La réponse courte
Les droits eux-mêmes ne changent pas cette année. Le droit d'accès, de rectification, de suppression, de limitation, d'opposition et de portabilité est prévu dans le RGPD lui-même, et ce texte n'est pas réécrit chaque année. Ce qui évolue, c'est la manière dont ces demandes arrivent aux entreprises et la façon dont les autorités de contrôle et l'organe européen de protection des données (CEPD) l'expliquent. Pour un directeur ou un responsable RH, c'est une différence dans la pratique, même si le texte de la loi ne change pas.
Cela ne signifie pas que vous n'avez rien à suivre. Les lignes directrices de l'Autorité néerlandaise de protection des données et du CEPD sont régulièrement complétées, par exemple sur la façon de vérifier l'identité d'une personne qui fait une demande ou sur la façon de traiter une demande reçue via une fonction de chat ou les réseaux sociaux. Ces compléments ne sont pas une nouvelle loi, mais une application plus précise d'une obligation existante.
Ce qui ne change pas dans la loi elle-même
Le cœur reste inchangé : une personne concernée peut demander quelles données vous traitez la concernant, peut faire corriger les données inexactes, et peut demander la suppression sous certaines conditions. Le délai dans lequel vous devez répondre est prévu dans le RGPD lui-même et n'est pas sujet à une révision annuelle. Les entreprises qui pensent qu'un délai de réaction nouveau, plus court ou plus long, a été introduit cette année confondent probablement cela avec des arrangements internes ou des communications qui ne portent pas sur le texte de la loi lui-même.
Les motifs d'exception, comme une obligation légale de conservation qui s'oppose à la suppression, sont également inchangés. Ce qui peut évoluer, c'est la façon dont les autorités de contrôle interprètent strictement ces exceptions dans leurs lignes directrices. Ce n'est pas une modification de la loi, mais cela peut signifier qu'une justification suffisante l'année dernière doit être documentée plus précisément cette année.
Ce qui bouge réellement cette année
Trois développements sont pertinents pour les PME, sans que la loi elle-même ait été modifiée. Premièrement, les demandes arrivent de plus en plus souvent par voie numérique, via un formulaire de contact, un chatbot ou une réaction sur les réseaux sociaux, plutôt que par courrier. Cela ne change rien à l'obligation, mais cela change la question de savoir si une demande est reconnue comme une demande formelle et parvient en temps utile à la bonne personne au sein de l'organisation.
Deuxièmement, l'attention croît pour les demandes relatives au traitement automatisé, par exemple lorsque des données ont été utilisées pour construire un profil ou qu'une application d'IA a fourni des données d'entrée pour une décision. Le CEPD développe régulièrement ce sujet. Les entreprises qui utilisent des outils d'IA pour le contact avec les clients ou l'évaluation du personnel feraient donc bien de savoir quelles données s'y trouvent, avant qu'une demande n'arrive. Cela touche directement aux questions soulevées par RGPD et outils d'IA dans la pratique.
Troisièmement, une discussion plus large est en cours sur l'évaluation du RGPD dans son ensemble, au niveau européen. Il s'agit d'examiner si les règles pour les petites organisations peuvent être simplifiées, mais aucune modification législative concrète n'a été adoptée pour le moment. Ce qui n'est pas encore établi, nous le signalons comme tel ici : aucune date ou contenu définitif n'est connu, et spéculer là-dessus ne va pas plus loin pour un entrepreneur.
Pour qui cela fait la différence
Ces évolutions concernent principalement les organisations qui ont de nombreux points de contact avec les clients ou les collaborateurs : un bureau avec un service clients, une entreprise d'installation avec un formulaire de devis sur le site web, ou un département RH qui traite les données de candidatures. Plus il y a de canaux par lesquels quelqu'un peut vous contacter, plus il y a de risque qu'une demande arrive quelque part sans être reconnue comme une demande formelle au titre du RGPD. Ce n'est pas un risque juridique que nous évaluons ici, mais c'est un point pratique qui mérite d'être discuté en interne.
La relation avec vos contrats de traitement des données est également pertinente : si un client vous adresse une demande, mais que les données se trouvent chez un prestataire SaaS externe, ce prestataire doit pouvoir coopérer à l'accès ou à la suppression. Vous pouvez vérifier si cet aspect est bien réglé contractuellement via la questions fréquemment posées sur les contrats de traitement des données et les outils SaaS.
Comment assurer le suivi sans devoir à chaque fois le vérifier à nouveau
Parce que le texte législatif est stable mais son interprétation évolue, il importe surtout de savoir d'où provient l'état actuel des connaissances et quand celui-ci change. gdpria.eu lie chaque sujet à la source dans le RGPD et aux lignes directrices de l'EDPB et de l'Autorité de protection des données, de sorte que vous n'ayez pas à vérifier vous-même si quelque chose a été modifié. En cas de suspicion d'une violation de données, vous pouvez par exemple en quelques questions évaluer votre situation, avant de procéder à d'autres démarches.
Vous souhaitez savoir comment ce type d'information est géré et d'où provient la source ? Effectuez la vérification rapide gratuite ou consultez les sujets dans la base de connaissances, et décidez vous-même si une étape supplémentaire est nécessaire.