Demande RGPD par mandataire : vérifier le pouvoir
Demande RGPD par mandataire : vérifiez l'identité, la portée du mandat et le destinataire autorisé avant de communiquer les données.
Une demande RGPD présentée par un mandataire doit être traitée lorsque ses pouvoirs et les identités nécessaires sont établis. En revanche, l’autorisation de déposer une demande ne permet pas automatiquement de recevoir les données. Avant l’envoi, vérifiez donc qui agit, pour quel droit et qui peut recevoir la réponse. Une lacune précise appelle une clarification précise, pas le rejet systématique de toute la démarche.
Ce que doit établir le mandat
En France, l’Art. 77 du décret n° 2019-536 exige que le mandataire justifie de son identité, de celle du mandant, du mandat, de sa durée et de son objet précis. Le document doit également préciser si le mandataire peut recevoir la réponse. Il s’agit ici de l’article du décret français, et non de l’Art. 77 du RGPD relatif aux réclamations auprès d’une autorité. Texte de l’Art. 77.
L’objet doit permettre de rapprocher la demande du pouvoir donné. « Gérer mes démarches » laisse incertain le droit effectivement confié. « Exercer mon droit d’accès auprès de la société Atelier Orme pour les données liées à mon compte C-73 » délimite une opération vérifiable. La durée permet de vérifier que le pouvoir existe au moment où le représentant intervient.
Le décret n’impose pas votre formulaire maison. Un mandat établi autrement peut contenir les éléments nécessaires. Il faut en apprécier l’authenticité et la portée, sans exiger par principe une signature manuscrite originale ou un passage en agence que ce texte ne prévoit pas. L’obligation de faciliter l’exercice des droits figure à l’Art. 12(2) du RGPD. Modalités d’exercice des droits.
Ce guide concerne le mandat donné par une personne pour ses propres droits. La représentation d’un mineur, les mesures de protection juridique et les règles propres aux professions juridiques ou médicales demandent une analyse distincte. La recommandation CNIL de 2021 vise principalement les organismes exerçant professionnellement les droits pour autrui ; elle ne constitue pas un régime uniforme de toutes les représentations. Périmètre de la recommandation CNIL.
Un mandat renseigné et sa lecture opérationnelle
Exemple entièrement hypothétique. Juliette Morel souhaite obtenir les données de son compte client C-73 auprès de la société fictive Atelier Orme. Elle charge son amie Lina Perrin de la démarche. Le texte suivant illustre le périmètre du mandat ; il ne constitue pas un document réellement signé.
Je soussignée Juliette Morel, titulaire du compte C-73 auprès d’Atelier Orme, mandate Lina Perrin pour exercer auprès de cette société mon droit d’accès aux données personnelles liées à ce compte, y compris la réception des informations accompagnant la copie. Lina Perrin est autorisée à recevoir cette réponse et cette copie dans l’espace sécurisé nominatif convenu avec Atelier Orme. Ce mandat prend effet le 6 octobre 2026 et expire le 30 novembre 2026. Il ne porte pas sur une demande d’effacement ou de modification de mes données.
La référence du compte facilite le rattachement ; elle ne démontre pas à elle seule l’identité de Juliette. De même, le nom de Lina dans le document ne prouve pas que l’expéditrice du courriel est bien Lina. Le service doit donc consigner les vérifications effectuées, séparément du contenu du mandat.
Voici la fiche M-18 remplie dans ce scénario :
| Point examiné | Élément retenu et décision |
|---|---|
| Mandante | Juliette confirme la demande et le document depuis son compte authentifié habituel ; aucun indice de compromission n’est relevé dans l’hypothèse |
| Mandataire | Lina se présente à l’agence ; son identité est vérifiée sur présentation de son titre, sans photocopie conservée |
| Organisme | Atelier Orme est expressément désigné ; le service instruit la demande qui le concerne |
| Droit exercé | Accès aux données du compte C-73 ; pas de pouvoir d’effacement déduit |
| Durée | Du 6 octobre au 30 novembre ; dépôt le 6 octobre et remise prévue le 16 octobre dans cette période |
| Réception | Copie et informations peuvent être remises à Lina ; l’espace nominatif est rattaché à la personne vérifiée |
| Conclusion | Mandat suffisant pour cette demande ; recherche puis préparation de la réponse autorisées |
Le déplacement de Lina est une circonstance de l’exemple, pas une condition générale. Un autre dossier peut permettre une vérification à distance suffisante. La fiche n’attribue pas non plus une fiabilité absolue à tout compte connecté : des changements récents suspects ou un signalement de piratage modifieraient l’appréciation.
Vérifier l’identité sans constituer un dossier excessif
L’Art. 12(6) permet de demander les informations supplémentaires nécessaires en cas de doute raisonnable sur l’identité. L’Art. 77 du décret prévoit une justification par tout moyen et envisage une copie de titre lorsque la situation l’exige. Deux personnes à identifier ne signifient pas deux photocopies obligatoires.
Distinguez trois questions : le compte correspond-il à la personne concernée, cette personne a-t-elle donné ce mandat, et l’interlocuteur est-il le représentant désigné ? Une adresse électronique nouvelle ne répond pas automatiquement aux trois. Un numéro de commande public ou facilement devinable ne suffit pas davantage.
La CNIL rappelle que des éléments déjà disponibles peuvent permettre l’identification, sans demande systématique de pièce. Vérification d’identité dans une demande d’accès. Si une copie demeure nécessaire, déterminez les mentions utiles, le canal de réception et son devenir ; notre guide sur les copies de pièces d’identité détaille cette seconde décision.
