Demande RGPD par mandataire : vérifier le pouvoir
Demande RGPD par mandataire : vérifiez l'identité, la portée du mandat et le destinataire autorisé avant de communiquer les données.
Une société vous adresse une demande d’accès au nom d’un client et demande de recevoir la copie sur sa plateforme. Avant l’envoi, il faut vérifier deux éléments distincts : le droit d’agir pour la personne et le pouvoir de recevoir ses données. Un mandat limité à déposer la demande ne répond pas nécessairement à la seconde question.
Vérifier les éléments prévus en droit français
L’Art. 77 du décret n° 2019-536 prévoit qu’une personne spécialement mandatée peut présenter la demande si elle justifie de son identité, de celle du mandant, du mandat, de sa durée et de son objet précis. Le mandat doit aussi préciser si le mandataire peut recevoir la réponse. Source : Légifrance, Art. 77.
La vérification d’identité doit rester proportionnée. Elle ne signifie pas que deux photocopies de cartes d’identité sont automatiquement nécessaires. L’Art. 12(6) du RGPD encadre les informations supplémentaires demandées en cas de doute raisonnable. La CNIL détaille ces vérifications.
Utiliser une fiche de réception du mandat
| Élément | Contrôle concret |
|---|---|
| Mandant | Le titulaire des données est-il identifié de manière suffisante ? |
| Mandataire | Qui agit et par quel canal vérifiable ? |
| Organisme visé | Le mandat couvre-t-il une demande à votre organisme ? |
| Droit et périmètre | Accès, effacement, portabilité ou autre droit ; quelles données ? |
| Durée | Le mandat est-il valable au moment de la démarche ? |
| Réception | Le mandataire est-il autorisé à recevoir la réponse et les données ? |
| Cohérence | La demande reçue correspond-elle aux pouvoirs décrits ? |
Rattachez cette fiche au dossier de votre procédure de gestion des droits. Elle permet de traiter précisément une lacune sans redemander tout le dossier.
Distinguer la règle et les recommandations de la CNIL
La recommandation CNIL de 2021 porte principalement sur les organismes dont l’activité est d’exercer des droits pour les personnes. Elle ne traite pas toutes les formes de représentation, notamment l’autorité parentale ou les mandats confiés aux professions juridiques. Sa portée doit donc être distinguée des règles légales applicables au mandat étudié.
Pour le droit d’accès, la CNIL encourage la transmission au mandataire lorsqu’il est désigné comme destinataire. Pour la portabilité, la transmission directe s’examine dans les conditions de ce droit et du mandat. Source : questions-réponses de la CNIL sur le mandat.
Exemple d’une demande qui dépasse le pouvoir donné
Exemple hypothétique. Un document autorise un proche à déposer une demande d’effacement pour un compte précis. Le proche réclame ensuite une copie intégrale des échanges du titulaire.
Le pouvoir de demander l’effacement ne suffit pas à établir celui d’exercer le droit d’accès et de recevoir la copie. Demandez la clarification nécessaire, en indiquant exactement le périmètre manquant. Cela ne justifie pas d’abandonner l’examen de la demande d’effacement déjà couverte.
Votre réponse au droit d’accès doit rester liée au droit effectivement exercé et au destinataire autorisé.
Sécuriser le canal de remise
Un lien de dépôt figurant dans le message du mandataire doit être vérifié comme toute destination de données. Confirmez son rattachement au destinataire autorisé, les conditions d’accès et la durée de disponibilité. Le mandat ne neutralise pas la sécurité exigée par l’Art. 32(1).
Évitez de joindre les justificatifs d’identité au dossier de données remis : ils ne sont pas automatiquement nécessaires à cette transmission. Conservez uniquement les preuves utiles de vos contrôles, avec des accès et une durée définis.
Le principe de minimisation s’applique aussi au traitement administratif du mandat.
Gérer les lacunes et la clôture
Expliquez rapidement ce qui manque et pourquoi. Ne transformez pas une préférence de formulaire en exigence empêchant une demande valable. Une demande de complément sur le mandat n’autorise pas à suspendre sans analyse toutes les obligations de délai ; distinguez notamment le cas des informations nécessaires à l’identification prévu par l’Art. 77.
Consignez enfin le droit traité, le mandat retenu, le destinataire de la réponse et les pièces remises. Un mandataire ne devient pas automatiquement votre sous-traitant parce que vous lui transmettez une réponse : ses rôles doivent être qualifiés sur les faits.
Ce qu’il faut retenir
- Le mandat doit couvrir le droit exercé et préciser la réception de la réponse.
- Identité, objet, durée et cohérence doivent être vérifiés sans surcollecte.
- Le canal de remise et les preuves conservées restent soumis à la sécurité et à la minimisation.
FAQ
Faut-il toujours exiger un mandat sur le formulaire de l’entreprise ?
Vous devez vérifier les éléments nécessaires, sans faire de votre modèle une condition artificielle. Un document présentant les informations requises peut permettre l’examen de la demande.
Un mandat autorise-t-il tous les droits RGPD ?
Sa portée dépend de son objet. Un pouvoir limité à une démarche ne doit pas être interprété comme une autorisation générale de demander et recevoir toutes les données.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.