Procédure RGPD : modèle de gestion des droits

Une demande de copie arrive au service client, tandis qu’une opposition commerciale reste dans une boîte personnelle. Le problème à résoudre est concret : attribuer chaque demande, calculer son échéance et vérifier que la réponse correspond aux opérations réellement effectuées.

Le modèle ci-dessous organise ce travail. Avant de l’adopter, la direction désigne un pilote, un remplaçant, les services contributeurs et les personnes habilitées à valider les refus. Le DPO, lorsqu’il existe, conseille et accompagne ce dispositif ; la responsabilité de l’organisme demeure.

Modèle de procédure en huit étapes

Les étapes proposées constituent une organisation pratique à adapter au volume et aux traitements. Elles ne créent pas un formulaire obligatoire pour les personnes.

Prévoir une revue hebdomadaire des dossiers ouverts est une option utile pour une PME. Un tableau partagé à accès restreint peut suffire si le volume reste modeste ; son existence ne démontre pas, à elle seule, que chaque droit a été respecté.

Recevoir sans imposer de parcours exclusif

Un formulaire dédié facilite l’instruction, mais une demande arrivée à un autre point de contact officiel doit être reconnue. Le CEPD distingue ces canaux des adresses manifestement inadaptées ou choisies au hasard : lignes directrices 01/2022, version 2.1, résumé et section 3.1.2.

Former l’accueil et les équipes en contact avec le public à transmettre le message complet évite de perdre sa date de réception. Une formule comme « envoyez-moi les informations que vous avez sur moi » n’a pas besoin de citer un article pour être comprise.

Pour un accusé de réception, préparer quatre éléments : confirmation de réception, périmètre compris, interlocuteur et échéance calculée. Cet accusé n’est pas la réponse sur le fond.

Vérifier l’identité et le mandat avec mesure

La CNIL sur le droit d’accès rappelle qu’une pièce d’identité ne peut pas être exigée systématiquement. Un compte authentifié peut suffire selon le contexte ; un doute raisonnable justifie des compléments proportionnés, conformément à l’Art. 12(6).

Utiliser la même méthode pour un ancien client dont l’adresse a changé et pour un utilisateur connecté est rarement adapté. Le guide de vérification d’identité des demandes RGPD aide à choisir les éléments utiles sans constituer un nouveau dossier excessif.

Si un tiers intervient, appliquer la vérification du mandat : personne représentée, identité du mandataire, droit couvert et modalités de remise. Une adresse d’avocat ou de plateforme ne dispense pas de vérifier le pouvoir de représentation.

Calculer et suivre le délai

Le principe est une réponse sans retard injustifié et au plus tard un mois après réception. Une prolongation de deux mois au maximum peut être nécessaire en raison de la complexité et du nombre de demandes ; elle doit être motivée et annoncée pendant le premier mois : Art. 12(3) du RGPD.

Pour l’accès, le CEPD précise au §159 qu’une suspension peut résulter de compléments d’identité nécessaires demandés sans retard injustifié ; il traite aussi la précision du périmètre dans les conditions du considérant 63. Toute demande de renseignement interne ne suspend donc pas le compteur. Consigner le motif, les dates et le calcul retenu. Les §§160–161 précisent le calcul de date à date et le report au prochain jour ouvrable lorsque l’échéance tombe un jour non ouvrable.

La procédure doit prévoir une alerte avant l’échéance et une remontée immédiate au décideur si un service ne répond pas. Les congés du pilote ne constituent pas un mécanisme de prolongation.

Qualifier la demande avant d’exporter ou d’effacer

Les articles 16 à 22 du RGPD imposent de distinguer les opérations :

• Rectification : corriger les données inexactes et compléter celles qui doivent l’être au regard des finalités, Art. 16.
• Effacement : examiner les motifs de l’Art. 17(1) et les exceptions de l’Art. 17(3), notamment conservation légalement nécessaire ou droits en justice.
• Limitation : vérifier les cas de l’Art. 18(1), restreindre les usages et informer avant la levée, Art. 18(3).
• Opposition : distinguer situation particulière et prospection ; l’opposition à la prospection impose l’arrêt de cet usage, Art. 21(1)–(3).
• Décision automatisée : identifier une décision relevant de l’Art. 22(1), ses éventuelles exceptions et les garanties applicables, notamment l’intervention humaine prévue à l’Art. 22(3).

La portabilité porte sur les données fournies, dans le cadre d’un traitement automatisé fondé sur le contrat ou le consentement : Art. 20(1). Elle appelle un format structuré et réutilisable, sans entraîner automatiquement l’effacement. Un PDF lisible destiné à l’accès ne répond pas nécessairement à cette finalité.

