement qui refuse devrait faire connaître ses motifs à la personne concernée, et les frais devraient être proportionnés aux coûts administratifs.
Considérant 35 : des demandes répétées « ne sont pas automatiquement excessives », mais peuvent révéler une intention abusive. Les phrases sur la précision attendue du demandeur et sur les demandes trop larges sont supprimées. Exemples d’intention abusive : des demandes identiques ou très proches, en nombre excessif, dans le seul but de nuire au responsable du traitement ; une demande assortie d’une offre de retrait contre un avantage ; une demande présentée « dans le seul but d’obtenir une indemnisation pour une violation alléguée délibérément provoquée par la personne concernée » ; l’exercice d’un droit destiné à surcharger les autorités publiques, « par exemple en recourant à des agents d’IA pour des demandes automatisées malveillantes ».
Autorités de contrôle : l’article 57, paragraphe 4, serait aligné : la CNIL pourrait elle aussi exiger des frais ou refuser de donner suite à des réclamations lorsqu’une intention abusive peut être démontrée, la charge de la preuve lui incombant. Le nouveau considérant 35 bis répète que des demandes répétées ne sont pas automatiquement excessives.

Le projet de rapport du Parlement européen (juin 2026)

Critère : la référence aux autres finalités est supprimée sans être remplacée dans l’article. Lorsque les demandes sont manifestement infondées ou excessives, le responsable du traitement « donne à la personne concernée le choix » entre le paiement de frais raisonnables et le rejet de sa demande (18).
Charge de la preuve : sur le responsable du traitement, sans la formule des « motifs raisonnables de croire ».
Considérant : l’usage des droits du RGPD « comme levier d’autres droits ou d’autres buts légitimes » ne devrait pas être regardé comme abusif, infondé ou excessif ; le caractère large d’une demande ne la rend pas excessive ; la personne concernée est présumée agir à des fins raisonnables, « sauf si le responsable du traitement démontre sans équivoque une intention abusive ».
Statut : un projet des deux rapporteures, qui n’a pas encore été voté en commission. Leur exposé des motifs indique qu’elles ne jugent ni nécessaire ni proportionné de limiter le droit d’accès pour simplifier le règlement.

La charge de la preuve, véritable enjeu de la négociation

Le CEPD et l’EDPS avaient demandé de rattacher l’abus à une intention abusive, « par exemple l’intention manifeste de nuire au responsable du traitement », plutôt qu’aux finalités de la demande, et de supprimer la phrase sur les demandes trop larges : le Conseil l’a fait. Ils demandaient aussi que l’appréciation soit documentée, que le demandeur puisse apporter des précisions avant un refus, et que les « motifs raisonnables de croire » soient abandonnés au profit de la charge de la preuve actuelle (16). Sur ces trois points, le Conseil ne les a pas suivis : son texte exige seulement que le refus soit motivé.

Notre lecture est la suivante. La Cour de justice, le Conseil et les rapporteures du Parlement s’accordent désormais sur une idée que la Commission avait écartée : la finalité de la demande ne suffit pas, à elle seule, à justifier un refus. Le désaccord porte sur le niveau de preuve. Brillen Rottler exige une démonstration « de façon non équivoque ». Les « motifs raisonnables de croire » du Conseil fixent un seuil plus bas : si la formule est adoptée, les responsables du traitement soutiendront que le législateur a délibérément allégé la preuve. Le projet du Parlement, qui exige une démonstration « sans équivoque », est plus proche de la Cour. C’est cette formule qu’il faudra suivre pendant les trilogues.

Les positions françaises

Le Sénat : un rapport plus restrictif que la résolution

La commission des affaires européennes du Sénat a publié le 13 mai 2026 un rapport d’information de Catherine Morin-Desailly et Karine Daniel intitulé « l’omnibus numérique européen : un risque pour la protection des droits numériques des citoyens ». Sur le droit d’accès, les rapporteures vont pourtant dans l’autre sens : la Commission « aurait pu aller plus loin dans l’encadrement du droit d’accès, dans les cas de demandes manifestement infondées ou excessives », notamment pour les demandes portant sur un volume important de données. Elles relaient l’AFCDP, qui fait état d’usages détournés dans les démarches administratives, et l’Afep, pour qui le droit d’accès « doit être fortement encadré, dans les situations litigieuses », par exemple entre employé et employeur, et ne devrait porter que sur des données, non sur des documents entiers (6).

