Article 19 RGPD : notifier les destinataires

Une donnée corrigée dans votre application peut rester fausse chez un prestataire ou un partenaire auquel elle a été transmise. L’article 19 organise la notification des rectifications, effacements et limitations aux destinataires. La clôture d’une demande suppose donc de regarder au-delà de la base principale.

Les trois opérations qui déclenchent la notification

L’Art. 19 du RGPD impose de notifier à chaque destinataire auquel les données ont été communiquées :

• la rectification effectuée conformément à l’Art. 16 ;
• l’effacement effectué conformément à l’Art. 17(1) ;
• la limitation effectuée conformément à l’Art. 18.

La notification n’est pas subordonnée à une demande supplémentaire de la personne. Celle-ci peut aussi demander des informations sur les destinataires concernés. En revanche, qualifier toute suppression technique ou rotation de sauvegarde de notification au titre de l’Art. 19 serait trop large : identifiez l’opération et son fondement.

Distinguez également l’Art. 17(2), qui prévoit des mesures raisonnables particulières lorsque le responsable a rendu publiques des données qu’il doit effacer. Une publication en ligne peut appeler cette analyse en complément.

Retrouver les destinataires réellement concernés

L’Art. 4(9) vise l’organisme ou la personne recevant communication de données, qu’il s’agisse ou non d’un tiers. Un sous-traitant peut donc être destinataire. Les autorités recevant des données dans le cadre d’une mission d’enquête particulière bénéficient de la précision spécifique prévue par ce texte ; cette exception ne couvre pas indistinctement tout organisme public.

Le registre de l’Art. 30(1)(d) comporte des catégories de destinataires. Il n’impose pas, sous cette seule disposition, une liste nominative exhaustive de chaque transmission. Pour agir, il faut cependant pouvoir retrouver les organismes et flux pertinents à partir du registre, des contrats, des exports et des historiques disponibles. Voir le texte des Art. 28 et 30.

La méthode de recherche de l’identité des destinataires peut aider à constituer ce relevé. Son contexte d’accès doit être distingué de l’obligation de notification ici traitée.

Cas hypothétique suivi dans ce guide : la société Mobilier Seconde Vie reçoit le 7 septembre la demande de Léa, cliente dont l’adresse actuelle a été mal enregistrée. L’ancienne donnée est inexacte pour les futures livraisons. La boutique corrige son application, puis recherche les transmissions. Il ne s’agit pas de réécrire une ancienne adresse qui était exacte à la date d’une livraison passée.

Le tableau évite deux erreurs opposées : oublier un flux parce qu’il ne figure pas dans l’application principale, ou envoyer l’identité et l’adresse à tous les prestataires sans nécessité. Les rôles sont des hypothèses de ce cas ; votre transporteur ou votre réparateur peut intervenir sous une qualification différente.

Envoyer une notification exploitable et proportionnée

Indiquez l’organisme émetteur, la référence permettant de retrouver les données, la nature de l’opération et son périmètre. Choisissez un canal adapté à la sensibilité des données. Une notification de rectification n’exige pas de joindre toutes les pièces justificatives remises par la personne.

Pour un sous-traitant, articulez la notification avec les instructions documentées et son assistance à l’exercice des droits, Art. 28(3)(a)/(e). Pour un responsable distinct, la notification lui permet d’examiner les conséquences dans ses propres traitements. Elle ne supprime pas automatiquement toute obligation légale de conservation qui lui serait applicable.

Voici l’instruction remplie adressée au prestataire logistique, via son espace sécurisé de suivi des opérations :

Objet : rectification Art. 16 et notification Art. 19 — dossier MSV-248. Le 7 septembre, nous avons corrigé l’adresse de livraison actuelle de ce dossier : remplacer le numéro 18 par le numéro 81 dans l’adresse déjà associée à la référence. Appliquer la correction aux expéditions en préparation et aux copies de travail utilisées pour notre compte. Ne pas modifier les pièces retraçant une livraison passée dont l’adresse était exacte. Vérifier aussi les imports différés et les étiquettes déjà préparées. Confirmer les opérations réalisées ou indiquer précisément l’obstacle rencontré. Ne pas joindre de pièce d’identité à la réponse.

Dans un vrai dossier, l’identifiant doit permettre un rapprochement fiable : une référence réutilisée pour plusieurs clients imposerait une précision supplémentaire. Ici, elle suffit. La boutique n’envoie donc ni facture complète ni justificatif de domicile. Pour l’artisan responsable distinct, elle informe de la correction et demande la mise à jour utile ; elle ne prétend pas lui donner des instructions sur l’ensemble de ses obligations propres.

La propagation des rectifications dans les bases dérivées aide à distinguer la notification, la correction opérationnelle et le recalcul éventuel. Après un effacement, la preuve d’exécution doit décrire ce qui a été supprimé et les éventuelles conservations justifiées.

Encadrer impossibilité et efforts disproportionnés

L’Art. 19 prévoit ces deux exceptions, sans instituer une dispense générale pour les petites structures. Un carnet d’adresses mal tenu ou un prestataire peu réactif ne suffit pas à conclure immédiatement que la notification est impossible.

