Rectification RGPD : corriger les bases dérivées

Une rectification doit atteindre les bases et les résultats qui continuent à utiliser la donnée inexacte. Modifier la fiche principale ne suffit pas si un export déclenche encore une relance, si un indicateur reste erroné ou si une synchronisation réintroduit l’ancienne valeur. Il faut suivre la circulation de l’information, puis vérifier son effet dans chaque usage concerné.

Cette propagation ne consiste pas à remplacer aveuglément toutes les occurrences. L’adresse actuelle d’un client, l’adresse d’une livraison passée et la trace d’une modification n’ont pas la même signification. Le dossier doit distinguer ce qui doit changer de ce qui doit rester comme fait historique, éventuellement accompagné d’une annotation.

Définir précisément la donnée à rectifier

L’Art. 16 du RGPD reconnaît le droit à la rectification dans les meilleurs délais et à la complétion des données, compte tenu des finalités. L’Art. 5(1)(d) impose de prendre les mesures raisonnables pour rectifier ou effacer sans tarder les données inexactes au regard de leur utilisation. Texte du RGPD.

La première décision porte donc sur le sens du champ. Une date de naissance erronée peut affecter plusieurs calculs d’âge. Une date de paiement contestée exige de rapprocher le mouvement du bon dossier. Un avis ancien ne devient pas nécessairement inexact parce que son auteur a ensuite changé d’opinion ; il faut distinguer la fidélité du compte rendu et l’utilisation actuelle de son contenu.

Consignez la demande, le champ concerné, la signification retenue et les éléments nécessaires à la décision. Ne réclamez pas systématiquement une pièce d’identité : l’Art. 12(6) permet de demander les informations supplémentaires nécessaires en cas de doutes raisonnables sur l’identité. La CNIL rappelle aussi cette exigence de proportionnalité.

Si l’exactitude est contestée, la personne peut demander une limitation pendant la vérification, conformément à l’Art. 18(1)(a). La procédure de gestion des droits doit permettre de transmettre cette décision aux personnes qui administrent réellement les applications.

Une carte de propagation renseignée

Exemple entièrement hypothétique. Sillage Entretien réalise des prestations chez des particuliers. Le 15 septembre, Nora conteste une relance concernant la facture F-208 de 186 euros. Elle indique avoir payé le 8 septembre, avant l’échéance du 10. Le rapprochement du mouvement bancaire avec la facture confirme son paiement. L’import l’avait laissé non affecté ; la fiche client et l’export du 11 septembre indiquent encore un impayé.

L’entreprise n’efface pas la facture et n’invente pas un nouveau paiement. Elle affecte correctement le mouvement existant, rectifie le statut actuel et recherche les conséquences de l’erreur. Nora a également demandé l’arrêt de l’utilisation de l’information contestée pendant sa vérification : les relances concernées ont été suspendues.

La comptable et le responsable applicatif établissent la carte suivante :

Le tableau est un exemple de carte remplie, pas la liste exhaustive des systèmes à contrôler dans toute entreprise. Pour un autre organisme, une base analytique, un outil de notation ou une copie transmise à un partenaire peuvent devoir s’y ajouter.

Corriger la source sans perdre le lien avec ses copies

Identifiez le système qui fait autorité pour ce champ précis. Le CRM peut faire référence pour un numéro de téléphone, mais recevoir le statut de paiement de la facturation. Dire que « le CRM est la source maître » pour toutes les données pourrait provoquer une correction dans le mauvais sens.

Dans le cas Sillage, la comptable corrige l’affectation du paiement dans la facturation. Le responsable applicatif suit ensuite la référence F-208 vers la fiche client et l’export. Il utilise les identifiants de facture et de client, pas uniquement le nom de Nora : un homonyme ou une autre facture du même montant ne doit pas être modifié.

Le dossier précise qui peut écrire la nouvelle valeur et quel système peut la remplacer. Avant la reprise des échanges, l’équipe examine les fichiers déjà préparés et les tâches en attente. L’export du 11 septembre est retiré du circuit de relance ; il ne peut pas réintroduire le statut précédent lors du prochain import.

Pour une restauration de sauvegarde, la même difficulté se présente à une autre date. Le dispositif doit permettre de rapprocher les données restaurées des corrections intervenues depuis la copie et de réappliquer celles qui sont nécessaires avant leur retour dans les usages concernés. Il ne faut pas garder une copie intégrale de tous les dossiers sous prétexte de disposer de ce journal de changements.

Recalculer un résultat lorsque son entrée est fausse

Une base dérivée contient parfois la donnée elle-même, parfois seulement son effet : nombre de factures impayées, catégorie de service ou résultat calculé. La disparition de l’ancienne valeur dans un écran ne prouve donc pas que son influence a disparu.

Pour Nora, le compteur passe de un à zéro parce que F-208 était l’unique facture considérée à tort comme impayée. Le responsable vérifie aussi qu’aucune autre facture n’a été supprimée ou soldée par cette opération. Le résultat attendu est une correction ciblée, pas une remise à zéro générale du compte.

Pour un score plus complexe, déterminez si la donnée a contribué au calcul, si le score est toujours utilisé et quelle correction rétablit une information pertinente. Un recalcul peut être nécessaire ; il ne garantit pas que le résultat final changera, si d’autres éléments exacts conduisent au même résultat. Documentez ce raisonnement plutôt que de promettre une modification favorable dans tous les cas.

