Recevoir une demande d'exercice de droits est l'un des moments où le respect du Règlement (UE) 2016/679 (RGPD) devient le plus visible et le plus urgent pour toute organisation. La personne concernée attend une réponse ; la norme impose des délais ; et l'Agencia Española de Protección de Datos (AEPD — autorité espagnole de protection des données) mène des enquêtes lorsque ces délais ne sont pas respectés. Cet article analyse, article par article, le régime des délais prévu par le RGPD : comment ils se calculent, dans quels cas une prorogation est possible, et quelles conséquences entraînent le silence ou le retard.
Les droits qui font courir le délai de l'article 12
Le RGPD reconnaît un ensemble de droits individuels regroupés sous l'étiquette ARCO+ : accès (art. 15), rectification (art. 16), effacement ou « droit à l'oubli » (art. 17), limitation du traitement (art. 18), portabilité (art. 20), opposition (art. 21) et droit à ne pas faire l'objet d'une décision automatisée (art. 22). Tous convergent vers l'article 12 du RGPD, qui établit le régime général de transparence et de communication avec la personne concernée.
La Ley Orgánica 3/2018, du 5 décembre, relative à la protection des données à caractère personnel et à la garantie des droits numériques (LOPDGDD) complète ce cadre en Espagne, notamment en ses articles 12 à 18, sans modifier les délais fixés par le Règlement européen. Il convient de préciser que la Ley Orgánica 15/1999 (ancienne LOPD) est abrogée et n'est plus en vigueur ; toute référence à la « LOPD » en vigueur désigne en réalité la LOPDGDD.
Si votre organisation reçoit des demandes d'exercice de droits et a besoin d'un accompagnement pour les gérer correctement, Summum Consultoría propose un service dédié à la gestion des droits des personnes concernées, adapté à la taille et au secteur de chaque entreprise, avec des bureaux en Castille-et-León et aux Îles Canaries.
Le délai d'un mois : ce que dit exactement l'article 12.3 du RGPD
L'article 12.3 du RGPD dispose :
« Le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d'une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d'un mois à compter de la réception de la demande. »
Trois éléments de ce texte méritent une attention particulière :
- « Fournit des informations sur les mesures prises » : l'obligation n'est pas simplement de répondre ; c'est de fournir des informations sur les démarches effectivement réalisées. Si le responsable estime que la demande est infondée, il doit le communiquer de manière motivée ; s'il y donne suite, il doit informer la personne concernée des données qui ont été rectifiées, effacées ou communiquées.
- « En tout état de cause » : le délai est impératif. Les retards non justifiés ne sont pas admissibles, même si l'organisation est encore en train d'analyser la demande.
- « À compter de la réception de la demande » : le dies a quo (point de départ du délai) est la date de réception, et non la date à laquelle le responsable ouvre ou traite en interne la communication.
Calcul exact du délai d'un mois
Le Règlement vise des « mois » au sens calendaire, conformément à l'article 3 du Règlement (CE, Euratom) 1182/71 régissant les délais en droit de l'Union européenne. Un mois se compte de date à date : si la demande est reçue le 10 janvier, le délai expire le 10 février.
Lorsque le mois d'expiration ne comporte pas le même jour (par exemple, une demande reçue le 31 janvier expirerait le 28 ou 29 février), le délai expire le dernier jour de ce mois. Si le jour d'expiration est un jour férié ou non ouvrable, le RGPD ne prévoit pas de suspension automatique : la réponse doit être prête au plus tard ce jour-là. L'AEPD applique ce critère avec rigueur.
En pratique, les organisations doivent enregistrer la date exacte de réception de chaque demande et mettre en place des alertes internes suffisamment tôt pour examiner, traiter et envoyer la réponse avant l'expiration du délai. Le décompte commence dès que la demande parvient au canal désigné — qu'il s'agisse d'un formulaire en ligne, d'une adresse électronique ou d'une communication papier.
La prorogation de deux mois supplémentaires : quand et comment l'appliquer
L'article 12.3, alinéa 2, du RGPD prévoit une prorogation exceptionnelle :
« Ce délai peut être prolongé de deux mois supplémentaires, s'il y a lieu, en tenant compte de la complexité et du nombre de demandes. Le responsable du traitement informe la personne concernée de cette prolongation et des motifs du report dans un délai d'un mois à compter de la réception de la demande. »
La prorogation n'est ni automatique ni discrétionnaire. Elle suppose la réunion de raisons objectives de complexité ou de volume. L'AEPD considère que la charge de travail ordinaire de l'organisation ne justifie pas la prorogation ; il doit exister des circonstances rendant raisonnablement impossible de donner une réponse complète dans le délai d'un mois. Parmi les exemples admissibles :
- Demandes portant sur un grand nombre de fichiers ou de systèmes de traitement.
- Droits à la portabilité impliquant des volumes de données nécessitant un traitement technique complexe.
