Une personne concernée qui demande l'accès, la rectification ou la suppression de ses données a droit à une réponse dans un délai d'un mois à compter de la réception de sa demande. C'est la règle principale du RGPD. S'il s'agit d'une demande complexe ou si vous en recevez plusieurs à la fois, le règlement vous permet de prolonger ce délai de deux mois au maximum — à condition d'informer la personne concernée dans le premier mois et d'expliquer pourquoi.
Dans la pratique, le délai légal n'est rarement le problème. Où les entreprises se heurtent à des difficultés, c'est dans le processus qui précède : déterminer précisément qui demande quelles données, identifier dans quels systèmes ces données se trouvent, et évaluer si des exceptions s'appliquent avant de supprimer ou de communiquer quoi que ce soit. Une entreprise qui n'avait pas mis en place ce processus s'aperçoit que l'horloge tourne déjà depuis une semaine avant que quelqu'un en interne n'ait examiné la demande.
Quand le délai commence-t-il à courir
Le délai débute au moment où la demande vous parvient, non pas au moment où vous la traitez effectivement. Une demande par courrier électronique à une adresse générale, via la réception ou adressée à un collaborateur individuel compte également. Cela signifie qu'une entreprise où de tels messages ne sont pas rapidement transmis à la bonne personne perd du temps qui ne peut pas être rattrapé. Quiconque sait précisément ce qu'est une demande valide et où elle doit arriver gagne ici les premiers jours et les plus importants.
Ce que la prolongation signifie dans la pratique
La possibilité de prolongation n'est pas un blanc-seing pour attendre le moment qui vous convient. Le RGPD lie la prolongation à la complexité de la demande elle-même — par exemple parce que les données sont dispersées sur plusieurs systèmes ou années, ou parce qu'il faut d'abord déterminer si la communication affecte les droits d'autrui. Une demande qui a simplement traîné n'entre pas dans cette catégorie. Les autorités de contrôle et les tribunaux examinent la nature de la demande, non pas la charge de travail.
Où le délai de traitement pose problème dans la pratique
Trois points reviennent constamment. D'abord, le contrôle d'identité : vous devez être raisonnablement certain que vous communiquez les données à la personne concernée, sans demander inutilement des informations complémentaires. Deuxièmement, la dispersion des données sur différents outils SaaS — un CRM, un logiciel comptable, un programme de messagerie — ce qui fait qu'une seule demande touche rapidement plusieurs endroits à la fois. Troisièmement, la question de savoir si les données qui auraient déjà dû être supprimées se trouvent encore quelque part dans une sauvegarde ou un ancien fichier. Ce dernier point est étroitement lié aux délais de conservation qui ne sont pas clairement définis.
Une entreprise qui sait d'avance quelles données personnelles elle traite et où n'a plus besoin de chercher lors d'une demande, mais peut consulter directement. C'est précisément pourquoi un registre des activités de traitement à jour est bien plus qu'une formalité : c'est l'ouvrage de référence qui vous permet de traiter une demande dans le délai imparti au lieu de partir à sa recherche. Dans la banque de connaissances, les sujets sont expliqués par situation, y compris la source dans le texte officiel.
Ce que vous pouvez faire vous-même pour respecter le délai
Documentez qui reconnaît une demande et où elle doit être adressée. Assurez-vous qu'il est clair quelles données se trouvent dans quel outil, afin de ne pas avoir à rechercher à nouveau où chercher à chaque demande. Et mettez en place à l'avance une routine pour le contrôle d'identité, afin qu'elle ne soit pas improvisée au moment où l'horloge tourne déjà. Si vous doutez qu'une demande spécifique relève de la règle principale ou de la prolongation, il est préférable de la soumettre à un juriste ou de vérifier auprès de l'autorité de contrôle.
Le fait qu'un incident relatif à des données soit soumis à obligation de notification est une autre question que le délai pour une demande d'une personne concernée — des règles différentes et une horloge plus courte s'appliquent. Si vous doutez qu'une situation entre dans cette catégorie, vous pouvez la vérifier en quelques questions avec une indication. Comment gdpria.eu lie les délais, les modèles et les rappels par obligation à votre propre registre, vous pouvez le lire sur la page qui explique d'où proviennent les informations.
Voulez-vous savoir comment se présente votre entreprise actuellement, sans que cela ne vous coûte immédiatement quelque chose ? Effectuez le scan rapide gratuit ou lisez les sujets qui semblent les plus adaptés à votre situation via les questions fréquemment posées sur les demandes de personnes concernées.