Modèle de réponse à une demande RGPD gratuit

Présentation

Le modèle de réponse à une demande RGPD est un courrier type destiné à formaliser la réponse apportée par un responsable de traitement à une personne exerçant l'un des droits que le RGPD lui reconnaît sur ses données personnelles : droit d'accès, de rectification, d'effacement, de limitation du traitement, d'opposition, ou de portabilité (articles 15 à 21 du RGPD). Délai de réponse : le responsable de traitement doit répondre à toute demande d'exercice de droit dans un délai d'un mois à compter de sa réception (article 12.3 du RGPD). Ce délai peut être prolongé de deux mois supplémentaires en cas de demande complexe ou de nombre élevé de demandes, à condition d'en informer la personne concernée dans le délai initial d'un mois, en précisant les motifs du report. À défaut de réponse dans le délai, l'absence de réponse constitue en elle-même un manquement susceptible d'être signalé à la CNIL par la personne concernée. Vérification d'identité : avant de traiter une demande, le responsable de traitement peut demander des informations supplémentaires nécessaires pour confirmer l'identité de la personne concernée, notamment lorsqu'il existe un doute raisonnable (article 12.6 du RGPD). Cette vérification doit rester proportionnée : elle ne doit pas constituer un obstacle disproportionné à l'exercice du droit, et ne doit pas conduire à collecter des données excessives par rapport à la seule finalité de vérification. Contenu de la réponse : l'accusé de réception de la demande et sa qualification (nature du droit exercé), le cas échéant la mention de la prolongation du délai et ses motifs, la réponse sur le fond (communication des données pour un droit d'accès, confirmation de la rectification ou de l'effacement effectué, motifs justifiant un refus partiel ou total le cas échéant), et l'information sur le droit d'introduire une réclamation auprès de la CNIL en cas de désaccord avec la réponse apportée. Quand l'utiliser : dès réception d'une demande d'exercice de droit RGPD, quel que soit le canal utilisé par la personne concernée (email, courrier, formulaire de contact), afin de formaliser une réponse conforme dans le délai imparti. Erreurs à éviter : laisser le délai d'un mois s'écouler sans réponse, y compris lorsque la demande paraît infondée ou abusive (une réponse motivée reste due, même en cas de refus) ; refuser une demande sans en préciser les motifs juridiques précis ; exiger une vérification d'identité disproportionnée qui décourage l'exercice du droit ; et omettre de rappeler le droit de réclamation auprès de la CNIL, qui doit figurer dans toute réponse, favorable ou non.

Informations à personnaliser

• Nom ou raison sociale du responsable de traitement

• Contact du responsable de traitement

• Contact du délégué à la protection des données (DPO)

  À renseigner si un DPO a été désigné.

• Nom de la personne à l'origine de la demande

• Date de réception de la demande

• Nature du droit exercé

  Accès, rectification, effacement, limitation, opposition, portabilité.

• La réponse est-elle favorable, partielle ou un refus ?

  Favorable / Partielle / Refus.

• Motifs détaillés de la réponse

  En cas de refus partiel ou total, préciser les motifs juridiques précis.

• Le délai de réponse a-t-il été prolongé de deux mois ?

  Oui / Non.

• URL du site de la CNIL pour les réclamations

Personnalisez votre modèle

Questions fréquentes

Quel est le délai pour répondre à une demande d'exercice de droit RGPD ?

Le délai de principe est d'un mois à compter de la réception de la demande. Il peut être prolongé de deux mois supplémentaires en cas de demande complexe ou de nombre élevé de demandes, à condition d'en informer la personne concernée dans le délai initial d'un mois en précisant les motifs du report.

Peut-on refuser de répondre à une demande jugée abusive ?

Le RGPD permet de refuser de donner suite ou de facturer des frais raisonnables lorsque la demande est manifestement infondée ou excessive, notamment en raison de son caractère répétitif (article 12.5 du RGPD). Il appartient toutefois au responsable de traitement de démontrer ce caractère abusif, et une réponse motivée reste due même en cas de refus.

Le responsable de traitement peut-il demander une pièce d'identité avant de répondre ?

Oui, en cas de doute raisonnable sur l'identité de l'auteur de la demande, mais cette vérification doit rester strictement proportionnée à cet objectif et ne doit pas constituer un obstacle disproportionné à l'exercice du droit.

Que se passe-t-il si le responsable de traitement ne répond pas dans le délai ?

L'absence de réponse dans le délai d'un mois (éventuellement prolongé) constitue en elle-même un manquement à l'obligation de réponse prévue par le RGPD, indépendamment du bien-fondé de la demande initiale, et peut être signalée par la personne concernée à la CNIL.

La réponse doit-elle toujours mentionner le droit de réclamation auprès de la CNIL ?

Oui, cette mention doit figurer dans toute réponse, qu'elle soit favorable, partielle ou constitutive d'un refus, afin que la personne concernée soit informée de la possibilité de contester la réponse apportée devant l'autorité de contrôle compétente.

Un droit d'accès donne-t-il droit à la communication de l'intégralité des données ?

En principe oui, mais la communication peut être limitée lorsque la divulgation intégrale porterait atteinte aux droits et libertés d'autrui, par exemple en cas de données mêlant des informations relatives à des tiers. Ces limites doivent être appréciées au cas par cas et motivées dans la réponse.

Modèles associés