Une entreprise possède vos données : comment lui demander ce qu'elle conserve

Un client ou un internaute peut demander à une entreprise quelles données personnelles elle détient à son sujet et obtenir des informations sur leur utilisation. Le règlement général sur la protection des données prévoit un droit d'accès, distinct du droit à l'effacement. La CNIL explique comment exercer ce droit et rappelle qu'une réponse doit généralement être apportée dans un délai d'un mois.

À retenir

• Le droit d'accès permet notamment de savoir si un organisme traite des données personnelles vous concernant et d'en obtenir une copie dans les limites prévues par le droit.
• Une entreprise doit en principe répondre dans le mois. Ce délai peut être prolongé de deux mois supplémentaires dans les cas complexes, à condition d'en informer la personne dans le premier mois.
• Demander l'accès aux données n'entraîne pas automatiquement leur suppression : c'est une démarche juridique différente.

À quoi sert le droit d'accès ?

Une personne peut se demander pourquoi elle reçoit des offres publicitaires, quelles informations un réseau social connaît d'elle ou quels renseignements un service conserve après une commande. Le droit d'accès du RGPD fournit un moyen de demander des explications sur les traitements de données la concernant.

La réponse peut porter sur les catégories d'informations, les finalités du traitement, les destinataires auxquels les données sont communiquées, la durée de conservation prévue et les droits disponibles. Selon la situation, l'organisme doit également fournir une copie des données personnelles qui font l'objet du traitement.

Cela ne donne pas nécessairement le droit d'obtenir tous les documents internes d'une entreprise ni les données relatives à d'autres clients. Les droits et libertés d'autrui doivent aussi être pris en compte.

Comment formuler une demande utile ?

La CNIL précise qu'il n'existe pas de formule magique : une demande claire permet d'identifier le droit exercé et les données concernées. Elle peut être transmise au délégué à la protection des données, lorsqu'il existe, ou par les coordonnées de contact prévues par l'organisme.

Il est préférable d'utiliser le site ou l'adresse officielle de l'entreprise, plutôt que de communiquer ses documents d'identité à un contact inconnu. L'organisme peut demander des informations supplémentaires pour vérifier l'identité de la personne en cas de doute raisonnable, mais cela ne justifie pas une collecte systématique de pièces excessives.

Conserver une trace datée de la demande et de la réponse aide à suivre le délai. Un courriel envoyé depuis l'adresse liée au compte peut, selon le contexte, faciliter le rapprochement avec les informations détenues.

Que contient la réponse ?

L'organisme doit, dans le cadre applicable, indiquer notamment s'il traite des données concernant la personne et fournir les informations pertinentes prévues par le RGPD. Une copie peut être transmise par voie électronique lorsqu'une demande a été faite sous cette forme, sauf situation particulière.

Certaines réponses renvoient vers un tableau de bord permettant de télécharger un historique ou une archive. Cette fonction peut être pratique, mais elle ne dispense pas l'organisme de répondre aux demandes auxquelles ses outils automatisés ne permettent pas de répondre complètement.

Une copie des données ne doit pas être confondue avec une explication exhaustive des procédés techniques internes. Lorsque le lecteur cherche à comprendre une décision automatisée, d'autres obligations d'information peuvent également être en jeu selon le cas.

Si l'entreprise ne répond pas

Le principe rappelé par la CNIL est une réponse dans les meilleurs délais, et au plus tard dans un mois. En cas de complexité ou de demandes nombreuses, une prolongation peut porter le délai total à trois mois, mais l'organisme doit expliquer cette prolongation dans le mois initial.

Si la réponse est absente, insuffisante ou si un droit paraît méconnu, il est possible de saisir la CNIL en joignant des éléments attestant les démarches déjà entreprises. Une plainte n'est pas une garantie que l'autorité ordonnera immédiatement une suppression ; elle doit être fondée sur les obligations applicables.

Accès, rectification et effacement : trois objectifs différents

Si l'information est fausse, le lecteur peut vouloir la faire rectifier. S'il souhaite qu'une donnée soit supprimée, il peut exercer son droit à l'effacement dans les conditions prévues. Mais certaines données peuvent devoir être conservées pour une obligation légale ou une autre justification valable.

Le droit d'accès est souvent une première étape utile pour comprendre la situation avant de formuler une demande plus spécifique. Il ne faut pas considérer que toute donnée conservée par une entreprise est illégale au seul motif qu'elle concerne une personne.

La photographie de couverture montre un clavier d'ordinateur, image documentaire ancienne. Elle illustre une démarche en ligne et ne représente pas les systèmes d'une entreprise ou une intervention de la CNIL.

Sources et références

• CNIL — comprendre et exercer son droit d'accès
• CNIL — comment répondre à une demande de droit d'accès
• Union européenne — règlement général sur la protection des données

Dans la rubrique Internet :

Partager cet article

WhatsAppFacebookLinkedInXCopier le lien