- Afflux d'un nombre élevé de demandes simultanées dépassant la capacité habituelle de gestion de l'organisation.
Ce qui ne justifie pas la prorogation : ne pas savoir quelles données l'organisation détient, ne pas avoir mis en place une procédure interne, ou l'absence du personnel responsable en raison de congés.
La notification de la prorogation à la personne concernée doit intervenir dans le premier mois, avant l'expiration du délai ordinaire. Si le responsable n'en informe pas la personne concernée dans ce délai, la prorogation n'a aucun effet juridique et le non-respect du délai initial d'un mois est établi.
Tableau comparatif : délais de l'article 12 du RGPD
| Situation | Délai | Obligation supplémentaire |
|---|---|---|
| Réponse ordinaire à tout droit ARCO+ | 1 mois à compter de la réception | Aucune, sauf fournir des informations complètes |
| Prorogation pour complexité ou volume | 3 mois à compter de la réception (1 mois + 2 mois supplémentaires) | Notifier la prorogation et ses motifs dans le premier mois |
| Demande manifestement infondée ou excessive | À la discrétion du responsable, dans le délai d'un mois | Communiquer le refus motivé ou facturer une redevance raisonnable (art. 12.5 RGPD) |
| Impossibilité d'identifier l'auteur de la demande | Le délai est suspendu jusqu'à réception des informations d'identification complémentaires | Demander sans retard injustifié à la personne concernée les informations nécessaires (art. 12.6 RGPD) |
Le silence du responsable : ce qu'il signifie et ce qu'il ouvre
Le RGPD ne reprend pas expressément la notion de « silence administratif » au sens du droit administratif espagnol, mais la conséquence pratique du silence du responsable est claire : la personne concernée peut introduire une réclamation auprès de l'autorité de contrôle pour absence de réponse dans le délai imparti. L'AEPD traite le silence comme une violation de l'article 12.3 du RGPD, susceptible de donner lieu à une procédure de sanction.
Il convient de distinguer deux situations :
- Silence dans le premier mois sans notification de prorogation : le manquement est direct. La personne concernée peut déposer une réclamation auprès de l'AEPD le lendemain de l'expiration du délai.
- Réponse dans les délais mais incomplète ou évasive : elle peut également donner lieu à une réclamation, car l'article 12.3 exige de fournir des « informations sur les mesures prises », et non une réponse formelle vide de contenu.
La charge de la preuve incombe au responsable du traitement. L'article 12.2 du RGPD dispose que si le responsable décide de ne pas donner suite à la demande de la personne concernée, il doit le lui communiquer sans retard et au plus tard dans un délai d'un mois, en l'informant de la possibilité d'introduire une réclamation auprès d'une autorité de contrôle. S'il ne peut prouver qu'il a respecté ses obligations, le non-respect est présumé.
Réclamation auprès de l'AEPD : procédure et délais
L'article 77 du RGPD reconnaît le droit d'introduire une réclamation auprès d'une autorité de contrôle. En Espagne, la recevabilité et la résolution des réclamations devant l'AEPD sont régies par les articles 63 à 65 de la LOPDGDD, et les pouvoirs de contrôle et de sanction de l'AEPD lui sont conférés par l'article 47 de la LOPDGDD. La procédure de réclamation auprès de l'AEPD se déroule comme suit :
- Demande préalable au responsable : bien que non obligatoire, l'AEPD recommande que la personne concernée adresse d'abord sa demande au responsable et attende sa réponse. Si l'organisation ne répond pas dans le délai ou si la réponse n'est pas satisfaisante, la réclamation auprès de l'Agence est appropriée.
- Dépôt de la réclamation : il s'effectue via le portail électronique de l'AEPD, au moyen de la procédure dédiée aux réclamations de droits. La personne concernée doit fournir une copie de la demande initiale, la preuve de son envoi et la réponse reçue (ou la preuve de l'absence de réponse).
- Décision de recevabilité : l'AEPD dispose d'un délai pour admettre ou rejeter la réclamation. En cas d'admission, elle la transmet au responsable pour qu'il formule ses observations.
- Décision : l'AEPD rend une décision faisant droit ou rejetant la réclamation. En cas d'infraction constatée, elle peut ouvrir d'office une procédure de sanction.
Si votre organisation a reçu une communication de l'AEPD dans le cadre d'une réclamation de droits, l'équipe de Summum Consultoría peut vous accompagner dans la préparation des observations et la révision des procédures internes. Consultez notre service de gestion des droits des personnes concernées pour plus d'informations.
Conséquences du non-respect : régime des sanctions
Le non-respect des obligations de l'article 12 du RGPD peut être qualifié d'infraction au titre de l'article 83 du même Règlement. La qualification dépend de la gravité :
- Article 83.5 du RGPD : la violation des droits des personnes concernées (art. 12 à 22 RGPD) constitue une infraction grave, passible d'amendes pouvant atteindre 20 000 000 EUR ou, dans le cas d'une entreprise, 4 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu.
