Demande d'accès RGPD après un refus ou un ghosting : le guide du développeur (2026)

Une demande d’accès au titre du RGPD est une demande écrite, en vertu de l’Article 15 du Règlement (UE) 2016/679, demandant à une organisation de confirmer si elle traite tes données personnelles et de te fournir une copie ainsi que les informations environnantes. Si une entreprise t’a rejeté, ou est restée silencieuse après ton dernier entretien, elle détient probablement encore ton CV, tes coordonnées et ses notes internes te concernant, et tu es en droit de demander à les consulter. Si elle les a supprimées, elle doit tout de manière égale confirmer si elle traite des données te concernant.

TL;DR :

• Accès (Art. 15) : tu obtiens une copie de tes données ainsi que les finalités, les catégories, les destinataires, la durée de conservation prévue, la source des données et toute information relative à une décision automatisée.
• Effacement (Art. 17) : tu peux demander à l’entreprise de supprimer tes données quand, par exemple, elles ne sont plus nécessaires aux finalités pour lesquelles elles ont été collectées ou si elles ont été traitées de manière illicite. Il existe des exceptions, notamment pour les réclamations juridiques.
• Délai (Art. 12(3)) : un mois à compter de la réception, prolongeable de deux mois supplémentaires seulement si l’entreprise te justifie la raison dans le premier mois.
• Coût (Art. 12(5)) : gratuit, à moins que la demande ne soit manifestement infondée ou excessive.
• Aucune raison nécessaire, aucun formulaire requis : l’EDPB le précise explicitement dans ses lignes directrices sur le droit d’accès.

Pourquoi un développeur prendrait la peine de le faire

Un e-mail de refus ne te dit généralement rien. Un “ghosting” t’en dit encore moins. Une demande d’accès est l’un des rares outils qui oblige une entreprise à produire quelque chose de concret : ce qu’elle a enregistré à ton sujet, d’où elle l’a obtenu et avec qui elle l’a partagé.

Les raisons pour lesquelles on en envoie réellement une :

• Tu veux savoir ce que l’entreprise a conservé de tes entretiens, y compris les notes d’évaluation internes et tout système de notation.
• Tu soupçonnes qu’un filtre automatisé t’a rejeté et tu veux savoir si l’entreprise déclare avoir pris une décision automatisée (Art. 15(1)(h)).
• Tu as envoyé un CV, un test technique ou un portfolio et tu veux t’assurer qu’il ne reste pas stocké indéfiniment dans une base de données.
• Tu veux que l’entreprise supprime tout après un processus de recrutement raté.

Aucune de ces raisons ne nécessite de justification. Les Lignes directrices 01/2022 de l’EDPB stipulent que la personne concernée n’a pas à donner de motifs pour une demande d’accès, et qu’il n’appartient pas au responsable du traitement d’évaluer si la demande va t’aider (EDPB, Guidelines 01/2022 on data subject rights, right of access, version 2.1, adopted 28 March 2023).

Étape 1 : détermine qui est le responsable du traitement

Ce droit s’exerce contre le responsable du traitement, l’organisation qui décide de la finalité et des modalités du traitement de tes données. Pour une candidature directe, il s’agit généralement de l’employeur auquel tu as postulé. Si tu as postulé via un recruteur ou une plateforme de recrutement, il peut y avoir plus d’une partie concernée, et un sous-traitant peut répondre au nom du responsable du traitement si le contrat entre eux le prévoit (comme l’explique l’autorité espagnole, l’AEPD, sur sa page relative à l’exercice des droits).

Cherche la politique de confidentialité sur la page carrière de l’entreprise. En vertu des Articles 13 et 14, l’avis doit nommer le responsable du traitement et, le cas échéant, fournir les coordonnées du délégué à la protection des données (DPO). L’Art. 38(4) précise que les personnes concernées peuvent contacter le DPO pour toute question relative au traitement et à l’exercice de leurs droits ; l’adresse du DPO, s’il y en a un, est donc un bon endroit pour envoyer ta demande.

