Droits d’accès, effacement, portabilité : organiser la réponse aux demandes RGPD

2. L’exercice du droit d’effacement impose au responsable de traitement de répondre dans un délai d’un mois. Il doit soit effacer les données, soit motiver son refus. Passé ce délai, la personne concernée peut saisir la CNIL. Des exceptions existent lorsque les informations sont nécessaires à la liberté d’information, à des motifs d’intérêt public ou au respect d’une obligation légale. Une attention particulière est portée aux internautes de moins de 18 ans au moment de la publication ou de la création d’un compte en ligne : ils peuvent demander directement et sans autre motif l’effacement, dans les meilleurs délais, des données les concernant. Cette spécificité renforce la protection des mineurs dans l’environnement numérique.

3. Pour la publicité ciblée en ligne, l’organisation de la réponse aux demandes RGPD suppose de prévoir un accès aux centres d’intérêt établis pour le profil de la personne et la possibilité de les modifier. L’authentification peut reposer sur les informations du compte ou sur le cookie (ou équivalent) présent sur le poste. Cette transparence sur les centres d’intérêt et la capacité de les corriger ou de les supprimer sont essentielles pour limiter les risques liés au profilage et à la publicité ciblée.

Organisation pratique de l’exercice du droit d’accès et de la portabilité

4. Les mesures génériques d’exercice du droit d’accès et de portabilité visent à être conformes à l’article 39 de la loi informatique et libertés et aux articles 15 et 20 du RGPD. L’organisme doit vérifier que le traitement ne relève pas d’une exception (statistiques ou recherche sans risque d’atteinte à la vie privée, sûreté de l’État, défense, sécurité publique, etc.) et que les conditions de la portabilité sont réunies (pas de portabilité pour les traitements d’intérêt public ou d’autorités publiques, respect des droits et libertés de tiers). L’objectif est de permettre à l’utilisateur de récupérer les données personnelles fournies au traitement, dans un format aisément réutilisable, pour les transférer vers un autre service.

5. L’organisme doit déterminer les moyens pratiques permettant l’exercice du droit d’accès : canaux de contact, formulaires, procédures internes. Le droit doit pouvoir être exercé le plus rapidement possible, sans jamais excéder deux mois (ou un mois dans le cadre du RGPD), et la réponse doit être fournie dans une forme similaire à celle du traitement (voie postale et/ou électronique). Les démarches ne doivent pas décourager les personnes concernées ni leur occasionner de frais excédant le coût de la reproduction. Il est recommandé de mettre en place un processus d’information des demandeurs (accusé de réception, indication du délai de réponse, information sur les difficultés éventuelles pour les données archivées et indication d’un délai raisonnable).

6. La continuité du droit d’accès doit être garantie. L’organisme doit étudier les cas où les moyens pratiques choisis (formulaire en ligne, adresse postale, interface de compte) ne seraient plus opérationnels et prévoir des solutions de secours. Les demandes faites sur place doivent permettre de vérifier l’identité du demandeur et des personnes qu’il peut mandater. Les demandes par voie postale doivent être signées, accompagnées d’une photocopie d’un titre d’identité (non conservée sauf besoin de preuve) et préciser l’adresse de réponse. Les demandes par voie électronique doivent transiter par un canal chiffré et être accompagnées d’un titre d’identité numérisé (en noir et blanc, faible définition, fichier chiffré, non conservé sauf besoin de preuve). L’organisme doit être en mesure de fournir toutes les informations demandées tout en protégeant les données des tiers.

Accès aux dossiers médicaux : délais et titulaires du droit

7. L’accès aux dossiers médicaux obéit à des spécificités strictes. Les informations doivent être communiquées au plus tard dans les huit jours suivant la demande, et dans un délai de deux mois si les informations remontent à plus de cinq ans à compter de la date de constitution de l’information médicale. Le droit d’accès peut être exercé par les titulaires de l’autorité parentale pour les mineurs, ou par le représentant légal pour les personnes sous tutelle, conformément à l’article 58 de la loi informatique et libertés. Ces règles imposent une organisation spécifique des services de santé pour répondre dans les délais et sécuriser la communication des données de santé.

