Automatiser les demandes de droits RGPD (2026)

Le 6 juillet 2026, la CNIL a publié le bilan de ses sanctions simplifiées : 23 décisions depuis janvier, 133 750 € d’amendes cumulées, et 8 de ces 23 sanctions portent sur le non-respect du droit d’accès ou du droit à l’effacement. Pas sur des transferts illicites vers des pays tiers, ni sur des algorithmes opaques : sur des courriers restés sans réponse. C’est le manquement le plus banal du RGPD, et c’est devenu le plus sanctionné. Voici comment sortir du traitement artisanal.

Pourquoi les demandes de droits deviennent le premier risque de sanction

En 2025, la CNIL a reçu 20 150 plaintes, un record en hausse de 10 % sur un an. La quasi-totalité de ces plaintes naît du même scénario : une personne exerce un droit, l’organisme ne répond pas — ou répond trois mois plus tard — et la personne saisit l’autorité de contrôle.

Le mécanisme est redoutable parce qu’il est asymétrique. Une non-conformité de fond (base légale bancale, durée de conservation excessive) ne se voit pas de l’extérieur : il faut un contrôle pour la découvrir. Une demande de droit ignorée, en revanche, est visible immédiatement par la seule personne qui a intérêt à s’en plaindre. Sur les 23 sanctions simplifiées de 2026, 19 ont pour origine une plainte.

Second facteur aggravant : le défaut de coopération. Quatre des huit sanctions « droits des personnes » sont associées à un manquement à l’article 18 de la loi Informatique et Libertés — l’organisme n’a pas répondu à la CNIL qui instruisait la plainte. La CNIL a alors prononcé une amende assortie d’une injonction de répondre au plaignant, puis liquidé l’astreinte quand l’injonction est restée lettre morte. Un dossier qui aurait coûté vingt minutes de travail finit en amende, injonction et astreinte cumulées.

La procédure simplifiée plafonne à 20 000 € et préserve l’anonymat de l’organisme. Mais rien n’oblige la CNIL à l’emprunter : les mêmes faits relèvent de l’article 83(5)(b) du RGPD, soit jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial, en procédure ordinaire et publique.

Ce que la loi impose réellement : la contrainte de délai

L’article 12(3) du RGPD fixe le cadre opérationnel : le responsable de traitement fournit à la personne concernée les informations sur les suites données à sa demande dans un délai d’un mois à compter de la réception. Ce délai peut être prolongé de deux mois compte tenu de la complexité et du nombre de demandes, mais — et c’est le piège — la prolongation doit être notifiée à la personne dans le mois initial, avec les motifs du report. Une prolongation décidée après coup n’existe pas juridiquement.

Trois autres obligations en découlent, systématiquement oubliées dans les traitements artisanaux :

• L’article 12(4) impose, en cas de refus, d’informer la personne des motifs et de sa faculté de saisir la CNIL ou un tribunal, toujours dans le délai d’un mois. Un silence n’est jamais un refus valable.
• L’article 12(5) pose la gratuité comme principe ; les demandes manifestement infondées ou excessives peuvent donner lieu à des frais raisonnables ou à un refus, mais la charge de démontrer le caractère excessif pèse sur le responsable de traitement.
• L’article 19 oblige à notifier toute rectification, effacement ou limitation à chaque destinataire auquel les données ont été communiquées. C’est l’obligation la plus systématiquement omise, et elle suppose de savoir à qui vous avez transmis quoi — donc de disposer d’une cartographie des traitements exploitable.

Ces règles s’appliquent uniformément aux six droits opérationnels : accès, rectification, effacement, limitation, portabilité et opposition. Le droit d’accès concentre à lui seul l’essentiel du volume et de la difficulté.

Le vrai coût d’une demande traitée à la main

Dans mes missions d’audit, le déroulé est presque toujours le même. La demande arrive sur contact@, où personne ne la qualifie comme une demande RGPD. Elle est transférée à un juriste ou au DPO au bout de dix jours. Celui-ci doit alors vérifier l’identité du demandeur, interroger cinq ou six services (RH, CRM, support, comptabilité, marketing, archives), attendre leurs extractions, expurger les données de tiers, rédiger la réponse et l’envoyer par un canal traçable.

