L'article 25, III de la loi informatique et libertés prévoit que la Commission nationale de l'informatique et des libertés se prononce dans un délai de deux mois à compter de la réception de la demande (délai qui peut être renouvelé une fois sur décision motivée de son président).

Pour les demandes d'autorisations de traitements à des fins de recherches, d'études ou d'évaluation dans le domaine de la santé, la décision de la CNIL est précédée d'un avis obligatoire du comité d'expertise.

Or le projet de ne fixe aucun délai à ce comité pour rendre son avis.

Il est proposé de fixer un délai d'un mois à compter de la saisine, qui s'insère dans le délai de deux mois fixé à la CNIL: cela évitera les situations où la CNIL ne pourrait pas rendre sa décision, faut d'un avis rendu par le comité d'experts, et rendrait donc une décision implicite de refus de l'autorisation.