Finalités déterminées, explicites et légitimes

8. La bonne organisation des réponses aux demandes RGPD suppose que les finalités des traitements soient déterminées, explicites et légitimes, conformément à l’article 6 de la loi informatique et libertés et à l’article 5.1(b) du RGPD. Il convient de détailler les finalités de traitement et de justifier leur légitimité, d’expliciter les finalités de partage avec des tiers et les finalités de traitement de données pour l’amélioration du service. Les modalités particulières du traitement, notamment les croisements de données, doivent être décrites. Cette clarification est indispensable pour apprécier la portabilité (données fournies par la personne, traitement fondé sur le consentement ou le contrat) et pour répondre de manière précise aux demandes d’accès et d’effacement.

Fondement juridique et interdiction du détournement de finalité

9. La licéité du traitement et l’interdiction du détournement de finalité sont encadrées par l’article 6 du RGPD. L’organisme doit déterminer et justifier le critère de licéité applicable : consentement pour une ou plusieurs finalités spécifiques, nécessité à l’exécution d’un contrat ou de mesures précontractuelles, obligation légale, sauvegarde des intérêts vitaux, mission d’intérêt public ou exercice de l’autorité publique, ou encore intérêts légitimes du responsable ou d’un tiers, sous réserve de la prévalence des droits et libertés de la personne, notamment lorsqu’il s’agit d’un enfant. En cas d’obligation légale ou de mission d’intérêt public, le fondement légal dans le droit de l’Union ou de l’État membre doit être précisé.

10. Un même traitement peut reposer sur plusieurs fondements : par exemple, un contrat pour la finalité principale (utilisation d’un produit ou service) et un consentement pour des finalités secondaires (amélioration du service, marketing). Lorsque les données sont traitées à une fin autre que celle de la collecte initiale, sans reposer sur le consentement ni sur un texte de l’Union ou d’un État membre, il faut apprécier la compatibilité de cette nouvelle finalité avec la finalité initiale. Cette appréciation tient compte du lien entre les finalités, du contexte de collecte (relation entre la personne et le responsable), de la nature des données (catégories particulières, données relatives aux condamnations pénales et infractions), des conséquences possibles pour les personnes, et de l’existence de garanties appropriées (chiffrement, pseudonymisation). Cette analyse est déterminante pour répondre aux demandes d’effacement ou de limitation lorsque la finalité évolue.

Formalités préalables et études d’impact

11. Le respect des formalités préalables contribue à la bonne gestion des droits. Il s’agit de déclarer les traitements à la CNIL lorsque cela est requis, de vérifier la conformité à la finalité déclarée, de réaliser une étude d’impact sur la vie privée (EIVP ou PIA) et de la faire valider, puis de consulter la CNIL si les risques résiduels demeurent importants (article 36 du RGPD). D’autres formalités sectorielles et contractuelles peuvent s’appliquer (autres codes et règlements, contrats avec des sources externes de données). Ces démarches structurent la documentation nécessaire pour répondre aux demandes d’accès, d’effacement et de portabilité.

Gestion des incidents et des violations de données

12. La gestion des incidents et des violations de données est essentielle pour protéger les droits et libertés des personnes et pour organiser la notification aux autorités et aux personnes concernées. L’organisme doit définir les rôles et responsabilités, les procédures de remontée d’informations et de réaction en cas de violation. Les responsabilités du référent « Informatique et libertés » (CIL, DPO ou équivalent), les interactions avec la CNIL et les personnes concernées, ainsi que la constitution d’une cellule de crise doivent être formalisées. Un annuaire des personnes en charge de la gestion des violations et un plan de réaction pour chaque risque élevé, testé périodiquement (au moins tous les deux ans), sont recommandés.

13. Les violations doivent être qualifiées selon leur impact : événement (sans conséquence), incident (conséquences isolées), sinistre (conséquences immédiates importantes), crise (conséquences importantes à plus long terme). Le traitement varie : consignation et information du référent pour un événement, résolution et, le cas échéant, notification des personnes pour un incident (sauf absence de risque élevé et mise en œuvre de mesures de protection technologiques rendant les données incompréhensibles), lancement d’une analyse approfondie pour un sinistre, déclenchement d’un plan de gestion pour une crise. Une documentation des violations doit être tenue à jour (article 33-5 du RGPD) : contexte, catégories de personnes et d’enregistrements, volume, effets, mesures correctrices. L’organisme doit aussi étudier l’amélioration des mesures de sécurité à partir des incidents survenus.

