RGPD – droit d'accès : dans quel délai l'organisme doit-il répondre ? En vigueur
Faits essentiels
| Point | Valeur |
|---|---|
| Base juridique du droit d'accès | RGPD, article 15 |
| Délai de réponse de principe | Un mois à compter de la réception de la demande |
| Prolongation possible | Deux mois supplémentaires compte tenu de la complexité et du nombre de demandes |
| Information sur la prolongation | Dans le mois suivant la réception, avec les motifs du report |
| Champ d'application du délai | Demandes formulées au titre des articles 15 à 22 du RGPD |
| Information en cas d'absence de suite | Motifs, possibilité de réclamation et recours juridictionnel, dans le délai d'un mois |
| Réclamation en France | Réclamation possible auprès de la CNIL |
| Délai indiqué par la CNIL pour les données de santé | Huit jours maximum |
Ce que permet le droit d'accès
L'article 15 du RGPD permet de demander à un organisme s'il traite des données personnelles vous concernant. Si c'est le cas, vous pouvez obtenir une copie de ces données et les informations prévues par le règlement, notamment les finalités, les catégories de données, les destinataires, la durée de conservation envisagée, l'origine des données lorsqu'elles n'ont pas été collectées auprès de vous et l'existence éventuelle d'une prise de décision automatisée.
Délai de réponse
Le responsable du traitement doit informer la personne des mesures prises dans les meilleurs délais et au plus tard dans le mois suivant la réception de la demande. Le délai concerne les demandes fondées sur les articles 15 à 22 du RGPD.
Il peut être prolongé de deux mois supplémentaires compte tenu de la complexité et du nombre de demandes. Dans ce cas, l'organisme doit informer la personne de la prolongation et de ses motifs dans le délai initial d'un mois.
Refus ou absence de suite
Si le responsable ne donne pas suite, il doit informer la personne, au plus tard dans le mois suivant la réception, des motifs de son inaction et de la possibilité d'introduire une réclamation auprès d'une autorité de contrôle et de former un recours juridictionnel.
En France, une réclamation peut être adressée à la CNIL. Il est utile de conserver la demande initiale et les justificatifs de son envoi.
Gratuité et demandes abusives
L'exercice des droits est en principe gratuit. Lorsque les demandes sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, le responsable peut demander des frais raisonnables ou refuser d'y donner suite, mais il lui appartient de démontrer ce caractère.
Cas particuliers
Des règles sectorielles peuvent prévoir d'autres délais, notamment pour l'accès aux données de santé. La CNIL indique un délai maximal de huit jours pour ces données dans sa fiche destinée aux professionnels.
Sources
- Règlement (UE) 2016/679 – articles 12, 15 et 77: https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32016R0679
- CNIL – Le droit d'accès: https://www.cnil.fr/fr/comprendre-mes-droits/le-droit-dacces-connaitre-les-donnees-quun-organisme-detient-sur-vous
- CNIL – Répondre à une demande de droit d'accès: https://www.cnil.fr/fr/repondre-une-demande-de-droit-dacces
- CNIL – Adresser une plainte: https://www.cnil.fr/fr/adresser-une-plainte