Pour répondre à une demande de droit d’accès RGPD, une PME doit pouvoir retrouver les données personnelles du demandeur, les vérifier et les communiquer dans un format compréhensible. Le délai de principe est d’un mois à compter de la réception de la demande, selon les articles 12 et 15 du RGPD. Un bouton d’export dans le CRM ne suffit donc pas nécessairement.
Quand les informations sont réparties entre ERP, messagerie, logiciel métier et prestataires SaaS, la difficulté devient opérationnelle. Ce guide explique comment organiser la réponse, identifier les adaptations utiles et choisir entre procédure manuelle, connecteur et développement spécifique.
Quelles PME sont concernées par le droit d’accès RGPD ?
Une PME établie en France qui traite des données personnelles entre dans le champ du RGPD, indépendamment de sa taille. La CNIL précise que le règlement concerne les organisations publiques et privées, quels que soient leurs effectifs.
Le droit d’accès ne concerne pas uniquement les particuliers achetant sur un site e-commerce. Dans une entreprise B2B, les coordonnées nominatives d’un interlocuteur professionnel constituent aussi des données personnelles. Les demandes peuvent notamment provenir de clients, prospects, salariés ou candidats, comme l’illustrent les lignes directrices du Comité européen de la protection des données.
Commencez par distinguer deux rôles. Pour son propre fichier commercial, une PME est généralement responsable du traitement. Un éditeur SaaS qui héberge et traite des données pour ses clients peut agir comme sous-traitant pour ces traitements. La qualification dépend des décisions réellement prises sur les finalités et les moyens, pas seulement du contrat, rappelle la CNIL dans sa fiche sur les responsabilités.
Cette distinction détermine qui prépare la réponse et qui la valide. Un prestataire technique ne doit pas improviser une communication directement au demandeur sans avoir clarifié son rôle.
À partir de quand faut-il être prêt à répondre ?
Le droit d’accès est une obligation déjà applicable : il ne faut pas attendre une nouvelle réforme pour organiser son traitement. Pour une PME, l’échéance opérationnelle commence à la réception d’une demande, avec une réponse attendue dans les meilleurs délais et, en principe, sous un mois.
Une prolongation de deux mois supplémentaires est possible lorsque la complexité ou le nombre de demandes le justifie. L’entreprise doit alors informer la personne des raisons de cette prolongation pendant le premier mois. Ce mécanisme n’est pas un délai supplémentaire automatique, comme le précise la fiche explicative de la CNIL.
Pour votre organisation interne, prévoyez une marge avant l’échéance : collecte, examen des documents, validation et remise prennent chacun du temps. Les développements destinés à faciliter les prochaines demandes ne remplacent pas le traitement de celle qui vient d’arriver.
Ce guide traite du régime général. Les demandes relevant de dispositifs sectoriels, notamment l’accès au dossier médical, nécessitent une vérification complémentaire des règles applicables.
Que faut-il communiquer au demandeur ?
La réponse comprend une copie des données personnelles concernées et des informations sur leur traitement. Renvoyer uniquement vers une politique de confidentialité ne répond pas à une demande portant sur les données effectivement détenues.
Selon l’article 15 du RGPD, la réponse doit notamment couvrir :
- les finalités du traitement et les catégories de données ;
- les destinataires auxquels les données ont été ou seront communiquées ;
- la durée de conservation ou ses critères de détermination ;
- les droits de rectification, d’effacement, de limitation et d’opposition, ainsi que la possibilité de réclamation ;
- les informations disponibles sur l’origine des données lorsqu’elles ne viennent pas du demandeur ;
- le cas échéant, les informations relatives aux décisions automatisées et aux garanties encadrant certains transferts internationaux.
Le droit porte sur les données, pas sur la remise systématique de tous les documents. Toutefois, des extraits ou des documents entiers peuvent être nécessaires pour fournir une reproduction fidèle et intelligible. La synthèse de jurisprudence publiée par la CNIL explicite cette nuance.
Conséquence pratique : préparez un dossier lisible, avec des intitulés compréhensibles et le contexte utile. Une colonne intitulée « statut_7 » sans explication n’aide pas la personne à comprendre ses informations.
Organiser le traitement d’une demande en six étapes
1. Centraliser la réception sans imposer un parcours unique
Une demande peut arriver au support, aux ressources humaines ou à un commercial. La CNIL recommande de prévoir des procédures pour faire remonter les demandes au bon interlocuteur. Votre formulaire dédié doit faciliter l’exercice du droit, pas devenir un passage obligé.
