Demandes d'accès RGPD : noyb démontre que 83,5 % des entreprises violent l'article 15 — et démolit le narratif du Digital Omnibus

Quand les lobbys industriels affirment que les Européens « abusent » du droit d'accès RGPD, noyb répond avec des chiffres. Sur 121 demandes d'accès analysées entre 2018 et 2026, seules 16,5 % ont reçu une réponse satisfaisante. Les 83,5 % restantes ? Incomplètes, partielles ou totalement ignorées. L'enquête publiée le 16 avril 2026 par l'ONG de Max Schrems renverse complètement le récit qui justifie aujourd'hui les coupes du Digital Omnibus dans l'article 15 du RGPD.

Ce qui s'est passé

noyb a passé en revue toutes les demandes d'accès déposées dans le cadre de ses dossiers contentieux depuis l'entrée en vigueur du RGPD. Pour éviter de fausser l'échantillon, l'ONG s'est limitée à deux plaintes maximum par entreprise, aboutissant à un panel final de 121 demandes adressées principalement à des grandes plateformes technologiques.

Le verdict est sévère. 53,7 % des réponses sont incomplètes et près de 30 % restent sans réponse, alors même que le délai légal de 30 jours fixé à l'article 12 du règlement n'a rien d'optionnel. TikTok, AliExpress et WeChat figurent parmi les contrevenants documentés. Le courtier publicitaire Xandr, filiale de Microsoft, a même affiché en 2022 un taux de réponse de 0 % aux demandes d'accès et d'effacement reçues. Aucune de ces entreprises n'est une PME prise au dépourvu : toutes disposent des moyens techniques et juridiques pour automatiser le traitement des demandes.

Pourquoi c'est important — le narratif du Digital Omnibus s'effondre

Cette analyse atterrit au pire moment pour Bruxelles. La Commission européenne pousse depuis plusieurs mois sa proposition Digital Omnibus, présentée comme un exercice de simplification administrative. Parmi les modifications envisagées : restreindre le droit d'accès de l'article 15 aux seules « finalités de protection des données ». Concrètement, un salarié qui demanderait l'historique de ses heures de travail dans le cadre d'un contentieux prud'homal pourrait se voir opposer un refus pour usage « abusif ».

Le lobbying — particulièrement actif côté industrie allemande — invoque depuis des mois cet « abus » supposé du droit d'accès pour justifier la mesure. Sauf que les chiffres de noyb démontrent l'inverse : ce ne sont pas les citoyens qui abusent, ce sont les entreprises qui ne respectent pas la loi. Comme le résume Max Schrems, « la Commission européenne est tombée dans le piège d'un lobbying très abusif ». Cette analyse rejoint celle d'EDRi qui dénonçait l'érosion des droits fondamentaux portée par le texte, et celle plus large sur les menaces que le Digital Omnibus fait peser sur le RGPD, l'ePrivacy et l'AI Act.

L'enquête confirme aussi un point que les DPO connaissent bien : plus de 70 % des délégués interrogés par noyb estiment que les demandes d'accès n'entraînent pas de charge de travail significative. Le récit de la « surcharge administrative » ne tient donc pas.

Ce que ça change pour les organisations

Trois priorités opérationnelles s'imposent aux DPO et responsables conformité dans les prochaines semaines.

1. Auditer immédiatement le taux de complétude des réponses aux demandes d'accès. Combien de demandes reçues sur les 12 derniers mois ? Quel pourcentage a fait l'objet d'une réponse complète dans les 30 jours ? Le contraste avec les 83,5 % de noyb permet de positionner sa propre maturité — et de chiffrer un risque jusqu'ici souvent invisible. Le guide Leto sur l'exercice du droit d'accès détaille les écueils opérationnels les plus fréquents.

2. Documenter la conformité actuelle avant tout changement réglementaire. Si le Digital Omnibus passe, les organisations qui auront déjà industrialisé un traitement complet et traçable des demandes seront mieux armées pour démontrer leur bonne foi face aux autorités, indépendamment du périmètre futur du droit d'accès. Inversement, celles qui se reposent sur la perspective d'un assouplissement futur s'exposent à des sanctions immédiates : noyb continue de déposer des plaintes, et les DPA européennes restent compétentes.

3. Surveiller les négociations Parlement européen / Conseil. Le Digital Omnibus est encore un projet. La résistance grandit, comme en témoigne aussi le précédent recours de noyb contre LinkedIn pour son paywall sur les droits d'accès. Les DPO doivent intégrer le suivi parlementaire dans leur veille trimestrielle et préparer des plans de bascule selon le scénario retenu.

Ce que Leto pense de cette décision

L'étude de noyb fait basculer la charge de la preuve. Pendant deux ans, le débat s'est tenu sur le terrain choisi par les industriels : un droit d'accès « trop coûteux » pour les entreprises. Avec ces 121 dossiers, on bascule sur un terrain factuel — et c'est l'inverse qui apparaît : un droit d'accès massivement bafoué, dont la restriction ne réglerait aucun problème réel mais aggraverait l'asymétrie d'information entre individus et plateformes. Pour les DPO, le message est limpide : continuer à traiter les demandes d'accès comme un exercice de tolérance commerciale, c'est s'exposer demain à des sanctions, et aujourd'hui à un déficit de preuve face à des plaignants de plus en plus structurés. La bonne posture n'est pas d'attendre l'issue du Digital Omnibus, mais d'industrialiser dès maintenant la chaîne de traitement.

Sources : noyb — Digital Omnibus Reality Check