Quand pouvez-vous prolonger le délai de réponse ?
Pour qui : Vous traitez une demande difficile, ou plusieurs à la fois, et vous ne tiendrez pas le mois. Vous voulez savoir si vous pouvez repousser, jusqu’à quand, et quoi écrire à la personne.
Vous pouvez prolonger de deux mois au plus, si c’est nécessaire compte tenu de la complexité et du nombre de demandes. Vous devez prévenir la personne de la prolongation et de ses motifs dans le mois qui suit la réception. Sans ce courrier dans le premier mois, le délai reste d’un mois.
La charge habituelle de votre service n’est pas un motif sûr. Pour le CEPD, le seul fait qu’une demande exige un gros effort ne la rend pas complexe, et une grande entreprise qui reçoit de nombreuses demandes n’obtient pas de prolongation automatique. Écrivez ce qui, dans ce dossier, sort de l’ordinaire.
Notre avis
Prolongez seulement sur un motif tiré du dossier, écrit à la personne avant la fin du premier mois. Répondez déjà à ce que vous pouvez. Si vous prolongez souvent, le problème vient de votre procédure.
Pourquoi
- Le texte n’accorde deux mois de plus qu’« au besoin », compte tenu de la complexité et du nombre de demandes.
- Le CEPD présente cette possibilité comme une exception à ne pas surutiliser, et y voit un signal lorsque le recours devient fréquent.
- L’exemple d’une copie intégrale, donné par la CNIL, ne suffit pas à lui seul : le CEPD refuse de déduire la complexité du seul effort.
Ce qui change le choix
Une demande isolée, ordinaire et sans donnée à occulter : pas de prolongation. Plusieurs services ou plusieurs tiers à occulter, ou un afflux temporaire et documenté : prolongez avec ce motif.
L’ordre à suivre
- Répondez dans le mois, au moins en partie, si c’est possible.
- Sinon, prolongez avec un motif tiré du dossier et une date de réponse.
- Prolongations fréquentes : revoyez la procédure au lieu de les enchaîner.
Votre motif tient-il ?
Les exemples proposés par le CEPD sont indicatifs. La colonne « notre lecture » indique ce que nous écririons, en attendant une éventuelle décision sur votre cas.
| Motif | Lecture du CEPD | Notre lecture |
|---|---|---|
| Les données sont réparties entre plusieurs unités et difficiles à retrouver | Facteur à considérer | Tenable si vous citez les services et le travail en cours. |
| Il faut occulter des données d’autres personnes ou des secrets d’affaires | Facteur à considérer | Tenable, surtout pour des courriels. Dites ce que couvre la vérification. |
| Les informations demandent un travail pour devenir compréhensibles | Facteur à considérer | Tenable si vous pouvez décrire ce travail. |
| Une grande quantité de données | Facteur à considérer | À combiner avec un autre fait : le volume seul reste discutable. |
| Afflux temporaire après une forte publicité | Peut être une raison légitime | Tenable, avec le nombre de demandes reçues et la période. |
| Le service est débordé comme d’habitude | Une organisation doit pouvoir traiter dans les délais en temps normal | Motif à éviter. |
| Vacances, absence du référent | Non abordé dans ce que nous avons lu | À éviter : rien ne dit que cela répond à la complexité ou au nombre. |
Une différence de ton entre la CNIL et le CEPD
La fiche de la CNIL résume : « 3 mois maximum pour une demande complexe (par exemple si une personne demande une copie de l’intégralité de ses données) ». Le CEPD précise que l’effort, à lui seul, ne suffit pas. Notre avis : ne vous contentez pas de citer la copie intégrale. Reliez-la à un fait du dossier, comme des données dispersées ou des tiers à occulter. Si elle ne pose aucune difficulté concrète, répondez dans le mois.
Vos dates, sur deux exemples
Exemple fictif : demande reçue le mercredi 4 novembre 2026. La personne doit être informée de la prolongation au plus tard le vendredi 4 décembre 2026 : envoyez le courrier avant. La réponse doit arriver au plus tard trois mois après la réception, soit le jeudi 4 février 2027.
Exemple fictif de fin de mois : demande reçue le dimanche 31 janvier 2027. Le premier mois se termine le 28 février, un dimanche, reporté au lundi 1er mars selon la règle du CEPD. Pour la réponse finale, deux lectures sont possibles : trois mois depuis la réception donnent le vendredi 30 avril 2027, deux mois ajoutés au 28 février donnent le mercredi 28 avril. Nous n’avons pas trouvé de règle tranchant ce cas : retenez le 28 avril.
Un courrier de prolongation qui se défend
- Objet : votre demande du [date de réception]. Reprenez le droit concerné et la date de réception.
- « Nous ne pourrons pas vous répondre complètement avant le [date]. ». Donnez une date précise, même si elle arrive plus tôt que le maximum.
- « La raison est la suivante : [fait concret tiré du dossier]. ». Évitez « la complexité de votre demande » sans autre précision : le texte demande les motifs du report.
- « Vous trouverez ci-joint ce que nous pouvons déjà vous communiquer. ». Notre conseil : une réponse partielle montre que la demande avance. Supprimez la phrase s’il n’y a rien à joindre.