Notre recommandation : créez une fiche de suivi avec la date de réception, le périmètre demandé, le responsable du dossier, l’échéance, les contributeurs et l’état d’avancement. Désignez également un suppléant pour éviter qu’une absence bloque la réponse.
2. Vérifier l’identité de manière proportionnée
Ne demandez pas systématiquement une copie de carte d’identité. Selon la doctrine de la CNIL sur l’identification du demandeur, une pièce supplémentaire se justifie en cas de doute raisonnable. Les vérifications dépendent notamment du contexte et de la sensibilité des informations.
Prévoyez plusieurs parcours : demande depuis un compte authentifié, adresse déjà connue, ancien salarié ou mandataire. Documentez le contrôle retenu sans transformer chaque demande en collecte excessive de justificatifs.
3. Rechercher dans les sources pertinentes
Construisez une cartographie de recherche plutôt qu’une liste générale de logiciels. Pour chaque source, identifiez le propriétaire métier, les critères de recherche et le moyen d’extraction.
| Source à examiner | Points de contrôle proposés | Préparation utile |
|---|---|---|
| CRM | Coordonnées, historique, commentaires, anciennes adresses | Recherche multicritère et export individuel |
| ERP et facturation | Contacts, adresses, commandes et pièces associées | Extraction ciblée sans données d’autres clients |
| Support et messagerie | Tickets, échanges et pièces jointes pertinents | Recherche documentée et revue humaine |
| Logiciel RH | Candidature, dossier salarié, évaluations | Accès restreint aux contributeurs habilités |
| Application métier | Interventions, notes, fichiers et historiques | Identification des tables et documents liés |
Pour vos tests, utilisez des situations révélatrices : changement d’adresse électronique, doublon CRM, compte clôturé et document contenant plusieurs personnes. Ces essais permettent d’évaluer votre couverture sans attendre une demande réelle.
4. Relire les résultats et protéger les tiers
Un export brut peut contenir les données d’autres personnes. Le droit d’accès doit être concilié avec leurs droits et libertés. Concernant les salariés et les courriels, la CNIL détaille les précautions de recherche et de communication.
Prévoyez une étape de masquage et une validation avant transmission. Conservez séparément le résultat brut et la copie préparée pour le demandeur. Ne supprimez pas un document entier par facilité si un extrait contextualisé permet de répondre correctement.
5. Préparer une remise sécurisée
Pour les transmissions, la CNIL recommande notamment le chiffrement des pièces sensibles et la communication des secrets par un canal distinct. Un fichier chiffré et son mot de passe dans le même courriel ne constituent donc pas une bonne conception du parcours.
Selon votre contexte, privilégiez un espace authentifié ou un téléchargement à durée limitée. Vérifiez l’adresse de destination et prévoyez une solution alternative si le demandeur ne peut pas utiliser votre portail.
6. Clôturer avec une trace proportionnée
Pour piloter le processus, nous conseillons de conserver les éléments utiles : périmètre recherché, sources consultées, arbitrages, version transmise et preuve d’envoi. Définissez une durée adaptée pour ces traces et pour les fichiers temporaires, plutôt que de conserver indéfiniment chaque export.
Après chaque dossier, relevez les difficultés réutilisables : recherche impossible, extraction incomplète, prestataire lent ou document difficile à masquer. Ce sont les meilleurs candidats pour votre prochain chantier technique.
Quels changements prévoir dans le CRM, l’ERP et le site ?
La priorité n’est pas nécessairement de remplacer vos logiciels. Commencez par vérifier si les fonctions existantes permettent une recherche complète, une extraction ciblée et une validation maîtrisée.
Pour un projet d’adaptation d’ERP ou de CRM, nous recommandons de cadrer ces fonctions :
- une recherche par plusieurs identifiants, avec confirmation des rapprochements ambigus ;
- un export individuel incluant les données liées et les pièces pertinentes ;
- un dictionnaire traduisant les codes techniques ;
- une gestion distincte des droits de recherche, de préparation et d’envoi ;
- une traçabilité des opérations et un nettoyage des fichiers temporaires.
Sur le site, privilégiez un contact clairement identifiable et un acheminement fiable vers le bon service. Dans un logiciel métier sur mesure, prévoyez la recherche dans les historiques et les documents, pas seulement dans la fiche principale.
Si vous utilisez des prestataires SaaS comme sous-traitants, vérifiez leur procédure d’assistance. L’aide au traitement des demandes d’exercice des droits fait partie des obligations décrites par la CNIL pour la relation de sous-traitance. Précisez dans vos échanges le canal de saisine, les formats disponibles et le délai opérationnel attendu.
