Pour une demande de suppression, aussi appelée droit à l'oubli, le RGPD fixe un délai d'un mois. Ce mois commence à courir à partir du moment où vous recevez la demande, non pas à partir du moment où vous reconnaissez qu'il s'agit d'une demande officielle en vertu du RGPD. Si une demande est complexe, ou si vous en recevez beaucoup à la fois dans un court laps de temps, vous pouvez prolonger le délai de deux mois. Vous devez cependant en informer la personne concernée dans le premier mois, en expliquant le motif du délai.
En pratique, ce délai d'un mois est plus court qu'il n'y paraît. Une demande de suppression arrive souvent non pas comme un document officiel, mais sous forme d'un e-mail, d'un appel téléphonique ou d'un message via le formulaire de contact du site web. Le temps que quelqu'un au sein de l'organisation reconnaisse qu'il s'agit d'une demande en vertu du RGPD et la transmette à la bonne personne, du temps s'est déjà écoulé qui ne compte pas dans le délai.
Ce qui lance le chronomètre
Le délai commence à la date de réception, indépendamment du canal par lequel la demande arrive. Cela signifie qu'une demande reçue par le service client, un vendeur ou une réceptionniste démarre le chronomètre tout autant qu'une demande adressée directement à la direction ou au service des ressources humaines. De nombreuses entreprises découvrent rétrospectivement qu'un message resté trois semaines dans une boîte de réception était simplement une demande de suppression. Pour limiter ce risque, il est bon de clarifier au sein de l'organisation comment reconnaître un tel message et où le rediriger immédiatement.
Où le délai pose problème en pratique
La plupart des retards ne surviennent pas au moment de décider de supprimer, mais lors de la localisation de tous les endroits où les données se trouvent. Un nom et une adresse e-mail peuvent se trouver simultanément dans un système CRM, un logiciel de facturation, une liste d'adresses, une sauvegarde et chez un tiers qui traite des données pour votre compte, comme un comptable ou un outil de marketing. Tous ces endroits doivent être vérifiés, et pour chaque responsable du traitement qui traite des données en votre nom, vous devez vérifier si et comment il procède à la suppression. Un inventaire des outils et des données qu'ils contiennent fait gagner beaucoup de temps dans ce processus. Dans la base de connaissances est expliqué pour chaque situation ce que le RGPD vous demande et sur quoi cela s'appuie.
Une deuxième source de retard est la question de savoir si la suppression est appropriée. Pas chaque demande entraîne automatiquement une suppression. Les données que vous devez conserver en vertu d'une obligation légale, comme certains éléments des dossiers financiers ou des dossiers de personnel dans un délai de conservation légal, échappent à l'obligation de suppression tant que cette obligation s'applique. Les données nécessaires à l'établissement, l'exercice ou la justification d'une action en justice peuvent également constituer une exception. Il incombe à l'organisation elle-même de déterminer quelle exception s'applique dans un cas précis, éventuellement avec l'aide d'un juriste, et en cas de doute, l'Autorité néerlandaise pour la protection des données peut apporter des précisions.
Quand une prolongation est autorisée et quand elle ne l'est pas
La prolongation de deux mois n'est pas automatique et ne peut être invoquée à la légère. Le RGPD subordonne cette possibilité à la complexité de la demande ou au nombre de demandes à traiter simultanément. Une seule demande simple, comme retirer une adresse d'une liste d'adresses, n'est pas assez complexe pour justifier trois mois. Une demande concernant des données dispersées sur plusieurs systèmes et plusieurs années peut l'être. Il est important d'informer la personne concernée dans le premier mois que vous prolongez le délai et pourquoi ; si vous ne le faites pas, le délai initial d'un mois s'écoule simplement.
En pratique : rendre le délai gérable
La plupart des retards peuvent être évités en sachant à l'avance où se trouvent les données, au lieu de devoir les localiser à nouveau à chaque demande. Un aperçu régulier des systèmes utilisés, des données traitées par chacun et des accords conclus avec les tiers font la différence entre une demande traitée en une semaine et une demande qui prend le mois complet. Celui qui maintient cet aperçu avec un système qui contrôle lui-même le délai n'a plus besoin de se fier au calendrier. Pour en savoir plus sur le fonctionnement de cette approche en pratique et sur les sources d'information, consultez la page qui explique d'où proviennent les informations.
Les demandes de suppression n'arrivent rarement à un moment fixe, et c'est précisément pour cette raison qu'il est facile de laisser s'écouler inutilement les premiers jours du délai. Celui qui souhaite lancer le délai dès réception d'une demande peut le faire via un compte professionnelPour les questions similaires concernant les demandes de personnes physiques, il existe également un aperçu contenant des réponses plus courtes.
Vous ne savez pas si une demande concrète que vous recevez relève de l'obligation de suppression, ou quelle exception pourrait s'appliquer ? Il s'agit d'une évaluation qui varie selon les situations, et que vous discuteriez au mieux avec un juriste ou avec l'Autorité de protection des données. Si vous souhaitez d'abord avoir une vue d'ensemble rapide de votre situation, vous pouvez effectuer le diagnostic gratuit ou parcourir les sujets dans la base de connaissances.