La résolution européenne n° 144, devenue résolution du Sénat le 19 juin 2026, ne dit rien du droit d’accès. Elle juge les révisions proposées du RGPD « trop substantielles et potentiellement dangereuses », s’oppose à la modification de la définition des données à caractère personnel, demande la suppression des actes d’exécution confiés à la Commission et estime que le transfert des règles sur les cookies dans le RGPD créerait « un double régime dangereux », tout en soutenant l’allongement de 72 à 96 heures du délai de notification des violations. Elle invite le Gouvernement « à faire valoir cette position dans les négociations au Conseil » (19). Sur ces trois derniers points, définition, cookies et 96 heures, le mandat du Conseil va dans le sens demandé par le Sénat.

La CNIL, le Gouvernement et la profession

La CNIL a relayé le 12 février 2026 l’avis conjoint du CEPD et de l’EDPS (20). Nous n’avons pas trouvé de prise de position propre de la CNIL sur le mandat du Conseil. Nous n’avons pas non plus identifié de position publique du Gouvernement sur le volet RGPD de l’omnibus, ni de rapport ou de résolution de l’Assemblée nationale, ni de prise de position du Conseil national des barreaux ou de la Conférence des bâtonniers. Ces silences peuvent évoluer d’ici les trilogues.

Demande d’accès et contentieux : conseils pratiques

Pour le salarié, le patient, l’assuré ou le client qui demande l’accès

Utiliser le droit en vigueur. Aucun motif n’est à donner, et il est inutile d’en avancer un : FT et Addiko Bank protègent la demande destinée à préparer une action. La demande porte sur les données du client, non sur celles d’autrui, que protège l’article 15, paragraphe 4.
Ne jamais lier la demande à une transaction. Une demande assortie d’une offre de retrait contre un avantage figure parmi les exemples d’abus retenus par la Commission comme par le Conseil. La demande d’accès et les pourparlers transactionnels doivent faire l’objet de courriers distincts, sans que l’une soit subordonnée aux autres.
Éviter le profil de la réclamation fabriquée. Le responsable du traitement bâtira son dossier sur les critères du point 42 de Brillen Rottler : données fournies spontanément, délai bref, procédé répété. Une demande née d’une relation réelle de travail, de soins ou de clientèle n’est pas en cause ; une campagne de demandes identiques l’est.
Préciser lorsque c’est utile. Pour les volumes importants, la CNIL admet que l’employeur invite le demandeur à préciser sa demande ; lorsque l’identification des courriels supposerait des recherches intrusives dans les messageries d’autres salariés, un refus de préciser lui permet d’opposer les droits des tiers (9). Indiquer périodes, interlocuteurs et systèmes concernés prive l’employeur de cet argument.
Penser à l’article 145 et à l’article 49. Lorsque des documents entiers sont nécessaires, la mesure d’instruction reste la voie adaptée ; lorsque des données risquent de disparaître, le référé de l’article 49 de la loi Informatique et Libertés permet d’en obtenir la conservation (10).
Préparer sérieusement une demande d’indemnisation. Un refus ou une réponse tardive peut fonder une action au titre de l’article 82, mais le client doit établir un dommage effectivement subi ; une perte de contrôle provoquée par son propre comportement ne sera pas réparée (15).

Pour le responsable du traitement

Ne pas demander pourquoi. L’accès ne peut être subordonné à un motif, et l’existence d’un contentieux n’est pas un motif de refus (9).
Répondre dans le délai et complètement. La meilleure défense contre une action en réparation est une réponse complète dans le mois, ou une prolongation motivée ; c’est l’abstention non motivée qui a valu sa condamnation à l’employeur dans l’affaire jugée le 18 juin 2025 (4).
Occulter avant de refuser. Les droits des tiers justifient l’occultation de leurs données, non un refus global ; la CNIL n’admet le refus que si ces mesures « s’avèrent insuffisantes » (9).
Ne refuser pour abus que sur pièces. Constituer le dossier avant de répondre : conditions et date de collecte des données, délai, demandes identiques adressées ailleurs, offre de retrait contre paiement. Des informations publiques ne suffisent pas sans éléments qui les corroborent. Le refus doit être motivé et mentionner les voies de recours.
Anticiper la CNIL. Un refus expose à une réclamation. Entre janvier et début juillet 2026, la CNIL a prononcé vingt-trois sanctions selon la procédure simplifiée, dont huit pour non-respect des droits d’accès ou d’effacement de plaignants (21).
Penser au second front. Les données communiquées seront lues par l’avocat adverse. La réponse se prépare comme une communication de pièces, avec l’attention due au secret des affaires, aux données de tiers et aux documents couverts par le secret professionnel.

