{"id":13318,"date":"2026-03-19T13:18:55","date_gmt":"2026-03-19T13:18:55","guid":{"rendered":"https:\/\/www.cranium.eu\/can-you-reject-a-gdpr-access-request-prove-it\/"},"modified":"2026-04-02T13:45:43","modified_gmt":"2026-04-02T12:45:43","slug":"peut-on-refuser-une-demande-dacces-rgpd","status":"publish","type":"post","link":"https:\/\/www.cranium.eu\/fr\/peut-on-refuser-une-demande-dacces-rgpd\/","title":{"rendered":"Peut-on refuser une demande d’acc\u00e8s RGPD ? Prouvez-le !"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Introduction<\/h2>

L’affaire C-526\/24 Brillen Rottler aborde un sujet br\u00fblant en mati\u00e8re de la vie priv\u00e9e (surtout si vous suivez le package Digital Omnibus), \u00e0 savoir quand une demande d’acc\u00e8s faite en vertu du RGPD franchit la ligne de l’abus, et ce que les responsables du traitement peuvent faire \u00e0 ce sujet.\u00a0<\/p>

Le diff\u00e9rend est survenu apr\u00e8s qu’une personne se soit abonn\u00e9e \u00e0 la newsletter d’un opticien, puis ait soumis peu apr\u00e8s une demande d’acc\u00e8s fond\u00e9e sur l’Article 15. Le responsable du traitement a refus\u00e9 d’agir, argumentant que la demande faisait partie d’une strat\u00e9gie abusive, d\u00e9clenchant d\u00e9lib\u00e9r\u00e9ment des infractions au RGPD afin de r\u00e9clamer une indemnisation. La cour allemande a demand\u00e9 \u00e0 la CJUE de clarifier jusqu’o\u00f9 les responsables du traitement peuvent aller pour contrer un tel comportement, et si un refus de se conformer \u00e0 l’Article 15 peut justifier une demande de dommages et int\u00e9r\u00eats.<\/p>

Contexte<\/h2>

Article 15 du RGPD : droit d’acc\u00e8s<\/span><\/h3>

L’Article 15 du RGPD donne \u00e0 la personne concern\u00e9e le droit de savoir si le responsable du traitement traite ses donn\u00e9es personnelles et, le cas \u00e9ch\u00e9ant, d’obtenir l’acc\u00e8s \u00e0 ces donn\u00e9es et \u00e0 des informations sur la mani\u00e8re dont elles sont trait\u00e9es. Dans Brillen Rottler<\/strong>, l\u2019Article 15 est le point de d\u00e9part de l\u2019ensemble du litige. La personne concern\u00e9e s’est abonn\u00e9e \u00e0 la newsletter de l’entreprise et, 13 jours plus tard, a soumis une demande d’acc\u00e8s.<\/p>

Le responsable du traitement a jug\u00e9 cela excessif et a refus\u00e9 de s’y conformer. Cette affaire ne porte pas sur l’existence du droit d’acc\u00e8s, mais sur la question de savoir si, dans ce contexte concret, le responsable du traitement pourrait l\u00e9galement refuser d’agir sur la demande parce qu’il la consid\u00e9rait comme abusive ou excessive.<\/p>

Article 12(5) du RGPD \u2013 demandes manifestement infond\u00e9es ou excessives<\/span><\/h3>

L’article 12(5) du RGPD constitue la principale d\u00e9fense du responsable du traitement dans cette affaire. Elle stipule qu’en principe, les informations et actions entreprises en vertu des articles 15 \u00e0 22 doivent \u00eatre fournies gratuitement. Mais lorsqu’une demande est manifestement infond\u00e9e ou excessive, notamment parce qu’elle est r\u00e9p\u00e9titive, le responsable du traitement peut soit facturer des honoraires raisonnables, soit refuser d’agir. La charge de la preuve incombe au responsable du traitement.<\/p>

Le responsable du traitement a refus\u00e9 la demande d’acc\u00e8s au motif qu’il consid\u00e9rait la demande comme abusive. Selon le responsable du traitement, la personne concern\u00e9e s’abonnait d\u00e9lib\u00e9r\u00e9ment \u00e0 des services puis d\u00e9posait des demandes d’acc\u00e8s dans le but de d\u00e9clencher des infractions au RGPD et de r\u00e9clamer des dommages et int\u00e9r\u00eats. Bien que ce f\u00fbt la premi\u00e8re demande de la personne concern\u00e9e, le responsable du traitement l\u2019a tout de m\u00eame jug\u00e9e excessive.<\/p>

