Quels documents vous sont nécessaires pour une demande d'accès ou de suppression ?
Lorsque quelqu'un vous demande l'accès à ses données, ou leur suppression, vous avez besoin d'un certain nombre de documents pour traiter cette demande de manière appropriée : un accusé de réception daté, un moyen d'établir l'identité du demandeur, un aperçu de ce que vous traitez réellement concernant cette personne, une décision écrite avec justification, et le cas échéant, une notification dans laquelle vous prolongez le délai. Ensemble, ces documents forment le dossier avec lequel vous pouvez démontrer ce qui a été demandé et ce que vous en avez fait.
La partie qui suscite le plus d'incertitude n'est pas la liste elle-même, mais la vérification d'identité. Poser trop peu de questions est un risque car vous pourriez alors communiquer des données à la mauvaise personne ; poser trop de questions est aussi un risque, car le RGPD demande précisément de ne pas recueillir plus de données que nécessaire pour établir l'identité. Une copie complète d'une pièce d'identité n'est généralement pas nécessaire à cet effet et introduit en outre de nouvelles données que vous devez sécuriser et détruire à temps.
Établir l'identité sans surdemander
En pratique, cela fonctionne souvent avec des données que vous possédez déjà : un numéro de client, une adresse e-mail connue précédemment, ou un bref appel de confirmation. Ce n'est que s'il y a un doute sur qui fait la demande qu'une vérification supplémentaire s'impose. L'Autorité néerlandaise de protection des données et les lignes directrices de l'EDPB accordent une attention explicite à ce point, précisément parce que c'est l'endroit où les organisations surcompensent le plus souvent. Une procédure systématique de vérification d'identité, que vous établissez une seule fois et que vous répétez ensuite, évite de devoir réinventer cela à chaque fois.
Ce qui d'autre doit figurer dans le dossier
Outre la vérification d'identité, le dossier doit contenir un aperçu des données traitées elles-mêmes : d'où elles proviennent, avec qui elles ont été partagées, et depuis combien de temps vous les avez. En pratique, vous tirez cet aperçu de votre registre des activités de traitement, s'il est à jour. Sans registre, vous devez rechercher cela manuellement dans vos systèmes pour chaque demande, ce qui prend plus de temps et augmente le risque d'une réponse incomplète. Dans la base de connaissances, vous trouverez expliqué pour chaque situation ce qu'une réponse complète implique.
Pour une demande de suppression, un document supplémentaire s'ajoute : l'évaluation de savoir s'il existe une obligation légale de conservation qui empêche (temporairement) la suppression, par exemple pour les données fiscales. Vous documentez cette évaluation par écrit, même si le résultat est que vous ne supprimez pas (complètement). Ce document est tout aussi important que la suppression elle-même, car il montre qu'un choix conscient a été fait et qu'il n'y a pas de demande oubliée.
Pourquoi cela est lié à votre registre et vos outils
Une demande d'accès ou de suppression ne concerne rarement qu'un seul système. Les données clients se trouvent souvent simultanément dans un CRM, un logiciel comptable et un programme de messagerie, et pour chacun d'entre eux se pose la question de savoir si et combien de temps la suppression est possible. Celui qui cartographie à l'avance quels outils SaaS contiennent quelles données n'a pas besoin de le redécouvrir pour chaque demande. Vous pouvez vérifier si vos paramètres correspondent à ce que le règlement demande via la note explicative sur la confidentialité et la sécurité des données.
La décision elle-même est aussi un document : une courte lettre ou un e-mail indiquant ce qui a été demandé, ce que vous avez fait, et dans quel délai. Ce délai est fixé par le règlement et court à partir du moment de la réception, non pas à partir du moment où vous trouvez le temps de vous en occuper. Un aperçu des questions fréquemment posées sur ces délais et les exceptions se trouve à la questions fréquemment posées sur les demandes des personnes concernées.
La documentation en vaut la peine, même après traitement
Le dossier que vous constituez en réponse à une demande ne sert pas uniquement pour ce moment précis. Il montre également, si un contrôleur ou la personne concernée demande à le consulter ultérieurement, que la demande a été reconnue, évaluée et traitée dans le délai imparti. Le fait que votre méthode de travail actuelle couvre cela est une question que vous pouvez mieux discuter avec un juriste ou avec l'Autorité des personnes concernées si vous avez des doutes sur une situation concrète.
Voulez-vous voir en quelques minutes comment cela devient concret pour votre entreprise, sans avoir à tout explorer d'abord vous-même ? Effectuez le scan rapide gratuit ou commencer un compte professionnel pour tenir à jour votre registre et vos demandes de manière claire.