Pour l’accès, fournir les données effectivement traitées et les informations requises, pas seulement une liste de catégories. Les documents ou extraits doivent restituer le contexte nécessaire. Les droits d’autrui appellent une analyse ciblée, pas l’occultation automatique de tout nom tiers. Notre méthode de réponse à une demande d’accès détaille cette préparation.

Répondre, répercuter et garder une preuve utile

Une réponse partielle explique ce qui a été réalisé et ce qui reste légalement exclu. Un refus doit indiquer ses motifs et les possibilités de réclamation et de recours ; la gratuité est le principe, les demandes manifestement infondées ou excessives devant être démontrées par l’organisme : Art. 12(4)–(5).

Après rectification, effacement ou limitation, l’Art. 19 prévoit l’information des destinataires, sauf impossibilité ou efforts disproportionnés. Leur identité est communiquée à la personne si elle la demande. Préparer les instructions aux prestataires et contrôler leur exécution : la preuve d’exécution d’un effacement distingue ordre envoyé et résultat confirmé.

Le dossier de suivi peut contenir les dates, les recherches effectuées, la justification des restrictions et la réponse transmise. Éviter de recopier toutes les pièces dans un tableau largement accessible. Fixer une conservation justifiée pour les preuves et une suppression plus rapide des copies de travail devenues inutiles. Aucun registre autonome portant un nom imposé ne remplace cette analyse ni ne « renverse » automatiquement la charge de la preuve.

Dossier renseigné : une demande, deux opérations

Prenons un exemple entièrement fictif dans une PME de vente de mobilier. Samir écrit le 6 octobre 2026 depuis son espace client : « Je souhaite une copie de mes données et ne plus recevoir vos publicités. » Le service client déclenche l’arrêt de prospection dès le 6 et transmet le dossier complet au pilote le 7 octobre. Le point de départ reste le 6 : le déplacement interne du dossier ne crée pas une nouvelle réception.

L’entreprise constate dans cet exemple que l’authentification et les éléments du compte suffisent à établir l’identité au regard des données concernées. Elle ne réclame pas de pièce supplémentaire. Cette conclusion appartient au dossier ; elle ne vaut pas dispense de contrôle pour toute demande provenant d’un compte.

La fiche suivante accompagne le traitement. Ses dates représentent le déroulement supposé de l’exercice, pas une opération réalisée auprès d’un vrai client.

L’accès demande du temps de préparation, mais l’opposition commerciale ne reste pas en attente de l’export. L’Art. 21(3) interdit de poursuivre le traitement à cette fin après opposition. Le pilote confie donc les deux opérations en parallèle et suit leurs résultats séparément. Garder certaines données pour exécuter une commande en cours n’autorise pas leur réutilisation publicitaire.

La copie ne doit pas se limiter au profil visible dans l’espace client si d’autres données sont traitées dans le périmètre de l’Art. 15. Le contributeur SAV indique les recherches effectuées et restitue les données pertinentes ; il ne répond pas seulement « aucune pièce dans le CRM » alors que les échanges se trouvent dans un autre outil identifié.

Que faire si une contribution reste manquante ?

Si un prestataire n’a pas répondu, le pilote conserve ce point ouvert et le relance par le circuit contractuel. Son silence ne démontre pas l’absence de données. Le dossier distingue « recherche terminée sans résultat » de « recherche non achevée ». Le responsable arbitre immédiatement les mesures nécessaires pour respecter l’échéance ; il ne transforme pas une difficulté interne en suspension automatique.

Une prolongation éventuelle exige les conditions et l’information prévues à l’Art. 12(3). Si une communication intermédiaire est utile, elle précise son caractère partiel et les suites attendues ; elle ne doit pas être enregistrée comme une réponse complète. La clôture n’intervient qu’après rapprochement des opérations annoncées, des résultats et de la réponse effectivement remise.

Ce qu’il faut retenir

• Affecter chaque demande à un pilote et préserver sa date de réception initiale.
• Distinguer contrôle d’identité, mandat et clarification de la demande.
• Calculer le délai et justifier toute suspension ou prolongation applicable.
• Contrôler l’exécution réelle et la réponse, puis conserver des preuves proportionnées.

FAQ

Une demande sans référence au RGPD doit-elle être traitée ?

Oui, si son contenu permet de reconnaître l’exercice d’un droit. Le pilote qualifie ce que la personne demande et sollicite une clarification lorsqu’elle est réellement nécessaire.

Peut-on imposer un formulaire ou une pièce d’identité ?

Un formulaire peut être proposé sans constituer l’unique canal accepté. Le justificatif d’identité dépend du doute raisonnable et des moyens proportionnés disponibles ; il ne doit pas être demandé par routine.

Le registre des demandes est-il obligatoire sous une forme précise ?

Le RGPD n’impose pas un modèle autonome de registre des demandes. Un suivi adapté aide à organiser et démontrer le respect des droits, à condition que les opérations et réponses enregistrées correspondent à la réalité.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.