Quel est le délai de réponse à une demande d’accès aux données personnelles ?

Selon les lignes directrices 01/2022 du CEPD sur le droit d’accès, le délai court dès que la demande parvient au responsable du traitement par l’un de ses canaux officiels. Il n’est pas nécessaire que quelqu’un l’ait déjà lue. La personne peut utiliser les canaux prévus par le responsable ou tout point de contact officiel, et la demande n’obéit à aucun format particulier ; seule une demande envoyée à une adresse totalement fortuite ou manifestement erronée peut être laissée de côté.

Le CEPD compte le mois selon le règlement n° 1182/71 portant détermination des règles applicables aux délais, aux dates et aux termes :

• Une demande reçue le 5 mars appelle une réponse au plus tard le 5 avril.
• Une demande reçue le 31 août, alors que le mois suivant n’a pas de 31, appelle une réponse au plus tard le 30 septembre.
• Si le dernier jour tombe un week-end ou un jour férié, le responsable a jusqu’au jour ouvrable suivant.

Le délai peut être suspendu. Lorsque le responsable a des doutes raisonnables sur l’identité du demandeur et demande des informations complémentaires dans les meilleurs délais, le délai est suspendu jusqu’à ce qu’il les obtienne. Il en va de même lorsqu’un responsable qui traite une grande quantité de données demande à la personne de préciser les traitements visés. Le CEPD recommande d’accuser réception par écrit en indiquant les dates de début et de fin du délai.

La prolongation de deux mois de l’article 12, paragraphe 3, est une exception, pas une habitude. Le CEPD cite des facteurs qui peuvent rendre une demande complexe : la quantité de données traitées, des données difficiles à retrouver parce qu’elles sont réparties entre plusieurs services, la nécessité d’occulter des informations sur d’autres personnes ou des secrets d’affaires, et des données qui demandent un travail supplémentaire pour être compréhensibles. Un effort important ne suffit pas à rendre une demande complexe, pas plus que le grand nombre de demandes reçues par une grande entreprise. Un afflux temporaire, par exemple après une médiatisation exceptionnelle, peut la justifier.

Le refus est plus étroit encore. Selon l’article 12, paragraphe 5, le responsable ne peut refuser, ou exiger des frais raisonnables, que si la demande est manifestement infondée ou excessive, notamment en raison de son caractère répétitif, et il lui incombe de le démontrer. S’il ne donne pas suite, l’article 12, paragraphe 4, l’oblige à informer la personne sans tarder, et au plus tard dans un délai d’un mois, des motifs de son inaction et de la possibilité d’introduire une réclamation auprès d’une autorité de contrôle et de former un recours juridictionnel.

Les droits d’autrui de l’article 15, paragraphe 4, ne justifient pas un refus pur et simple. Ils conduisent à retirer ou à rendre illisibles les passages qui porteraient atteinte à d’autres personnes.

L’article 15 comporte trois volets : la confirmation que des données concernant la personne sont ou non traitées, l’accès à ces données et des informations sur le traitement. Ces informations portent sur les finalités, les catégories de données, les destinataires (en particulier dans des pays tiers), la durée de conservation ou les critères pour la fixer, les droits de rectification, d’effacement, de limitation et d’opposition, le droit d’introduire une réclamation auprès d’une autorité de contrôle, la source des données lorsqu’elles n’ont pas été collectées auprès de la personne, et l’existence d’une prise de décision automatisée, y compris un profilage. En cas de transfert vers un pays tiers, la personne est aussi informée des garanties appropriées de l’article 46.

La première copie des données est gratuite. Des frais raisonnables fondés sur les coûts administratifs ne sont admis que pour les copies supplémentaires (article 15, paragraphe 3). Une demande présentée par voie électronique reçoit une réponse sous une forme électronique d’usage courant, sauf demande contraire de la personne.

Le CEPD attend une recherche dans tous les systèmes informatiques et les fichiers non informatiques, et une réponse qui reflète les données telles qu’elles étaient à la réception de la demande, y compris des données éventuellement inexactes ou traitées illicitement. Les informations générales peuvent partir de votre registre des activités de traitement et de votre politique de confidentialité, adaptés à la personne qui demande.

Selon l’article 25, alinéa 7, de la nLPD, les renseignements sont en règle générale fournis dans un délai de 30 jours. L’article 18 de l’ordonnance sur la protection des données (OPDo) le fixe à 30 jours suivant la réception de la demande. Si ce n’est pas possible, le responsable du traitement en informe la personne en lui indiquant le délai dans lequel les renseignements seront fournis. La décision de refuser, de restreindre ou de différer l’accès est communiquée dans le même délai de 30 jours.

L’ordonnance règle aussi la forme : la demande se fait par écrit, ou oralement avec l’accord du responsable, et peut être présentée et traitée par voie électronique (article 16). L’accès est gratuit. Lorsque la communication occasionne des efforts disproportionnés, le responsable peut demander une participation aux coûts plafonnée, mais doit en annoncer le montant au préalable ; si la personne ne confirme pas sa demande dans les 10 jours, celle-ci est considérée comme retirée, et le délai de 30 jours court à l’expiration de ce délai de réflexion (article 19). Le sous-traitant qui détient les données aide le responsable à répondre (article 17, alinéa 2). Voir la checklist de conformité nLPD.