Une statistique historique appelle également une décision explicite. Est-elle destinée à représenter la réalité corrigée de la période, ou à prouver l’état du système à une date donnée ? Dans le second cas, préserver l’état observé avec une annotation peut être approprié, sous réserve d’un besoin et d’une conservation justifiés. Cette archive ne doit pas redevenir la source de décisions courantes.

Notifier les destinataires et donner une instruction exploitable

L’Art. 19 impose de notifier la rectification à chaque destinataire auquel les données ont été communiquées, sauf impossibilité ou efforts disproportionnés. Il prévoit aussi d’informer la personne sur ces destinataires si elle le demande. Une liste difficile à reconstituer ne suffit pas à établir automatiquement l’exception. RGPD, Art. 19.

Le sous-traitant reçoit une instruction correspondant à sa prestation ; un destinataire agissant sous sa propre responsabilité doit être informé de la correction sans être artificiellement qualifié de sous-traitant. L’Art. 28(3)(e) prévoit l’assistance du sous-traitant dans l’exercice des droits. RGPD, Art. 28(3)(e).

Voici le bordereau fictif adressé au prestataire d’envoi de Sillage :

Correction RC-15 — Référence d’envoi liée à F-208. Le statut « impayé » transmis dans le fichier du 11 septembre est inexact : le paiement a été reçu le 8 septembre. Annuler la relance en attente pour cette référence et retirer l’entrée des copies opérationnelles utilisées pour ce service. Confirmer les actions effectuées, leur périmètre et toute impossibilité rencontrée au contact habituel sécurisé. Cette instruction ne concerne pas les autres factures du fichier.

Le prestataire n’a pas besoin de recevoir le relevé bancaire complet de Nora pour annuler un message. Si une preuve supplémentaire est nécessaire pour une autre opération, choisissez les éléments et le canal adaptés. Une correction ne doit pas devenir une nouvelle diffusion excessive du dossier.

Dans l’exemple, le prestataire confirme l’annulation du message identifié et le retrait de l’entrée dans sa copie de travail. Sillage rapproche cette réponse des deux actions demandées. Le silence du prestataire ou un simple accusé de réception ne serait pas une preuve d’exécution.

Contrôler la propagation et répondre à la personne

La comptable vérifie l’affectation et le solde ; le responsable applicatif contrôle le compteur, les fichiers actifs et les échanges ; le référent suit les notifications. Après la synchronisation suivante, les résultats du scénario restent corrects et aucune nouvelle relance pour F-208 n’est programmée. Le dossier est clos sur ce périmètre documenté.

Si une copie reste introuvable, inscrivez cette limite, les recherches et la décision correspondante. Maintenez les mesures nécessaires pour éviter l’utilisation de l’erreur ; ne certifiez pas une suppression ou une rectification que personne n’a vérifiée. Lorsque la limitation doit être levée, la personne en est informée au préalable conformément à l’Art. 18(3).

Les bonnes pratiques de l’article 12 s’appliquent à la réponse. L’Art. 12(3) prévoit une information dans les meilleurs délais et au plus tard un mois après réception, avec prolongation possible de deux mois lorsque nécessaire compte tenu de la complexité et du nombre de demandes, motivée dans le premier mois. Ce délai de réponse ne dispense pas de rectifier sans tarder une erreur déjà établie.

Pour Nora, la réponse indique que le paiement du 8 septembre a été affecté, le statut et le compteur rectifiés, la relance annulée et le prestataire informé. Elle explique que l’état du 5 septembre reste conservé comme trace datée, sans être utilisé comme situation actuelle. Si une partie de la demande était refusée, l’Art. 12(4) imposerait d’expliquer l’inaction et les voies de réclamation et de recours.

Enfin, une altération accidentelle peut révéler une violation de sécurité affectant l’intégrité des données, même sans divulgation. Examinez séparément les faits au regard de l’Art. 4(12) et, si une violation est caractérisée, les obligations des Art. 33 et 34. Toute erreur ne déclenche pas automatiquement une notification. RGPD, définition de la violation.

Ce qu’il faut retenir

• Définissez le sens du champ avant de diffuser une nouvelle valeur.
• Suivez les copies opérationnelles, les destinataires et les résultats calculés.
• Neutralisez les sources périmées qui pourraient réintroduire l’erreur.
• Distinguez état historique, information actuelle et preuve de correction.

FAQ

Faut-il modifier une facture déjà émise ?

Ne confondez pas correction du statut de paiement et modification de la pièce comptable. Pour une erreur portant sur la facture elle-même, faites déterminer la procédure documentaire conforme aux règles applicables.

Un export téléchargé sort-il du périmètre ?

Non. Recherchez son détenteur et son usage actuel. La correction peut nécessiter un remplacement, une instruction ou une notification selon le rôle de celui qui l’utilise.

Peut-on conserver l’ancienne valeur dans un journal ?

Uniquement pour un besoin justifié, avec accès et durée adaptés. La traçabilité ne permet pas de réexposer cette valeur dans les usages courants ni de conserver inutilement le dossier entier.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.