Dans M-18, le service note la confirmation reçue dans le compte connu, la date de présentation du titre de Lina et l’agent ayant effectué le contrôle. Il n’ajoute ni relevé bancaire ni justificatif familial. Ces pièces n’apporteraient rien au pouvoir d’accès établi. Le principe de minimisation concerne aussi les preuves collectées pour administrer les droits.
Que faire si le pouvoir de recevoir manque ?
Remplaçons une seule phrase du mandat : Juliette autorise Lina à déposer la demande, mais précise que la réponse doit lui être adressée directement. Lina réclame ensuite l’envoi du dossier sur sa propre messagerie. Le service peut instruire l’accès ; il ne doit pas interpréter ce courriel comme une modification du pouvoir donné par Juliette.
Un message adapté serait :
Votre mandat couvre le dépôt de la demande d’accès au compte C-73. Il prévoit une réponse à Juliette Morel. Nous poursuivons sa préparation pour cette destinataire. Pour une remise à votre nom, une autorisation de Juliette couvrant expressément cette réception est nécessaire. À défaut, nous utiliserons le canal sécurisé convenu avec elle.
Si le document reste silencieux sur la réception, demandez cette précision. Évitez un formulaire de relance qui réclame indistinctement toutes les pièces initiales. Le dossier doit indiquer ce qui est déjà établi et l’unique question restante.
Autre variante : Lina reçoit seulement un mandat d’effacement, puis demande aussi l’historique des échanges. Le service poursuit l’examen de l’effacement couvert et demande un pouvoir correspondant pour l’accès supplémentaire. Les deux droits peuvent avoir des conditions et des conséquences différentes ; leur traitement ne doit pas se confondre dans un statut global « dossier incomplet ».
Tenir le délai malgré les échanges sur le mandat
L’Art. 12(3) impose une information sur les mesures prises sans retard excessif et, en principe, dans le mois suivant la réception. La prolongation éventuelle de deux mois dépend de la complexité et du nombre de demandes ; elle doit être annoncée et motivée dans le premier mois. L’Art. 12(4) encadre également la réponse lorsqu’aucune suite n’est donnée. Art. 12(3) et 12(4).
Dans M-18, identités et pouvoirs sont établis le 6 octobre. Le service inscrit le 6 novembre comme échéance ordinaire et remet la réponse le 16 octobre. Ces dates sont celles du scénario. Une transmission interne tardive au DPO ne ferait pas repartir le délai.
Le décret français prévoit une suspension lorsque des informations supplémentaires nécessaires pour identifier la personne concernée sont sollicitées. Consignez alors la raison du doute, la demande nécessaire, son envoi et sa résolution. Ne transformez pas cette règle en suspension générale dès qu’une question porte sur le mandat. Une préférence pour votre formulaire ou une incertitude sur le canal de remise ne permet pas automatiquement de remettre le compteur à zéro.
Rattachez ces événements à votre procédure de gestion des droits. Si un obstacle demeure, expliquez-le précisément au demandeur et faites examiner les conséquences sur la réponse ; le silence ne constitue pas une gestion du délai.
Remettre la copie au bon destinataire
Le mandat règle la représentation, pas le contenu intégral du droit d’accès. La copie doit porter sur les données de Juliette et respecter les droits et libertés d’autrui conformément à l’Art. 15(4). Lina ne reçoit pas l’ensemble du fichier clients parce que certaines lignes concernent sa mandante. La préparation de la réponse d’accès reste une étape autonome.
Dans M-18, l’agent prépare le dossier C-73, vérifie son périmètre puis dépose la réponse dans l’espace nominatif de Lina. Il vérifie les droits d’accès et l’identité du bénéficiaire avant d’envoyer l’invitation. Si celle-ci désigne un autre compte, la remise est arrêtée et le rattachement corrigé. Cette procédure illustre la sécurité proportionnée requise par l’Art. 32(1), sans imposer un outil particulier. Sécurité des traitements.
La clôture distingue la mise à disposition, l’information du destinataire et, lorsqu’elle est connue, la récupération. Conservez la preuve utile du mandat retenu, des vérifications, du contenu remis et du canal employé, avec accès limité et durée justifiée. N’ajoutez pas automatiquement les justificatifs d’identité au fichier communiqué.
Enfin, recevoir une copie ne confère pas au mandataire une autorisation générale de la réutiliser pour ses propres objectifs. Cette réutilisation doit avoir son propre fondement et respecter le RGPD. La CNIL distingue ces questions dans sa recommandation sur le mandat. Elle ne justifie pas de qualifier automatiquement le représentant de sous-traitant de votre entreprise.
Ce qu’il faut retenir
- Établissez les deux identités, l’objet et la durée du mandat, ainsi que le pouvoir de recevoir la réponse.
- Demandez seulement le complément nécessaire ; poursuivez les opérations déjà valablement autorisées.
- Suivez le délai depuis la réception et documentez précisément toute suspension juridiquement justifiée.
- Vérifiez séparément le contenu de la copie et son destinataire avant la remise.
FAQ
Faut-il accepter le portail choisi par le mandataire ?
Le pouvoir de recevoir ne rend pas tout canal approprié. Vérifiez le rattachement du portail et la sécurité de la transmission ; si un obstacle existe, expliquez-le et proposez une modalité sûre permettant effectivement la remise.
Le mandat doit-il couvrir toutes les sociétés d’un groupe ?
Il faut pouvoir déterminer les organismes visés et les pouvoirs exercés auprès d’eux. Un mandat adressé à une société ne permet pas de présumer une autorisation générale auprès de toutes les autres personnes morales du groupe.
Un mandat valable dispense-t-il d’examiner les conditions du droit ?
Non. Il permet la représentation, mais ne transforme pas toute demande d’effacement en obligation de supprimer ni toute demande de portabilité en droit à toutes les données. La décision de fond reste motivée selon le droit concerné.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.