Si vous souhaitez retrouver le contrôle sur vos données personnelles, ou dans un cadre spécifique (contentieux, candidature, etc.), il peut être intéressant pour vous de savoir comment vos données sont traitées par un organisme.
La réglementation en matière de protection des données à caractère personnel, et notamment, le désormais connu RGPD (« Règlement général sur la protection des données ») ainsi que la loi française « Informatique et Libertés » n°78-17, attribue à chacun des droits sur ses données personnelles.
Chaque personne a ainsi la possibilité de demander au responsable de traitement (à l’organisme qui traite ses données) des informations sur la manière dont ses données sont traitées (durée, finalités, base légale, destinataires, transferts hors de l’Union européenne, etc.) ainsi que d’obtenir une copie des données traitées (article 15 du RGPD).
Nouvelle précision : la Cour de justice de l’Union européenne, dans un arrêt du 12 janvier 2023, a précisé que les personnes dont les données sont traitées ont le droit de savoir précisément à qui leurs données sont communiquées, et pas uniquement les catégories de destinataires.
Néanmoins, le droit d’accès n’est pas absolu : obtenir une copie de ses données n’est possible qu’à la condition que cela ne porte pas atteinte aux droits des tiers (secret des affaires, données d’une autre personne, secret des correspondances, etc.).
Comment exercer son droit d’accès ?
Il suffit d’identifier l’organisme qui traite les données et de lui adresser une demande écrite (par mail, courrier postal, formulaire, etc.). Attention à bien conserver la preuve de la demande, elle sera nécessaire en cas de réclamation auprès de la CNIL.
Dans quel délai ?
L’organisme doit répondre dans un délai d’un mois à votre demande. Il peut vous demander des informations complémentaires si celles-ci sont nécessaires pour y répondre.
Entreprises : comment vous préparer pour répondre à ces demandes ?
L’exercice du droit d’accès par vos interlocuteurs (clients, partenaires, collaborateurs, etc.) est de plus en plus fréquent. Il est donc indispensable de mettre en place un processus pour y répondre conformément à vos obligations :
Pour chaque traitement, être en mesure d’obtenir rapidement les informations demandées (notamment en conservant un registre des activités de traitement à jour) ;
Disposer d’un mécanisme fonctionnel de réponse aux demandes d’exercice de droit : qui est en charge d’y répondre ? Selon quelle procédure ? Dans quel délai ?
Utiliser des outils permettant d’extraire les données afin d’être en mesure de fournir une copie des données demandées par la personne tout en s’assurant de ne pas porter atteinte au droit des tiers – cela doit être prévu dans vos cahiers des charges lorsque vous faites appel à des sous-traitants ;
Conserver un suivi des réponses apportées aux demandes d’exercice de droit (registre de suivi des demandes) ;
Vous faire accompagner en cas de demande complexe (par exemple, lorsqu’un ancien employé demande l’intégralité de ses données).
La CNIL n’hésite plus à sanctionner lourdement en cas de manquement relatif aux droits des personnes. Par exemple, la société Free Mobile a été sanctionnée par une amende de 300 000 euros sur le fondement de trois plaintes de personnes concernées.
Comentários