Le temps réel consommé sur une demande d’accès un peu documentée dépasse couramment cinq heures pour une PME. Le délai d’un mois est mangé aux trois quarts par l’attente entre services. Et si un doute survient sur une extraction, la prolongation de deux mois n’a pas été notifiée à temps : le manquement est déjà constitué.

Ajoutez-y l’angle mort probatoire. En cas de plainte, il faut démontrer quand la demande est arrivée, quand vous avez répondu, ce que vous avez envoyé. Une boîte mail partagée ne prouve rien de fiable : les messages sont supprimés, les pièces jointes se perdent, les transferts internes brouillent l’horodatage. Face à la CNIL, l’absence de preuve équivaut à l’absence de traitement.

Industrialiser : les cinq briques d’un processus fiable

Automatiser ne veut pas dire laisser une machine décider à la place du DPO. Les arbitrages juridiques — expurger les données de tiers, opposer une exception à l’effacement, qualifier une demande d’excessive — restent humains. Ce qui doit être automatisé, c’est tout le reste : le point d’entrée, l’horloge, la collecte, la trace.

1. Un canal d’entrée unique et qualifié. Un formulaire dédié, mentionné dans votre politique de confidentialité, qui identifie d’emblée le droit invoqué et déclenche l’enregistrement. Attention : le RGPD n’autorise pas à imposer ce canal. Une demande formulée oralement ou sur n’importe quelle adresse de l’entreprise reste valable et fait courir le délai. Le formulaire canalise le flux ; il ne le verrouille pas. Les autres boîtes doivent donc être surveillées.

2. Une horloge automatique. Date de réception horodatée, échéance à un mois calculée, relances internes à J+7 et J+21, alerte de décision sur la prolongation avant J+30. C’est l’automatisation qui rapporte le plus, pour la raison simple qu’aucun manquement de délai ne survient par mauvaise volonté : il survient par oubli.

3. La vérification d’identité proportionnée. L’article 12(6) permet de demander des informations supplémentaires en cas de doute raisonnable sur l’identité. Exiger systématiquement une pièce d’identité est une pratique que la CNIL considère comme excessive lorsque le demandeur est authentifié dans son espace client. Un processus outillé applique la règle proportionnée par défaut plutôt que le réflexe de la photocopie de carte nationale d’identité.

4. La collecte assistée dans les systèmes. C’est le poste de coût principal. Un processus outillé s’appuie sur le registre des traitements pour savoir où chercher : quels applicatifs détiennent des données sur cette catégorie de personne, quel référent interroger, quel sous-traitant solliciter. Sans ce lien, chaque demande relance une enquête interne à partir de zéro.

5. La traçabilité par construction. Chaque événement horodaté et conservé : réception, accusé, vérification d’identité, sollicitations internes, décision, contenu envoyé, canal utilisé. C’est ce dossier qui matérialise l’accountability de l’article 5(2) le jour où la CNIL demande des explications.

Manuel, semi-outillé ou automatisé

Le seuil de bascule est plus bas qu’on ne le croit. Une organisation qui reçoit moins d’une demande par trimestre peut s’en tenir à une procédure écrite rigoureuse et à un tableur. Au-delà d’une demande par mois — seuil vite atteint dès qu’on gère des données clients à grande échelle ou qu’on procède à des licenciements — le traitement artisanal devient statistiquement perdant : il suffit d’un seul dossier oublié pour déclencher une plainte.

C’est exactement cette chaîne que Legiscope prend en charge : point d’entrée unique, échéancier automatique avec relances, collecte guidée par votre registre — lui-même maintenu à jour automatiquement —, modèles de réponse par type de droit et journal probatoire horodaté. Le DPO tranche ; l’outil tient l’horloge et la preuve.