Les lignes directrices de l’EDPB précisent qu’il n’y a pas de format obligatoire et que tu n’es pas obligé d’utiliser le propre canal de demande de l’entreprise : tu peux envoyer ta demande à un point de contact officiel du responsable du traitement. Elles précisent également qu’un responsable du traitement n’est pas tenu de répondre aux demandes envoyées à des adresses totalement aléatoires ou manifestement erronées. Utilise le contact dédié à la confidentialité, le DPO ou le contact recrutement mentionné dans la politique de confidentialité, et non la boîte de réception d’un employé au hasard.

Étape 2 : rédige ta demande

Fais court, avec tout ce dont l’entreprise a besoin dès le premier écran :

1. Qui tu es, avec assez de détails pour te retrouver : nom complet, l’adresse e-mail avec laquelle tu as postulé, le poste et les dates approximatives.
2. Ce que tu demandes : la confirmation de savoir si l’entreprise traite tes données personnelles, une copie de celles-ci, et les informations énumérées à l’Art. 15(1)(a) à (h) et, le cas échéant, à l’Art. 15(2).
3. La base juridique : Art. 15 GDPR, avec le délai d’un mois prévu par l’Art. 12(3).
4. Un format privilégié : puisque tu envoies la demande par voie électronique et que tu ne demandes rien d’autre, l’Art. 15(3) précise que la copie doit être fournie sous une forme électronique couramment utilisée.
5. Une date : inscris la date à laquelle tu l’envoies et conserve une preuve d’envoi et, si tu le peux, une preuve de réception (un accusé de lecture, un numéro de ticket ou un accusé de réception), car le délai court à partir de la réception par l’entreprise.

Ce que l’Art. 15(1) précise que tu peux obtenir, sous forme de checklist à copier dans ta demande :

Élément Art. 15	Ce qu’il faut demander
(a)	Les finalités du traitement
(b)	Les catégories de données personnelles
(c)	Les destinataires ou les catégories de destinataires, y compris dans des pays tiers
(d)	La durée de conservation prévue, ou les critères utilisés pour la déterminer
(e)	Tes droits de rectification, d’effacement, de limitation et d’opposition
(f)	Ton droit d’introduire une réclamation auprès d’une autorité de contrôle
(g)	La source des données, lorsqu’elles n’ont pas été collectées auprès de toi
(h)	L’existence d’une prise de décision automatisée, y compris le profilage, en vertu de l’Art. 22(1) et (4), ainsi que des informations utiles sur la logique impliquée, ainsi que son importance et ses conséquences pour toi

L’élément (g) est important si un recruteur t’a trouvé sur un profil public ou si un tiers a transmis ton CV. L’élément (h) est celui à inclure si tu soupçonnes l’utilisation d’un outil de filtrage.

L’AEPD publie un formulaire pour le droit d’accès (lié depuis sa page sur le derecho de acceso), qui est utile comme modèle même si ta demande s’adresse à une entreprise située dans un autre État membre.

Étape 3 : comprendre le délai d’un mois

L’Article 12(3) est la phrase qui importe. Le responsable du traitement doit te fournir des informations sur les mesures prises concernant ta demande sans retard injustifié et, en tout état de cause, dans un délai d’un mois à compter de la réception. Ce délai peut être prolongé de deux mois supplémentaires si nécessaire, en tenant compte de la complexité et du nombre de demandes, et le responsable doit t’informer de la prolongation, avec les motifs, au cours du premier mois.

Deux conséquences pratiques :

• Le compte à rebours commence à la réception, et non le jour où tu estimes que tu aurais dû avoir un retour. Conserve l’e-mail envoyé ou l’accusé de réception.
• Le silence ne constitue pas une prolongation. Une prolongation n’est valable que si l’entreprise t’en a informée, avec les motifs, au cours du premier mois. L’Art. 12(4) précise que si le responsable décide de ne pas agir du tout, il doit te dire pourquoi dans un délai d’un mois, et t’informer de ton droit de porter plainte auprès d’une autorité de contrôle et de former un recours juridictionnel.