14. Le Paquet télécom et le RGPD généralisent l’obligation de notifier certaines violations à la CNIL et, en cas de risque élevé, aux personnes concernées. La notification aux personnes décrit la nature de la violation, les points de contact et les mesures recommandées pour atténuer les conséquences. La notification à l’autorité nationale compétente décrit en outre les conséquences et les mesures proposées ou prises. Ces obligations s’ajoutent à d’autres obligations de notification prévues par des textes nationaux ou européens. L’organisme doit être en capacité de recueillir, conserver et présenter des preuves en cas d’action en justice liée à un incident.

Gestion des personnels et sensibilisation

15. La gestion des personnels vise à réduire la possibilité que les caractéristiques des personnes (employés, personnes placées sous la responsabilité de l’organisme) soient exploitées pour porter atteinte aux données. Il convient de vérifier que les personnes ayant accès aux données disposent de compétences appropriées ou de prévoir des formations, et que leurs conditions de travail (ressources, capacités, disponibilités) sont satisfaisantes. Une sensibilisation aux risques liés à leurs vulnérabilités (discrétion, habitudes, influençabilité, vulnérabilité à la pression) est nécessaire, afin de limiter les risques d’usurpation, de divulgation ou de manipulation pouvant compromettre la réponse aux demandes RGPD.

Gestion des postes de travail et des postes nomades

16. La gestion des postes de travail a pour objectif de réduire les risques liés aux logiciels (systèmes d’exploitation, applications métiers, logiciels bureautiques, paramétrages) et à leur exploitation. Le service informatique doit assurer la mise à disposition et le maintien en conditions opérationnelles et de sécurité des postes, protéger les postes peu volumineux (ordinateurs portables) par des dispositifs physiques, récupérer et effacer les données avant réaffectation, supprimer les données temporaires sur les postes partagés, rechercher les traces d’intrusion en cas de compromission, tenir les systèmes et applications à jour ou isoler les machines non maintenues, documenter les configurations, limiter les détournements d’usage (règle du moindre privilège, désactivation des services inutiles, interdiction d’accès aux ports de diagnostic), protéger les accès (mots de passe, verrouillage, affichage des dates de connexion), activer les mesures de protection (pare-feu, antivirus, mises à jour automatiques), interdire le partage local de répertoires, stocker les données sur un espace réseau sauvegardé, sécuriser la configuration du navigateur, limiter les plugins, interdire l’exécution d’applications non sûres, rechercher les vulnérabilités, contrôler l’intégrité du système, dimensionner et exploiter les journaux d’événements (journalisation des connexions, modifications de paramètres, accès aux données, actions d’administration, antivirus, etc.). Ces mesures garantissent l’intégrité, la confidentialité et la disponibilité des données nécessaires pour répondre aux demandes d’accès, d’effacement et de portabilité.

17. Les postes nomades (PC portables, assistants personnels) présentent des risques spécifiques. Il est recommandé de chiffrer les données (chiffrement du disque dur matériel ou logique, conteneurs chiffrés), de limiter le stockage au strict nécessaire, d’assurer la disponibilité des données (copie sur un autre poste ou serveur), de purger les données collectées dès leur intégration dans le système d’information, et d’utiliser des filtres de confidentialité sur les écrans en dehors de l’organisme. Les dispositifs de lecture d’empreinte digitale sont soumis à autorisation de la CNIL. Il convient de ne pas désactiver le chiffrement de disque et de conserver une copie des clés. Ces mesures protègent les données en cas de perte ou de vol, ce qui est crucial pour éviter des violations affectant les droits des personnes.

