Droit RGPD en cours : changer d'outil sans le perdre
Préserver une demande RGPD pendant une migration : délais, identifiants, recherches et transmission entre les deux outils.
Une demande d’accès est reçue juste avant le remplacement d’un outil métier. L’ancien compte devient inaccessible, les identifiants changent et certains documents ne sont pas migrés. Si le ticket suit seulement le nouvel identifiant, une partie du dossier disparaît de la recherche. La migration doit donc prévoir la continuité des demandes en cours dès la préparation de la bascule.
Ce qu’il faut retenir
- Le changement d’outil ne remet pas le délai de réponse à zéro.
- Une demande peut nécessiter des recherches dans l’ancien outil, le nouveau et les archives de migration.
- Les restrictions, corrections et effacements en cours doivent suivre les données concernées.
- Désignez un responsable du dossier jusqu’à la réponse complète et la vérification des actions.
Identifier les demandes avant la bascule
Créez un état des dossiers ouverts : droit exercé, date de réception, échéance, périmètre, identifiants connus et opérations déjà réalisées. Limitez cet état aux informations utiles à la continuité ; il n’a pas vocation à devenir une copie parallèle de tous les dossiers clients.
L’article 12(3) encadre le délai de réponse, ordinairement d’un mois, et sa prolongation éventuelle de deux mois compte tenu de la complexité et du nombre de demandes. Une migration n’introduit pas une suspension autonome. L’article 12(2) impose de faciliter l’exercice des droits. RGPD, chapitre III.
Une même personne peut être retrouvée sous plusieurs références : utilisez la méthode de recherche par anciens identifiants avant que les tables de correspondance ne deviennent difficiles à obtenir.
Préparer le plan de continuité du dossier
| Point de passage | Question à résoudre | Preuve utile |
|---|---|---|
| Export initial | Toutes les données demandées sont-elles incluses ? | Périmètre de l’extraction |
| Transformation | Certains champs ont-ils changé de sens ou de format ? | Dictionnaire de conversion |
| Import | Des pièces ont-elles été rejetées ou exclues ? | Journal des anomalies pertinentes |
| Bascule des accès | Qui peut encore rechercher dans l’ancien outil ? | Responsable et moyen d’accès validés |
| Fin de contrat | Quel délai réel reste disponible pour l’assistance ? | Instruction et contact confirmé |
Exemple hypothétique : les demandes d’assistance migrent sans leurs anciennes pièces jointes. Le nouveau logiciel peut donner l’impression d’un dossier complet alors que la demande d’accès couvre également ces documents. La fiche de continuité indique où ils restent disponibles et qui doit les rechercher.
Faire suivre les décisions déjà prises
Une rectification effectuée après l’export initial peut être écrasée par l’import. Une limitation peut disparaître si le nouveau système n’a pas de champ équivalent. Une suppression peut être annulée par une réintégration de données depuis une copie de migration.
Prévoyez un relevé des décisions intervenues entre l’extraction et la bascule, puis leur application contrôlée dans la cible. Notre guide sur la limitation technique du traitement aide à traduire les restrictions en opérations réellement bloquées. Celui sur la rectification des bases dérivées permet de vérifier les valeurs réimportées.
Les articles 5(1)(d), 5(1)(e) et 5(2) imposent respectivement exactitude, limitation de conservation et capacité à démontrer le respect des principes. Garder une copie de migration sans finalité ni échéance ne constitue pas une réponse suffisante au besoin de continuité. RGPD.
Coordonner les prestataires avant de fermer l’ancien service
L’assistance du sous-traitant pour répondre aux droits relève de l’article 28(3)(e). La restitution ou suppression en fin de prestation relève de l’article 28(3)(g), selon le choix du responsable et les exceptions légales. Articulez les deux : demandez les éléments nécessaires et planifiez la fin de service sans laisser une extraction requise inaccessible. RGPD, chapitre IV.
Une demande en cours n’autorise pas automatiquement la conservation illimitée de toute la base de l’ancien outil. Identifiez les données nécessaires au traitement du dossier, la base et la durée de leur conservation, ainsi que les habilitations. Les équipes achat et informatique doivent connaître cette dépendance avant de résilier les accès opérationnels.
Fermer le dossier sur un rapprochement effectif
Comparez les recherches effectuées dans les deux environnements, les pièces remises et les actions demandées. Expliquez les éventuelles limites dans la réponse, sans présenter un export partiel comme une recherche complète.
Conservez une trace du rapprochement : identifiants utilisés, sources interrogées, anomalies corrigées, date et canal de réponse. Si la copie est importante, préparez une remise sécurisée et indexée. Le ticket ne doit être clos qu’après vérification du périmètre réellement traité.
FAQ
Peut-on demander à la personne de recommencer après la migration ?
Une réorganisation interne ne justifie pas, à elle seule, d’imposer une nouvelle demande. Conservez le dossier et son historique ; demandez seulement les précisions nécessaires lorsqu’elles sont réellement utiles.
Faut-il conserver tout l’ancien outil jusqu’à la fin du dossier ?
Pas nécessairement. Une extraction maîtrisée ou un accès limité peut suffire selon le périmètre. Vérifiez cependant que la solution conserve les données et le contexte nécessaires à une réponse fidèle.
Qui répond si les deux prestataires se renvoient la recherche ?
Le responsable de traitement doit garder la maîtrise du dossier. Désignez un coordinateur et adressez des instructions précises à chaque prestataire selon son périmètre d’assistance.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.