Règlement (UE) 2016/679, chapitre III

Répondre à une demande d'exercice des droits

Le chapitre III du règlement (UE) 2016/679 reconnaît aux personnes une série de droits, et l'article 12 organise la manière d'y répondre : dans les meilleurs délais et en tout état de cause dans un délai d'un mois. Ce délai est court, et la plupart des plaintes adressées à l'autorité de contrôle naissent non pas d'un refus mais d'un silence.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

Le délai, et ce qui le fait courir

L'article 12.3 impose de fournir les informations sur les suites données à la demande dans les meilleurs délais et en tout état de cause dans un délai d'un mois à compter de la réception. Ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes, à condition que le responsable informe la personne de cette prolongation et des motifs du report dans le délai d'un mois initial.

La prolongation suppose donc une action dans le premier mois : elle ne se constate pas après coup. L'article 12.4 ajoute que, si le responsable ne donne pas suite, il informe la personne sans tarder et au plus tard dans le mois des motifs de son inaction et de la possibilité d'introduire une réclamation auprès d'une autorité de contrôle et de former un recours juridictionnel.

Une demande adressée à une adresse générale, à un service commercial ou à un salarié quelconque fait courir le délai : le règlement n'impose à la personne aucun formalisme, et l'article 12.2 oblige au contraire le responsable à faciliter l'exercice des droits. Le circuit interne doit donc prévoir la remontée depuis n'importe quel point d'entrée.

Ce que chaque droit permet, et où il s'arrête

L'accès, article 15

La personne obtient la confirmation que des données la concernant sont traitées et, le cas échéant, l'accès à ces données ainsi qu'aux informations énumérées au paragraphe 1. Le paragraphe 4 précise que le droit d'obtenir une copie ne porte pas atteinte aux droits d'autrui : les données de tiers figurant dans un document sont occultées, le document n'est pas refusé.

La rectification, article 16

Elle porte sur l'inexactitude d'un fait, non sur le désaccord avec une appréciation. Une évaluation professionnelle ou une décision motivée ne se rectifient pas par ce biais ; la personne peut en revanche obtenir que sa contestation soit jointe, au titre du droit de compléter les données incomplètes.

L'effacement, article 17

Il est ouvert dans les six cas du paragraphe 1, et écarté dans les cas du paragraphe 3, notamment lorsque le traitement est nécessaire au respect d'une obligation légale ou à la constatation, l'exercice ou la défense d'un droit en justice. C'est ce qui explique qu'une pièce comptable ne s'efface pas à la demande.

La limitation, article 18

Elle gèle le traitement au lieu de le supprimer, notamment pendant la vérification d'une contestation d'exactitude ou d'une opposition. C'est la réponse adéquate lorsqu'une demande d'effacement ne peut pas être satisfaite immédiatement mais mérite examen.

La portabilité, article 20

Elle ne vise que les données fournies par la personne, traitées de manière automatisée, sur la base du consentement ou d'un contrat. Elle ne couvre ni les données déduites ou inférées par le responsable, ni les traitements fondés sur une obligation légale ou une mission d'intérêt public.

L'opposition, article 21

Elle est absolue en matière de prospection, au titre du paragraphe 2 : il n'y a alors rien à mettre en balance. Pour les autres traitements fondés sur l'article 6.1 e) ou f), le responsable doit démontrer des motifs légitimes impérieux prévalant sur les intérêts et droits de la personne.

Vérifier l'identité sans en faire un obstacle

L'article 12.6 permet au responsable, lorsqu'il a des doutes raisonnables quant à l'identité du demandeur, de demander les informations supplémentaires nécessaires pour la confirmer. La formulation est restrictive : le doute doit être raisonnable, et l'information demandée nécessaire.

Exiger systématiquement une copie de pièce d'identité est donc excessif lorsque la demande émane d'une adresse électronique déjà rattachée au compte de la personne : la vérification est alors déjà acquise par un moyen moins intrusif. À l'inverse, une demande portant sur des données sensibles et émanant d'un canal non authentifié justifie une vérification renforcée. Une demande d'identité injustifiée est en outre analysée comme une manœuvre dilatoire, et elle ne suspend pas le délai d'un mois.

Refuser proprement

Un refus n'est pas un manquement ; un refus non motivé en est un. Lorsqu'une demande ne peut pas être satisfaite, en tout ou partie, la réponse doit indiquer ce qui a été fait, ce qui ne l'a pas été, la disposition qui le justifie, et les voies de recours de l'article 12.4.

L'article 12.5 prévoit par ailleurs que les informations et les mesures sont fournies gratuitement, et que le responsable peut exiger des frais raisonnables ou refuser de donner suite lorsque les demandes sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif. Il lui incombe alors de démontrer ce caractère, ce qui suppose des éléments objectifs et non une appréciation sur les intentions du demandeur.

La réponse la plus solide est celle qui distingue explicitement les trois catégories : ce qui a été effacé, ce qui est conservé et pour quel motif, et ce dont l'accès a été restreint. Une réponse globale et négative appelle presque mécaniquement une réclamation.

Questions fréquentes

Quel est le délai pour répondre à une demande d'accès ?

Un mois à compter de la réception, en application de l'article 12.3 du règlement (UE) 2016/679, prolongeable de deux mois compte tenu de la complexité ou du nombre de demandes. La prolongation suppose d'informer la personne des motifs du report à l'intérieur du premier mois : elle ne peut pas être décidée après l'expiration de celui-ci.

Peut-on exiger une pièce d'identité avant de répondre ?

Seulement en cas de doute raisonnable sur l'identité du demandeur, et pour les informations nécessaires à la confirmer, au sens de l'article 12.6. Lorsque la demande émane d'un canal déjà authentifié, comme l'adresse électronique rattachée au compte, l'exigence d'une pièce d'identité est disproportionnée et ne suspend pas le délai.

Un salarié peut-il demander l'accès à son dossier ?

Le droit d'accès de l'article 15 s'applique sans considération de la qualité de la personne : un salarié, un candidat ou un ancien salarié peuvent l'exercer. Les données concernant des tiers sont occultées au titre du paragraphe 4, mais leur présence dans un document ne justifie pas de refuser la communication de celui-ci dans son ensemble.

Une demande d'effacement oblige-t-elle à tout supprimer ?

Non. L'article 17.3 du règlement écarte le droit à l'effacement lorsque le traitement est nécessaire au respect d'une obligation légale, à la constatation, l'exercice ou la défense d'un droit en justice, ou dans les autres cas qu'il énumère. La réponse conforme efface ce qui peut l'être, conserve le reste en le justifiant, et restreint l'accès aux données conservées.

Ce que ce régime déclenche ailleurs

Les articles 13 et 14 imposent d'indiquer dès la collecte les droits dont la personne dispose et la manière de les exercer : une information claire réduit le volume de demandes mal dirigées.

L'information due au moment de la collecte

Une demande restée sans réponse dans le délai d'un mois est le premier motif de réclamation auprès de l'autorité de contrôle.

Ce qui se passe si la personne saisit la CNIL

Les mentions de l'article 13 pour une collecte directe, celles de l'article 14 pour une collecte indirecte, les délais, et l'exigence de clarté de l'article 12.

Politique de confidentialité

Consentement préalable et ses conditions, exemptions limitées, refus aussi simple que l'acceptation, durée de vie des traceurs et conservation de la preuve.

Cookies et traceurs

Textes de référence

Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.