Pour une demande de rectification ou une demande d'opposition au traitement, le même délai s'applique que pour une demande d'accès ou une demande de suppression : un mois après la réception. Le RGPD permet de prolonger ce délai de deux mois supplémentaires si la demande est complexe ou si de nombreuses demandes arrivent en même temps, mais vous devez informer la personne concernée au cours du premier mois que vous prolongez et pourquoi.
Ce qui échoue souvent dans la pratique, ce n'est pas le délai lui-même mais le moment où il commence à courir. Pour la rectification et l'opposition, s'ajoute également une question de fond qui ne se pose pas pour une demande d'accès : la demande est-elle justifiée ? L'évaluation de cette question prend du temps et s'inscrit dans le même délai d'un mois.
Ce que mesure exactement le délai
Le mois commence au moment où la demande vous parvient, non pas au moment où vous la reconnaissez comme telle. Un courriel adressé au service clientèle avec « c'est incorrect, corrigez cela » constitue déjà une demande de rectification, même si personne ne l'a enregistrée comme telle. Il en va de même pour une opposition : un client qui écrit « je ne veux plus que vous utilisiez mes données à cette fin » n'est pas obligé de mentionner le mot opposition. Les autorités de surveillance examinent le moment de la réception, non pas celui de la reconnaissance, lors de l'évaluation du traitement d'une demande. Ceux qui ne documentent pas cette distinction perdent souvent des jours avant que la demande ne soit inscrite à l'ordre du jour en tant que demande.
Rectification : souvent rapide, mais sous condition
La correction d'une adresse ou d'un numéro de téléphone est généralement simple et rapide à traiter. Cela devient plus compliqué lorsque la personne concernée prétend qu'une évaluation, une note ou une annotation de dossier est inexacte. Il ne s'agit plus d'une erreur factuelle, mais d'une appréciation substantive qui nécessite une coordination avec la personne qui a rédigé l'annotation. Cette coordination doit se faire en un mois, ce qui n'est possible que si la demande parvient immédiatement à la bonne personne plutôt que de rester avec celui qui a ouvert le courriel par hasard.
Opposition : évaluer, pas accepter automatiquement
Une demande d'opposition au traitement ne doit pas nécessairement être acceptée automatiquement. Le règlement indique qu'une organisation peut évaluer s'il existe des motifs impérieux légitimes de continuer le traitement, par exemple en cas de contrat en cours ou d'obligation légale. Cette évaluation doit être communiquée de façon motivée à la personne concernée, dans le même délai. De nombreuses entreprises sous-estiment le temps que cette justification prend, car elles oublient que dire « non » à une opposition doit être tout aussi fondé que dire « oui ».
Où le délai s'enlise généralement dans la pratique
Dans la plupart des cas, le délai ne s'enlise pas sur le contenu, mais sur trois points identifiables. Le premier est la reconnaissance : la demande n'est pas identifiée comme telle et reste dans une boîte de réception. Le second est la vérification : avant d'adapter des données ou d'arrêter un traitement, vous devez être raisonnablement certain que le demandeur est effectivement la personne concernée, et ce contrôle prend du temps qui n'est pas toujours prévu. Le troisième est la coordination au sein de l'organisation elle-même : un dossier RH ou une évaluation de client ne relève souvent pas d'une seule personne, et sans un interlocuteur fixe, la recherche prend plus de temps que la décision. Un base de connaissances qui explique chaque type de demande séparément aide à faire cette distinction à l'avance plutôt qu'au moment de la première demande.
Qu'est-ce qui compte comme étant traité à temps
Répondre à temps signifie que la personne concernée reçoit une réponse substantielle dans le délai imparti, un refus motivé, ou un message indiquant que le délai est prolongé. Un simple accusé de réception sans contenu ne compte pas comme un traitement de la demande. Précisément parce que la rectification et l'opposition nécessitent souvent une évaluation plus substantielle qu'une demande d'accès, il est judicieux de déterminer au début du mois qui au sein de l'organisation effectuera cette évaluation et sur la base de quelles informations. questions fréquemment posées sur les demandes des personnes concernées fournissent pour chaque situation une réponse courte sur ce qui relève ou non de ce délai.
Qu'une demande concrète soit justifiée et comment vous justifiez un refus est quelque chose qui varie selon la situation et pour laquelle vous consultez un juriste ou l'Autorité de protection des données en cas de doute. Ce que gdpria.eu fait, c'est de surveiller le délai lui-même : dès qu'une demande est enregistrée, le délai s'écoule automatiquement, y compris le moment où une prolongation doit être annoncée. Sur comment ça marche se trouve la logique de ce délai et comment elle est maintenue.
Voulez-vous voir pour votre propre entreprise à quoi ressemble une telle demande en pratique et où vous en êtes ? Le diagnostic rapide gratuit sur gdpria.eu fournit en quelques questions une première indication, et avec un compte professionnel vous documentez le traitement de chaque demande avec le délai correspondant.