L’Art. 12(6) permet à l’entreprise de demander des informations complémentaires si elle a des doutes légitimes sur ton identité. Les lignes directrices de l’EDPB précisent qu’une telle demande doit être proportionnée. Si tu reçois une réponse te demandant une pièce d’identité, ne donne que ce qui est raisonnablement nécessaire et rien de plus.

Étape 4 : décide si tu dois demander l’effacement

L’Article 17 te donne le droit de voir tes données effacées sans retard indu lorsqu’un des motifs énumérés s’applique. Pour un candidat refusé, les motifs les plus susceptibles de s’appliquer sont que les données ne sont plus nécessaires aux fins pour lesquelles elles ont été collectées (Art. 17(1)(a)), ou qu’elles ont fait l’objet d’un traitement illicite (Art. 17(1)(d)). Si l’entreprise s’est appuyée sur ton consentement pour te maintenir dans un vivier de talents et que tu le retires, l’Art. 17(1)(b) s’applique lorsqu’il n’existe aucun autre fondement juridique.

Ce droit n’est pas absolu. L’Art. 17(3) énumère des exceptions, notamment lorsque le traitement est nécessaire à la constatation, à l’exercice ou à la défense de droits en justice (Art. 17(3)(e)). Une entreprise peut invoquer cela lorsqu’elle détient des comptes rendus d’entretien, mais l’exception ne couvre que ce qui est réellement nécessaire pour une action en justice, et seulement aussi longtemps qu’une telle action peut encore être intentée. Elle doit néanmoins te dire ce qu’elle fait et pourquoi, en respectant les mêmes délais de l’Art. 12, car l’Art. 12(3) s’applique aux demandes relevant des Arts. 15 à 22.

L’ordre est important. Si tu envoies une demande d’effacement en même temps qu’une demande d’accès, l’entreprise peut traiter l’effacement en premier, et les données que tu voulais voir pourraient alors avoir disparu. (L’EDPB précise qu’un responsable de traitement ne doit pas supprimer de données pour éviter de répondre à une demande d’accès, et dans son propre exemple relatif aux candidatures, précise que l’accès vient en premier et la suppression ensuite ; Guidelines 01/2022, para. 39.) Pour ne prendre aucun risque, fais l’une des deux choses suivantes :

• Envoie la demande d’accès en premier et la demande d’effacement après avoir reçu la réponse, ou
• Demande les deux dans un seul message et précise que la copie au titre de l’Art. 15 doit être fournie avant que l’effacement ne soit effectué.

Il s’agit d’un conseil pratique, et non de quelque chose que le Règlement exige : cela découle du fait que l’effacement supprime la matière même qu’une demande d’accès te montrerait.

Étape 5 : quand l’entreprise ne répond pas, ou répond mal

Si le délai d’un mois (ou une prolongation dont on t’a informé) est passé, un court rappel factuel citant la date de réception et l’Art. 12(3) est la première étape habituelle.

Ce rappel est une séquence pratique, et non une condition juridique préalable. L’Art. 77(1) te donne le droit de déposer une plainte auprès d’une autorité de contrôle, en particulier dans l’État membre de ta résidence habituelle, de ton lieu de travail ou du lieu de l’infraction présumée. L’autorité doit t’informer de l’avancement et de l’issue de la plainte, y compris de la possibilité d’un recours juridictionnel (Art. 77(2)). Si l’autorité ne traite pas la plainte ou ne t’informe pas dans un délai de trois mois, l’Art. 78(2) te donne le droit à un recours juridictionnel effectif contre l’autorité.

L’EDPB répertorie les autorités nationales de l’UE et de l’EEE, avec des liens, sur sa page « Our members ». En Espagne, cette autorité est l’AEPD.

Éléments à inclure dans une plainte : les dates, une copie de ta demande, la preuve de sa réception, toute réponse reçue et les éléments manquants que tu attendais au titre de l’Art. 15(1).

