Procédure de droits : que faire quand quelqu'un demande à voir ou à effacer ses données

Sommaire

• Quels droits une personne peut-elle exercer ?
• Dans quel délai devez-vous répondre ?
• Pourquoi avez-vous besoin d'une procédure écrite ?
• Quel risque courez-vous si vous ne répondez pas ?
• Comment Tranquilia le résout
• Questions fréquentes
• Sources officielles

Quels droits une personne peut-elle exercer ?

Le RGPD reconnaît plusieurs droits, parfois résumés sous le nom de « droits ARSOPL » :

• Accès (art. 15) : savoir quelles données la concernant vous détenez et en obtenir une copie.
• Rectification (art. 16) : corriger des données erronées.
• Effacement (art. 17), le « droit à l'oubli » : demander que vous les effaciez lorsqu'elles ne sont plus nécessaires.
• Opposition (art. 21) : demander que vous cessiez de les traiter, par exemple à des fins de publicité.
• Limitation (art. 18) : « geler » le traitement pendant qu'un désaccord se règle.
• Portabilité (art. 20) : emporter ses données chez un autre prestataire.

Ils ne s'appliquent pas tous en permanence : il y a des exceptions (par exemple, vous ne pouvez pas effacer une facture que la loi vous oblige à conserver). Mais vous devez bien répondre à chaque demande, ne serait-ce que pour expliquer pourquoi elle n'est pas recevable.

Dans quel délai devez-vous répondre ?

La règle générale de l'art. 12 RGPD est un mois à compter de la réception de la demande. Vous pouvez le prolonger de deux mois supplémentaires si le cas est complexe, mais vous devez prévenir la personne dans le premier mois, en expliquant pourquoi.

Répondre « sans frais » est la règle : ce n'est que dans les cas manifestement excessifs ou répétitifs que vous pouvez facturer ou refuser, et vous devez le justifier.

Pourquoi avez-vous besoin d'une procédure écrite ?

Parce que les demandes n'arrivent pas par un canal unique et ordonné : elles arrivent par e-mail, par WhatsApp, par téléphone ou en personne, et bien souvent la personne qui les reçoit en premier n'est pas celle qui sait quoi en faire. Une procédure écrite répond d'avance à trois questions :

1. Comment on identifie la personne qui demande (pour ne pas remettre les données de quelqu'un à un tiers).
2. Qui se charge de répondre, et dans quel délai.
3. Ce que l'on répond pour chaque type de droit, avec un modèle.

Quel risque courez-vous si vous ne répondez pas ?

Ne pas donner suite à un droit est l'une des causes les plus fréquentes de réclamation auprès de l'AEPD (Agencia Española de Protección de Datos, l'autorité espagnole de protection des données) : la personne se lasse d'être ignorée et s'adresse à elle. Le RGPD fixe les plafonds de sanction à deux niveaux : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires, et jusqu'à 20 millions ou 4 %, selon l'infraction (art. 83 RGPD) ; c'est le chiffre le plus élevé qui s'applique.

Pour une PME, ce qui coûte cher n'est généralement pas l'amende mais la perte de contrôle : une demande qui se perd dans une boîte mail et finit en réclamation alors qu'il aurait suffi d'y répondre à temps.

Comment Tranquilia le résout

Tranquilia vous prépare la procédure de traitement des droits et les modèles de réponse pour chacun d'eux (accès, effacement, opposition...), avec les délais déjà indiqués. Ainsi, quand la première demande arrivera, vous saurez exactement quoi faire au lieu d'improviser.

Questions fréquentes

Dois-je répondre même si la demande m'arrive par WhatsApp ?

Oui. La loi n'exige pas de formulaire particulier : si quelqu'un vous demande ses données par n'importe quel canal, la demande est valable et le délai commence à courir. C'est pourquoi il vaut mieux avoir une procédure qui couvre tous les canaux.

Puis-je demander le DNI (la carte nationale d'identité espagnole) pour identifier la personne qui réclame ?

Vous pouvez demander ce qui est raisonnable pour vous assurer que la personne est bien celle qu'elle prétend être, sans excès. L'idée est de ne pas remettre par erreur les données d'une personne à une autre, et non de mettre des obstacles pour décourager la demande.

Et si l'on me demande d'effacer des données que la loi m'oblige à conserver ?

Vous le lui expliquez. Il y a des données que vous ne pouvez pas effacer tant qu'une obligation légale vous impose de les conserver (les factures, par exemple). Dans ce cas, vous refusez l'effacement de façon motivée, mais vous répondez tout de même dans le délai.

Sources officielles

• Reglamento (UE) 2016/679 (RGPD), articles 12 à 22 (et art. 83, sanctions) — texte sur EUR-Lex.
• Agencia Española de Protección de Datos (AEPD).
• BOE — Ley Orgánica 3/2018 (LOPDGDD), articles 12 à 18.

---

Informations générales sur la réglementation. Ne remplace pas les conseils d'un avocat ni l'analyse de votre cas concret. Si vous avez des doutes, consultez votre gestoría (un cabinet qui gère les formalités administratives d'autres entreprises) ou un professionnel du droit.