Pour chaque difficulté, consignez les destinataires concernés, les recherches raisonnables entreprises, les canaux essayés et la raison précise de l’exception. Appréciez les efforts au regard du contexte et des effets possibles pour la personne. Le RGPD ne fixe pas un barème de coût ni une durée standard d’investigation applicable à tous les cas.

Une société disparue peut avoir un successeur ou un interlocuteur chargé de ses archives : vérifiez la situation utile avant de conclure. Lorsque seule une partie des notifications pose problème, poursuivez celles qui restent réalisables.

Suivre les actions et répondre à la personne

L’Art. 19 n’énonce pas de délai autonome chiffré. Organisez la notification avec l’exécution du droit et les délais de réponse de l’Art. 12(3). Une simple case « courriel envoyé » ne démontre pas toute l’exécution des instructions confiées à un sous-traitant : suivez les erreurs, les refus et les difficultés connues.

La boutique tient un relevé rempli, dont chaque ligne décrit un résultat vérifiable plutôt qu’une seule tâche prévue :

Le suivi de l’hébergeur ne signifie pas que toute sauvegarde historique doit être éditée ligne par ligne. L’organisation doit maîtriser son usage et empêcher qu’une restauration rende à nouveau opérationnelle une donnée reconnue inexacte. Le moyen retenu dépend de l’architecture ; il doit pouvoir être expliqué et contrôlé.

Résoudre un envoi rejeté et une correction qui disparaît

Le message à l’artisan revient avec une erreur d’adresse. La boutique vérifie son dossier contractuel, appelle le contact déjà connu et obtient un canal actualisé. Elle évite de transmettre les données à une adresse trouvée au hasard. L’échec du premier courriel n’est ni une notification réussie ni, à lui seul, une impossibilité justifiant l’exception de l’Art. 19.

Un second problème apparaît chez le logisticien : l’adresse corrigée à l’écran redevient fausse pendant la nuit, car une file d’import contenait encore l’ancien export. La boutique suspend l’expédition concernée, fait retirer le message périmé et corrige la source de l’import. Le prestataire vérifie ensuite la fiche et l’étiquette préparée pour cette commande. Ce n’est qu’après ce contrôle que la préparation reprend.

Si le fournisseur ne peut pas expliquer la réintroduction, la commande reste bloquée sur ce canal. La boutique organise avec Léa une solution de livraison vérifiée, sans répéter l’adresse erronée dans un nouvel outil. Un accusé de réception de l’instruction ne remplace pas la résolution d’une difficulté d’exécution effectivement connue.

Pour l’artisan indépendant, le dossier dit simplement « notification livrée, exécution non confirmée ». L’Art. 19 impose la notification ; il ne donne pas au notifiant un accès général aux systèmes d’un responsable distinct. La boutique peut demander des précisions et tenir compte d’un risque connu, sans inventer une attestation de suppression ou de correction qu’elle n’a pas reçue.

Informer la personne sans surestimer le résultat

Léa ayant demandé qui a été informé, la réponse peut indiquer : « Votre adresse actuelle a été corrigée dans notre application et nos copies de travail. Nous avons notifié cette rectification à notre hébergeur, au prestataire logistique et à l’artisan auquel nous avions transmis cette adresse ; voici leur identité. Le logisticien a confirmé la correction des opérations en cours. L’artisan a reçu la notification, mais nous n’avons pas encore de confirmation de sa mise à jour. » Dans le courrier réel, les organismes sont nommés avec des informations permettant de les identifier.

Cette réponse ne doit être envoyée sous cette forme qu’après les actions décrites. Si un destinataire reste introuvable, indiquez la difficulté pertinente et documentez l’exception éventuellement retenue. Ne retardez pas toute information jusqu’à obtenir des réponses illimitées de tiers : respectez les obligations de l’Art. 12(3), en exposant honnêtement l’état du dossier.

Pour une limitation, le suivi doit aussi couvrir sa mise en œuvre et l’information due avant sa levée selon l’Art. 18(3), détaillées dans le guide de l’article 18. Si la rectification révèle qu’un document a été remis au mauvais destinataire, examinez séparément une éventuelle violation de données : notifier la correction ne remplace pas l’analyse des Art. 33 et 34.

Ce qu’il faut retenir

• L’Art. 19 prolonge certaines corrections, suppressions et limitations chez les destinataires.
• Retrouvez les transmissions réellement concernées et adaptez le message au rôle de chaque organisme.
• Motivez les exceptions au lieu d’appliquer une dispense générale.
• Conservez une trace des envois, difficultés et informations communiquées à la personne.

FAQ

La personne doit-elle demander la notification ?

Non. Lorsqu’une opération entre dans l’Art. 19, la notification est due sous réserve des exceptions prévues. La personne peut séparément demander des informations sur les destinataires.

Le registre suffit-il à prouver les notifications ?

Non. Il aide à repérer les flux, mais la liste des catégories de destinataires ne prouve ni l’envoi effectif ni le traitement des échecs. Conservez des traces adaptées aux actions réalisées.

Le destinataire doit-il nécessairement tout effacer ?

Le sous-traitant suit les instructions licites applicables à la prestation. Un responsable distinct examine les conséquences de la notification selon ses propres obligations. L’existence d’une conservation légale doit être qualifiée, et ne justifie pas toute réutilisation.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.