L'erreur la plus courante dans le traitement d'une demande d'une personne concernée ne réside pas dans le délai auquel vous répondez, mais dans le contenu de votre réponse. Les entreprises envoient souvent soit trop peu de données en retour lors d'une demande d'accès, soit suppriment lors d'une demande de suppression des données qu'elles devaient en réalité conserver. Ces deux erreurs surviennent parce que la demande est traitée comme une seule action simple, alors qu'un certain nombre de questions doivent d'abord être répondues.
Le cœur du problème est le suivant : une demande d'accès ou de suppression exige une évaluation donnée par donnée, et non l'activation d'un bouton. Celui qui supprime un dossier personnel complet parce qu'un ancien employé le demande peut facilement supprimer des données qui, en vertu d'une autre obligation légale, doivent encore être conservées, comme les délais de conservation fiscaux ou en droit du travail. Celui qui, en cas de demande d'accès, n'envoie qu'une exportation d'un seul système, omet souvent des données situées ailleurs, par exemple dans un fichier Excel distinct ou dans la boîte de réception d'un responsable.
Pourquoi cette erreur se produit si souvent
Le RGPD confère aux personnes concernées le droit d'accès et, sous certaines conditions, le droit à l'oubli. Ces deux droits ne sont pas illimités. Le droit à la suppression ne s'applique par exemple pas lorsqu'il existe une obligation légale de conservation, ou lorsque les données sont nécessaires pour établir, exercer ou défendre un droit en justice. Cette distinction ne figure pas dans une simple liste de contrôle, ce qui rend difficile le traitement pour quelqu'un qui le fait pour la première fois.
Une deuxième raison est que les données dans une PME moyenne sont dispersées : dans le CRM, dans la comptabilité, dans le courrier électronique, parfois dans une application de chat. Une demande est souvent traitée à partir d'un seul système, alors que la personne concernée a le droit à un tableau complet. C'est exactement là qu'un registre des activités de traitement à jour fait la différence : si vous avez déjà consigné à l'avance quels systèmes contiennent des données personnelles et de qui, vous n'avez pas besoin de le découvrir sous la pression du temps au moment où une demande arrive.
La deuxième erreur : ne pas vérifier l'identité
Au-delà de l'évaluation au fond, les choses tournent souvent mal à la première étape : déterminer qui fait la demande. Une demande d'accès ou de suppression contient souvent des informations sensibles, et ces informations ne doivent parvenir qu'à la personne concernée elle-même. Traiter une demande trop rapidement sans vérifier l'identité peut entraîner des données d'une personne allant à la mauvaise personne. Simultanément, ce qui suit s'applique : une vérification d'identité inutilement stricte ralentit le traitement et peut être perçue comme un obstacle disproportionné à la demande.
Comment éviter cette erreur
La première étape est de bien documenter la demande elle-même : qu'est-ce qui est exactement demandé, par qui, et à quelle date la demande a-t-elle été reçue. À partir de ce moment, le délai légal commence à courir, et ce délai s'applique quel que soit le mode de réception de la demande : par courrier électronique, téléphone ou courrier.
La deuxième étape est de déterminer dans quels systèmes les données de cette personne sont stockées. Un registre des activités de traitement à jour accélère considérablement cette étape, car vous savez déjà quels outils et prestataires traitent les données des employés ou des clients. Ceux qui ne l'ont pas encore organisé de manière centralisée peuvent base de connaissances avec explication par situation lire ce qui doit exactement figurer dans un registre avant qu'une demande ne soit reçue.
La troisième étape est d'évaluer pour chaque donnée si la suppression ou la communication est autorisée, au lieu de traiter tout le dossier en une seule fois. En cas de doute sur une obligation légale de conservation qui s'oppose à la demande, il est judicieux de demander des conseils juridiques à ce sujet ; l'autorité de contrôle mentionne cette distinction dans ses lignes directrices, mais le résultat dépend de la situation spécifique.
En conclusion, il est utile d'avoir au préalable un processus établi pour ce type de demandes, afin de ne pas devoir réinventer à chaque demande qui est responsable de quoi. Les réponses aux questions fréquemment posées sur ce sujet sont rassemblées de manière claire dans la collection de questions fréquemment posées, et pour voir comment gdpria.eu indique la source de chaque réponse, consultez la page explication sur la façon dont l'information est constituée.
Un registre bien tenu à jour et un processus établi ne peuvent pas empêcher une demande d'arriver, mais ils garantissent qu'elle ne s'exécute pas mal sous la pression des délais. Celui qui souhaite plutôt gérer cela de manière structurelle au lieu de recommencer à zéro à chaque cas peut se renseigner gratuitement sur un compte professionnel et ainsi mettre de l'ordre dans l'aperçu par système et par demande.
Êtes-vous curieux de connaître votre propre situation ? Le scan rapide gratuit vous donne en quelques questions une première indication, sans que vous n'ayez besoin d'un compte pour cela.