Un client vous envoie un e-mail pour demander quelles données vous détenez sur lui. Un ancien salarié réclame l’effacement de ses données. Un prospect demande à être retiré de votre fichier de prospection. Ces situations arrivent de plus en plus fréquemment — et beaucoup d’entreprises ne savent pas exactement comment y répondre.
Or, mal gérer ces demandes est une source directe de plainte à la CNIL.
Ce que la loi impose — dans les grandes lignes
Le RGPD accorde aux personnes plusieurs droits sur leurs données : droit d’accès, droit de rectification, droit à l’effacement, droit à la limitation, droit à la portabilité, droit d’opposition. Pour chacun de ces droits, vous avez l’obligation de répondre dans un délai d’un mois — qui peut être prolongé dans certains cas, mais pas indéfiniment.
Ne pas répondre, ou répondre hors délai, est une non-conformité en soi. Et une personne qui ne reçoit pas de réponse satisfaisante peut déposer une plainte à la CNIL sans avoir à justifier d’un préjudice particulier.
Ce que « répondre correctement » veut dire
Répondre ne signifie pas nécessairement accéder à toutes les demandes. Il existe des cas où vous pouvez — ou devez — refuser une demande d’effacement, par exemple si vous êtes tenu de conserver les données pour des raisons légales. Mais ce refus doit être motivé, documenté et communiqué dans les formes.
C’est là que beaucoup d’entreprises se trompent : elles pensent pouvoir ignorer les demandes qui leur semblent abusives, ou répondre de façon lapidaire. Les deux approches sont risquées.
La gestion des droits comme symptôme d’une conformité plus large
Paradoxalement, répondre correctement à une demande d’accès suppose d’avoir au préalable fait le travail de cartographie de vos données. Si vous ne savez pas exactement quelles données vous détenez sur une personne et où elles se trouvent, vous ne pourrez pas répondre correctement à sa demande — et vous le découvrirez au pire moment.
📋 Une demande écrite engage votre responsabilité
Dès lors qu’une personne formule une demande d’exercice de droits par écrit, le délai d’un mois commence à courir. Même si l’e-mail est informel, même si la demande est mal formulée.
Vous avez reçu une demande d’exercice de droits et vous ne savez pas comment y répondre ?
Me Mizrahi vous aide à y répondre correctement et dans les délais — et à mettre en place une procédure pour les prochaines fois.
🔐 Votre situation RGPD vous préoccupe ?
Me Mizrahi analyse votre dossier gratuitement. Réponse sous 48h, partout en France — en présentiel ou à distance.
Consultation gratuite →