- Article 83.4 du RGPD : la violation des obligations de transparence ou de procédure (par exemple, ne pas notifier la prorogation dans les délais) peut relever du seuil inférieur, passible d'amendes pouvant atteindre 10 000 000 EUR ou 2 % du chiffre d'affaires annuel mondial total.
La LOPDGDD (LO 3/2018) adapte ce régime dans ses articles 70 à 74, classant les infractions en très graves, graves et légères, avec des dispositions spécifiques pour les administrations publiques. L'AEPD tient compte des circonstances aggravantes et atténuantes lors de la détermination de la sanction concrète : intentionnalité, nombre de personnes affectées, mesures prises pour atténuer le préjudice, coopération avec l'Agence et antécédents d'infractions.
Bonnes pratiques pour gérer les demandes de droits dans les délais
Respecter le délai de l'article 12.3 du RGPD ne dépend pas seulement de la connaissance de la règle ; cela dépend de la mise en place d'un processus interne fiable. Les organisations avec lesquelles nous travaillons en Castille-et-León et aux Îles Canaries bénéficient généralement des mesures suivantes :
- Un canal unique et surveillé : désigner une adresse électronique ou un formulaire spécifique pour les demandes de droits, avec une alerte automatique au responsable de la protection des données dès la réception d'une nouvelle demande.
- Un registre des demandes : tenir un registre mentionnant la date de réception, le type de droit exercé, l'identité vérifiée du demandeur, les démarches effectuées et la date de réponse.
- Des modèles de réponse validés : disposer de projets de réponse prédéfinis pour chaque type de droit, adaptés aux catégories de données traitées par l'organisation, réduit le risque de réponse tardive ou incomplète.
- Formation des équipes : toute personne susceptible de recevoir une demande de droits — réceptionniste, service clientèle, ressources humaines — doit savoir à qui la transmettre et dans quel délai.
- Révision périodique de la procédure : les demandes parvenant par des canaux non officiels (par courrier, en personne, par téléphone) font également courir le délai ; la procédure doit les prendre en compte.
Questions fréquentes
Le délai d'un mois court-il même si la demande parvient par un canal non prévu à cet effet ?
Oui. L'article 12.3 du RGPD n'exige pas que la demande parvienne par un canal spécifique pour que le délai commence à courir. Si la personne concernée envoie sa demande par courrier ordinaire, par courriel à une adresse générique ou même verbalement à un employé, le délai commence à courir dès que l'organisation a connaissance de la demande. Le responsable peut toutefois demander à la personne concernée des informations complémentaires pour vérifier son identité (art. 12.6 RGPD), ce qui suspend le délai jusqu'à réception de ces informations — mais uniquement en cas de doute raisonnable sur l'identité du demandeur.
Le responsable peut-il facturer le traitement de la demande ?
En règle générale, non. L'article 12.5 du RGPD prévoit que les informations et les communications découlant des articles 15 à 22 sont fournies gratuitement. Ce n'est que lorsque les demandes sont « manifestement infondées ou excessives, eu égard notamment à leur caractère répétitif », que le responsable peut exiger le paiement d'une redevance raisonnable qui tient compte des coûts administratifs supportés, ou refuser de donner suite à la demande. Dans les deux cas, il lui incombe de démontrer le caractère manifestement infondé ou excessif de la demande.
Que se passe-t-il si le responsable répond en refusant la demande d'exercice de droits ?
Le responsable peut refuser une demande d'exercice de droits lorsque les exceptions prévues par le RGPD sont réunies (par exemple, lorsque le traitement est nécessaire au respect d'une obligation légale, ou lorsque les données sont nécessaires à la constatation, à l'exercice ou à la défense de droits en justice). Dans ce cas, il doit communiquer le refus motivé à la personne concernée dans le délai d'un mois et l'informer de son droit d'introduire une réclamation auprès de l'AEPD et d'exercer des voies de recours judiciaires. Un refus sans motivation ou hors délai est traité de la même façon que le silence.
La personne concernée peut-elle se plaindre directement auprès de l'AEPD sans attendre la réponse du responsable ?
L'article 77 du RGPD reconnaît le droit d'introduire une réclamation auprès d'une autorité de contrôle. En Espagne, l'AEPD admet les réclamations conformément aux articles 63 à 65 de la LOPDGDD, une fois écoulé le délai d'un mois prévu à l'article 12.3 du RGPD sans réponse, ou lorsque la réponse obtenue n'est pas satisfaisante. En pratique, l'AEPD recommande que la personne concernée ait préalablement tenté l'exercice direct auprès du responsable et soit en mesure de le justifier, mais ce n'est pas une condition légale de recevabilité. L'Agence peut déclarer irrecevables les réclamations dont il ne ressort pas qu'une demande a même été formulée, bien que cela soit exceptionnel.