Par où commencer si vous partez de zéro

Ne construisez pas l’usine avant d’avoir mesuré le flux. Commencez par une semaine d’observation : combien de demandes vous parviennent réellement, par quels canaux, sur quels droits. Le résultat surprend souvent — des demandes traitées comme de simples réclamations commerciales apparaissent alors pour ce qu’elles sont juridiquement.

Formalisez ensuite une procédure courte, une page maximum, désignant un responsable nommé et un suppléant. La procédure droits des personnes n’a de valeur que si quelqu’un est identifié pour l’appliquer en août comme en décembre.

Enfin, préparez vos modèles de réponse à froid, pas sous la pression du délai. Un modèle par droit, relu une fois, évite 80 % des erreurs de rédaction — notamment l’oubli de la mention de la faculté de réclamation auprès de la CNIL exigée par l’article 12(4).

Ce n’est qu’après ces trois étapes que l’outillage produit son plein effet : automatiser un processus inexistant ne fait qu’accélérer le désordre.

Ce qu’il faut retenir

• 8 des 23 sanctions simplifiées prononcées par la CNIL depuis janvier 2026 concernent le non-respect du droit d’accès ou d’effacement, dont 4 aggravées par un défaut de coopération avec l’autorité (Art. 18 loi Informatique et Libertés).
• Le délai de l’article 12(3) est d’un mois, prolongeable de deux mois à condition de notifier la prolongation motivée dans le mois initial. Une prolongation décidée après coup ne produit aucun effet.
• Le refus doit être motivé et mentionner la faculté de saisir la CNIL ou un tribunal (Art. 12(4)) ; les rectifications, effacements et limitations doivent être notifiés à tous les destinataires (Art. 19).
• Le risque n’est pas juridique mais organisationnel : les manquements naissent d’oublis de délai et d’absence de preuve, pas d’erreurs d’analyse.
• L’automatisation utile porte sur l’horloge, le point d’entrée, la collecte guidée par le registre et la traçabilité. Les arbitrages juridiques restent au DPO.

FAQ

Quel est le délai légal pour répondre à une demande de droit RGPD ?

Un mois à compter de la réception de la demande, en vertu de l’article 12(3) du RGPD. Ce délai peut être prolongé de deux mois supplémentaires si la demande est complexe ou si les demandes sont nombreuses, mais la personne doit être informée de la prolongation et de ses motifs dans le mois qui suit la réception initiale.

Peut-on exiger une pièce d’identité pour toute demande d’accès ?

Non, pas systématiquement. L’article 12(6) permet de demander des informations complémentaires uniquement en cas de doute raisonnable sur l’identité du demandeur. Lorsque la personne est déjà authentifiée dans un espace client, exiger une copie de pièce d’identité constitue une collecte excessive au regard du principe de minimisation de l’article 5(1)©.

Un logiciel peut-il répondre à la place du DPO ?

Non, et ce n’est pas l’objectif. Un outil automatise l’enregistrement de la demande, le calcul des échéances, les relances internes, la collecte guidée par le registre et la journalisation probatoire. Les décisions juridiques — expurgation des données de tiers, opposition d’une exception à l’effacement, qualification d’une demande excessive — relèvent du responsable de traitement et de son DPO.

À partir de quel volume faut-il outiller le traitement des demandes ?

Il n’existe aucun seuil réglementaire. En pratique, en deçà d’une demande par trimestre, une procédure écrite et un tableur de suivi rigoureux suffisent. Au-delà d’une demande par mois, ou dès que les données sont réparties dans plusieurs applicatifs et sous-traitants, l’outillage devient rentable — un seul dossier oublié suffisant à déclencher une plainte.

Que risque-t-on concrètement à ne pas répondre ?

En procédure simplifiée, une amende plafonnée à 20 000 €, non publique. En procédure ordinaire, l’article 83(5)(b) du RGPD autorise jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial. S’y ajoutent, en cas de silence face à la CNIL, une injonction sous astreinte dont la liquidation s’ajoute à l’amende initiale.

Combien de demandes de droits dorment dans vos boîtes mail ? Legiscope centralise la réception, tient les délais de l’article 12 et conserve la preuve de chaque réponse. Demander une démo Legiscope.