Quand la demande d’accès vise le cabinet

Le cabinet d’avocats est lui-même responsable du traitement. L’adversaire d’un client, un ancien client ou un ancien collaborateur peut lui adresser une demande d’accès, et le dossier contient nécessairement des données sur l’adversaire : conclusions, notes d’entretien, correspondances. L’article 66-5 de la loi du 31 décembre 1971 couvre du secret professionnel, en matière de conseil comme de défense, les consultations, les correspondances entre le client et l’avocat, les correspondances entre avocats à l’exception de celles portant la mention « officielle », « les notes d’entretien et, plus généralement, toutes les pièces du dossier » (22).

Le droit français n’a pourtant pas usé de la faculté ouverte par l’article 23 du RGPD pour articuler ce secret avec le droit d’accès. Les restrictions des articles 49 et 52 de la loi Informatique et Libertés visent les données conservées à des fins statistiques ou de recherche, l’information sur certaines transmissions prévues par le code de la sécurité intérieure, les traitements fiscaux, ceux qui intéressent la sécurité publique et les missions non juridictionnelles des juridictions financières, non les avocats (10) (23). Le secret de l’avocat est certes opposable aux agents de la CNIL lors d’un contrôle, mais cette règle limite les pouvoirs d’enquête de l’autorité, non le droit de la personne concernée (23). Nous n’avons trouvé ni décision ni position de la CNIL sur une demande d’accès adressée par un adversaire à un cabinet.

En l’état, les seuls points d’appui sont donc l’article 15, paragraphe 4, du RGPD, selon lequel le droit d’obtenir une copie « ne porte pas atteinte aux droits et libertés d’autrui », au premier rang desquels ceux du client, et l’article 66-5 (8) (22). À notre avis, le cabinet doit traiter la demande comme toute autre : répondre dans le mois, confirmer le traitement, communiquer ce qui n’est pas couvert par le secret et expliquer ce qu’il retient et sur quel fondement. L’ignorer est la plus mauvaise option : parmi les organismes sanctionnés en 2026 par la CNIL pour ne pas avoir répondu à ses sollicitations lors de l’instruction de plaintes relatives à l’exercice des droits figurent des avocats, frappés d’une amende assortie d’une injonction de répondre aux plaignants (21). L’absence de texte spécifique laisse un risque résiduel qu’aucune jurisprudence française n’a encore levé.

Conseiller sur la réforme

Il serait prématuré de modifier les procédures internes sur le fondement de la proposition de la Commission : le Conseil en a abandonné l’idée centrale, et les rapporteures du Parlement la rejettent aussi. Trois points sont à suivre : le vote des commissions ITRE et LIBE, le sort des « motifs raisonnables de croire » en trilogue et le calendrier d’application. D’ici là, le droit applicable est celui de FT, d’Addiko Bank et de Brillen Rottler.

Les autres modifications du RGPD voulues par le Conseil

Le mandat contient d’autres modifications qui concernent les cabinets, en tant que responsables du traitement, et leurs clients. Toutes expriment la position du Conseil, non le droit applicable.

