« Je souhaite obtenir une copie de toutes les données que vous détenez sur moi. » Cette phrase, de plus en plus fréquente, correspond à l'exercice du droit d'accès prévu par le RGPD. Pour un cabinet d'avocats, la demande a une particularité : le dossier client mêle souvent des données personnelles du demandeur à des éléments couverts par le secret professionnel ou concernant des tiers. Voici comment traiter ces demandes sans les subir dans l'urgence.
Que recouvre exactement le droit d'accès RGPD ?
L'article 15 du RGPD confère à toute personne le droit d'obtenir du responsable de traitement la confirmation que ses données personnelles sont ou non traitées, ainsi que l'accès à ces données et à un ensemble d'informations associées : finalités du traitement, catégories de données concernées, destinataires, durée de conservation envisagée, existence d'autres droits (rectification, effacement, réclamation auprès de la CNIL).
Pour un cabinet d'avocats, ce droit peut être exercé par un client actuel, un ancien client, mais aussi — c'est un point souvent négligé — par une partie adverse ou un tiers dont des données figurent dans un dossier, dès lors que le cabinet les a traitées en tant que responsable de traitement.
💡 Bon à savoir : le droit d'accès ne se limite pas à une confirmation générale. La personne peut demander une copie effective des données, dans un format compréhensible.
Quels sont les délais à respecter ?
Le RGPD fixe un cadre précis, que le cabinet doit intégrer à son organisation interne :
1 mois
Délai de principe pour répondre, à compter de la réception de la demande
+2 mois
Prorogation possible si la demande est complexe ou nombreuse, avec information du demandeur dans le mois initial
Gratuit
Aucun frais ne peut être demandé, sauf demandes répétées ou manifestement excessives
⚠️ Attention : le délai court à compter de la réception effective de la demande, pas à compter du moment où le dossier est confié à la personne qui va la traiter en interne. Un accusé de réception daté, même informel, permet d'éviter toute contestation sur ce point de départ.
Le cabinet peut-il refuser ou limiter la communication ?
C'est la question la plus délicate pour un avocat, car le dossier client contient rarement des données concernant uniquement le demandeur. Le RGPD permet un refus ou une limitation motivée dans certaines situations :
Motifs de limitation légitimes
- → Atteinte aux droits et libertés d'un tiers (autre partie, témoin)
- → Atteinte à la stratégie ou aux intérêts de la défense en cours
- → Données couvertes par le secret professionnel d'un tiers
- → Demande manifestement infondée ou excessive
Ce que le refus ne peut pas être
- → Une réponse automatique sans analyse du dossier concerné
- → Un refus total lorsqu'une communication partielle est possible
- → Une absence de réponse pure et simple
- → Un motif non documenté en cas de contestation ultérieure
En pratique, un refus doit toujours être motivé et documenté, et se limiter strictement à ce qui protège effectivement le tiers ou la stratégie de défense concernée — le reste des données doit être communiqué. C'est une analyse au cas par cas du dossier, pas une politique uniforme de refus.
Droit d'accès et secret professionnel : deux logiques à ne pas confondre
Le secret professionnel protège les échanges entre l'avocat et son client — il ne s'oppose pas à ce que le client accède à ses propres données. En revanche, il peut justifier de ne pas communiquer au demandeur des éléments concernant un tiers présents dans le même dossier, ou des correspondances entre confrères couvertes par la confidentialité. La difficulté pratique consiste précisément à isoler ces éléments plutôt qu'à opposer un refus global au nom du secret professionnel.
Le process en 5 étapes pour traiter une demande
1. Accuser réception et vérifier l'identité du demandeur
Le RGPD autorise à demander des éléments raisonnables pour s'assurer de l'identité de la personne, en particulier en cas de doute (dossier sensible, demande inhabituelle).
2. Identifier précisément le périmètre de la demande
S'agit-il d'un dossier précis, de l'ensemble des échanges avec le cabinet, ou d'une demande générale ? Un échange avec le demandeur permet souvent de préciser utilement le périmètre.
3. Analyser le dossier pour distinguer les données communicables
Séparer les données personnelles du demandeur des éléments concernant des tiers ou relevant strictement de la stratégie de défense.
4. Préparer la réponse et motiver toute limitation
La réponse doit inclure la copie des données communicables et, le cas échéant, une explication claire des raisons de toute limitation appliquée.
5. Conserver une trace complète du traitement de la demande
Date de réception, analyse effectuée, réponse envoyée : cette trace protège le cabinet en cas de réclamation ultérieure auprès de la CNIL.
Que faire en cas de demande manifestement abusive ?
Certaines demandes, notamment de la part d'une partie adverse en plein contentieux, peuvent viser davantage à obtenir des informations sur la stratégie du cabinet qu'à exercer un droit légitime. Le RGPD permet de qualifier une demande de manifestement infondée ou excessive — en particulier en cas de répétition rapprochée sans justification nouvelle — et d'y opposer un refus motivé ou de facturer des frais raisonnables.
⚠️ À retenir : qualifier une demande d'abusive doit rester l'exception, motivée et documentée. Une utilisation trop large de cette exception expose le cabinet à une contestation devant la CNIL.
Ce sujet complète les recommandations pratiques présentées dans notre guide RGPD cabinet d'avocats 2026 et rejoint les principes évoqués dans notre article sur la vérification des conflits d'intérêts, où la question de la séparation entre plusieurs parties d'un même dossier se pose de façon similaire.
Chez NetJuris
Une organisation documentaire claire par dossier facilite l'identification rapide des données concernées par une demande de droit d'accès, dans le respect des délais imposés par le RGPD. Découvrez nos fonctionnalités ou nos tarifs.
FAQ
Un ancien client peut-il exercer son droit d'accès plusieurs années après la clôture ?
Oui, tant que le cabinet conserve encore des données le concernant. C'est une raison supplémentaire de documenter clairement les durées de conservation appliquées à chaque dossier.
Le cabinet doit-il communiquer les notes personnelles de l'avocat ?
Les notes strictement internes, relevant de l'élaboration de la stratégie de défense, peuvent généralement être exclues de la communication si leur divulgation porterait atteinte à cette stratégie. Cette appréciation doit rester motivée au cas par cas.
Que faire si la demande porte sur un dossier impliquant plusieurs clients du cabinet ?
Il convient d'isoler les données propres au demandeur des données concernant les autres personnes impliquées, en s'assurant qu'aucune information relative aux tiers ne soit communiquée sans base légale.
Une réponse tardive expose-t-elle le cabinet à une sanction automatique ?
Un dépassement du délai n'entraîne pas de sanction automatique, mais expose à une réclamation du demandeur auprès de la CNIL, qui peut ensuite engager une procédure de contrôle si la réponse ne suit pas.
Un mandataire (avocat confrère, curateur) peut-il exercer ce droit au nom du client ?
Oui, sous réserve de justifier d'un mandat ou d'un pouvoir de représentation valable. Le cabinet doit vérifier ce pouvoir avant de communiquer la moindre donnée, exactement comme il vérifierait l'identité du client lui-même.
Publié le 2026-04-01. Contenu informatif destiné aux professionnels du droit ; il ne constitue pas une consultation juridique. Pour toute analyse relative à une demande précise, référez-vous à l'article 15 du RGPD et aux ressources de la CNIL.