- Conservez le courrier et sa date d’envoi dans le journal. Il constitue votre preuve que l’information est partie dans le mois.
Le signal que votre procédure est en cause
Le CEPD indique que des prolongations fréquentes peuvent signaler un besoin de développer vos procédures générales. Comptez-les sur douze mois. Si elles tiennent au temps passé à chercher dans vos applications, listez les applications touchées et voyez si un guide de recherche suffit. Si le temps se perd à suivre plusieurs dossiers, un outil de suivi peut aider. Aucun outil ne juge la complexité d’une demande à votre place : la décision et le motif restent à vous.
Limites de cette page
Les lignes directrices du CEPD portent sur le droit d’accès ; nous transposons aux autres droits, car l’article 12 fixe la même règle. La date maximale de fin de mois repose sur notre calcul et n’a pas été confirmée par une décision. Le motif retenu pour un cas réel peut être contesté : prenez conseil si le dossier est litigieux.
Prochaine action
Rédigez votre modèle de courrier et notez dans votre journal, pour chaque demande, sa date limite d’envoi à un mois. Si une demande ne présente ni difficulté concrète, ni afflux exceptionnel, traitez-la dans le mois sans prolonger.
Preuves et sources
Lu le 5 novembre 2026 : l’article 12 du RGPD dans le texte publié par la CNIL ; la fiche CNIL sur le droit d’accès, datée du 13 juin 2017 ; les lignes directrices 01/2022 du CEPD, version 2.1 du 30 mai 2024, points 157 et 162 à 164.
Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode
Fait lu. L’article 12 du RGPD prévoit qu’au besoin le délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes, et que la personne est informée de cette prolongation et des motifs du report dans un délai d’un mois à compter de la réception de la demande.
Portée : Article 12, paragraphe 3.
Réserve : Texte reproduit par la CNIL, numéros de paragraphe rétablis.
- CNIL : CHAPITRE III - Droits de la personne concernée | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Déclaration de l’éditeur. Le CEPD cite comme facteurs de complexité la quantité de données traitées, le mode de stockage lorsque les données sont difficiles à retrouver ou réparties entre unités, la nécessité d’occulter des informations, et le travail requis pour rendre l’information intelligible.
Portée : Lignes directrices 01/2022, point 163.
Réserve : Liste indicative, droit d’accès.
- CEPD/EDPB : Guidelines 01/2022 on data subject rights - Right of access, version 2 Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Pour le CEPD, le seul fait qu’une demande exige un effort important ne la rend pas complexe et un grand nombre de demandes reçues par une grande entreprise ne déclenche pas automatiquement une prolongation ; un afflux temporaire, par exemple dû à une publicité extraordinaire, peut en revanche être une raison légitime.
Portée : Lignes directrices 01/2022, point 164.
Réserve : Le CEPD attend des procédures adaptées pour traiter les demandes dans le délai en temps normal.
- CEPD/EDPB : Guidelines 01/2022 on data subject rights - Right of access, version 2 Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Le CEPD présente la prolongation comme une exception à ne pas surutiliser et estime que des prolongations fréquentes peuvent indiquer un besoin de développer les procédures générales.
Portée : Lignes directrices 01/2022, point 162.
Réserve : Lignes directrices.
- CEPD/EDPB : Guidelines 01/2022 on data subject rights - Right of access, version 2 Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. La fiche CNIL sur le droit d’accès indique « 3 mois maximum pour une demande complexe (par exemple si une personne demande une copie de l’intégralité de ses données) ».
Portée : Fiche datée du 13 juin 2017.
Réserve : Résumé de la fiche, à lire avec la condition d’information dans le mois.
- CNIL : Professionnels : comment répondre à une demande de droit d’accès ? | CNIL Lu le 5 novembre 2026. Document d’origine.
Notre calcul ou déduction. Une demande reçue le 4 novembre 2026 appelle l’information de prolongation au plus tard le 4 décembre 2026 et une réponse au plus tard le 4 février 2027.
Portée : Calcul sur un exemple fictif : 4 novembre 2026 plus un mois, puis plus trois mois.
Réserve : Jours de la semaine recalculés par programme.
- CNIL : CHAPITRE III - Droits de la personne concernée | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
- CEPD/EDPB : Guidelines 01/2022 on data subject rights - Right of access, version 2 Lu le 5 novembre 2026. Document d’origine.
Notre calcul ou déduction. Pour une demande reçue le 31 janvier 2027, trois mois depuis la réception donnent le 30 avril 2027 et deux mois après le 28 février 2027 donnent le 28 avril 2027 ; retenir la date la plus proche est un conseil de prudence de cette page.
Portée : Calcul sur un exemple fictif, à partir des exemples de fin de mois du CEPD.
Réserve : Aucune règle lue ne tranche entre ces deux lectures.
- CEPD/EDPB : Guidelines 01/2022 on data subject rights - Right of access, version 2 Lu le 5 novembre 2026. Document d’origine.
Notre méthode. Le modèle de courrier, la réponse partielle et le classement des motifs absents des lignes directrices sont des propositions de cette page.
Portée : Réponse à une demande de droits.
Réserve : Sans valeur légale. Un motif peut être contesté devant l’autorité.
Daté du 5 novembre 2026.