Combien de temps a une entreprise pour répondre aux demandes d’exercice de droits RGPD ?

Lorsqu’une entreprise collecte et traite des données à caractère personnel, le RGPD impose qu’elle réponde sous un mois aux demandes d’exercice des droits^[1] des personnes.

« Le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d’une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande. »

Ce délai peut passer à trois mois si la demande de la personne est complexe ou si elle concerne un grand nombre d’éléments. La personne devra cependant être prévenue sous un mois que le temps de traitement de sa demande est rallongé.

« Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. Le responsable du traitement informe la personne concernée de cette prolongation et des motifs du report dans un délai d’un mois à compter de la réception de la demande. »

L’absence de réponse à une demande d’une personne ou une réponse tardive peut être sanctionnée par les autorités de contrôle, c’est-à-dire la CNIL pour la France. Des sociétés ont déjà été sanctionnées pour un tel manquement, notamment les magasins CARREFOUR^[2], l’opérateur FREE MOBILE^[3] et le fournisseur d’électricité TOTAL ENERGIES^[4], l’hôtelier ACCOR^[5].