Automatiser les demandes de droits RGPD : méthode

Une demande d’accès peut mobiliser le service client, les ressources humaines et l’informatique. L’automatisation est utile lorsqu’elle évite qu’un dossier soit oublié et permet de retrouver les actions effectuées. Dans le circuit proposé ici, réservez une validation humaine aux points qui exigent une appréciation juridique : identité, portée de la demande, droits de tiers ou motif de refus.

Automatiser le circuit, identifier le décideur

Le responsable de traitement doit faciliter l’exercice des droits et être en mesure de démontrer ses mesures de conformité, conformément à l’Art. 12(2) et à l’Art. 24(1). Le DPO conseille et contrôle dans les conditions de l’Art. 39(1) ; il ne devient pas, du seul fait de sa fonction, le responsable de toutes les décisions.

Attribuez un propriétaire à chaque dossier et un suppléant en cas d’absence. Une procédure de gestion des droits doit préciser comment les équipes transmettent les demandes reçues et qui valide la réponse. Un formulaire dédié peut faciliter le suivi ; il faut aussi organiser le traitement des demandes reçues par les autres canaux de contact pertinents.

Paramétrer un délai d’un mois, pas trente jours

L’Art. 12(3) impose de fournir les informations sur les suites données sans retard injustifié et, en tout état de cause, dans le mois suivant la réception. Le délai peut être prolongé de deux mois lorsque la complexité et le nombre de demandes le justifient. La personne doit être informée de cette prolongation et de ses motifs dans le mois initial. En l’absence de suite donnée, l’Art. 12(4) impose également une information motivée, avec les voies de recours, au plus tard dans ce mois. Source : Art. 12 du RGPD.

Enregistrez la date de réception, l’échéance calculée et les éventuelles décisions de prolongation. Faites vérifier les règles calendaires du logiciel : remplacer mécaniquement « un mois » par trente jours crée des erreurs. Une alerte interne quelques jours avant l’échéance constitue une mesure d’organisation, pas un nouveau délai légal.

Un circuit de traitement en sept étapes

La proposition suivante peut être mise en place avec un outil de tickets ou une application dédiée. Elle doit être adaptée aux traitements et aux volumes réels.

L’Art. 12(6) ne justifie pas une collecte systématique de pièce d’identité. L’Art. 15(4) impose de tenir compte des droits et libertés d’autrui pour la copie des données. Ces vérifications nécessitent une analyse du dossier, comme expliqué dans notre dossier sur le droit d’accès.

Rechercher au-delà du compte actuellement utilisé

Un changement d’adresse électronique ou la fermeture d’un compte ne signifie pas que toute donnée a disparu. Prévoyez la recherche des anciens identifiants d’une personne, dans la mesure nécessaire au traitement de sa demande. Documentez les rapprochements fiables ; évitez d’attribuer à une personne les données d’un homonyme.

La cartographie des applications, archives et sous-traitants doit indiquer qui peut effectuer chaque recherche. L’assistance du sous-traitant pour répondre aux demandes relève de l’Art. 28(3)(e). Une réponse préparée à partir d’un seul CRM peut être incomplète si des données pertinentes sont aussi détenues dans un outil de support.

Après une rectification, un effacement ou une limitation, l’Art. 19 impose de notifier les destinataires auxquels les données ont été communiquées, sauf impossibilité ou efforts disproportionnés. La personne peut demander à être informée de ces destinataires. Consignez l’exécution ou la justification de l’exception. Source : Art. 19 et Art. 28 du RGPD.

Mesurer la qualité sans inventer un seuil de rentabilité

Suivez le nombre de demandes reçues, celles encore ouvertes, celles proches de l’échéance et celles traitées en retard. Ajoutez le délai médian de réponse, les prolongations motivées et les dossiers rouverts après une réponse incomplète. Calculez ces indicateurs sur les demandes effectivement enregistrées et distinguez une donnée absente d’un résultat nul.

Le journal doit conserver les décisions et les preuves nécessaires, avec des accès restreints et une durée justifiée. Copier indéfiniment toutes les pièces dans plusieurs outils crée un traitement supplémentaire à maîtriser. Utilisez un modèle de réponse au droit d’accès comme aide à la rédaction, puis adaptez-le aux données et aux décisions du dossier.

Un exemple de circuit renseigné : demande D40

Le scénario est fictif. La société Bruyère reçoit le 6 octobre 2026 une demande d’accès adressée à son service client. La personne veut connaître les données conservées à son sujet, y compris les échanges liés à une ancienne adresse électronique. Le message est transmis à l’équipe compétente le 8 octobre. L’outil doit retenir le 6 octobre comme date de réception par l’organisme : le délai ne commence pas à l’affectation interne.

Dans cet exemple, l’échéance ordinaire est le 6 novembre 2026. Les jalons choisis ci-dessous sont des objectifs internes, sans valeur de délais légaux supplémentaires. L’objectif reste de répondre sans retard injustifié ; la date maximale n’est pas un temps d’attente à consommer.

