Combien de temps ai-je pour répondre ?

Un mois au plus selon la CNIL. Ce délai peut être prolongé de deux mois pour une demande complexe ou nombreuse, à condition d'en informer la personne dans le premier mois.

Puis-je demander une pièce d'identité ?

Seulement en cas de doute raisonnable sur l'identité de la personne, selon la CNIL. L'identité peut être établie par tout moyen, par exemple un numéro de client.

Répondre à une demande de droit d'accès RGPD : prompts

Quand un client, un ancien salarié ou un prospect vous demande « toutes les données que vous avez sur moi », il exerce son droit d'accès. La CNIL fixe le cadre : réponse dans un mois au plus, gratuite, avec une copie des données et des informations sur leur traitement. Un assistant d'IA aide à organiser la réponse : accuser réception, lister où chercher les données, rédiger le courrier. Il ne doit jamais recevoir les données de la personne elles-mêmes, et il peut se tromper sur une règle : en cas de doute (demande dans un contexte de litige, refus envisagé), faites valider par votre DPO, un juriste ou un avocat.

Les règles de la CNIL, en bref

D'après la page de la CNIL « Comment répondre à une demande de droit d'accès » :

Point	Règle
Délai	Un mois au plus ; prolongation de deux mois possible pour complexité ou volume, en informant la personne dans le premier mois
Identité	Vérifiée seulement en cas de doute raisonnable ; tout moyen possible, comme un numéro de client
Gratuité	La copie est gratuite ; des frais raisonnables seulement pour des copies supplémentaires ou une demande manifestement infondée ou excessive
Contenu	Copie des données, quel qu'en soit le support, plus les informations sur les finalités, catégories de données, destinataires, durées de conservation, droits, source des données, décisions automatisées, garanties de transfert
Tiers	Les données concernant d'autres personnes ne sont pas communiquées ; elles peuvent être masquées
Refus	Possible si la demande est manifestement infondée ou excessive, ou si les données n'existent plus ; le refus est motivé et indique les voies de recours
Forme	Réponse claire ; format électronique courant si la demande est électronique ; transmission sécurisée

La CNIL précise qu'une simple liste de catégories de données ne suffit pas : la personne a droit à une copie.

Étape 1 : l'accusé de réception

Rédige un accusé de réception pour une demande de droit d'accès reçue le [JJ/MM/AAAA] par [courriel / courrier].
Contenu : confirmer la réception, indiquer que nous répondrons dans un délai d'un mois au plus, préciser le contact qui suit la demande.
Si je te signale un doute sur l'identité : [oui / non], ajoute une demande d'élément permettant de confirmer l'identité, sans exiger de pièce d'identité d'emblée.
Ton courtois, huit lignes au plus. Pas de nom de personne : écris [Nom].

Étape 2 : où chercher les données

Mon entreprise : [activité]. La personne est : [client / ancien salarié / prospect / candidat / fournisseur].
Liste tous les endroits où des données la concernant peuvent se trouver : logiciels, messagerie, fichiers partagés, papier, prestataires.
Présente un tableau : emplacement | type de données probable | qui peut l'extraire (fonction) | fait / à faire.
Appuie-toi aussi sur mon registre des traitements si je te le donne : [coller les intitulés des fiches, sans données].

À vérifier dans la réponse :

Les emplacements oubliés le plus souvent y sont : messagerie, sauvegardes, outils de vos prestataires (emailing, prise de rendez-vous), dossiers papier.
Chaque emplacement a un responsable. Le délai d'un mois passe vite.

Étape 3 : la lettre de réponse

Rédige la lettre qui accompagne la copie des données.
Elle doit indiquer, pour chaque traitement concerné : la finalité, les catégories de données, les destinataires, la durée de conservation, la source des données si elles ne viennent pas de la personne, et rappeler ses droits (rectification, effacement, opposition selon les cas) et la possibilité de saisir la CNIL.
Mes informations : [coller les éléments de vos fiches de registre, sans aucune donnée de la personne].
Ton clair, sans jargon. Écris [Nom] et [pièces jointes] là où il faut.

Les données elles-mêmes (exports, copies de courriels, captures d'écran du logiciel) se joignent hors de l'assistant, après avoir masqué les informations concernant d'autres personnes.

Si vous envisagez de refuser

J'envisage de refuser ou de limiter une demande de droit d'accès pour cette raison : [décrire, sans nom].
Liste les questions à poser à mon DPO ou à mon avocat pour savoir si le refus est possible, et les éléments que la CNIL demande de faire figurer dans un refus (motif, voies de recours).
Ne me dis pas si le refus est justifié.

Une demande répétée n'est pas automatiquement excessive, rappelle la CNIL : le temps écoulé et l'évolution des données comptent. Le droit d'accès n'a pas à être motivé par la personne.

Ce que l'assistant ne doit pas voir

Le droit d'accès porte, par définition, sur les données d'une personne précise. Les coller dans un assistant reviendrait à les transmettre à un nouveau destinataire, ce que la demande cherche justement à contrôler. Servez-vous de l'assistant pour la méthode et les courriers, avec [Nom] et des catégories ; faites l'extraction et l'envoi des données dans vos propres outils, par un canal sécurisé comme le recommande la CNIL.