Comment mettre en place un processus d'entreprise pour gérer les droits des personnes concernées (RGPD)

01

Ce qu'une entreprise peut faire

Une entreprise peut construire un processus reproductible pour traiter les demandes des personnes concernées en partant des droits prévus par le RGPD : accès, rectification, effacement, limitation du traitement, opposition, portabilité des données et retrait du consentement, ainsi que le droit d'introduire une réclamation auprès d'une autorité de contrôle. Le responsable du traitement doit fournir ces informations dans un délai raisonnable, et en tout état de cause au plus tard dans un délai d'un mois après l'obtention des données personnelles, ou, si les données sont destinées à être communiquées à la personne concernée, au plus tard au moment de la première communication. Cartographier ces éléments permet de répondre rapidement et de manière documentée à chaque demande.

02

Le contexte : qui décide et qui répond

Le processus repose sur la distinction entre responsable du traitement et sous-traitant définie à l'article 4 du RGPD. Lorsqu'une entreprise a des établissements dans plusieurs États membres, l'établissement principal est déterminé comme le lieu de son administration centrale dans l'Union, sauf si les décisions relatives aux finalités et aux moyens du traitement sont prises ailleurs, auquel cas cet établissement est considéré comme principal. Savoir précisément qui décide des finalités et des moyens du traitement permet d'identifier rapidement qui doit répondre à la demande d'une personne concernée.

03

Le flux de travail étape par étape

Étapes

1. Recevez la demande de la personne concernée et enregistrez la date de réception pour calculer le délai d'un mois prévu par le RGPD.
2. Identifiez quel droit est exercé parmi l'accès, la rectification, l'effacement, la limitation, l'opposition, la portabilité ou le retrait du consentement.
3. Vérifiez si le responsable du traitement ou le sous-traitant doit gérer la réponse, en fonction de l'établissement principal.
4. Si le traitement concerne une activité à haut risque, évaluez si un réexamen de l'analyse d'impact est nécessaire.
5. Répondez à la personne concernée en indiquant le résultat et en rappelant le droit d'introduire une réclamation auprès d'une autorité de contrôle.

04

Un exemple hypothétique

Exemple hypothétique : un client écrit à une entreprise de commerce électronique pour demander l'effacement de ses données personnelles et le retrait de son consentement au marketing direct. Le service de protection des données enregistre la date de réception, vérifie que le traitement à des fins de marketing était fondé sur le consentement, et prépare une réponse confirmant l'effacement, indiquant la période de conservation appliquée aux données restantes et rappelant au client son droit d'introduire une réclamation auprès d'une autorité de contrôle, le tout dans le délai d'un mois prévu par le RGPD.

05

Vérifications avant l'envoi de la réponse

• La réponse indique la période de conservation des données ou les critères utilisés pour la déterminer.
• La réponse signale l'existence d'une éventuelle prise de décision automatisée et la logique utilisée.
• La demande est traitée dans le délai d'un mois ou selon les délais liés à la première communication.
• Si le risque du traitement change, un réexamen de l'analyse d'impact relative à la protection des données est envisagé.
• La description du traitement reste cohérente avec l'évaluation de nécessité, de proportionnalité et de risques déjà effectuée.

06

Comment un logiciel peut soutenir le processus

• Un système logiciel peut enregistrer la date de réception de chaque demande et calculer automatiquement l'échéance d'un mois.
• Il peut suivre quel droit a été invoqué et qui, au sein de l'entreprise, a pris en charge la réponse.
• Il peut conserver l'historique complet des demandes et des réponses pour démontrer la conformité dans le temps.
• Il peut signaler quand un changement dans le traitement nécessite un réexamen de l'analyse d'impact relative à la protection des données.
• Il peut attribuer des rôles et permissions distincts à ceux qui décident, répondent et vérifient les demandes.

07

Points clés à retenir

• Les droits à suivre dans chaque demande sont l'accès, la rectification, l'effacement, la limitation, l'opposition, la portabilité et le retrait du consentement.
• Le délai de réponse est au plus tard d'un mois à compter de l'obtention des données, sauf délais liés à la première communication.
• Une analyse d'impact contient une description du traitement, une évaluation de la nécessité et de la proportionnalité, et des mesures pour les risques.

08

Prochaine étape pratique

Un bon point de départ est de le formaliser par écrit : définir qui, dans l'entreprise, gère les demandes des personnes concernées, dans quels délais, et quand il est nécessaire de réexaminer l'analyse d'impact relative à la protection des données, en particulier lorsque le niveau de risque représenté par le traitement change. Documenter ce processus facilite une réponse cohérente à chaque demande.