Données personnelles et pseudonymisation. La Commission voulait relativiser, à l’article 4, point 1, la notion de données personnelles selon les moyens d’identification dont dispose chaque entité. Le CEPD et l’EDPS s’y opposaient (16), et le Conseil « maintient la définition actuelle » (1). Il propose à la place un article 25 bis : des données pseudonymisées ne sont pas des données personnelles pour le tiers qui ne peut identifier la personne, mais le restent pour le sous-traitant et pour tout destinataire capable de la réidentifier (3). C’est en substance l’arrêt du 4 septembre 2025 rendu sur le pourvoi du Contrôleur européen de la protection des données contre le Conseil de résolution unique, selon lequel des données pseudonymisées ne sont pas « en toute hypothèse et pour toute personne » des données à caractère personnel (point 86) (24).
Intelligence artificielle. Un article 88 bis permettrait de fonder sur l’intérêt légitime de l’article 6, paragraphe 1, point f), les traitements liés au développement et à l’exploitation d’un système ou d’un modèle d’IA, avec des garanties, dont le droit d’opposition de l’article 21. Un nouvel article 9, paragraphe 2, point k), encadrerait le traitement résiduel, non recherché, de données sensibles lors du développement et de l’exploitation technique d’un système ou d’un modèle d’IA : effacement sans retard injustifié ou, si c’est techniquement impossible, protection contre leur utilisation pour produire des résultats et contre leur divulgation (3).
Décisions automatisées. Là où la Commission réécrivait l’article 22 sous forme d’autorisation, le Conseil rétablit un droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, avec ses trois exceptions et ses garanties : intervention humaine, droit d’exprimer son point de vue et de contester la décision (3).
Violations de données. Notification des seules violations « susceptibles d’engendrer un risque élevé », dans les meilleurs délais et si possible dans les 96 heures, par un point d’entrée national plutôt que par le guichet unique européen proposé par la Commission ; le CEPD établirait des listes de situations à risque élevé ou non. Ces règles s’appliqueraient dix-huit mois après l’entrée en vigueur (3).
Analyses d’impact. Le CEPD adopterait des listes européennes des traitements qui exigent ou non une AIPD ; les listes nationales, dont celles de la CNIL, resteraient valables jusque-là (3).
Information des personnes. L’obligation d’information de l’article 13 tomberait lorsqu’il existe des motifs raisonnables de croire que la personne connaît déjà l’identité du responsable du traitement et les finalités, et que le traitement n’est pas susceptible d’engendrer un risque élevé, sauf traitements complexes, volumes importants ou données sensibles (3).
Cookies. Le Conseil maintient les règles dans la directive « vie privée et communications électroniques » au lieu de les transférer dans le RGPD, et ajoute des finalités exemptées de consentement, comme la mesure d’audience et la sécurité du terminal (1).

Comment LexVera accompagne ce travail

Une réforme en cours de négociation est le terrain où les réponses juridiques dérapent le plus facilement : un texte en vigueur coexiste avec trois projets qui se ressemblent, et la note qui cite la proposition de la Commission comme s’il s’agissait de l’article 12, paragraphe 5, contient une erreur sur laquelle un client peut agir. LexVera répond à partir des sources officielles et rattache ses réponses aux passages sur lesquels elles reposent : l’avocat qui lit qu’une première demande peut être refusée ouvre le point 41 de Brillen Rottler et y trouve les mots « de façon non équivoque » avant de s’en servir. Lorsqu’un dossier néerlandais dépend d’une date, la législation peut être lue dans sa rédaction applicable à la date des faits.

LexVera couvre le droit néerlandais, le droit de l’Union et la jurisprudence de la Cour européenne des droits de l’homme. Le droit national français, et notamment les décisions de la Cour de cassation et du Conseil d’État ou la loi Informatique et Libertés citées dans cet article, n’entre pas dans son périmètre ; le RGPD et la jurisprudence de la Cour de justice y figurent. Les documents d’un cabinet restent dans son espace de travail, selon les règles d’accès qu’il définit. LexVera aide à préparer ; l’avocat décide de ce qui devient un conseil, selon les principes exposés dans notre politique éditoriale.

Questions fréquentes

Le RGPD a-t-il déjà changé ?

Non. L’omnibus numérique est toujours en cours de procédure législative. Le Conseil a arrêté son mandat de négociation le 21 octobre 2026, mais le Parlement européen n’a pas encore adopté sa position et les trilogues n’ont pas commencé. Tant qu’un règlement n’est pas adopté et publié, le RGPD s’applique dans sa rédaction de 2016, tel que l’interprète la Cour de justice.

Un employeur peut-il refuser une demande d’accès parce que le salarié prépare un contentieux ?

Pas pour ce seul motif. La Cour de justice juge que la personne concernée n’a pas à motiver sa demande et que la copie est due même lorsque la demande poursuit un autre but que la vérification de la licéité du traitement (FT, C-307/22, et ordonnance Addiko Bank, C-312/23). La CNIL précise que l’accès peut être exercé en parallèle d’une procédure prud’homale. Un refus pour abus suppose que l’employeur démontre de façon non équivoque une intention abusive.

