Droits des personnes concernées : le glossaire et le processus pour les gérer en entreprise

01

Ce qu'il faut pour gérer les droits des personnes concernées

Un processus d'entreprise efficace part des informations que le responsable du traitement doit fournir à la personne concernée : durée de conservation, base juridique, existence des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, et droit d'introduire une réclamation auprès d'une autorité de contrôle.

Si le traitement repose sur le consentement, il convient également d'indiquer le droit de le retirer à tout moment, sans porter atteinte à la licéité du traitement déjà effectué.

02

Le glossaire minimal pour s'orienter

• Autorité de contrôle : l'autorité publique indépendante instituée par un État membre.
• Établissement principal : le lieu de l'administration centrale dans l'Union du responsable ou du sous-traitant.
• Représentant : personne désignée par écrit pour représenter le responsable ou le sous-traitant dans l'Union.
• Traitement transfrontalier : traitement affectant des personnes concernées dans plusieurs États membres.
• Objection pertinente et motivée : contestation démontrant des risques importants pour les droits et libertés des personnes concernées.

03

Le flux opérationnel étape par étape

Étapes

1. Enregistrer la demande et vérifier l'identité de la personne concernée.
2. Identifier la base juridique du traitement et les données concernées, y compris l'intérêt légitime éventuel.
3. Fournir les informations dans un délai d'un mois à compter de l'obtention des données, ou au plus tard lors de la première communication avec la personne concernée.
4. Indiquer la source des données, si elles proviennent de sources accessibles au public, et l'existence de décisions automatisées éventuelles.
5. Réviser le processus lorsque les risques liés aux activités de traitement évoluent.

04

Un cas hypothétique : demande d'accès dans une PME

Hypothèse : un client demande quelles données l'entreprise conserve à son sujet. Le responsable du processus vérifie l'identité, identifie la base juridique du traitement et prépare la réponse dans le délai d'un mois.

La réponse inclut la durée de conservation prévue, la source des données et l'information sur le droit d'introduire une réclamation auprès d'une autorité de contrôle.

05

Contrôles minimaux à prévoir

• Vérifier que chaque réponse indique les critères de conservation des données.
• Contrôler que le droit d'opposition et à la portabilité des données est mentionné.
• Confirmer l'indication du droit de retrait du consentement, lorsque applicable.
• Vérifier la présence de l'information sur les décisions automatisées éventuelles et la logique utilisée.

06

Ce qu'une entreprise peut configurer avec le support d'un logiciel de gestion

Une entreprise peut choisir de faire suivre, dans un système logiciel, les informations à fournir pour chaque demande : durée de conservation, base juridique, source des données et présence de traitements automatisés.

Elle peut également attribuer des rôles et des responsabilités pour la prise en charge des demandes et prévoir une révision périodique du processus lorsque le niveau de risque change, en tant que choix opérationnel suggéré et non comme une obligation automatique du logiciel.

07

Questions fréquentes en résumé

• Les informations minimales concernent la conservation, la base juridique, les droits et la source des données.
• Les délais de réponse prévus vont d'un délai raisonnable jusqu'à un mois au maximum.
• Le processus doit être révisé lorsque des variations de risque dans le traitement surviennent.

08

Prochaine étape

Cartographiez les informations que votre entreprise fournit déjà aux personnes concernées et comparez-les à la liste prévue par l'article 13(2) : conservation, droits, source des données et décisions automatisées. À partir de là, vous pouvez construire un processus vérifiable et traçable.