Les personnes ont des droits sur leurs données, et vous pouvez recevoir une demande sans vous y attendre : dans un magasin, dans une école, aux ressources humaines ou par e-mail. Savoir la reconnaître et la transmettre à temps évite des sanctions.
Les droits
- Accès (article 15 du RGPD) : savoir si ses données sont traitées et en obtenir une copie, avec des informations sur le traitement.
- Rectification (article 16) : corriger des données inexactes ou compléter celles qui sont incomplètes.
- Effacement (article 17) : demander que les données soient effacées lorsqu'elles ne sont plus nécessaires, lorsqu'on retire son consentement ou lorsqu'elles ont été traitées de manière illicite. Ce n'est pas un droit absolu : l'entreprise peut garder les données qu'une loi l'oblige à conserver.
- Opposition (article 21) : s'opposer à un traitement fondé sur l'intérêt légitime ou sur une mission d'intérêt public et, à tout moment, à la publicité (prospection directe).
- Portabilité (article 20) : recevoir ses données dans un format structuré et couramment utilisé, lorsque le traitement repose sur le consentement ou sur un contrat et qu'il est automatisé.
- Limitation (article 18) : demander que les données soient conservées mais pas utilisées, par exemple pendant qu'on vérifie si elles sont exactes.
Il existe aussi le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé ayant des effets importants (article 22).
Le délai : un mois
Le responsable doit répondre au plus tard dans un délai d'un mois à compter de la réception de la demande (article 12, paragraphe 3, du RGPD). Si elle est complexe ou si elles sont nombreuses, le délai peut être prolongé de deux mois supplémentaires, mais il faut informer la personne du retard et de ses motifs dans le premier mois.
Satisfaire le droit est gratuit. On ne peut exiger des frais raisonnables ou refuser de donner suite que si les demandes sont manifestement infondées ou excessives, et l'entreprise doit pouvoir le justifier.
Que faire si vous recevez une demande
- Reconnaissez-la. Il n'est pas nécessaire qu'elle cite une loi ni qu'elle utilise un formulaire. Des phrases comme « je veux savoir quelles données vous avez sur moi » ou « effacez mes données » sont déjà une demande.
- Ne l'ignorez pas et ne la laissez pas dans votre boîte de réception. Le délai commence à courir quand l'entreprise la reçoit, même si c'est vous qui l'avez reçue.
- Transmettez-la immédiatement à la personne ou au service que votre entreprise a désigné, ou au délégué à la protection des données s'il existe.
- Ne répondez pas de votre propre initiative et ne donnez pas de données à quelqu'un qui les demande par téléphone sans que son identité ait été vérifiée.
Vérifier l'identité
Avant de remettre des données, il faut être sûr que celui qui les demande est bien la personne concernée. En cas de doute raisonnable, l'entreprise peut demander des informations supplémentaires pour le confirmer (article 12, paragraphe 6). C'est l'une des formes de fuite les plus courantes : quelqu'un se fait passer pour une autre personne et demande ses données.
La réclamation auprès de l'AEPD
Si l'entreprise ne répond pas, répond mal ou hors délai, la personne peut déposer une réclamation auprès de l'Agencia Española de Protección de Datos (article 77 du RGPD et LOPDGDD) et saisir les tribunaux. L'AEPD peut ordonner que le droit soit satisfait et sanctionner celui qui ne l'a pas fait.
Retenez : en matière de droits, l'horloge tourne dès que quelqu'un dans l'entreprise reçoit la demande. Transmettez-la le jour même.