Chaque droit du chapitre III du règlement parvient à une entreprise de logiciels sous forme de message : un utilisateur demande ce que l'entreprise détient sur lui, un ancien salarié demande une copie, l'utilisateur final d'un client demande à être effacé. L'article 12 fixe la procédure pour tous, et son paragraphe 3 fixe le délai : les informations sur les mesures prises à la suite d'une demande au titre des articles 15 à 22 sont fournies dans les meilleurs délais et en tout état de cause dans un délai d'un mois à compter de la réception. Cet article lit l'article 12 et l'article 15 au regard du catalogue que StandardOS tient du règlement, où la ligne de l'article 12, paragraphe 3, porte le mois comme un délai, et de la page gratuite qui calcule le délai et rédige la réponse.

Le mois : à compter de la réception, selon la règle des délais

Le délai court à compter de la réception, c'est-à-dire le jour où la demande a atteint l'entreprise par l'un des canaux qu'elle offre, pas le jour où quelqu'un l'a lue. Un délai exprimé en mois expire avec le dernier jour du dernier mois qui porte la même date que le jour de son départ, ou le dernier jour de ce mois s'il n'y en a pas : la règle du règlement (CEE, Euratom) no 1182/71, que le Comité européen de la protection des données applique à l'article 12, paragraphe 3, dans ses lignes directrices sur le droit d'accès. Une demande reçue le 31 janvier reçoit donc une réponse au plus tard le 28 février, ou le 29 une année bissextile ; une demande reçue le 13 d'un mois, au plus tard le 13 du suivant. La page calcule la date selon cette règle et ne déplace pas un délai qui tombe un week-end, parce que la lecture sûre est de répondre plus tôt, pas plus tard. L'article 12, paragraphe 1, ajoute la forme : par écrit ou par d'autres moyens, y compris électroniques, et oralement seulement si la personne concernée le demande et que son identité est démontrée ; l'article 15, paragraphe 3, ajoute qu'une demande présentée par voie électronique reçoit une réponse sous une forme électronique d'usage courant, sauf demande contraire de la personne concernée.

Les deux mois supplémentaires, et l'information dans le premier

L'article 12, paragraphe 3, deuxième phrase, permet de prolonger le délai de deux mois, compte tenu de la complexité et du nombre des demandes. La prolongation n'est pas un deuxième mois obtenu par le silence : le responsable informe la personne concernée de la prolongation et de ses motifs dans un délai d'un mois à compter de la réception, si bien que le premier délai subsiste comme jour de cette information et que seule la substance passe au troisième mois. Une entreprise qui reçoit une seule demande d'accès d'un utilisateur ne peut pas honnêtement la dire complexe ; la prolongation est pour l'entreprise qui en reçoit des centaines après une violation, ou pour une demande qui couvre des années d'enregistrements dans plusieurs systèmes. La page tient les deux dates à part : le jour où l'information était due et le jour où la réponse l'est.

Refus, frais et identité : les trois autres paragraphes

L'article 12, paragraphe 4, vise l'entreprise qui ne donnera pas suite à la demande : elle informe la personne concernée sans tarder et au plus tard dans un délai d'un mois à compter de la réception des motifs, et de la possibilité d'introduire une réclamation auprès d'une autorité de contrôle et de former un recours juridictionnel. Le silence n'est pas un refus ; un refus est une lettre motivée, dans le même délai. L'article 12, paragraphe 5, rend la réponse gratuite ; seule une demande manifestement infondée ou excessive, notamment en raison de son caractère répétitif, permet à l'entreprise d'exiger des frais raisonnables fondés sur les coûts administratifs ou de refuser de donner suite, et il incombe à l'entreprise de démontrer ce caractère. Une deuxième demande un an plus tard n'est pas répétitive ; la même demande chaque semaine l'est. L'article 12, paragraphe 6, permet à l'entreprise de demander des informations supplémentaires pour confirmer l'identité de la personne qui demande lorsqu'elle a des doutes raisonnables, ce qui est le cas d'une demande envoyée d'une adresse inconnue au sujet d'un compte nommé et pas celui d'une demande envoyée depuis le compte lui-même ; la question ne suspend pas le délai, et une entreprise qui exige une copie de passeport de chaque demandeur a créé un traitement qui lui est propre et qu'elle devra justifier.

La réponse d'accès : une copie et huit informations

L'article 15, paragraphe 1, donne à la personne concernée le droit d'obtenir la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu'elles le sont, l'accès aux données et huit informations : a) les finalités du traitement ; b) les catégories de données à caractère personnel concernées ; c) les destinataires ou catégories de destinataires, en particulier dans des pays tiers ou des organisations internationales ; d) lorsque c'est possible, la durée de conservation envisagée ou les critères utilisés pour la déterminer ; e) l'existence des droits de rectification, d'effacement, de limitation et d'opposition ; f) le droit d'introduire une réclamation auprès d'une autorité de contrôle ; g) lorsque les données ne sont pas collectées auprès de la personne concernée, toute information disponible quant à leur source ; h) l'existence d'une prise de décision automatisée, y compris un profilage, au titre de l'article 22, paragraphes 1 et 4, avec des informations utiles sur la logique sous-jacente ainsi que l'importance et les conséquences prévues pour la personne concernée. L'article 15, paragraphe 3, ajoute la copie des données faisant l'objet d'un traitement, les copies supplémentaires contre des frais raisonnables et la forme électronique ; l'article 15, paragraphe 4, empêche la copie de porter atteinte aux droits et libertés d'autrui, ce qui explique qu'une copie d'un ticket de support soit expurgée des notes privées de l'agent sur une tierce personne et non de ses réponses. Pour une entreprise de logiciels, sept des huit sont déjà écrites : ce sont les colonnes du registre des traitements, et h) est soit « aucune », soit la description que la documentation du produit donne elle-même du modèle qui note, classe ou décide.

La part du sous-traitant, et celle de la norme

Une entreprise qui héberge les données de ses clients reçoit des demandes auxquelles elle ne doit pas répondre : la personne concernée est celle du client, et le client est le responsable. L'article 28, paragraphe 3, point e), fait aider le responsable par le sous-traitant, par des mesures techniques et organisationnelles appropriées et dans toute la mesure du possible, à donner suite aux demandes d'exercice des droits de la personne concernée, ce qui est la clause que la page des clauses de sous-traitance rédige et les fonctions d'export, de recherche et de suppression que le produit doit avoir. L'ISO/IEC 27701:2025 place les mêmes obligations dans le tableau A.1 comme mesures sur l'accès, la correction et l'effacement, sur la copie des DCP et sur le traitement des demandes, que le catalogue lit chacune au regard de l'article 12, paragraphes 3 et 4, de sorte qu'un système certifié porte le mois comme une procédure avec un enregistrement derrière elle, pas comme un souvenir.

Quoi en faire

Consignez chaque demande le jour de son arrivée, en un seul endroit, avec le droit qu'elle exerce : cet enregistrement est le départ du délai et la preuve que l'autorité demande en premier. Calculez le délai selon la règle des délais et rédigez l'information de prolongation ou de refus à la première date, jamais après. Répondez aux demandes d'accès à partir du registre des traitements et ajoutez la copie tirée du produit ; répondez aux demandes d'effacement et de rectification, puis informez chaque destinataire des données au titre de l'article 19. La page du délai de réponse fait le calcul et la rédaction ; la page du délai de violation se tient à côté pour la demande qui s'avère décrire une violation, et la détermination des obligations dit lesquelles des autres obligations la même entreprise porte.