Demandes RGPD répétées : documenter l'excès allégué
Demandes RGPD répétées : analyser les faits, intégrer l'arrêt Brillen Rottler de 2026 et motiver une éventuelle facturation ou un refus.
Une personne écrit chaque semaine au sujet de ses données. Le service estime avoir déjà répondu, mais la dernière copie était incomplète et de nouvelles données ont été ajoutées. Compter les courriels ne permet pas de qualifier une demande d’excessive.
La charge de la preuve incombe à l’organisme
L’Art. 12(5) du RGPD pose la gratuité des mesures prises au titre des droits. Face à une demande manifestement infondée ou excessive, notamment en raison de son caractère répétitif, le responsable du traitement peut demander des frais raisonnables tenant compte des coûts administratifs ou refuser d’agir. Il doit démontrer le caractère manifestement infondé ou excessif. Le chapitre III du RGPD ne fixe aucun nombre de demandes autorisées par année.
Les lignes directrices 01/2022 du CEPD sur le droit d’accès, section 6.2, demandent une appréciation concrète. Une nouvelle demande peut être justifiée par l’évolution des données ou les insuffisances de la réponse précédente. Le volume du dossier n’établit pas, à lui seul, un abus : commencez par organiser la remise sécurisée d’une copie volumineuse.
Intégrer l’arrêt Brillen Rottler du 19 mars 2026
L’arrêt CJUE, C-526/24, Brillen Rottler admet qu’une première demande puisse déjà être excessive dans certaines circonstances. Selon le communiqué de la Cour n° 38/26, l’organisme doit démontrer une intention abusive de créer artificiellement les conditions d’une indemnisation, au lieu de prendre connaissance du traitement et d’en vérifier la licéité. L’ensemble des circonstances importe ; des demandes suivies de réclamations indemnitaires auprès d’autres organismes peuvent être prises en compte.
Cette solution ne crée pas une présomption d’abus dès qu’une personne menace de saisir la CNIL ou demande réparation. Une première demande n’est donc ni automatiquement abusive, ni toujours à l’abri d’une telle qualification. L’article s’appuie ici sur la présentation de l’arrêt par la Cour, sans attribuer de numéro de paragraphe au texte intégral.
Construire une chronologie contradictoire
Avant toute décision défavorable, préparez une fiche qui puisse aussi faire apparaître les éléments favorables au demandeur.
| Question | Pièce ou constat à relever | Erreur à éviter |
|---|---|---|
| Quelle est la demande exacte ? | Droit exercé, données et période visés | Fusionner accès, rectification et plainte dans un compteur |
| Qu’avons-nous déjà remis ? | Réponse datée et contenu effectif | Confondre accusé de réception et réponse complète |
| Qu’est-ce qui a changé ? | Nouvelles opérations, nouveaux destinataires | Présumer que les données sont restées identiques |
| Pourquoi la personne revient-elle ? | Élément manquant ou incompréhensible signalé | Lui reprocher une carence de notre réponse |
| Quels éléments caractérisent l’excès ? | Faits établis, contexte, lien avec la demande | Invoquer seulement un ton désagréable |
| Quels coûts sont pertinents ? | Opérations et temps raisonnablement nécessaires | Facturer une sanction forfaitaire |
| Qui a vérifié l’analyse ? | Avis du DPO si désigné et décision motivée | Laisser un classement automatique décider seul |
Les indicateurs de qualité des réponses aux droits peuvent révéler une cause interne : recherches incomplètes, documents illisibles ou réponses contradictoires. Corriger cette cause est parfois la première action à mener.
Choisir et notifier une réponse défendable
Si les éléments ne suffisent pas, traitez la demande. Lorsqu’une complexité réelle le justifie, examinez la prolongation de délai encadrée par l’Art. 12(3), plutôt que de qualifier artificiellement la demande d’excessive.
Si des frais sont envisagés sur le fondement de l’Art. 12(5)(a), établissez un calcul raisonnable lié aux coûts administratifs concernés. Une grille destinée à décourager les demandes n’est pas un calcul de coûts. Une copie supplémentaire demandée au titre de l’Art. 15(3) relève d’une question distincte.
En cas de refus, l’Art. 12(4) impose d’informer sans tarder, au plus tard dans le mois suivant la réception, des motifs et de la possibilité d’introduire une réclamation et un recours juridictionnel. Conservez les faits et le raisonnement effectivement utilisés. Le guide de réponse au droit d’accès aide à structurer une réponse intelligible.
Ce qu’il faut retenir
- La répétition est un élément d’analyse, pas un seuil automatique de refus.
- L’organisme supporte la preuve du caractère manifestement infondé ou excessif.
- Depuis l’arrêt Brillen Rottler, une première demande peut être abusive dans des circonstances démontrées.
- Motivez les frais ou le refus et respectez les obligations d’information du demandeur.
FAQ
Peut-on refuser après trois demandes dans l’année ?
Le RGPD ne prévoit pas ce seuil. Il faut examiner le contexte, les changements intervenus et la qualité des réponses déjà apportées.
Une personne qui réclame une indemnisation est-elle abusive ?
Pas automatiquement. L’analyse de l’arrêt Brillen Rottler porte sur la démonstration d’une intention abusive de créer artificiellement les conditions d’une indemnisation.
Le temps passé à retrouver les données suffit-il ?
Un coût élevé ne prouve pas seul le caractère excessif. Il peut aussi révéler une mauvaise organisation du responsable du traitement.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.