L'autorité danoise de protection des données réitère sa position ferme selon laquelle les difficultés organisationnelles internes, telles que le manque de ressources ou un arriéré de dossiers, ne constituent pas une justification valable pour le non-respect des délais de réponse aux demandes de droit d'accès.

Faits et contexte

L'autorité danoise de protection des données (Datatilsynet) a aujourd'hui publié une décision prononçant une critique sérieuse à l'encontre de l'Administration fiscale danoise (Skatteforvaltningen) pour des manquements répétés en lien avec le respect des délais de réponse aux demandes de droit d'accès.

L'affaire a été initiée d'office par l'autorité en novembre 2024, à la suite d'une plainte, et portait sur les délais de traitement généralisés des demandes d'accès. Une première décision du 30 septembre 2025 avait déjà émis une critique sérieuse pour la période 2019-2024.

Motifs de la décision

• Obligation de répondre aux demandes d'accès dans les délais (article 12, paragraphe 3, du RGPD) : L'enquête de l'autorité a révélé que pour l'année 2025, sur 152 demandes d'accès reçues, le délai de traitement moyen était de 59,05 jours. De nombreuses demandes ont dépassé les délais légaux : 62 ont été traitées en plus de 30 jours, 44 en plus de 60 jours, et 23 en plus de 90 jours, le délai le plus long atteignant 189 jours. Pour justifier ces retards, l'administration a invoqué la complexité des dossiers, le grand nombre de documents, le besoin de coordination interservices, et un retard général dû au traitement de demandes antérieures. L'autorité a rejeté ces arguments en rappelant que le manque de ressources ou les choix de priorisation d'un responsable du traitement ne sont pas des motifs valables au regard du RGPD pour justifier de tels délais. Se référant au considérant 59 du RGPD, elle a souligné que la nécessité de prolonger le délai de réponse doit s'apprécier au cas par cas pour chaque demande, en fonction de sa complexité propre, et non en raison d'une charge de travail globale ou d'un arriéré. Le responsable du traitement est tenu d'allouer les ressources suffisantes pour respecter ses obligations légales.

Décision de l'autorité

En conséquence, l'autorité a prononcé une critique sérieuse à l'encontre de l'Administration fiscale danoise.

En outre, l'autorité a ordonné à l'organisme de lui transmettre, en janvier 2027, un nouveau rapport sur les délais de traitement des demandes d'accès pour l'année 2026 afin de suivre les progrès réalisés.

Enseignements

Cette décision rappelle que :

• L'insuffisance de ressources (personnel, outils, procédures) n'est pas une circonstance atténuante ou une justification valable pour ne pas respecter les délais légaux de réponse aux demandes d'exercice de droits.
• L'existence d'un arriéré de demandes complexes ne justifie pas de retarder le traitement des nouvelles demandes ; chaque demande doit être évaluée individuellement quant à sa complexité.
• Une prolongation du délai de réponse d'un mois à trois mois ne peut être justifiée que par la complexité ou le nombre de demandes émanant de la *même* personne concernée, et non par la charge de travail globale du responsable du traitement.
• Le responsable du traitement doit s'organiser de manière technique et organisationnelle pour être en mesure de traiter les demandes, y compris les plus complexes ou volumineuses, dans les délais impartis par le RGPD.