Mettre en place un processus pour les droits des personnes concernées (accès, effacement, opposition)

Des clients, des visiteurs de site web, des candidats ou d'anciens partenaires commerciaux peuvent à tout moment demander l'accès à leurs données enregistrées ou en exiger l'effacement. Pour qu'une telle demande ne devienne pas un stress improvisé, les entreprises ont besoin d'une procédure solide et reproductible.

En bref : Les art. 12 à 22 RGPD confèrent aux personnes concernées des droits d'accès, de rectification, d'effacement, de limitation, de portabilité des données et d'opposition. Les entreprises doivent en principe répondre aux demandes gratuitement et dans un délai d'un mois. Quiconque ne remplit pas cette obligation, ou la remplit tardivement, risque des plaintes auprès de l'autorité de contrôle et des amendes pouvant atteindre 20 M€ ou 4 % du chiffre d'affaires annuel mondial.

Quels droits les personnes concernées ont-elles selon le RGPD ?

Les personnes concernées disposent, à l'égard de toute entreprise qui traite leurs données à caractère personnel, de six droits centraux issus des art. 12 à 22 RGPD. Il s'agit du droit d'accès pour savoir quelles données sont traitées, du droit de rectification des informations erronées, du droit à l'effacement, du droit à la limitation du traitement, du droit à la portabilité des données ainsi que du droit d'opposition à certains traitements. Ces droits s'appliquent indépendamment du fait qu'il s'agisse de clients, de visiteurs de site web, de candidats ou d'autres personnes concernées, et indépendamment de l'existence actuelle d'une relation d'affaires. Pour votre entreprise, cela signifie que chaque demande entrante relative à l'un de ces droits doit être reconnue, attribuée au bon service et traitée dans les délais, quel que soit le canal par lequel elle arrive.

Comment mettre en place le processus pour les demandes des personnes concernées ?

Un processus solide pour les droits des personnes concernées se compose de cinq éléments, qui vont de la première demande jusqu'au traitement documenté. Il importe que la procédure ne repose pas dans la tête d'une seule personne, mais soit définie de manière à fonctionner aussi en cas de congé, de maladie ou de changement de personnel.

1. Définir un point d'entrée central et une responsabilité pour les demandes des personnes concernées.
2. Définir la vérification de l'identité du demandeur (sans collecte supplémentaire inutile de données).
3. Définir pour chaque droit (accès, effacement, opposition…) une procédure standard avec contrôle des délais.
4. Garantir les réponses dans un délai d'un mois ; prolongation de deux mois uniquement de façon motivée.
5. Documenter les demandes et leur traitement de manière à résister à un audit.

La demande d'accès au titre de l'art. 15 est, en pratique, la demande la plus fréquente : un modèle préparé de courrier de réponse et de transmission interne fait gagner un temps précieux le moment venu et évite que le délai ne s'écoule sans être remarqué. Pour savoir si votre entreprise est déjà suffisamment organisée pour de telles demandes ou à quels endroits la procédure présente encore des lacunes, un Company Audit permet de le vérifier de manière structurée.

Quel délai s'applique pour la réponse ?

Pour répondre aux demandes des personnes concernées, un délai d'un mois s'applique en principe. Ce délai d'un mois court à compter de la réception de la demande par votre entreprise, et non seulement à partir de la prise de connaissance interne par le service compétent : si une demande arrive d'abord dans la boîte client générale et n'est transmise que plus tard au bon service, le délai court néanmoins déjà. Ce n'est que dans des cas motivés, par exemple pour des demandes particulièrement complexes ou nombreuses, que le délai peut être prolongé de deux mois supplémentaires. Les demandes doivent en principe être traitées gratuitement ; un contrôle des délais devrait donc être solidement ancré dans le processus.

Que risque-t-on en cas d'infraction aux droits des personnes concernées ?

Quiconque ne remplit pas les droits des personnes concernées, ou les remplit tardivement, risque d'abord une plainte de la personne concernée auprès de l'autorité de contrôle compétente. Une telle plainte peut devenir une procédure d'examen formelle, au terme de laquelle des amendes pouvant atteindre 20 M€ ou 4 % du chiffre d'affaires annuel mondial peuvent être prononcées. Outre le risque financier, une gestion mal organisée des demandes des personnes concernées affecte aussi la confiance des clients et des partenaires commerciaux dès qu'une demande reste sans suite ou dure inutilement longtemps. Un processus correctement documenté, avec une responsabilité claire et un contrôle des délais, réduit considérablement ce risque, car chaque demande peut, en cas de doute, être traitée dans les délais de manière démontrable.

Questions fréquentes

Qui peut présenter une demande d'accès, d'effacement ou d'opposition ?

En principe toute personne concernée dont votre entreprise traite les données à caractère personnel, c'est-à-dire des clients, des visiteurs de site web, des candidats ou d'anciens partenaires commerciaux. Les droits issus des art. 12 à 22 RGPD leur appartiennent indépendamment d'une relation d'affaires existante ; d'anciens clients ou des candidats refusés peuvent donc eux aussi présenter une demande.

Le traitement d'une demande d'une personne concernée coûte-t-il quelque chose ?

Non, les demandes doivent en principe être traitées gratuitement. L'effort interne de vérification, de recherche et de réponse incombe à l'entreprise et se limite au mieux grâce à une procédure standardisée et reproductible.

À partir de quand court le délai d'un mois ?

Le délai commence à la réception de la demande par votre entreprise, et non seulement lorsque le service compétent en a connaissance en interne. C'est pourquoi un point d'entrée central pour les demandes des personnes concernées est important, afin qu'aucun temps ne soit perdu en transmission interne.

Dois-je vérifier l'identité du demandeur ?

Oui, une vérification d'identité fait partie d'un processus solide, mais sans collecter pour cela de données supplémentaires inutiles. L'effort de vérification devrait être adapté à la sensibilité des données demandées, afin de ne pas charger inutilement les personnes concernées ni de répondre à la légère à des demandes émanant de personnes non autorisées.

Que se passe-t-il si une demande n'est pas traitée dans les délais ?

La personne concernée peut saisir l'autorité de contrôle compétente par une plainte. Cela peut conduire à une procédure d'examen puis, par la suite, à des amendes pouvant atteindre 20 M€ ou 4 % du chiffre d'affaires annuel mondial, ce qui rend importante une documentation de toutes les demandes et réponses résistant à un audit.

Source : art. 12 à 22 RGPD. Cet article est une information générale et ne remplace pas un conseil juridique dans un cas particulier. Version : juillet 2026.