Ce qui soul\u00e8ve une question importante : l’intention de la personne concern\u00e9e compte-t-elle pour d\u00e9terminer si une demande est excessive ?<\/p>

Article 82 du RGPD : indemnisation<\/span><\/h3>

L’article 82 du RGPD \u00e9tablit le droit \u00e0 une indemnisation pour les dommages r\u00e9sultant d’une infraction au RGPD. Toute personne subissant un dommage mat\u00e9riel ou non mat\u00e9riel en cons\u00e9quence a le droit de recevoir une compensation du responsable du traitement ou du sous-traitant responsable.<\/p>

Cette disposition est devenue l’un des principaux moteurs de l’application priv\u00e9e du RGPD. Les individus combinent de plus en plus les demandes de donn\u00e9es avec des demandes de dommages et int\u00e9r\u00eats. Au cours des derni\u00e8res ann\u00e9es, la CJUE a clarifi\u00e9 plusieurs aspects de cette disposition, notamment les conditions pour un dommage non mat\u00e9riel et l’exigence d’un lien de causalit\u00e9 entre la violation et le dommage.<\/p>

Dans le pr\u00e9sent cas, l’individu a non seulement maintenu la demande d’acc\u00e8s, mais a \u00e9galement r\u00e9clam\u00e9 une indemnisation de 1 000 EUR pour dommages non mat\u00e9riels, argumentant que le refus de la soci\u00e9t\u00e9 de se conformer \u00e0 l’Article 15 violait le RGPD et que cette infraction lui avait caus\u00e9 un pr\u00e9judice.<\/p>

Pertinence<\/h2>

Bien que la base de l’affaire soit simple, les implications vont bien plus loin. Puisque les personnes concern\u00e9es exercent de plus en plus (de bonne ou mauvaise foi) leurs droits (par exemple dans un contexte professionnel, des litiges de consommation, etc.), les responsables du traitement ne savent souvent pas exactement quand une demande peut \u00eatre refus\u00e9e parce qu\u2019elle est excessive.<\/p>

Sur cette base, les demandes d’indemnisation fond\u00e9es sur le RGPD sont \u00e9galement en hausse. La culture de l\u2019indemnisation varie selon les \u00c9tats membres, mais l’incertitude juridique affecte partout les responsables du traitement et les personnes concern\u00e9es. Plus de clart\u00e9 sur ce sujet serait b\u00e9n\u00e9fique pour les deux parties.<\/p>

D\u00e9cision de la CJUE<\/h2>

La Cour a pr\u00e9cis\u00e9 que l’Article 12(5) du RGPD ne se limite pas aux demandes r\u00e9p\u00e9t\u00e9es. Bien que la disposition mentionne des requ\u00eates \u00ab r\u00e9p\u00e9t\u00e9es \u00bb \u00e0 titre d\u2019exemple, cela n\u2019est qu\u2019illustratif, ce qui signifie qu’un responsable du traitement peut consid\u00e9rer m\u00eame une premi\u00e8re demande d’acc\u00e8s comme excessive, \u00e0 condition que les bonnes conditions soient remplies.<\/p>

Le droit d’acc\u00e8s n’est pas absolu : le consid\u00e9rant 4 du RGPD pr\u00e9cise qu’il doit \u00eatre mis en balance avec d’autres droits fondamentaux, conform\u00e9ment au principe de proportionnalit\u00e9. Alors, que signifie \u00ab excessif \u00bb dans ce contexte ?<\/p>

Qu’est-ce qu’un abus de droits ?<\/span><\/h3>

Le point de d\u00e9part de la Cour est un principe fondamental : les personnes ne peuvent pas abuser du droit de l’UE pour obtenir un avantage injuste. Une demande peut \u00eatre qualifi\u00e9e d’\u00ab excessive \u00bb au sens de l’article 12(5) du RGPD si elle constitue essentiellement un abus du droit d’acc\u00e8s. Pour qualifier une demande de cette fa\u00e7on, le responsable du traitement doit prouver deux \u00e9l\u00e9ments :<\/p>

