Reconnaitre une demande d’acces
Une demande d’acces (egalement connue sous le nom de DSAR - Data Subject Access Request) est la demande la plus courante que vous pouvez recevoir en tant qu’entrepreneur. Un client, un employe, un candidat ou un visiteur de votre site web vous demande de lui indiquer quelles donnees personnelles vous detenez a son sujet.
La demande n’a pas besoin d’etre formelle. “Quelles donnees avez-vous sur moi ?” dans un e-mail est deja une demande d’acces. Vous n’avez pas besoin d’un formulaire pour cela.
Etape 1 : Enregistrez la demande
Notez immediatement :
- Qui fait la demande
- Quand vous l’avez recue (le delai d’un mois commence maintenant)
- Par quel canal elle est arrivee
- Ce qui est exactement demande
Modele : Registre des demandes
Suivez chaque demande dans un registre : qui, quand, ce qui a ete demande et comment cela a ete traite.
Voir le modele arrow_forwardEtape 2 : Verifiez l’identite
Avant de fournir des donnees, vous devez etre certain de communiquer avec la bonne personne. Sinon, vous risquez une violation de donnees en fournissant des donnees a la mauvaise personne.
Comment verifier ?
- Si la personne a deja un compte chez vous : faites-lui confirmer la demande via ce compte
- Si vous connaissez la personne (par ex. un employe) : une confirmation via l’adresse e-mail connue suffit
- Pour les personnes inconnues : demandez une copie d’une piece d’identite. Demandez au demandeur de masquer le numero national et la photo - vous n’en avez pas besoin
Ne prenez pas plus que necessaire : le controle d’identite doit etre proportionnel.
Modele : Verification d'identite
Une lettre standard demandant au demandeur de confirmer son identite.
Voir le modele arrow_forwardEtape 3 : Rassemblez les donnees
Recherchez dans tous vos systemes ou des donnees personnelles du demandeur peuvent etre stockees :
- Systeme CRM - donnees clients, notes, historique de communication
- Systeme de messagerie - correspondance avec la personne
- Comptabilite - factures, donnees de paiement
- Systeme RH - s’il s’agit d’un (ancien) employe
- Site web - soumissions de formulaires, donnees de compte
- Dossiers papier - contrats, correspondance
Soyez minutieux. Si vous oubliez des donnees par la suite, le demandeur peut deposer une plainte.
Etape 4 : Redigez votre reponse
Votre reponse doit contenir les informations suivantes :
Les donnees elles-memes
Une copie de toutes les donnees personnelles que vous traitez sur la personne concernee.
Informations supplementaires
- Finalites du traitement - pourquoi vous traitez les donnees
- Categories de donnees - quels types de donnees vous detenez
- Destinataires - avec qui vous avez partage les donnees
- Duree de conservation - combien de temps vous conservez les donnees
- Droits - la personne concernee a droit a la rectification, a l’effacement, a la limitation et a l’opposition
- Droit de plainte - la personne concernee peut deposer une plainte aupres de l’autorite de controle
- Source - si vous n’avez pas obtenu les donnees aupres de la personne concernee elle-meme, d’ou elles proviennent
Modele : Reponse a une demande d'acces
Une reponse prete a l’emploi contenant tous les elements d’information obligatoires.
Voir le modele arrow_forwardEtape 5 : Envoyez la reponse
- Delai - dans un mois suivant la reception de la demande
- Prolongation - pour les demandes complexes, vous pouvez prolonger de deux mois, mais informez le demandeur dans le premier mois
- Format - si la demande a ete faite electroniquement, fournissez les donnees dans un format electronique courant (PDF, Excel)
- Cout - la premiere demande est gratuite. Pour les demandes repetees ou manifestement excessives, vous pouvez demander des frais raisonnables
- Securite - envoyez les donnees par un canal securise, pas en piece jointe d’un e-mail non chiffre
Etape 6 : Documentez
Enregistrez comment vous avez traite la demande : quand recue, quand repondu, quelles donnees fournies, quels systemes examines. C’est votre preuve si la personne concernee depose une plainte ulterieurement.
Pieges courants
- Repondre trop tard - un mois passe vite. Enregistrez la demande immediatement et commencez le jour meme
- Oublier des donnees - examinez tous les systemes, pas seulement votre CRM
- Pas de controle d’identite - fournir des donnees a la mauvaise personne est une violation de donnees
- Masquer trop d’informations - vous pouvez masquer les donnees de tiers, mais pas les propres donnees du demandeur
GDPRWise genere des modeles de reponse et vous aide a tenir un registre de toutes les demandes recues.