Articles connexes

• Comment repérer une offre d’emploi fantôme en 2026
• Ta candidature a été passée au crible par une IA : ce que les candidats de l’UE peuvent faire
• Tu as le droit de savoir qu’une IA t’interviewe

FAQ

Combien de temps une entreprise a-t-elle pour répondre à une demande d’accès RGPD ?

Un mois à compter de la réception de la demande (Art. 12(3) RGPD). Le responsable du traitement peut prolonger ce délai de deux mois supplémentaires si nécessaire, mais il doit t’informer de la prolongation et des raisons de celle-ci au cours du premier mois.

Dois-je expliquer pourquoi je veux mes données ?

Non. Les Lignes directrices 01/2022 de l’EDPB précisent que la personne concernée n’a pas à fournir de motifs et que le responsable du traitement ne doit pas évaluer si la demande va t’aider.

Une entreprise peut-elle me facturer une demande d’accès ?

Pas normalement. L’Art. 12(5) stipule que les informations et les actions prévues par les Arts. 15 à 22 sont gratuites. Des frais raisonnables ou un refus ne sont possibles que si la demande est manifestement infondée ou excessive, et c’est au responsable du traitement qu’incombe la charge de le prouver. Le responsable du traitement peut facturer des frais raisonnables pour des copies supplémentaires (Art. 15(3)).

Dois-je demander l’accès et l’effacement dans le même e-mail ?

Il est plus prudent de demander l’accès en premier. Si tu veux les deux en même temps, précise explicitement que la copie doit être fournie avant que les données ne soient supprimées.

Que faire si l’entreprise ignore ma demande ?

Envoie un court rappel en citant la date de réception et l’Art. 12(3). Tu peux déposer une plainte auprès d’une autorité de contrôle à tout moment en vertu de l’Art. 77, en pratique avec ta demande initiale et la réponse manquante ou inadéquate.

Sources

• Règlement (UE) 2016/679 (GDPR), Journal officiel, Art. 12, 13, 14, 15, 17, 38(4), 77 et 78 — https://eur-lex.europa.eu/eli/reg/2016/679/oj
• European Data Protection Board, Lignes directrices 01/2022 sur les droits des personnes concernées, droit d’accès, version 2.1, adoptée le 2<0xC2>8 mars 2023 — https://www.edpb.europa.eu/documents/guideline/guidelines-012022-on-data-subject-rights-right-of-access_en
• Mêmes lignes directrices, PDF — https://www.edpb.europa.eu/system/files/documents/2023-04/edpb_guidelines_202201_data_subject_rights_access_v2_en.pdf
• European Data Protection Board, Nos membres (autorités de contrôle nationales) — https://www.edpb.europa.eu/about-edpb/our-members_en
• Agencia Española de Protección de Datos, Ejerce tus derechos — https://www.aepd.es/derechos-y-deberes/ejerce-tus-derechos
• Agencia Española de Protección de Datos, Derecho de acceso — https://www.aepd.es/derechos-y-deberes/conoce-tus-derechos/derecho-de-acceso
• Agencia Española de Protección de Datos, Formulario para el ejercicio del derecho de acceso — https://www.aepd.es/documento/formulario-derecho-de-acceso.pdf

Cet article décrit les règles générales de l’UE en matière de protection des données à titre informatif. Il ne s’agit pas d’un conseil juridique. La manière dont une demande est traitée dépend du responsable du traitement, de l’État membre et de tes propres faits ; si tu es en litige, parle à un avocat ou à ton autorité nationale de protection des données.

Une demande d’accès est plus facile quand tu peux préciser quelle entreprise, quel rôle et quand. Si tu postules auprès de nombreuses entreprises, Xeito conserve un enregistrement par candidature avec le nom de l’entreprise, l’un des sept statuts (intéressé, postulé, entretien téléphonique, entretien technique, entretien sur place, offre, refusé) et des notes en texte libre, et il enregistre la date de candidature lorsque tu marques un emploi comme postulé via Xeito. Il ne génère pas et n’envoie pas de demandes d’accès ou de suppression ; c’est un registre de tes propres candidatures, pas un outil juridique.