Compte inaccessible : vérifier une demande RGPD

Une personne n’a plus accès à son ancienne adresse électronique et demande une copie de ses données. Envoyer immédiatement le dossier à la nouvelle adresse annoncée peut le remettre à un tiers. Exiger une connexion devenue impossible peut, à l’inverse, rendre le droit inexerçable. Il faut établir un lien suffisant entre le demandeur et les données par une voie adaptée.

La vérification porte sur ce lien, pas sur une identité civile abstraite. Une carte d’identité ne démontre pas nécessairement qu’une personne utilisait un compte pseudonyme. Une nouvelle adresse confirmée démontre qu’elle reçoit des messages à cette adresse, pas qu’elle est titulaire de l’ancien compte.

Décrire le doute avant de demander un justificatif

L’Art. 12(2) impose de faciliter l’exercice des droits. L’Art. 12(6) permet de demander les informations supplémentaires nécessaires lorsque des doutes raisonnables existent sur l’identité du demandeur. Ces deux obligations se combinent : ni transmission aveugle, ni contrôle systématiquement maximal. RGPD, Art. 12(2) et 12(6).

Dans la fiche de demande, écrivez le problème observé : « demande reçue depuis un canal jamais utilisé, ancien canal annoncé perdu ». Évitez « identité non conforme », qui ne dit ni ce qui manque ni comment le résoudre. Précisez aussi l’enjeu : remise d’un historique limité, de conversations privées ou de documents sensibles.

La CNIL rappelle que l’identité se justifie par tout moyen et qu’un espace authentifié peut suffire selon les circonstances. Le contrôle varie avec la demande, les données et le contexte ; la pièce d’identité n’est pas une formalité générale. CNIL, répondre à une demande d’accès, rubrique sur les justificatifs.

Une demande depuis le compte habituel ne supprime pas tout examen si un indice de compromission existe. Inversement, une adresse différente ne prouve pas une fraude. Ce sont des éléments à apprécier, non des réponses automatiques.

Trois contrôles à ne pas confondre

Le premier contrôle consiste à retrouver le périmètre demandé. Un ancien identifiant, une référence client ou une période peuvent aider à localiser les données. La connaissance d’un pseudonyme public ne prouve toutefois pas la qualité de titulaire.

Le deuxième contrôle consiste à rattacher le demandeur à ce périmètre. Un mécanisme fiable déjà lié au compte, ou des éléments pertinents que l’organisme peut comparer, peuvent apporter cette assurance. Le choix doit tenir compte des risques de divulgation et des informations que des tiers pourraient facilement connaître.

Le troisième contrôle consiste à sécuriser la remise. Une fois le lien établi, il faut vérifier la destination et le moyen de transmission. Une faute dans la nouvelle adresse peut encore entraîner une divulgation. L’Art. 32 RGPD s’applique à cette opération, comme à la conservation des justificatifs.

Séparer ces étapes évite deux raccourcis : considérer un numéro client comme une preuve suffisante dans tous les cas, ou confondre la réception d’un courriel de confirmation avec la preuve de propriété du compte.

Choisir la voie qui correspond aux informations détenues

Ce tableau propose un raisonnement, pas une norme d’authentification universelle. Le service doit évaluer le mécanisme concret, ses limites et le niveau de protection requis. Accumuler plusieurs renseignements publics ne les transforme pas mécaniquement en preuve fiable.

Dans ses réponses sur l’exercice des droits par mandat, la CNIL souligne précisément l’inutilité possible d’une carte d’identité lorsque l’organisme ne connaît qu’un pseudonyme. Ce problème existe aussi pour une demande directe. CNIL, questions-réponses, justificatifs d’identité.

Cas rempli : l’ancien courriel est perdu, le second canal existe

Le cas suivant est fictif. Un service de partage de créations reçoit une demande d’accès au compte « Atelier27 ». Son titulaire indique avoir perdu sa messagerie historique. Il transmet spontanément une carte d’identité et propose une nouvelle adresse. Le service ne détient pas son identité civile ; il dispose en revanche d’un second canal d’authentification vérifié antérieurement.

L’agent chargé des droits ne valide pas la demande sur la seule carte. Il consulte les informations autorisées sur le compte et fait examiner le second canal : celui-ci était enregistré avant la demande et aucun indice de compromission n’est identifié dans le scénario. Le mécanisme de confirmation est disponible sans rétablir la connexion à l’ancienne messagerie.

La décision est enregistrée ainsi :

La confirmation s’effectue dans l’interface prévue à cet effet. L’agent ne demande pas que la personne lui transmette son mot de passe ou un secret de récupération. Le dossier de suivi conserve le résultat du contrôle, pas le secret utilisé.

Dans le scénario, le service prépare ensuite la copie, contrôle le respect des droits des tiers et la remet par son dispositif sécurisé à la destination confirmée. La demande est clôturée après cette remise. La réussite de l’identification ne suffisait donc pas, à elle seule, à clôturer le droit d’accès.

Cette solution dépend des faits exposés. Si le second canal est inaccessible ou soupçonné compromis, la même fiche ne doit pas afficher « identité vérifiée ». L’équipe recherche un autre moyen pertinent ; elle ne remplace pas le canal ancien par le numéro fourni dans le nouveau message pour déclarer le problème résolu.

