Table des matières
Une demande d'accès arrive rarement annoncée et presque jamais sous forme de formulaire. Elle arrive par courriel, parfois en une phrase au comptoir — et à cet instant un délai commence.
L'article 15 du RGPD donne à toute personne le droit de savoir si vous traitez des données la concernant, et lesquelles. La demande n'est soumise à aucune forme, n'a pas à être motivée et n'a pas à contenir le mot « accès ». « Qu'est-ce que vous avez enregistré sur moi, au juste ? » en est une, si elle est sérieuse.
Le travail que cela représente dépend moins du droit que de votre classement. La liste de ce qui doit y figurer est courte et s'établit en une heure — si vous savez où sont les données. Si elles vivent sur quatre systèmes, la même heure devient un week-end. Cet article décrit la marche à suivre ; c'est un repère, et sur les cas litigieux la CNIL ou un conseil juridique tranchent.
1. Ce qui entre dans la réponse
L'article 15, paragraphe 1, demande deux choses souvent confondues. D'abord la confirmation que des données sont, ou non, traitées. Ensuite, si oui, l'accès à ces données et à huit informations sur le traitement lui-même :
- les finalités du traitement,
- les catégories de données traitées,
- les destinataires ou catégories de destinataires, y compris hors de l'Union,
- la durée de conservation prévue ou, à défaut, les critères qui la déterminent,
- l'existence des droits de rectification, d'effacement, de limitation et d'opposition,
- le droit d'introduire une réclamation auprès d'une autorité de contrôle, en France la CNIL,
- l'origine des données, si vous ne les avez pas recueillies auprès de la personne,
- l'existence d'une décision automatisée, profilage compris.
Dans une petite entreprise, les sept premières sont identiques pour toutes les demandes : elles s'écrivent une fois et se réutilisent. Seules les données elles-mêmes changent d'une personne à l'autre. D'où l'intérêt d'un modèle : la partie fixe est la plus grosse.
S'y ajoute le paragraphe 3 : vous fournissez une copie des données faisant l'objet du traitement. Si la demande arrive par voie électronique, les informations sont fournies dans un format électronique d'usage courant, sauf demande contraire. Pour les copies supplémentaires, vous pouvez exiger des frais raisonnables fondés sur les coûts administratifs — pas pour la première.
Répondre à une demande d'accès n'est pas une tâche juridique, c'est une question de classement.
2. L'horloge : un mois, prolongeable de deux
L'article 12, paragraphe 3, fixe le délai : dans les meilleurs délais et en tout état de cause dans un délai d'un mois à compter de la réception. Le mois court depuis la réception, pas depuis le jour où vous avez identifié la demande comme telle — une raison de ne pas laisser dormir les courriels de l'adresse générale.
Le délai peut être prolongé de deux mois compte tenu de la complexité et du nombre de demandes. Cette prolongation ne se produit pas d'elle-même : vous devez en informer la personne dans le premier mois et indiquer les motifs du report. Qui l'annonce au troisième mois n'a pas prolongé le délai, il l'a manqué.
Si vous ne donnez pas suite à une demande, l'affaire ne se termine pas dans le silence. L'article 12, paragraphe 4, impose d'indiquer les motifs sans tarder et au plus tard dans un mois, et de signaler deux voies : la réclamation auprès d'une autorité de contrôle et le recours juridictionnel. Il y a donc toujours une réponse, y compris le refus.
L'accès est gratuit (article 12, paragraphe 5). Ce n'est qu'en cas de demandes manifestement infondées ou excessives, notamment par leur caractère répétitif, que vous pouvez exiger des frais raisonnables ou refuser d'agir — et c'est à vous d'en apporter la preuve. La deuxième demande d'une même personne six mois plus tard n'est pas excessive.
3. Qui pose la question, au juste ?
La réponse va à la personne concernée, et à personne d'autre. Une réponse adressée à la mauvaise personne est elle-même une violation de données, et une violation que vous avez provoquée. La vérification d'identité passe donc avant la réponse.
L'article 12, paragraphe 6, vous permet, en cas de doutes raisonnables, de demander des informations supplémentaires pour confirmer l'identité. Le considérant 64 ajoute qu'il faut utiliser toutes les mesures raisonnables, en particulier pour les services en ligne. Deux limites comptent :
- Le doute doit être raisonnable. Si la demande vient de l'adresse électronique inscrite depuis des années dans votre fichier, vous n'avez en règle générale aucune raison d'exiger une pièce d'identité.
