Droits des personnes concernées : accès, rectification, suppression — une procédure opérationnelle

Un client veut consulter ses données, ou les faire supprimer. Vous avez 30 jours. Voici la procédure qui fonctionne sans qu'une demande ne vous prenne une demi-semaine.

Le GDPR accorde aux personnes concernées des droits concrets. Toute demande doit être traitée dans les 30 jours (prolongeable une fois de 60 jours). Voici ce qu'il faut préparer en amont.

Les cinq droits principaux

1. Droit d'accès : quelles données détenez-vous sur moi ?
2. Droit de rectification : modifiez ces données car elles sont inexactes.
3. Droit à l'effacement : supprimez toutes mes données (sous réserve d'exceptions).
4. Droit à la portabilité : fournissez-moi mes données dans un format standard afin que je puisse les transférer à un autre prestataire.
5. Droit d'opposition : contre un traitement spécifique (souvent à des fins marketing).

Que faut-il mettre en place ?

• Une boîte aux lettres ou un formulaire centralisé pour réceptionner les demandes.
• Une procédure de vérification d'identité (ne divulguez pas de données sans contrôle).
• Une cartographie des données : où se trouvent les données de chaque client ? (À relier au registre des traitements.)
• Une fonction d'export dans vos outils (CRM, comptabilité, système de tickets).
• Une procédure de suppression par système, y compris les sauvegardes.

Exceptions au droit à l'effacement

• Obligation légale de conservation (7 ans pour les données financières).
• Défense juridique dans le cadre d'affaires en cours.
• Intérêt vital de la personne concernée ou de tiers.
• Recherche historique dans l'intérêt général.

Réponse à la personne concernée

Toujours répondre par écrit dans les 30 jours. Même en cas de refus, avec motivation et mention du droit de déposer une plainte auprès de l'autorité de contrôle compétente.

Voir aussi : pilier GDPR, durées de conservation.