Limitation du traitement : appliquer le gel RGPD

« Cette adresse n’est pas la mienne. N’envoyez rien tant que vous n’avez pas vérifié. » Le message arrive au service clients alors qu’un fichier d’expédition est déjà prêt chez un prestataire. Une note dans le compte ne suffira pas : il faut empêcher l’utilisation de l’adresse contestée, retrouver ses copies et répondre sur ce qui a réellement été fait.

Le droit à la limitation permet de conserver des données en restreignant leur utilisation. Ce guide suit le travail de l’équipe qui reçoit la demande, depuis sa qualification jusqu’à la levée du gel. L’analyse de l’article 18 du RGPD détaille le fondement juridique de ce droit.

Ce qu’il faut retenir

• Identifiez le motif de limitation et les données concernées, sans bloquer automatiquement tout le compte.
• Traduisez la demande en opérations empêchées : envoi, export, calcul ou suppression selon le cas.
• Vérifiez les destinataires et les tâches déjà préparées ; un changement dans l’application centrale peut arriver trop tard pour leurs copies.
• Informez la personne avant la levée et contrôlez précisément les usages qui reprennent.

Qualifier la demande dès sa réception

Le demandeur n’a pas à employer le vocabulaire juridique pour expliquer qu’il souhaite suspendre un usage ou préserver une preuve. Lisez son message dans son ensemble. S’il demande seulement une correction, ne transformez pas automatiquement son dossier en blocage général ; s’il demande aussi de ne plus utiliser l’information pendant la vérification, traitez les deux aspects.

L’Art. 18(1) du RGPD prévoit quatre situations. La qualification détermine ce que le gel doit protéger.

La fiche CNIL sur la limitation présente ce droit du point de vue du demandeur. Pour l’équipe opérationnelle, la question suivante est immédiate : quelle action programmée pourrait priver sa demande d’effet avant son traitement ?

Une opposition à la prospection ne doit pas passer par une attente de mise en balance. Les Art. 21(2) et 21(3) imposent l’arrêt du traitement à cette fin. Notre guide du droit d’opposition explique cette différence.

Cas pratique : une adresse contestée avant expédition

Exemple entièrement fictif. La boutique Atelier Sillage vend des kits de réparation de meubles. Le 3 septembre, Salomé écrit depuis son espace client authentifié : l’adresse affichée pour sa commande n’est pas la sienne ; elle demande sa vérification et l’arrêt de tout envoi postal vers cette adresse.

La chargée du service clients, Léa, retrouve la commande et son identifiant. Aucun doute raisonnable sur l’identité ne justifie ici d’exiger systématiquement une pièce d’identité. L’Art. 12(6) permet de demander les informations supplémentaires nécessaires lorsqu’un tel doute existe ; il n’instaure pas une copie obligatoire de titre pour toute demande.

Léa retient l’Art. 18(1)(a). Elle repère quatre utilisations de l’adresse : fiche client, livraison de la commande, étiquette de transport et courrier commercial. Elle suspend les opérations correspondantes et demande au prestataire logistique de bloquer le colis avant sa remise au transporteur. Le compte reste accessible : Salomé peut consulter sa commande et correspondre par le canal authentifié.

Cette distinction évite deux erreurs opposées. Continuer la livraison ferait échec à la demande. Fermer tout le compte empêcherait inutilement Salomé de suivre sa résolution. La limitation concerne les données et les traitements pertinents, pas une punition commerciale du demandeur.

La fiche de traitement remplie

Ce support n’est pas un formulaire imposé. Il sert à transmettre une instruction vérifiable, plutôt qu’un simple « client bloqué ». Les intitulés doivent correspondre à vos systèmes : un prestataire qui ne reconnaît pas l’identifiant de commande ne pourra pas exécuter correctement la restriction.

Contrôler les copies avant d’annoncer le résultat

Dans le scénario, le prestataire confirme d’abord que la commande porte le statut « suspendue ». Léa demande également le résultat du contrôle de la file d’expédition. Celui-ci révèle une difficulté : l’étiquette avait été générée avant le changement de statut et figure encore dans le lot déjà transmis à l’atelier de préparation.

La mesure est donc incomplète. Le responsable logistique retire la commande de ce lot, neutralise l’ancienne étiquette et confirme qu’aucun colis n’a été remis au transporteur. Il vérifie ensuite qu’une nouvelle impression n’est pas possible tant que le gel reste actif. La preuve conservée identifie la commande et les opérations contrôlées, sans recopier tout le fichier contenant les autres clients.

Léa peut alors confirmer la restriction effectivement obtenue. Elle ne se contente pas de dater le changement de statut central. La chronologie du dossier distingue la réception de la demande, la première instruction et la confirmation du blocage complet.

Si le colis avait déjà été remis, l’équipe aurait dû rechercher immédiatement les possibilités d’interception et expliquer cette limite à Salomé. Elle n’aurait pas pu présenter comme arrêté un acheminement toujours en cours. Une éventuelle communication de données à un tiers non autorisé aurait aussi nécessité une analyse d’incident, avec application des critères des Art. 33 et 34 du RGPD. Le cas décrit ici s’arrête avant ce départ ; aucune violation réelle n’est alléguée.