Paramétrer des états qui correspondent à une action

La création automatique du dossier renseigne la date, le canal, le texte de la demande et le responsable opérationnel. Elle ne coche pas « demande satisfaite » après l’accusé de réception. Celui-ci confirme seulement la prise en charge et indique un contact pour les échanges nécessaires.

Ces états n’ont pas à devenir un parcours rigide qui retarde une réponse simple. Leur intérêt est de rendre visible ce qui reste à faire. Si l’équipe découvre un système oublié, elle doit pouvoir revenir à la recherche sans effacer l’historique des décisions ni modifier la date de réception.

Traiter le retour incomplet d’un sous-traitant

Le 12 octobre, les équipes ont examiné le compte client et la facturation. L’outil d’assistance, géré par un sous-traitant, n’a livré aucun résultat pour l’adresse actuelle. Le dossier ne peut pas conclure « aucune donnée d’assistance » : la demande mentionne expressément une ancienne adresse et ce critère n’a pas encore été recherché.

Le responsable du dossier transmet donc l’ancien identifiant par le canal approprié et demande au prestataire de préciser le périmètre de sa réponse. Une relance interne est fixée au 20 octobre. Le statut conserve la mention « recherche ancienne adresse attendue » ; il ne transforme pas un champ vide en confirmation d’absence de données.

La fiche de suivi doit distinguer une réponse négative après une recherche pertinente, une recherche encore incomplète et une impossibilité technique expliquée. Cette dernière ne constitue pas automatiquement un motif juridique de refus. Le responsable doit examiner les moyens disponibles et ses obligations, avec l’assistance prévue au contrat de sous-traitance.

Empêcher qu’un automatisme fabrique une fausse réponse

Un générateur de courrier peut proposer les informations communes sur les finalités ou les droits. Les résultats propres au dossier doivent toutefois provenir des recherches effectuées. Il ne doit pas écrire « toutes vos données sont jointes » parce que trois tâches sur quatre sont terminées.

Pour D40, l’équipe rapproche ensuite les données récupérées avec les informations exigées par l’Art. 15(1) et (2). Elle examine les passages concernant des tiers, prépare les explications nécessaires à la compréhension de la copie et vérifie le destinataire. La case de validation renvoie à une version précise : ajouter une pièce après cette validation doit déclencher un nouvel examen de l’envoi concerné.

Si la réponse est prête le 28 octobre, l’équipe l’envoie alors. Si une pièce manque encore, elle poursuit son traitement et examine sans attendre les suites à donner. Une prolongation ne peut pas être produite automatiquement au seul motif qu’un fournisseur est en retard. Elle suppose les conditions de l’Art. 12(3) et l’information motivée dans le mois initial. Une transmission partielle ne doit pas être présentée comme une réponse complète.

Lire un tableau de bord sans masquer les dossiers ouverts

Prenons un autre jeu de données purement illustratif : huit demandes distinctes ont été enregistrées. Six ont reçu une réponse complète, dont cinq dans le délai applicable et une tardivement. Deux restent ouvertes ; l’une a dépassé son échéance, l’autre non.

Le tableau doit donc afficher six réponses complètes et deux dossiers ouverts, en signalant séparément le retard déjà constaté dans chacune de ces catégories. Dire « cinq demandes conformes sur six » serait insuffisant pour piloter la file : cela laisse hors du calcul le dossier ouvert en retard. Il faut aussi distinguer le respect du délai de la qualité juridique de la réponse.

Enfin, dix courriels dans un même dossier ne sont pas dix demandes. Un dossier rouvert après une réponse incomplète doit rester relié à son historique. Ce rapprochement permet d’examiner la cause du défaut sans afficher artificiellement une nouvelle demande dont le compteur partirait de zéro.

Ce qu’il faut retenir

• Nommer un propriétaire et organiser les transmissions entre services.
• Calculer le délai d’un mois et tracer toute prolongation motivée.
• Automatiser le suivi tout en conservant une validation juridique des décisions.
• Mesurer les retards et les réponses incomplètes, avec une conservation maîtrisée des preuves.

FAQ

Le DPO doit-il répondre personnellement à chaque demande ?

L’organisme doit définir les responsabilités. Le DPO conseille et contrôle ; la responsabilité du traitement ne lui est pas transférée par sa désignation.

Peut-on demander une pièce d’identité pour chaque dossier ?

L’Art. 12(6) vise les doutes raisonnables sur l’identité. La vérification doit rester nécessaire et proportionnée au contexte.

Un accusé de réception suffit-il à respecter le délai ?

Non. Le suivi doit aboutir à l’information sur les suites données, ou à la notification motivée prévue par le RGPD. L’accusé de réception est une étape du circuit.

Recevez nos analyses pratiques sur la conformité dans la newsletter.

Thiébaut Devergranne, docteur en droit et spécialiste du droit des technologies depuis plus de vingt ans. Revue juridique du 28 septembre 2026.