Une demande d'une personne concernée est toute demande émanant d'une personne dont vous traitez les données à caractère personnel, par laquelle cette personne exerce l'un des droits que le RGPD lui confère. Cela va au-delà des deux formes les plus connues, l'accès et la suppression. Le règlement reconnaît également le droit de rectification, le droit à la limitation du traitement, le droit à la portabilité des données et le droit d'opposition à un traitement particulier. Toutes ces demandes relèvent de la même catégorie et entraînent la même obligation : vous devez y répondre.
Le détail qui est le plus souvent négligé dans ce sujet est qu'une demande n'a pas besoin d'une forme fixe. Un client qui écrit dans un e-mail ordinaire « je veux savoir ce que vous avez sur moi » ou un ancien employé qui dit au comptoir « puis-je faire enlever mon nom de votre système » introduit déjà une demande, même sans formulaire, sans utiliser le mot RGPD et sans que cela passe par une personne de contact désignée. C'est justement cette arrivée informelle qui cause souvent des problèmes : non pas lors de l'exécution de la demande, mais lors de sa reconnaissance.
Quels droits relèvent d'une demande d'une personne concernée
Le RGPD confère à une personne dont vous traitez les données un certain nombre de droits interdépendants. L'accès signifie que quelqu'un peut savoir quelles données vous avez sur lui et à quelles fins. La rectification signifie que les données inexactes doivent pouvoir être corrigées. La suppression, aussi appelée droit à l'oubli, signifie que les données doivent être effacées dans certaines situations. La limitation signifie que les données ne peuvent pas être utilisées temporairement, par exemple lors d'une discussion sur leur exactitude. La portabilité donne à quelqu'un le droit de recevoir les données qu'il a lui-même fournies dans un format courant. Et l'opposition donne à quelqu'un la possibilité de s'opposer à un traitement spécifique, par exemple à l'utilisation de ses données à des fins marketing.
Aucun de ces droits n'est sans condition. Le RGPD assortit chaque droit de ses propres conditions et exceptions, et qu'une demande doive effectivement être accordée dépend de la situation. C'est précisément la raison pour laquelle une explication générale ne peut jamais remplacer un jugement sur un cas individuel.
Pourquoi la reconnaissance est plus difficile que l'exécution
De nombreuses entreprises concentrent leur attention sur le processus après une demande : qui répond, dans quel délai, avec quel document. C'est justifié, mais ce n'est pas le premier goulot d'étranglement. Le premier goulot d'étranglement est qu'une demande arrive rarement par le canal que vous aviez prévu. Elle arrive chez l'employé qui répond au téléphone, chez le collègue qui gère la boîte e-mail du service clientèle, ou chez le gestionnaire de bureau qui se trouve par hasard dans le hall. Si personne dans l'organisation ne sait qu'une telle phrase est déjà une demande, le délai commence à courir pour vous sans que vous le sachiez.
C'est aussi la raison pour laquelle les autorités de contrôle soulignent dans leurs lignes directrices qu'une demande n'est pas liée à un canal spécifique ou à une formulation spécifique. L'organisation responsable, et non la personne concernée, a la charge de reconnaître une demande dès qu'elle est formulée. la banque de connaissances avec des explications par droit de la personne concernée approfondit ce qui compte comme une demande valable pour chacun de ces droits et ce qui ne l'est pas.
Ce que cela signifie pour votre organisation
En pratique, il est plus efficace que toute personne en contact avec les clients sache que des formulations comme « supprimez-moi de votre fichier » ou « envoyez-moi tout ce que vous avez sur moi » constituent un signal à transmettre à la personne chargée de traiter les demandes. Ce n'est pas une formation juridique, c'est la reconnaissance d'un motif. Ce n'est qu'une fois la demande identifiée et transmise que se pose la question de savoir comment l'identifier, ce que vous devez exactement fournir et dans quel délai.
Le RGPD lui-même fixe un délai d'un mois pour répondre à une demande, avec la possibilité de prolonger ce délai dans les cas plus complexes. Ce délai commence à courir à partir du moment où la demande est faite, non à partir du moment où elle parvient à la bonne personne. Celui qui souhaite surveiller ce moment sans devoir s'en souvenir manuellement peut le faire via un système qui démarre l'horloge automatiquement. comment gdpria.eu contrôle ce délai montre sur quoi repose cette automatisation.
Ce que vous pouvez faire en cas de doute
Tous les messages qui ressemblent à une demande n'en sont pas un, et pas toutes les demandes ne doivent être entièrement acceptées. Le doute à ce sujet fait partie de l'exécution, non de l'identification : dès qu'une personne manifeste son intention d'exercer l'un de ses droits, il vous incombe de traiter cela sérieusement et d'évaluer, éventuellement avec l'aide d'un juriste ou de l'Autorité de protection des données, ce qui doit exactement se passer. réponses aux questions que les entreprises posent souvent à ce sujet traite un certain nombre de ces cas limites.
Voulez-vous savoir où en est votre organisation avant qu'une demande n'arrive réellement ? Le diagnostic rapide gratuit sur rendre transparents en quelques questions les incidents de données et les demandes donne une première indication, et la base de connaissances explique pour chaque droit ce que dit le RGPD à ce sujet, avec la source à l'appui.