Formuler une demande de complément compréhensible

Le demandeur doit savoir pourquoi un complément est nécessaire et comment le fournir. Voici un exemple de réponse partielle pour le cas précédent, à adapter au service :

Votre demande est enregistrée sous la référence ID-14. Elle provient d’une adresse différente de celle associée au compte et vous indiquez ne plus pouvoir utiliser l’ancienne messagerie. Le document transmis ne permet pas, dans notre service pseudonyme, d’établir le lien avec ce compte. Nous vous proposons la confirmation par le second canal déjà enregistré. Si cette voie n’est plus accessible, indiquez-le afin que notre équipe examine une autre possibilité. N’envoyez aucun mot de passe ni code de récupération à notre équipe.

Le message évite de dévoiler à un demandeur encore non vérifié des informations détaillées sur le compte. Il ne révèle pas, par exemple, une adresse complète ou le contenu d’un échange privé pour lui demander de les confirmer.

Si une pièce devient effectivement nécessaire, expliquez les éléments utiles à comparer, la voie de transmission et le traitement du document. Le principe de minimisation s’applique aux preuves recueillies autant qu’au fichier initial. Demander davantage d’informations « pour être prudent » peut augmenter le risque sans mieux établir le lien.

Suivre les délais sans remettre le compteur à zéro

L’Art. 12(3) prévoit une réponse dans les meilleurs délais et, en principe, sous un mois à compter de la réception. Une prolongation de deux mois est possible compte tenu de la complexité et du nombre de demandes, avec information motivée dans le premier mois. Elle ne doit pas devenir le délai standard du service. RGPD, Art. 12(3).

En France, l’Art. 77 du décret n° 2019-536 prévoit la suspension des délais de l’Art. 12(3) lorsque des informations supplémentaires nécessaires à l’identification ont été sollicitées. Il ne prévoit pas que toute question posée au demandeur ouvre un nouveau mois complet. Décret du 29 mai 2019, Art. 77.

Consignez la réception initiale, la date du complément nécessaire, son objet et la réception de la réponse utile. Reprenez le suivi du temps restant lorsque l’obstacle est levé. Une attente interne entre deux équipes ou une demande de document sans utilité n’est pas une raison de traiter le dossier comme suspendu.

Pendant ce contrôle, certaines tâches peuvent avancer sans divulguer de données au demandeur : identifier les systèmes concernés, attribuer les recherches et préparer les modalités de réponse. La vérification ne doit pas devenir un prétexte à l’inaction générale.

Traiter l’impossibilité persistante et les preuves inutiles

Si aucun moyen proportionné ne permet d’établir le lien, ne transmettez pas le dossier au hasard. Expliquez le motif précis et les démarches examinées, sans prétendre que les données n’existent pas. L’Art. 12(4) impose, en cas d’inaction, une information sans tarder et au plus tard sous un mois, comprenant les motifs et la possibilité de réclamation auprès de l’autorité de contrôle et de recours juridictionnel. RGPD, Art. 12(2) et 12(4).

La suspension française vise le paragraphe 3 ; elle ne doit pas servir à laisser indéfiniment sans explication une personne à laquelle le service décide de ne pas donner suite. La procédure d’exercice des droits doit prévoir cette branche et un responsable de décision.

Pour la preuve conservée, distinguez le compte rendu du contrôle de la copie du document. Un relevé « contrôle effectué, résultat, date et agent habilité » peut suffire là où garder la pièce entière n’est pas nécessaire. Fixez la durée selon la finalité de preuve et les obligations applicables ; aucun délai universel de conservation de toutes les cartes n’est déduit du RGPD.

Si des données ont déjà été remises au mauvais destinataire, lancez aussi le traitement de l’incident : contenir l’accès, rechercher les copies et apprécier les risques. La procédure de divulgation après erreur d’identification détaille cette réponse. Refaire le contrôle d’identité ne retire pas les informations déjà divulguées.

Ce qu’il faut retenir

• Distinguez recherche du compte, identification du demandeur et destination de remise.
• Choisissez une preuve utile aux données réellement détenues.
• Une carte civile ou une adresse confirmée ne démontre pas toujours le lien recherché.
• Tracez les compléments nécessaires, les délais et la décision finale sans conserver des secrets.

FAQ

Une carte d’identité prouve-t-elle toujours que le compte appartient au demandeur ?

Non. Dans un service pseudonyme sans identité civile connue, elle peut ne fournir aucun rapprochement pertinent. Cherchez un moyen lié au compte plutôt qu’un document supplémentaire dépourvu d’utilité.

Peut-on répondre à une nouvelle adresse électronique ?

Oui, après avoir établi suffisamment le lien avec les données et sécurisé la destination. Confirmer uniquement la réception d’un message à cette nouvelle adresse ne réalise pas les deux contrôles.

Faut-il toujours récupérer le compte avant d’exercer ses droits ?

Non. Une procédure fiable de récupération peut aider, mais elle ne doit pas devenir un obstacle indépassable. Prévoyez une voie adaptée pour les personnes qui ne peuvent plus l’utiliser.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.