- La vérification ne doit pas devenir une collecte. Le considérant 64 dit expressément qu'il ne faut pas conserver des données dans le seul but de pouvoir répondre à d'éventuelles demandes. Une copie de pièce d'identité que vous gardez ensuite retourne l'objet du texte.
En pratique, une méthode simple suffit : répondez par le canal auquel la personne est connue chez vous. Si la demande vient d'une adresse inconnue, recontactez par le numéro ou l'adresse enregistrés. Ce n'est pas une brimade et cela s'explique en une phrase.
Si quelqu'un demande pour une autre personne — proche, cabinet d'avocats, tutelle —, il vous faut la preuve du mandat. Sans elle, vous ne répondez pas par un refus mais par une question, et le délai continue de courir.
Articles connexes
4. Ce qui n'entre pas dans la réponse
L'erreur la plus fréquente n'est pas la réponse trop maigre mais la réponse trop généreuse. L'article 15, paragraphe 4, le dit : le droit d'obtenir une copie ne doit pas porter atteinte aux droits et libertés d'autrui. D'où une liste d'exceptions à parcourir avant l'envoi.
| Cas | Ce que vous faites |
|---|---|
| Rendez-vous partagé avec une seconde personne | fournir les données propres, occulter le nom de la seconde personne |
| Note interne sur un membre du personnel | le contenu relatif au demandeur oui, l'appréciation du salarié non |
| Fil de courriels avec des tiers en copie | retirer les adresses des tiers |
| Recommandation par une autre personne | indiquer l'origine dans la mesure du possible, noter l'arbitrage |
Le sens de l'exception est essentiel : elle ne vous autorise pas à refuser l'accès en bloc parce qu'un nom étranger apparaît quelque part. Elle autorise à retenir le passage qui touche aux droits d'un tiers. Le reste part.
Autre chose n'a pas sa place dedans : la justification. L'article 12, paragraphe 1, exige une forme concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples. Une réponse qui s'ouvre sur trois paragraphes expliquant pourquoi la conservation est nécessaire y satisfait moins bien qu'un simple relevé.
5. Quatre systèmes, une seule réponse
Venons-en au vrai travail. La réponse couvre toutes les données que vous traitez sur la personne — pas celles d'un seul système. Dans une petite entreprise typique, elles vivent en au moins quatre endroits : l'agenda, le fichier clients, les factures et la communication, courriels et messages compris.
S'y ajoutent les endroits discrets : le tableur de la lettre d'information, le formulaire du site, l'outil de réservation, le logiciel de facturation du cabinet comptable, le cahier de l'accueil. Chacun est inoffensif isolément. Ensemble, ils posent la question qui rend une réponse pénible : êtes-vous certain de n'en avoir oublié aucun ?
C'est là la raison la plus honnête de tenir rendez-vous, fichier et factures dans un même système — non le temps gagné au quotidien, mais la possibilité de répondre à cette question. Là où tout est au même endroit, la réponse est un export ; là où c'est réparti, c'est une recherche à l'issue incertaine. Pour un salon, le logiciel de salon montre à quoi ressemble ce regroupement ; pour un garage, le logiciel de garage.
Quel que soit l'outil, une liste écrite à l'avance aide : une ligne par endroit où vivent des données clients, avec un mot sur la manière d'y chercher. La même liste répond plus tard à la question de ce qui passe réellement lors d'un changement de logiciel. Cette liste est de toute façon presque identique au registre de l'article 30 — vous ne l'écrivez donc pas deux fois.
La marche à suivre est courte : reconnaître la demande, noter la réception, vérifier l'identité, parcourir tous les endroits, retirer les données de tiers, répondre en termes clairs — dans un mois, au besoin avec une prolongation motivée de deux. La préparation qui fait la différence, c'est la liste des endroits. Quelles données ont le droit d'y figurer est traité dans quelles données clients conserver ; ce qu'il en advient ensuite, dans une politique de suppression en une page.
Les données clients au même endroit, pas dans quatre listes
Avec un seul système, une demande d'accès prend quelques minutes et l'effacement se fait vraiment. Hébergé en Allemagne.