  1. La partie objective<\/strong> : en examinant tous les faits, la demande n’a en r\u00e9alit\u00e9 pas \u00e9t\u00e9 faite pour la raison pour laquelle le droit d’acc\u00e8s existe, m\u00eame si elle coche toutes les cases formelles sur le papier.<\/li>
  2. La partie subjective <\/strong>: la personne a d\u00e9lib\u00e9r\u00e9ment orchestr\u00e9 la situation pour pouvoir invoquer le RGPD et en tirer un avantage.<\/li><\/ol>

    En r\u00e9sum\u00e9, une demande est abusive si la personne ne cherchait pas r\u00e9ellement \u00e0 savoir comment ses donn\u00e9es sont utilis\u00e9es ou \u00e0 v\u00e9rifier si elles sont trait\u00e9es l\u00e9galement. Au lieu de cela, ils utilisaient la demande pour, par exemple, monter une demande d’indemnisation contre le responsable du traitement.<\/p>

    Que devrait faire un responsable du traitement ?<\/span><\/h3>

    La charge de la preuve incombe au responsable du traitement.<\/p>

    Pour refuser ou facturer une demande au motif qu\u2019elle est excessive, le responsable doit d\u00e9montrer sans ambigu\u00eft\u00e9 que la personne concern\u00e9e a soumis la demande d’acc\u00e8s afin de cr\u00e9er artificiellement les conditions n\u00e9cessaires \u00e0 l’obtention d’une indemnisation, plut\u00f4t que pour un objectif l\u00e9gitime de protection des donn\u00e9es.<\/p><\/blockquote>

    C’est un seuil tr\u00e8s \u00e9lev\u00e9 \u00e0 atteindre pour le responsable du traitement.\u00a0 Les facteurs pouvant \u00e9tayer cette conclusion incluent :<\/p>

    • Un tr\u00e8s court d\u00e9lai entre l’inscription \u00e0 une activit\u00e9 de traitement et le d\u00e9p\u00f4t d’une demande ;<\/li>
    • La personne concern\u00e9e a un historique de demandes similaires aupr\u00e8s de plusieurs responsables du traitement (comme dans cette affaire) ;<\/li>
    • La demande s’inscrit dans un litige plus vaste en cours, sans lien avec la protection des donn\u00e9es.<\/li><\/ul>

      Conclusion<\/h2>

      Ce jugement apporte davantage de clart\u00e9. La Cour a confirm\u00e9 qu’une seule demande peut \u00eatre excessive, ce qui signifie que les responsables du traitement ne sont pas impuissants face \u00e0 ce qui semble \u00eatre un comportement de mauvaise foi, m\u00eame s’il s’agit d’une premi\u00e8re demande.<\/p>

      En pratique, le seuil reste \u00e9lev\u00e9. Les responsables du traitement ont besoin de preuves concr\u00e8tes pointant vers un motif cach\u00e9 et doivent documenter ces preuves avec soin avant de refuser d’agir.<\/p>

      La le\u00e7on plus g\u00e9n\u00e9rale est que le RGPD ne peut pas \u00eatre utilis\u00e9 comme une arme, mais prouver les abus au cas par cas reste une t\u00e2che difficile pour les responsables du traitement. Cette d\u00e9cision change peu la pratique quotidienne mais elle confirme que la porte n’est pas compl\u00e8tement ferm\u00e9e et que, dans des circonstances tr\u00e8s sp\u00e9cifiques et bien document\u00e9es, le refus est juridiquement d\u00e9fendable.<\/p>



      <\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t","protected":false},"excerpt":{"rendered":"

      Introduction L’affaire C-526\/24 Brillen Rottler aborde un sujet br\u00fblant en mati\u00e8re de la vie priv\u00e9e (surtout si vous suivez le package Digital Omnibus), \u00e0 savoir quand une demande d’acc\u00e8s faite en vertu du RGPD franchit la ligne de l’abus, et ce que les responsables du traitement peuvent faire \u00e0 ce sujet.\u00a0 Le diff\u00e9rend est survenu […]<\/p>\n","protected":false},"author":2,"featured_media":13234,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"content-type":"","footnotes":""},"categories":[61],"tags":[66],"post_folder":[],"class_list":["post-13318","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blogpost-fr","tag-protection-de-la-vie-privee"],"acf":[],"_links":{"self":[{"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/posts\/13318","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/comments?post=13318"}],"version-history":[{"count":0,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/posts\/13318\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/media\/13234"}],"wp:attachment":[{"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/media?parent=13318"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/categories?post=13318"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/tags?post=13318"},{"taxonomy":"post_folder","embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/post_folder?post=13318"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}