Répondre avec un périmètre et un état réels

L’Art. 12(3) impose une réponse dans les meilleurs délais et, au plus tard, sous un mois. Une prolongation de deux mois peut être nécessaire compte tenu de la complexité et du nombre de demandes ; elle doit être annoncée et motivée dans le premier mois. Ce délai de réponse n’autorise pas à poursuivre mécaniquement l’usage contesté jusqu’à son expiration.

Dans notre exemple, la préparation du colis appelle une intervention immédiate adaptée à la situation. Ce n’est pas un délai universel de quelques heures ajouté au RGPD : c’est la conséquence opérationnelle de l’action qu’il faut empêcher.

Après confirmation du blocage, Léa envoie cette réponse, entièrement renseignée pour le cas fictif :

Nous avons reçu le 3 septembre votre demande concernant l’adresse de votre commande. Son utilisation pour l’expédition et le courrier postal est suspendue pendant notre vérification. Notre prestataire logistique a retiré la commande du lot d’envoi et neutralisé l’étiquette déjà préparée ; le colis n’a pas été remis au transporteur. Votre compte reste accessible. Nous poursuivons la vérification par votre espace client et vous informerons avant toute levée de la limitation. Vous pouvez nous écrire par ce même canal et introduire une réclamation auprès de la CNIL.

Si le prestataire n’avait pas encore confirmé, le message aurait dû présenter les démarches engagées et le point restant à vérifier. Une réponse rassurante mais fausse ferait perdre à la personne la possibilité de réagir utilement.

L’Art. 19 impose de notifier la limitation aux destinataires auxquels les données ont été communiquées, sauf impossibilité ou efforts disproportionnés. Documentez une éventuelle exception et fournissez les informations sur ces destinataires si la personne les demande. Dans ce cas, la notification au logisticien accompagne une instruction concrète ; son accusé de réception ne remplace pas le contrôle de l’exécution.

Vérifier avant de lever la limitation

Le 5 septembre, la vérification dans le scénario identifie une mauvaise association entre deux fiches lors d’un import. L’adresse confirmée par Salomé correspond aux éléments de sa commande d’origine. Léa corrige l’association et contrôle que le problème ne réapparaîtra pas lors du prochain import.

La correction ne consiste pas à remplacer indistinctement toutes les adresses historiques. Un ancien document peut décrire correctement une situation passée. Il faut traiter la qualité et l’exactitude des données selon leur finalité et leur contexte, puis notifier la rectification aux destinataires selon l’Art. 19.

Avant la levée, Léa informe Salomé de l’adresse désormais retenue et de la reprise prévue. L’Art. 18(3) exige cette information préalable ; il ne fixe pas une carence générale de quinze jours. Si une nouvelle contestation argumentée arrive, l’équipe doit l’examiner au lieu de l’ignorer parce qu’une heure de reprise figure déjà au planning.

Le logisticien reçoit la correction et produit une nouvelle étiquette après la levée autorisée. Le contrôle vérifie l’adresse, l’absence de l’ancienne étiquette et le maintien des autres restrictions éventuelles. Lever ce gel ne permettrait pas de passer outre une opposition distincte à la prospection.

Adapter le circuit quand le gel protège contre l’effacement

Le cas de Salomé vise un usage pendant vérification. Une demande fondée sur l’Art. 18(1)(c) appelle une autre mesure : empêcher une purge des données devenues inutiles à l’organisme mais nécessaires aux droits en justice de la personne. La politique de conservation doit permettre cette exception documentée.

Délimitez alors les pièces, leurs copies utiles et les tâches de suppression. Fixez une condition de réexamen, sans transformer une date de suivi interne en suppression automatique. Le silence de la personne à une relance ne démontre pas à lui seul que son besoin a disparu.

Pendant toute limitation, l’Art. 18(2) permet la conservation. Les autres traitements supposent le consentement ou l’un des motifs énumérés : droits en justice, protection des droits d’autrui ou motifs importants d’intérêt public de l’Union ou d’un État membre. Un accès pratique pour le service commercial n’est pas une exception supplémentaire. Consignez l’usage précis autorisé et les personnes habilitées.

FAQ

Peut-on refuser une limitation demandée sans citer le RGPD ?

L’absence de référence juridique ne justifie pas le refus. Examinez le contenu de la demande. Si les conditions ne sont pas réunies, expliquez les motifs et les voies de réclamation et de recours conformément à l’Art. 12(4).

Une limitation annule-t-elle une dette ou une commande ?

Elle encadre le traitement des données concernées ; elle ne tranche pas automatiquement le litige commercial. Un usage nécessaire aux droits en justice doit être examiné au regard de l’Art. 18(2), sans rétablir tous les traitements habituels.

Peut-on terminer le dossier dès que le logiciel affiche le gel ?

Vérifiez aussi les copies et les opérations déjà préparées. Le dossier doit distinguer l’instruction donnée de son exécution et conserver la preuve proportionnée du résultat effectivement contrôlé.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.