Les courriels professionnels d’un salarié entrent-ils dans le droit d’accès ?

Oui. Par un arrêt du 18 juin 2025 (n° 23-19.022), la chambre sociale de la Cour de cassation a jugé que les courriels émis ou reçus par le salarié sur sa messagerie professionnelle sont des données à caractère personnel et que l’employeur doit lui en fournir les métadonnées et le contenu, sauf atteinte aux droits et libertés d’autrui. La CNIL ajoute que les données de tiers doivent d’abord être occultées, le refus n’étant admis que si cela ne suffit pas.

Qu’a jugé la Cour de justice dans l’arrêt Brillen Rottler ?

Le 19 mars 2026 (C-526/24), la Cour a jugé qu’une première demande d’accès peut être refusée comme excessive au titre de l’article 12, paragraphe 5, du RGPD, mais seulement à titre exceptionnel et selon des critères élevés. Le responsable du traitement doit démontrer de façon non équivoque que la demande visait à créer artificiellement les conditions d’une indemnisation, par exemple en s’abonnant à un bulletin d’information pour demander l’accès puis réclamer des dommages-intérêts. Des informations publiques sur un tel procédé peuvent être retenues si d’autres éléments les corroborent.

Que change le mandat du Conseil pour les demandes d’accès ?

Il abandonne la proposition de la Commission qui aurait permis de refuser les demandes présentées à d’autres fins que la protection des données. Le responsable du traitement pourrait exiger des frais ou refuser une demande au titre de l’article 15 lorsqu’une intention abusive de la personne concernée peut être démontrée, en faisant connaître ses motifs. La charge de la preuve lui incombe, mais le Conseil conserve le critère plus souple des motifs raisonnables de croire que la demande est excessive ou abusive.

Un cabinet d’avocats peut-il refuser une demande d’accès de la partie adverse en invoquant le secret professionnel ?

Le droit français ne prévoit pas de restriction spécifique au titre de l’article 23 du RGPD pour les avocats, et aucune décision ni position de la CNIL sur ce cas n’a été identifiée. Les points d’appui sont l’article 15, paragraphe 4, du RGPD, qui protège les droits et libertés d’autrui, dont ceux du client, et l’article 66-5 de la loi du 31 décembre 1971. À notre avis, le cabinet doit répondre dans le mois, communiquer ce qui n’est pas couvert par le secret et motiver ce qu’il retient.

Quand les nouvelles règles s’appliqueraient-elles ?

Seulement après un accord entre le Conseil et le Parlement et la publication du règlement au Journal officiel. Selon le mandat du Conseil, les modifications du RGPD, dont celles relatives aux demandes d’accès, s’appliqueraient dès l’entrée en vigueur, le troisième jour suivant la publication, sans période transitoire. Les règles de notification des violations s’appliqueraient dix-huit mois plus tard. La feuille de route « One Europe, One Market » prévoit de conclure l’ensemble des paquets de simplification d’ici la fin de 2027.

Sources et méthode

Cet article est à jour des textes et documents disponibles au 26 octobre 2026. Les décisions de la Cour de cassation et du Conseil d’État ont été lues dans leur texte intégral sur les sites de ces juridictions ; les articles 49 de la loi n° 78-17 et 66-5 de la loi n° 71-1130 sur Légifrance, les articles 19 et 52 de la loi n° 78-17 dans la version consolidée publiée par la CNIL. Le RGPD, la proposition de la Commission et les arrêts et ordonnance de la Cour de justice sont cités dans leur version française officielle. Le mandat du Conseil n’existe qu’en anglais, et le projet de rapport du Parlement européen, l’avis conjoint du CEPD et de l’EDPS et le communiqué du Conseil ont été lus en anglais : les passages de ces textes cités entre guillemets sont nos traductions. Les rapports et résolutions du Sénat et les publications de la CNIL ont été lus sur les sites de ces institutions. L’interprétation proposée des textes, notamment celle du point 40 de l’arrêt Brillen Rottler et l’articulation du secret professionnel avec le droit d’accès, exprime notre analyse. Il s’agit d’une information professionnelle générale, et non d’un conseil juridique sur une situation déterminée.