Que dois-je faire en cas de demande d'accès ?

Un mois pour répondre à une demande d'accès

Lorsqu'une personne demande l'accès à ses données à caractère personnel, le principe de base est d'y répondre dans le délai d'un mois prévu à l'article 12 du RGPD. Ce délai commence à courir à partir du moment où la demande est reçue, et la personne concernée n'a pas besoin de fournir de raison — le droit d'accès prévu à l'article 15 du RGPD est indépendant de toute justification. Dans certains cas, l'article 12 du RGPD offre la possibilité de prolonger ce délai, à condition que cela soit communiqué à temps et avec une explication à la personne concernée.

En pratique, cela signifie d'abord vérifier que le demandeur est effectivement la personne dont les données sont en cause, puis identifier les données à caractère personnel qui sont traitées la concernant. L'article 15 du RGPD énumère ce qui doit figurer dans la réponse : notamment l'objectif du traitement, les catégories de données, les destinataires auxquels elles ont été ou seront communiquées, et la durée de conservation. Un résumé couvrant ces points, présenté dans un langage clair, constitue une manière de satisfaire à une demande d'accès.

Sur quoi cela repose : articles 15 et 12 du RGPD

Le droit d'accès découle de l'article 15 du RGPD et le délai de réponse correspondant de l'article 12 du RGPD ; ces dispositions s'appliquent directement et uniformément dans tous les États membres, de sorte que le cœur de cette obligation ne diffère pas entre les Pays-Bas et l'Allemagne. Ce qui diffère, en revanche, c'est l'autorité saisie si une personne considère que sa demande a été traitée incorrectement : aux Pays-Bas, il s'agit de l'Autorité de protection des données, en Allemagne, du superviseur de l'État fédéral où se trouve l'établissement. L'Autorité de protection des données fournit sur sa page consacrée aux droits en matière de confidentialité une explication sur ce droit et la façon dont il est exercé.