Répondre aux demandes des personnes concernées est une obligation concrète du RGPD détaillée dans notre pilier RGPD & conformité des données. Cette page explique comment traiter ces demandes efficacement.
Les droits des personnes sur leurs données (RGPD)
Accès, rectification, effacement, portabilité : comment traiter une demande d'exercice de droits RGPD dans les délais impartis.
Les droits des personnes (accès, rectification, effacement, portabilité)
Toute personne dont l'entreprise traite les données dispose d'un droit d'accès (obtenir une copie de ses données), de rectification (corriger une information erronée), d'effacement (demander la suppression de ses données dans certaines conditions) et de portabilité (récupérer ses données dans un format réutilisable pour les transférer ailleurs). Un salarié peut tout à fait demander l'accès à l'ensemble des données que l'entreprise détient sur lui, ce droit s'appliquant aux salariés comme aux clients ou prospects, sans distinction de statut.
Répondre à une demande dans les délais
Une entreprise doit répondre à une demande liée au RGPD dans un délai d'un mois à compter de sa réception, ce délai pouvant être prolongé de deux mois supplémentaires pour les demandes complexes, à condition d'en informer le demandeur dans le mois initial. Face à une demande d'un client souhaitant accéder à ses données, la réponse doit rassembler l'ensemble des informations le concernant présentes dans les systèmes de l'entreprise — ce qui suppose de savoir précisément où ces données sont stockées, d'où l'intérêt d'un registre des traitements à jour.
Gérer une demande abusive
Une entreprise peut refuser ou facturer une demande manifestement infondée ou excessive, notamment en cas de caractère répétitif, sans avoir à justifier d'une raison particulière au-delà de ce caractère abusif constaté. Cette possibilité reste toutefois encadrée strictement et doit être utilisée avec prudence : un refus mal justifié peut être contesté par le demandeur auprès de la CNIL, ce qui impose de documenter précisément les raisons d'un tel refus si l'entreprise choisit cette option.
Tracer et documenter les demandes reçues
Le droit à l'effacement (droit à l'oubli) impose de supprimer effectivement les données de l'ensemble des systèmes concernés, y compris les sauvegardes lorsque c'est techniquement possible, et non pas seulement de la base de données principale visible au quotidien. Un processus formalisé pour traiter les demandes d'exercice de droits — un point d'entrée unique, un suivi des délais, une traçabilité de chaque réponse apportée — évite les oublis et permet de démontrer, en cas de contrôle, que l'entreprise traite sérieusement ces demandes plutôt qu'au cas par cas sans méthode.
Voir aussi
Cette page complète le pilier RGPD & conformité des données. Voir aussi le rôle du DPO, souvent en charge du traitement de ces demandes.
Questions fréquentes
Dans quel délai une entreprise doit-elle répondre à une demande liée au RGPD ?
Le délai standard est d'un mois à compter de la réception de la demande, prolongeable de deux mois pour les demandes complexes, à condition d'en informer le demandeur dans le délai initial.
Qu'est-ce que le droit à l'effacement (droit à l'oubli) et comment l'appliquer techniquement ?
C'est le droit de demander la suppression de ses données sous certaines conditions. Techniquement, il impose de supprimer les données de l'ensemble des systèmes concernés, y compris les sauvegardes si possible.
Un salarié peut-il demander l'accès à toutes les données que l'entreprise détient sur lui ?
Oui, le droit d'accès s'applique aux salariés comme aux clients ou prospects, sans distinction de statut, et couvre l'ensemble des données personnelles détenues par l'entreprise à son sujet.
Comment refuser une demande RGPD abusive ou infondée, et dans quelles conditions ?
Une entreprise peut refuser ou facturer une demande manifestement infondée ou excessive, notamment répétitive, mais doit documenter précisément les raisons de ce refus en cas de contestation ultérieure.
Faut-il un processus formalisé pour traiter les demandes d'exercice de droits ?
Oui, un point d'entrée unique avec suivi des délais et traçabilité des réponses évite les oublis et permet de démontrer, en cas de contrôle, une gestion sérieuse et méthodique de ces demandes.