Extrait de registre selon le RGPD – comment les entreprises gèrent les droits des personnes concernées

Réponse courte : Lorsqu'une personne demande l'accès à ses données personnelles, l'entreprise doit être en mesure d'identifier la demande, de vérifier l'identité de manière proportionnée, de collecter les données pertinentes, d'évaluer les éventuelles restrictions et de répondre dans les délais impartis par le RGPD. Une bonne méthode de travail permet de traiter chaque demande de manière uniforme et d'assurer un suivi ultérieur.

Qu'est-ce qu'un extrait de registre selon le RGPD ?

Le droit d'accès implique que la personne concernée peut obtenir la confirmation que des données personnelles sont traitées et, le cas échéant, accéder à ces données ainsi qu'à des informations sur, entre autres, les finalités, les catégories de données, les destinataires, la durée de conservation et les droits. La demande doit donc être traitée de manière plus large que la simple exportation d'une liste à partir d'un système informatique.

Pour quels droits les entreprises doivent-elles avoir des procédures ?

• droit d'accès et extrait de registre
• rectification de données inexactes
• effacement lorsque les conditions sont remplies
• limitation du traitement
• portabilité des données, le cas échéant
• opposition, notamment au marketing direct
• information sur les décisions automatisées lorsque de telles règles sont applicables

Les différents droits sont soumis à des conditions différentes. Une liste de contrôle standardisée réduit le risque qu'une demande soit traitée comme si tous les droits fonctionnaient de la même manière.

Étape par étape : de la demande à la clôture du dossier

1. Enregistrer la demande. Noter la date de réception, l'objet de la demande et les coordonnées utilisées.
2. Évaluer l'identité. Ne demander que les informations supplémentaires réellement nécessaires pour éviter de divulguer des données à la mauvaise personne.
3. Délimiter la recherche. Identifier les systèmes, les sous-traitants, les e-mails, la gestion des dossiers et autres sources où des données pertinentes peuvent se trouver.
4. Examiner le résultat. Un extrait de registre ne doit pas porter atteinte aux droits et libertés d'autrui.
5. Répondre de manière intelligible. Les informations doivent être fournies de manière claire et transparente, et la documentation doit montrer comment l'évaluation a été effectuée.
6. Clôturer et assurer le suivi. Conserver les bases de décision, les dates et les mesures prises conformément aux procédures de documentation de l'entreprise.

De combien de temps l'entreprise dispose-t-elle ?

Le RGPD prévoit que la personne concernée doit recevoir des informations sur les mesures prises dans les meilleurs délais et, normalement, dans un délai d'un mois. Dans des situations plus complexes, le délai peut être prolongé sous certaines conditions, mais la personne concernée doit alors être informée de la prolongation et des motifs. Un registre interne des dossiers doit donc indiquer la date limite de réponse et la personne responsable.

Erreurs courantes

• ne pas disposer d'un point d'entrée unique pour les demandes
• effectuer un contrôle d'identité trop poussé et collecter ainsi plus de données personnelles que nécessaire
• oublier les données détenues par les sous-traitants
• divulguer des informations sur d'autres personnes sans vérification suffisante
• ne pas documenter les raisons pour lesquelles une demande est totalement ou partiellement refusée
• manquer le délai car le dossier n'a pas de responsable désigné

Documentation pratique

Pour les entreprises traitant des demandes récurrentes, il est efficace de combiner un journal des dossiers avec des modèles de réponse, un contrôle d'identité, une aide à la décision et des points de contrôle pour chaque droit. De cette façon, le processus devient à la fois plus rapide et plus facile à présenter lors d'un contrôle interne.

Découvrez le pack RGPD de la Boutique de Modèles pour les extraits de registre et les droits des personnes concernées.

Documentation RGPD connexe

Un flux de gestion des droits efficace est souvent lié au registre des activités de traitement (RoPA) de l'entreprise, à ses bases juridiques et à ses procédures en cas d'incident. Mieux les activités de traitement sont cartographiées, plus il est facile de trouver les bonnes données lors d'une demande.

FAQ

Un extrait de registre doit-il toujours être fourni dans le format exact demandé par la personne ?

Le format doit être accessible et intelligible, mais des conditions pratiques et juridiques peuvent influencer la manière dont le matériel est fourni. L'essentiel est que la personne concernée puisse effectivement prendre connaissance des informations exigées par le RGPD.

L'entreprise peut-elle facturer des frais ?

Le principe est que les informations et les mesures prises au titre des droits sont gratuites. Le RGPD prévoit des exceptions limitées pour les demandes manifestement infondées ou excessives.

Tout doit-il être documenté ?

Il est judicieux de documenter la manière dont la demande a été traitée, les systèmes vérifiés, les évaluations effectuées et la date à laquelle la réponse a été fournie. Cette documentation appuie l'obligation de responsabilité selon le RGPD.

Cet article constitue une information générale et ne remplace pas un conseil juridique dans un cas particulier.