Exemple fictif : une PME de maintenance utilise un CRM commercial et une application terrain. Un export CRM retrouve les coordonnées du client, mais pas les notes des techniciens. Le chantier utile consiste à rechercher aussi les interventions liées, puis à faire valider les extraits avant remise. Une refonte complète de l’ERP serait disproportionnée si cette lacune peut être corrigée localement.
Combien coûte l’adaptation des outils au droit d’accès RGPD ?
Le coût dépend du nombre de sources, des possibilités d’export et du travail de revue. Une procédure outillée peut suffire pour un périmètre simple ; une extraction transversale devient pertinente lorsque la recherche manuelle est difficile à fiabiliser.
Les montants suivants sont des enveloppes de cadrage purement indicatives, à confirmer après examen des outils. Ce ne sont ni des moyennes de marché ni des tarifs Novane. Ils excluent notamment les abonnements, l’accompagnement juridique et les migrations lourdes.
| Option | Périmètre envisagé | Enveloppe indicative HT |
|---|---|---|
| Adapter l’existant | Procédure, suivi des demandes, paramétrage et exports déjà disponibles | 1 000 à 4 000 € |
| Développer un connecteur ciblé | Extraction depuis quelques sources accessibles, assemblage et contrôle | 4 000 à 12 000 € |
| Créer un module transversal | Recherche multisource, habilitations, validation, remise et journalisation | 12 000 à 30 000 €, voire davantage |
Une solution du marché peut également gérer le suivi, les modèles de réponse et les échéances. Avant de souscrire, demandez une démonstration avec vos sources réelles : un outil de gestion des demandes ne sait pas nécessairement extraire les données de votre application interne.
Les principaux facteurs de coût sont les interfaces indisponibles, les identifiants incohérents, les pièces non structurées et la complexité des validations. Comparez aussi le coût récurrent : abonnement, maintenance des connecteurs, temps de revue et assistance des prestataires.
Les erreurs qui fragilisent la réponse
- Confondre export technique et réponse complète. Vérifiez le contenu et le contexte, pas seulement la présence d’un fichier.
- Chercher uniquement par adresse électronique actuelle. Testez également les anciens identifiants et les comptes fusionnés.
- Laisser chaque équipe répondre séparément. Centralisez la validation pour éviter les contradictions et les envois multiples.
- Automatiser l’envoi avant la revue. Pour démarrer, automatisez plutôt la collecte et la préparation.
- Inventer une durée de conservation dans le courrier. Faites vérifier l’information par le responsable du traitement concerné.
Autre confusion à éviter : le droit d’accès n’entraîne pas automatiquement l’effacement des données. Une demande combinant accès et suppression appelle des analyses distinctes. La CNIL présente ces droits comme des mécanismes différents.
Pour valider vos adaptations, formalisez des scénarios et des résultats attendus. Notre guide sur la recette d’une application web peut aider à structurer cette vérification avec les équipes métier.
Questions fréquentes
Faut-il répondre si aucune donnée n’a été retrouvée ?
Oui. L’article 15 prévoit le droit d’obtenir confirmation que des données sont ou ne sont pas traitées. Une recherche sans résultat doit donc déboucher sur une réponse, conformément au texte du RGPD.
Peut-on facturer le temps consacré à la première copie ?
La première copie est gratuite. Des frais raisonnables peuvent être demandés pour une copie supplémentaire, dans les conditions rappelées par la CNIL sur la gratuité du droit d’accès. Le temps passé par vos équipes ne justifie pas, à lui seul, une facturation.
Un fichier destiné à changer de logiciel suffit-il pour répondre ?
Pas nécessairement. Le droit à la portabilité et le droit d’accès n’ont pas le même périmètre. Certaines données non portables restent communicables au titre de l’accès, explique la CNIL dans sa présentation de la portabilité.
Peut-on refuser une demande formulée pendant un litige ?
Le contexte contentieux ne suffit pas, à lui seul, à écarter le droit d’accès. Les limites doivent être examinées et justifiées, notamment au regard des droits des tiers. La fiche de la CNIL sur les salariés et les courriels apporte des précisions utiles.
Commencer par tester votre capacité de réponse
Avant d’acheter un outil, simulez une demande sur un dossier de test. Identifiez ce que vos équipes savent retrouver, ce qui manque et ce qui exige une intervention technique. Vous disposerez alors d’un périmètre concret pour adapter vos outils au droit d’accès RGPD.
Vous hésitez entre paramétrage, connecteur et module spécifique ? La séance de consulting IT offerte par Novane permet de faire le point sur vos outils, de clarifier les blocages et de cadrer les évolutions à envisager, en complément de votre analyse juridique.
