Exercer son droit d'accès RGPD : comment savoir ce qu'un organisme détient sur moi ?

Mis à jour le 11 septembre 2026Articles de loi vérifiés sur Légifrance

En cas d'usurpation d'identité ou simplement pour vérifier les informations vous concernant, le **droit d'accès RGPD** (Règlement Général sur la Protection des Données) vous permet de demander à un organisme quelles données personnelles il détient sur vous. Ce droit, encadré par les articles 12 et 15 du RGPD, est un outil essentiel pour reprendre le contrôle de vos informations. Voici comment l'exercer de manière efficace et sereine en France.

Pourquoi exercer son droit d'accès RGPD ?

Le droit d'accès RGPD vous permet de **connaître les données personnelles qu'un organisme (banque, administration, site internet, etc.) détient sur vous**. C'est une première étape cruciale si vous suspectez une usurpation d'identité ou si vous souhaitez simplement vérifier l'exactitude des informations vous concernant.

Ce droit est **gratuit** et peut être exercé à tout moment. Il vous permet également de savoir **pour quelles finalités** vos données sont utilisées, **qui y a accès**, et **combien de temps elles sont conservées**. En cas d'erreur ou de données obsolètes, vous pouvez ensuite demander leur correction ou leur suppression (droit de rectification ou d'effacement, articles 16 et 17 du RGPD).

Exercer ce droit est particulièrement utile en cas d'usurpation d'identité, car cela vous permet d'identifier les éventuelles **données frauduleuses** enregistrées à votre insu (ex. : ouverture de comptes, souscription de crédits, etc.).

Cette situation vous concerne ? Le diagnostic gratuit identifie vos démarches et prépare vos courriers, prêts à envoyer.

Diagnostic gratuit

À qui adresser sa demande de droit d'accès ?

Votre demande doit être adressée **directement à l'organisme qui détient vos données**. Il peut s'agir :

- d'une **banque ou d'un établissement financier** (pour vérifier les comptes ou crédits ouverts à votre nom) ;

- d'une **administration** (ex. : CAF, impôts, sécurité sociale) ;

- d'un **site internet ou d'une plateforme en ligne** (réseaux sociaux, sites de e-commerce, etc.) ;

- d'un **employeur ou d'un ancien employeur** ;

- ou de tout autre organisme privé ou public traitant vos données personnelles.

Pour les **banques**, vous pouvez également consulter le **FICOBA** (Fichier national des comptes bancaires et assimilés), géré par la Direction Générale des Finances Publiques (DGFiP), pour obtenir la liste de tous les comptes ouverts à votre nom en France (voir [Service-Public.fr](https://www.service-public.gouv.fr/particuliers/actualites/A18032)).

Que contient une réponse à une demande de droit d'accès ?

L'organisme doit vous fournir une réponse **sous un mois** (délai pouvant être prolongé de deux mois en cas de complexité, article 12 du RGPD). Cette réponse doit inclure :

- **une copie des données personnelles** vous concernant ;

- **les finalités du traitement** (ex. : gestion de compte, prospection commerciale, etc.) ;

- **les catégories de données** concernées (ex. : identité, coordonnées, historique des transactions) ;

- **les destinataires ou catégories de destinataires** (ex. : sous-traitants, partenaires) ;

- **la durée de conservation** des données ou, à défaut, les critères utilisés pour la déterminer ;

- **les droits dont vous disposez** (rectification, effacement, opposition, etc.) ;

- **les coordonnées du délégué à la protection des données (DPO)** de l'organisme, si celui-ci en dispose.

Si l'organisme refuse de répondre ou ne fournit pas une réponse complète, vous pouvez **saisir la CNIL** pour faire valoir vos droits (article 77 du RGPD).

Que faire en cas de données frauduleuses ou inexactes ?

Si vous identifiez des **données frauduleuses** (ex. : un compte bancaire ouvert à votre insu) ou **inexactes** dans la réponse à votre demande, vous pouvez :

- **demander leur rectification ou leur suppression** (articles 16 et 17 du RGPD) ;

- **déposer une plainte** pour usurpation d'identité (article 226-4-1 du Code pénal) ou escroquerie (article 313-1 du Code pénal) ;

- **contester les informations** auprès de l'organisme concerné (ex. : une banque pour un crédit frauduleux) et, si nécessaire, saisir le **médiateur compétent** (ex. : médiateur bancaire, article L316-1 du Code monétaire et financier).

En cas de **crédit frauduleux**, vous pouvez également consulter le **FICP** (Fichier des Incidents de remboursement des Crédits aux Particuliers) pour vérifier si des incidents ont été enregistrés à votre nom (voir [Banque de France](https://www.banque-france.fr/fr/a-votre-service/particuliers/fichiers-incident-bancaire/fichier-incidents-remboursement-credits)).

