La copie d'un historique de conversation se demande en un mois

Un historique de conversation écrite, un journal de consommation de crédit, un enregistrement d’appel : ces pièces, conservées par le service, sont souvent les seules à pouvoir établir ce qui a été dit, facturé ou promis. Le principe du droit d’accès aux données personnelles est acquis. Ce qui fait la différence en pratique, c’est la manière de le mettre en œuvre : à qui écrire, quoi demander, dans quel délai attendre une réponse, et que faire si elle ne vient pas.

À qui adresser la demande

La demande s’adresse au responsable du traitement, c’est-à-dire à l’entité qui détermine pourquoi et comment les données sont traitées. Sur un service de consultation, c’est en général l’éditeur du site ou de l’application, identifié dans ses mentions légales et dans sa politique de confidentialité.

La politique de confidentialité doit indiquer les coordonnées du responsable du traitement et, lorsqu’il en a désigné un, celles de son délégué à la protection des données. C’est l’adresse à privilégier : une demande envoyée au service client général reste valable, mais elle risque d’être traitée comme une réclamation commerciale.

Sur une plateforme où les consultants exercent de façon indépendante, la question peut se poser de savoir qui détient quoi. L’historique conservé sur les serveurs de la plateforme relève de celle-ci ; des notes éventuellement tenues par un consultant pour son propre compte relèvent de lui.

Ce que la demande doit viser

Une demande utile désigne précisément ce qui est recherché, sans avoir à se justifier. Le règlement n’impose aucun motif.

• l’historique complet des conversations écrites associées au compte ;
• les enregistrements ou transcriptions d’appels, s’il en existe ;
• le journal des consommations et des débits imputés sur le compte ;
• les informations prévues par l’article 15, paragraphe 1 : finalités, destinataires, durée de conservation, source des données lorsqu’elles n’ont pas été collectées auprès de la personne.

Préciser la période concernée et l’identifiant du compte évite une réponse partielle au motif d’une demande trop vague.

La forme de la demande

Le règlement n’impose aucune forme. Une demande peut être présentée par courriel, par courrier, par un formulaire mis à disposition par le service ou depuis l’espace client. Le choix du support a toutefois une incidence directe sur ce qui suit : c’est lui qui permettra d’établir la date de réception, donc le point de départ du délai, et le contenu exact de ce qui a été demandé.

Une demande utile tient en quelques lignes. Elle indique qu’elle est présentée au titre de l’article 15 du règlement, identifie le compte concerné, énumère les données recherchées, précise la période et demande une réponse sous forme électronique. Une copie de l’envoi, conservée avec sa date, suffit à en garder la trace. Un appel au service client, même suivi d’une promesse de transmission, ne laisse aucune de ces traces.

Le délai : un mois, prolongeable

L’article 12, paragraphe 3, du règlement (UE) 2016/679 impose au responsable du traitement de fournir les informations sur les mesures prises à la suite de la demande dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de sa réception.

Le même paragraphe permet de prolonger ce délai de deux mois supplémentaires, compte tenu de la complexité et du nombre de demandes. La prolongation n’est pas automatique : le responsable doit en informer la personne dans le délai d’un mois initial, en indiquant les motifs du report.

Le point de départ est la réception de la demande. Un envoi qui permet d’établir cette date, courriel conservé ou lettre recommandée, n’est pas une exigence du texte, mais il rend le délai vérifiable.

La gratuité et ses limites

L’article 12, paragraphe 5, pose le principe de la gratuité. Le responsable du traitement ne peut exiger un paiement, ou refuser de donner suite, que si la demande est manifestement infondée ou excessive, notamment en raison de son caractère répétitif. C’est à lui de démontrer ce caractère.

L’article 15, paragraphe 3, prévoit la fourniture d’une copie des données. Pour toute copie supplémentaire, des frais raisonnables fondés sur les coûts administratifs peuvent être exigés. Lorsque la demande est présentée par voie électronique, les informations sont fournies sous une forme électronique d’usage courant, sauf demande contraire.

La vérification d’identité

L’article 12, paragraphe 6, permet au responsable du traitement, lorsqu’il a des doutes raisonnables sur l’identité de la personne qui présente la demande, de demander les informations supplémentaires nécessaires pour la confirmer.

La vérification doit rester proportionnée. Une demande envoyée depuis l’adresse électronique associée au compte, ou depuis l’espace client lui-même, permet en général d’identifier la personne sans exiger davantage. La CNIL rappelle que la demande systématique d’une pièce d’identité n’est pas justifiée lorsque l’identité peut être établie autrement.

Les réponses qui ne suffisent pas

Réponse reçue	Ce qu’en dit le règlement
Aucune réponse au bout d’un mois, sans annonce de prolongation	Le délai de l’article 12, paragraphe 3, est dépassé
Refus sans motif	L’article 12, paragraphe 4, impose d’indiquer les motifs et la possibilité de saisir l’autorité de contrôle
Frais demandés pour une première copie	Contraire au principe de gratuité, sauf demande manifestement infondée ou excessive
Résumé au lieu d’une copie	L’article 15, paragraphe 3, prévoit la fourniture d’une copie des données
Copie partielle, sans explication	Une limitation doit être justifiée

Le refus au nom des droits d’autrui

L’article 15, paragraphe 4, précise que le droit d’obtenir une copie ne porte pas atteinte aux droits et libertés d’autrui. Un historique de conversation contient, par construction, les messages d’une autre personne : le consultant.

Cette limite justifie, le cas échéant, l’occultation de données propres à ce tiers, comme ses coordonnées personnelles. Elle ne justifie pas le refus de communiquer l’ensemble de l’échange, dont les messages adressés au demandeur se rapportent aussi à lui. Un refus total fondé sur ce seul motif mérite d’être contesté.

Quand les données n’existent plus

Le responsable du traitement peut répondre qu’il ne détient plus les données, parce que leur durée de conservation est écoulée. La réponse est recevable si elle correspond à la durée annoncée dans la politique de confidentialité. Une suppression intervenue après la réception de la demande pose une autre question, qui relève de la CNIL.

La CNIL, en dernier ressort

L’article 77 du règlement ouvre à toute personne le droit d’introduire une réclamation auprès d’une autorité de contrôle. En France, il s’agit de la CNIL, qui propose un formulaire de plainte en ligne. La plainte est plus efficace lorsqu’elle est accompagnée de la demande initiale, de sa date et des échanges qui ont suivi.

La plainte à la CNIL vise le respect du droit d’accès ; elle ne tranche pas le litige commercial. Les pièces obtenues servent ensuite dans la réclamation au service ou devant le médiateur. La page sur le choix entre chat et téléphone montre pourquoi ces pièces pèsent autant selon le canal utilisé.

Où vérifier

Les articles 12, 15 et 77 du règlement (UE) 2016/679 sont consultables sur cnil.fr et sur EUR-Lex. Les paragraphes 3 à 6 de l’article 12 et les paragraphes 3 et 4 de l’article 15 ont été relus le 15 septembre 2026.

La CNIL publie des fiches pratiques sur l’exercice du droit d’accès, des modèles de courrier et son formulaire de plainte en ligne.

Relevé effectué le 15 septembre 2026.