Téléphones mobiles, smartphones et sécurité

18. Les téléphones mobiles / smartphones doivent être configurés avant livraison : verrouillage automatique après une courte période d’inactivité, chiffrement de la carte mémoire (microSD) contenant les courriels, activation du verrou distant pour effacer le contenu en cas de perte ou de vol, limitation de l’installation de nouvelles applications. Les utilisateurs doivent être informés des usages autorisés, des règles de sécurité (ne pas diminuer le niveau de sécurité, ne pas ouvrir de courriers d’origine inconnue, ne pas stocker de fichiers sensibles, effacer régulièrement le cache et les cookies, signaler immédiatement tout incident, n’installer que des logiciels provenant de sources de confiance). Le serveur doit être sécurisé (isolation en DMZ ou VLAN, antivirus, anti-spyware, anti-spam, mises à jour de sécurité, authentification des appareils par certificat). La fin de vie de l’appareil doit être gérée par un effacement complet des données et paramètres, avec une procédure approfondie de démantèlement. Des mesures plus rigoureuses peuvent être envisagées en cas de risques élevés (blocage des pièces jointes, vérification du chiffrement, absence de stockage local de données sensibles, chiffrement de bout en bout des SMS, liste blanche d’applications, réinstallation régulière d’une image maîtrisée).

Gestion des projets et acquisitions de logiciels

19. La gestion des projets doit intégrer la protection des données à caractère personnel dès la conception. Il est recommandé d’utiliser la démarche de gestion des risques de la CNIL dès l’élaboration d’un service ou d’une application, de recourir à des labels de confiance en SSI et « Informatique et libertés » (certifications, qualifications, agréments, ISO 27001, certifications de personnes), de privilégier des référentiels éprouvés (normes internationales, guides CNIL, ANSSI), et d’effectuer les formalités CNIL avant le lancement d’un nouveau traitement. Ces pratiques facilitent la mise en place de mécanismes d’accès, d’effacement et de portabilité dès la conception.

20. Pour les acquisitions de logiciels (achats, développements), il convient de vérifier que les développeurs et mainteneurs disposent de ressources suffisantes (spécifications claires, documentation, compétences), de privilégier des applications interopérables et ergonomiques, de réaliser les développements dans un environnement distinct de la production, de protéger la disponibilité, l’intégrité et la confidentialité des codes sources, d’imposer des formats de saisie minimisant les données collectées (par exemple, limiter à l’année de naissance si le mois et le jour ne sont pas nécessaires), de s’assurer que les formats de données sont compatibles avec la durée de conservation, d’intégrer le contrôle d’accès par catégories d’utilisateurs, d’éviter les zones de texte libre ou d’y insérer des mentions d’avertissement sur la pertinence des informations et l’interdiction de données sensibles, d’interdire l’utilisation de données réelles avant la mise en production (anonymisation pour les tests), et de vérifier le fonctionnement correct des logiciels lors de la recette. Ces exigences structurent la capacité de l’organisme à répondre précisément aux demandes RGPD.

Gestion des risques et analyses d’impact

21. La gestion des risques vise à maîtriser les risques que les traitements font peser sur les droits et libertés des personnes. Il s’agit de recenser les traitements (automatisés ou non), les données traitées (fichiers clients, contrats), et les supports (matériels, logiciels, canaux de communication, supports papier). L’organisme doit évaluer la manière dont les principes fondamentaux (information, consentement, droit d’accès, etc.) sont respectés, apprécier les risques (accès illégitime, modification non désirée, disparition de données), identifier les sources de risques (humaines internes ou externes, non humaines), les menaces réalisables (usage inadapté, modification, perte, observation, détérioration, surcharge), déterminer les mesures existantes ou prévues (contrôle d’accès, sauvegardes, traçabilité, sécurité des locaux, chiffrement, anonymisation), et estimer la gravité et la vraisemblance des risques. Des audits de sécurité périodiques, un plan d’action suivi au plus haut niveau, et une cartographie mise à jour à chaque évolution majeure (au moins une fois par an) sont recommandés.

22. Le règlement n°2016/679 introduit l’analyse d’impact relative à la protection des données (article 35.7), qui doit décrire le traitement et ses finalités, évaluer la nécessité et la proportionnalité, apprécier les risques sur les droits et libertés, et définir les mesures envisagées. Les guides PIA de la CNIL fournissent une méthode pour mener ces analyses. L’étude des risques sur la sécurité de l’information peut être menée conjointement avec celle sur la vie privée, les approches étant compatibles. Il convient de prévoir un budget pour la mise en œuvre des mesures techniques et organisationnelles identifiées. Cette démarche renforce la capacité de l’organisme à répondre de manière structurée aux demandes d’accès, d’effacement et de portabilité.

