Exercice des droits RGPD par mandataire : conditions du mandat et responsabilités

La recommandation précise les modalités d’exercice des droits prévus par le RGPD par l’intermédiaire d’un mandataire. L’article 77 du décret d’application de la loi n° 78-17 exige un mandat spécial, précisant son objet et sa durée, ainsi que la justification de l’identité du mandant et du mandataire. Le responsable de traitement doit vérifier l’identité et l’authenticité du mandat avant toute transmission.

Le mandataire et le responsable de traitement sont en principe des responsables de traitement distincts. Une responsabilité conjointe peut être retenue lorsqu’ils déterminent ensemble les finalités et les moyens du traitement. Le mandat doit identifier les données concernées, les droits exercés, le responsable destinataire, le destinataire des données et sa durée. Il doit respecter le principe de minimisation prévu à l’article 5 du RGPD.

La demande ne peut être refusée du seul fait de l’intervention d’un mandataire. En application de l’article 12 du RGPD, le délai de réponse est d’un mois, prorogeable de deux mois si la complexité est démontrée. Le responsable doit motiver tout refus. La réutilisation des données par le mandataire constitue un traitement autonome, soumis notamment aux articles 6, 6(4) et 13 du RGPD, et nécessite généralement un consentement spécifique lorsque sa finalité dépasse l’exécution du mandat.

⬇️Télécharger la décision version officielle

La CNIL adopte une recommandation relative à l’exercice des droits prévus par le RGPD par l’intermédiaire d’un mandataire. Celui-ci doit disposer d’un mandat spécial précisant notamment les données et les droits concernés. Le responsable de traitement vérifie l’identité du mandant et l’authenticité du mandat. Le texte encadre également les responsabilités, les demandes électroniques, les délais, la sécurité et la réutilisation des données.

La Commission nationale de l’informatique et des libertés adopte une recommandation relative à l’exercice des droits prévus par le RGPD par l’intermédiaire d’un mandataire. Le dispositif concerne les demandes d’information, d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition.

Le mandataire intervient auprès des responsables de traitement détenant les données. Il doit disposer d’un mandat spécial indiquant notamment les données visées, les droits exercés, le destinataire, le responsable sollicité et la durée du mandat. Le responsable de traitement vérifie l’identité du mandant et l’authenticité du mandat avant toute transmission.

La recommandation traite également de la qualification des responsabilités, des demandes électroniques, de l’utilisation d’API ou du scraping, des délais de réponse, de la conservation, de la sécurité et de la réutilisation des données. Elle précise que la réutilisation par le mandataire constitue un traitement distinct, soumis au RGPD.

• Établir un mandat spécial, précis et à durée déterminée ou déterminable
• Identifier le mandant, le mandataire et le responsable de traitement destinataire
• Préciser les données visées et les droits exercés
• Limiter les données transmises au nécessaire conformément à l’article 5 du RGPD
• Vérifier l’identité du mandant et l’authenticité du mandat
• Disposer d’une base légale distincte pour toute réutilisation

• Mandat précisant son objet et sa durée
• Données d’identification pertinentes du mandant
• Éléments permettant de vérifier l’authenticité du mandat
• Signature électronique simple lorsque son usage est adapté
• Journaux et mécanismes de traçabilité des accès

Le mandataire doit formaliser précisément chaque mission, limiter les données collectées et sécuriser leur transmission. Le responsable de traitement doit contrôler l’identité, le mandat et les délais applicables, sans refuser une demande en raison de la seule intervention d’un mandataire.

• Le mandataire doit établir un mandat distinct par responsable de traitement
• Le responsable doit vérifier l’identité avant toute transmission
• Les demandes doivent être traitées dans le délai d’un mois, sauf prorogation justifiée
• Les données doivent être supprimées lorsque la finalité du mandat est atteinte
• Une réutilisation exige une finalité et une base légale propres

À faire

• Décrire précisément l’objet et la durée du mandat
• Identifier les données et droits concernés
• Vérifier l’identité du mandant avec des données pertinentes
• Sécuriser les transmissions et journaliser les accès
• Documenter toute base légale de réutilisation

À éviter

• Utiliser un mandat à durée indéfinie
• Exiger systématiquement une pièce d’identité
• Refuser une demande au seul motif qu’elle est mandatée
• Conserver les données après la fin du mandat
• Réutiliser les données sans information ni consentement valable

Le mandat spécial d’exercice des droits

Le mandataire doit être spécialement mandaté conformément à l’article 77 du décret d’application de la loi Informatique et Libertés. Le mandat précise les données visées, le responsable destinataire, les droits exercés, le destinataire des données et une durée déterminée ou déterminable. Le responsable de traitement vérifie l’identité du mandant et l’authenticité du mandat avant transmission.

La qualification des responsabilités des acteurs

Le mandataire et le responsable de traitement sont en principe des responsables de traitement distincts. Une responsabilité conjointe est possible lorsqu’ils déterminent ensemble les finalités et les moyens du traitement. Le mandataire demeure responsable des traitements qu’il met en œuvre après réception des données.

La réutilisation autonome des données transmises

Le mandat autorise uniquement l’exercice des droits au nom et pour le compte de la personne concernée. Toute réutilisation pour une finalité propre constitue un traitement autonome, soumis au RGPD, notamment à son article 6. Une base légale valable et, dans la majorité des cas, un consentement spécifique sont nécessaires.

Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, Article L. 314-1 du Code monétaire et financier, Article 2004 du Code civil