Le RGPD accorde un mois au responsable de traitement pour repondre a une demande de droit. La regle semble limpide. Pourtant le compteur ne part pas toujours ou vous le pensez, et chaque semaine de retard affaiblit votre position en cas de plainte.
Le delai d’un mois part-il des la reception de la demande ?
Oui. Le point de depart est la reception de la demande, pas le jour ou vous commencez a la traiter. L’article 12 du RGPD pose ce cadre pour tous les droits, du droit d’acces aux donnees a l’effacement.
Le mois se calcule de date a date. Une demande recue le 8 avril impose une reponse au plus tard le 8 mai. Quand le jour equivalent n’existe pas dans le mois, vous glissez au dernier jour de ce mois.
Un doute raisonnable sur l’identite du demandeur change la donne. Vous pouvez reclamer une piece complementaire, et le delai ne court reellement qu’une fois l’identite confirmee. Cette demande doit rester proportionnee, jamais un pretexte pour gagner du temps.
Puis-je prolonger le delai de deux mois ?
Oui, mais sous conditions. Le delai peut passer a trois mois au total lorsque la demande est complexe ou lorsque vous recevez un nombre eleve de demandes simultanees.
La prolongation n’a rien d’automatique. Vous devez informer la personne dans le premier mois, en exposant le motif precis qui la justifie. Sans cette information, la rallonge devient contestable.
Une demande portant sur plusieurs annees et plusieurs sources se qualifie souvent de complexe. Un simple manque de temps ou d’effectif, non. Le tableau ci-dessous resume les cas courants.
| Situation | Delai applicable | Condition |
|---|---|---|
| Demande standard | 1 mois | A compter de la reception |
| Demande complexe ou nombreuse | 3 mois | Information du demandeur sous 1 mois |
| Doute sur l’identite | Suspendu | Jusqu’a verification proportionnee |
| Refus de repondre | 1 mois | Motivation et voies de recours |
Que risque-t-on en cas de reponse tardive ?
L’absence de reponse dans le delai figure parmi les manquements les plus signales a la CNIL. Le silence vaut refus et ouvre a la personne une voie de reclamation, prevue par le regime des droits des personnes.
La CNIL commence souvent par une mise en demeure de repondre. Si l’organisme persiste, une sanction devient possible, avec un plafond theorique eleve prevu par le RGPD pour ce type de manquement.
Au dela du risque financier, un retard nourrit le contentieux. Ce raisonnement rejoint celui du delai de notification d’une violation sous 72 heures : la date de depart decide de tout. En litige salarial ou rupture de contrat, une reponse hors delai se retourne vite contre vous.
Comment tenir le delai sans courir apres le temps ?
La reponse tient moins au droit qu’a l’organisation. Un circuit clair evite l’oubli qui coute cher et securise chaque echeance.
- Datez et accusez reception de chaque demande des son arrivee.
- Identifiez un point de contact unique pour centraliser les demandes.
- Qualifiez la demande sous 48 heures : simple ou complexe.
- Programmez une alerte a J+21 pour securiser l’envoi de la reponse.
- Consignez la demande et la reponse dans un suivi ecrit et date.
Confier ce suivi a un point de contact identifie fiabilise tout le processus. La CNIL detaille les missions et la designation d’un delegue a la protection des donnees, interlocuteur naturel de ces demandes.
Gerer ces delais en interne mobilise du temps et expose a l’oubli qui coute cher. Un DPO externalise qui pilote vos demandes de droits securise chaque echeance et documente vos reponses. Vous gardez la main, sans porter seul la charge du calendrier.
FAQ
Le delai d’un mois compte-t-il les week-ends ?
Oui. Le mois se calcule en jours calendaires, de date a date, sans exclure les samedis, les dimanches ni les jours feries. Une demande recue le 10 juin appelle une reponse au plus tard le 10 juillet. Anticipez donc les periodes de conges qui reduisent vos marges de traitement.
Dois-je repondre meme si je n’ai aucune donnee ?
Oui. Une reponse reste obligatoire dans le delai, meme negative. Vous confirmez alors ne detenir aucune donnee sur la personne. L’absence totale de reponse, elle, est interpretee comme un refus et expose l’organisme a une reclamation aupres de la CNIL.
La prolongation vaut-elle pour tous les droits ?
Oui. L’article 12 du RGPD s’applique a l’ensemble des droits : acces, rectification, effacement, limitation, portabilite et opposition. La possibilite de porter le delai a trois mois vaut donc pour chacun, dans les memes conditions de complexite et d’information prealable du demandeur.
Puis-je facturer une reponse tardive ou repetee ?
La reponse est en principe gratuite. Vous ne pouvez demander des frais que pour des demandes manifestement infondees ou excessives, notamment repetitives. Un retard de votre part ne vous autorise jamais a facturer. Documentez le caractere abusif avant de refuser ou de facturer une demande.