Information des personnes concernées : traitement loyal et transparent

23. L’information des personnes concernées est un préalable indispensable à l’exercice effectif des droits. Elle doit être conforme à l’article 32 de la loi informatique et libertés et aux articles 12, 13 et 14 du RGPD. L’organisme doit déterminer et justifier les moyens pratiques d’information : présentation des conditions d’utilisation/confidentialité, accessibilité de ces conditions, lisibilité et compréhension, clauses spécifiques au dispositif, présentation détaillée des finalités (objectifs précis, croisements de données), présentation des données collectées, présentation des accès aux identifiants de l’appareil et de leur communication éventuelle à des tiers, présentation des droits (retrait du consentement, suppression de données, etc.), information sur le stockage sécurisé (notamment en cas d’externalisation), modalités de contact pour les questions de confidentialité, et information sur tout changement concernant les données collectées, les finalités ou les clauses de confidentialité. En cas de transmission à des tiers, les finalités de transmission, les données transmises et l’identité des entreprises tierces doivent être présentées.

24. L’information doit être complète, claire et adaptée au public visé, formulée dans un langage compréhensible pour une personne non spécialiste. Elle doit être fournie au plus tard au moment de la collecte et la collecte ne doit pas pouvoir être effectuée sans information. Des solutions alternatives doivent être prévues si les moyens choisis ne sont plus opérationnels. Il est souhaitable de prévoir un moyen de preuve de l’information (panneau, émargement, document signé). L’information peut être individuelle (échange verbal, fenêtre pop-up) ou collective (note, affichette) si l’organisme est certain que toutes les personnes y ont accès. Elle doit porter sur l’identité du responsable, la finalité, le caractère obligatoire ou facultatif des informations, les conséquences du défaut de réponse, les destinataires, les droits et la personne auprès de qui les exercer, ainsi que les transmissions envisagées. En cas de transmission à des sociétés tierces (filiales, affiliés, partenaires), il faut fournir la liste des destinataires, préciser les catégories de données et la finalité du transfert, et fournir un lien hypertexte vers la politique de protection des données des destinataires, avec un processus interne de mise à jour.

25. Des spécificités existent selon les contextes de collecte. Pour les salariés, il convient d’obtenir l’avis préalable des institutions représentatives du personnel dans les cas prévus par le Code du travail et d’utiliser le moyen le plus approprié à la culture de l’organisme (affichage, note interne, courrier électronique, formulaire spécifique, contrat de travail, règlement intérieur, charte informatique). Pour une collecte via un site Internet, l’information doit être directement ou facilement accessible (page d’accueil, rubrique dédiée au respect de la vie privée). Pour une collecte via un objet connecté ou une application mobile, un message au premier démarrage et un menu spécifique doivent permettre l’accès à l’information, un QR Code peut être utilisé si l’objet n’a pas d’écran, et l’utilisateur doit être informé des accès aux identifiants de l’appareil, de la fonctionnement en arrière-plan et des protections d’accès. Pour une collecte par téléphone, un message automatique avant la conversation doit préciser les droits des personnes et les finalités de l’enregistrement (formation, enquête qualité), avec possibilité de s’opposer pour motif légitime, et des moyens d’authentification de l’appelant doivent être mis en place. Pour une collecte via un formulaire, la mention appropriée doit figurer sur le document avec une typographie identique. Pour les techniques de publicité ciblée, l’information doit être parfaitement visible et lisible, afin de permettre aux internautes d’exercer leurs droits d’accès, d’effacement et de portabilité en toute connaissance de cause.

26. L’ensemble de ces exigences – organisation des droits d’accès, d’effacement et de portabilité, délais, authentification, finalités déterminées, fondement juridique, formalités préalables, gestion des incidents, gestion des personnels, sécurité des postes de travail et des terminaux mobiles, gestion des projets, gestion des risques et information des personnes – forment un cadre cohérent. Leur mise en œuvre coordonnée permet de répondre de manière structurée, documentée et sécurisée aux demandes RGPD des personnes concernées, tout en limitant les risques d’atteinte à la vie privée et en assurant la conformité aux textes applicables.