La démarche, étape par étape

Le parcours en un coup d’œil

Vous
Le point de départ de la démarche.
1
1. Identifier l'organisme détenteur de vos données
Listez les organismes susceptibles de détenir des données vous concernant (banques, administrations, sites internet, etc.). En cas de doute, commencez par ceux avec lesquels vous avez eu des interactions récentes ou ceux qui pourraient être liés à une usurpation d'identité (ex. : une banque où vous n'avez jamais ouvert de compte).
2
2. Rédiger votre demande de droit d'accès
Votre demande doit être **écrite** (courrier ou email) et contenir : - vos **coordonnées complètes** (nom, prénom, adresse, date de naissance) ; - une **copie d'une pièce d'identité** (pour éviter les usurpations) ; - une **description claire de votre demande** (ex. : "Je souhaite exercer mon droit d'accès RGPD pour connaître l'ensemble des données personnelles que vous détenez sur moi."). Un **modèle de courrier** est disponible sur le site de la CNIL : [CNIL - Modèle de demande de droit d'accès](https://www.cnil.fr/fr/agir).
3
3. Envoyer votre demande à l'organisme
Adressez votre demande **par courrier recommandé avec accusé de réception** (pour preuve) ou par email (si l'organisme propose un formulaire en ligne ou une adresse dédiée). Conservez une copie de votre demande et de l'accusé de réception.
4
4. Attendre la réponse de l'organisme
L'organisme dispose d'**un mois** pour répondre à votre demande (délai pouvant être prolongé de deux mois en cas de complexité, article 12 du RGPD). Si vous ne recevez pas de réponse dans ce délai, relancez l'organisme par écrit. En cas de refus ou de silence persistant, vous pouvez **saisir la CNIL**.
5
5. Analyser la réponse et agir si nécessaire
Vérifiez que la réponse contient bien **toutes les informations requises** (voir section "Que contient une réponse à une demande de droit d'accès ?"). Si vous identifiez des **données frauduleuses ou inexactes**, demandez leur **rectification ou suppression** à l'organisme. En cas de refus, vous pouvez **saisir la CNIL** ou engager des démarches judiciaires (plainte pour usurpation d'identité, article 226-4-1 du Code pénal).
6
6. Saisir la CNIL en cas de non-respect de vos droits
Si l'organisme ne répond pas, refuse de répondre ou ne fournit pas une réponse complète, vous pouvez **saisir la CNIL** pour faire valoir vos droits. La CNIL peut enquêter et, le cas échéant, sanctionner l'organisme. Pour saisir la CNIL, utilisez le [formulaire en ligne](https://www.cnil.fr/fr/agir).
L’organisme traite votre demande
Averida suit le délai légal de réponse et génère une relance si personne ne répond.

Averida génère tous vos courriers, prêts à envoyer

Le diagnostic est gratuit et sans inscription : il identifie vos démarches et prépare les bons courriers, prêts à télécharger, imprimer et envoyer.

Lancer mon diagnostic gratuit

Repartez avec un modèle de lettre gratuit

On vous l'envoie par e-mail, prêt à adapter à votre situation. Sans engagement.

On vous envoie ce modèle par e-mail. Averida pourra vous tenir informé de vos démarches ; désinscription sur simple demande.

Questions fréquentes

Le droit d'accès RGPD est-il payant ?

Non, le droit d'accès RGPD est **gratuit**. Cependant, si votre demande est **manifestement infondée ou excessive** (ex. : demandes répétées), l'organisme peut vous facturer des frais raisonnables ou refuser de répondre (article 12 du RGPD).

Combien de temps un organisme a-t-il pour répondre à ma demande ?

L'organisme dispose d'**un mois** pour répondre à votre demande. Ce délai peut être prolongé de **deux mois supplémentaires** en cas de complexité, mais l'organisme doit vous en informer dans le mois suivant votre demande (article 12 du RGPD).

Puis-je exercer mon droit d'accès RGPD pour un proche décédé ?

Non, le droit d'accès RGPD est **personnel** et s'éteint avec le décès. Cependant, les **héritiers** peuvent demander l'accès aux données du défunt dans le cadre de la gestion de la succession, sous certaines conditions (voir [CNIL - Données personnelles et décès](https://www.cnil.fr/fr/donnees-personnelles-et-deces)).

Que faire si un organisme refuse de répondre à ma demande ?

Si un organisme refuse de répondre ou ne fournit pas une réponse complète, vous pouvez : - **relancer l'organisme** par écrit ; - **saisir la CNIL** pour faire valoir vos droits (article 77 du RGPD) ; - **engager des démarches judiciaires** si nécessaire (plainte pour usurpation d'identité, article 226-4-1 du Code pénal).

Puis-je demander la suppression de mes données après avoir exercé mon droit d'accès ?

Oui, si les données détenues par l'organisme sont **inexactes, incomplètes ou obsolètes**, vous pouvez demander leur **rectification** (article 16 du RGPD). Si les données ne sont plus nécessaires ou ont été collectées illégalement, vous pouvez demander leur **effacement** (article 17 du RGPD).