Les droits des personnes sur leurs données (RGPD)

Le RGPD ne protège pas les données pour elles-mêmes : il protège les personnes. Pour cela, il leur donne une série de droits que vous devez respecter. Voici lesquels, et comment y répondre sans stress.

Pourquoi ces droits comptent

Toute personne dont vous détenez les données (client, prospect, salarié) peut vous solliciter pour exercer ses droits. Bien gérer ces demandes est à la fois une obligation légale et un signe de sérieux. Mal les gérer est l'une des principales sources de plaintes auprès de la CNIL.

Les principaux droits

• Droit d'information : les personnes doivent savoir, au moment de la collecte, quelles données vous prenez, pourquoi, et combien de temps vous les gardez.
• Droit d'accès : elles peuvent demander une copie des données que vous détenez sur elles.
• Droit de rectification : corriger une donnée inexacte ou incomplète.
• Droit à l'effacement (droit à l'oubli) : demander la suppression de leurs données, sous certaines conditions.
• Droit à la limitation : geler temporairement un traitement en cas de désaccord.
• Droit d'opposition : refuser un traitement, notamment la prospection commerciale.
• Droit à la portabilité : récupérer ses données dans un format réutilisable pour les transférer ailleurs.

S'y ajoute un encadrement des décisions entièrement automatisées (comme un profilage) qui produisent des effets importants sur la personne.

Le délai : un mois

Vous devez répondre à une demande dans un délai d'un mois à compter de sa réception. Ce délai peut être prolongé de deux mois pour les demandes complexes ou nombreuses, à condition d'en informer la personne. Le silence n'est pas une option : une absence de réponse est une faute.

Ces droits ne sont pas absolus

Un point souvent mal compris : les droits connaissent des limites. Vous pouvez refuser d'effacer des données que la loi vous oblige à conserver (des factures, par exemple). Vous pouvez aussi demander à vérifier l'identité du demandeur avant de répondre, pour éviter de livrer des données à un imposteur. L'important est de justifier tout refus.

Comment s'organiser

Le secret est d'anticiper. Prévoyez un canal clair pour recevoir les demandes (une adresse dédiée), une procédure simple pour y répondre, et sachez où sont vos données grâce à votre registre des traitements. Une demande d'accès devient facile à traiter quand on sait exactement quels fichiers consulter.

En résumé

Le RGPD donne aux personnes des droits sur leurs données : information, accès, rectification, effacement, limitation, opposition, portabilité. Vous devez y répondre en principe sous un mois. Ces droits ont des limites légitimes, mais tout refus doit être justifié. Un registre à jour et une procédure claire rendent ces demandes faciles à gérer.

FAQ

Sous combien de temps faut-il répondre ? Un mois en principe, prolongeable de deux mois pour les demandes complexes, si vous prévenez la personne.

Peut-on refuser une demande d'effacement ? Parfois, oui : par exemple si une obligation légale vous impose de conserver les données. Le refus doit être motivé et expliqué à la personne.

Doit-on vérifier l'identité du demandeur ? C'est recommandé en cas de doute raisonnable, pour ne pas transmettre des données à la mauvaise personne. La vérification doit rester proportionnée.