Comment gérer efficacement les demandes d'exercices de droits ?

C’est quoi l’exercice des droits dans le RGPD ?

La règle est posée à l'article 12 du Règlement Général sur la Protection des Données (RGPD) :

Règle générale	Exception
Le responsable de traitement facilite l’exercice des droits des personnes	Le responsable de traitement peut refuser d’étudier la demande s’il démontre qu’il n’est pas en mesure d’identifier la personne concernée
Le responsable de traitement a 30 jours pour apporter une réponse à la demande	Le délai peut être prolongé à 90 jours en cas de demande complexe

Afin de répondre à cette obligation de faciliter l’exercice des droits des personnes concernées, le responsable de traitement peut demander des informations complémentaires nécessaires pour confirmer l’identité de la personne concernée.

Attention, le responsable de traitement a la possibilité de :

Refuser de donner suite à une demande mais doit en informer, sous 30 jours, la personne concernée ainsi que lui indiquer les motifs, la possibilité d’introduire une réclamation auprès d’une autorité de contrôle et de former un recours juridictionnel.
Demander le paiement de frais raisonnables ainsi que refuser de donner suite à la demande, en cas de demandes infondées ou excessives, à charge pour lui de démontrer le caractère manifestement infondé ou excessif de ladite demande.

Qui est concerné par l’exercice des droits selon le RGPD ?

Les entreprises privées de toutes tailles (grands comptes, PME, startups) ainsi que les acteurs publics établis en Union Européenne sont concernés.

Peu importe le lieu de traitement des données clients (critère de l’établissement).

De même, pour les entités établies hors de l’Union Européenne traitant des informations personnelles de clients européens (critère du ciblage).

Un point sur le B2B et B2C :

Les activités commerciales en B2B sont donc directement visées mais celles en B2C sont également concernées par le RGPD et donc l'article 12.

Illustration par l’exemple de la prospection :

Les prospections B2B et B2C n’obéissent globalement pas aux mêmes règles, cette différence a des impacts significatifs vis-à-vis du RGPD, notamment en ce qui concerne la prospection par mail.

Pour rappel, en B2C, et comme le définit la CNIL, aucun message commercial n’est permis sans accord préalable du destinataire, ce qui nécessite un consentement par formulaire opt-in pour la collecte et l’utilisation des données de particuliers.

Pour le B2B, la CNIL fait part d’une obligation d’information préalable et de droit d’opposition, mais l’emailing B2B en mode opt-out reste autorisé.

Ainsi, si en B2C un consentement préalable est requis, une fois donné cela aura pour conséquence un traitement de données personnelles impliquant la possibilité pour la personne concernée d’exercer ses droits.
Il en est de même pour le B2B pour lequel la CNIL met en exergue le droit d’opposition.

En toute hypothèse, le RGPD est applicable dans le cadre de relation B2B ou B2C impliquant des données personnelles.

Ce qu'il faut retenir : Tous type d’organisation et toutes les activités, dès lors qu’elles traitent de données à caractère personnel doivent faciliter l’exercice des droits des personnes prévus par le RGPD.

Comment répondre aux demandes d’exercices des droits ?

Comment se traduisent les obligations du responsable de traitement face aux droits des personnes concernées ?

Le responsable de traitement doit :

Informer les personnes concernées de l’existence de leur droit d’accès au moment où vous collectez leurs données ;
Permettre aux personnes d’exercer leur droit d’accès grâce à des modalités pratiques (formulaire en ligne, coordonnées dédiées) ;
Mettre en place un parcours interne efficace au sein de votre entité pour le traitement des demandes de droit d’accès. Cela nécessite de prévoir des procédures permettant de remonter les demandes de droit d’accès au bon interlocuteur afin d’être en mesure de traiter la demande dans les délais impartis ;
Prévoir des modalités de réponse auprès des personnes concernées qui soient compréhensibles, accessibles, formulées en des termes clairs et simples.

Qu'en est-il en pratique ?

En pratique, pour permettre aux personnes d’exercer leurs droits, les organisations mettent majoritairement en place un formulaire en ligne ou des coordonnées dédiées, la demande est alors reçue sur une boîte mail.

La difficulté recensée tient au fait que 1,4 milliard de mails (hors spam) sont envoyés par jour en France.

Cela représente une moyenne de 33 mails par utilisateur par jour.

En conséquence, le risque de ne pas voir une demande d’exercice de droit est très probable et dangereux pour l’organisation qui n’apportera pas de réponse à la demande.

De même, dans un soucis d'efficacité dans sa gestion des demandes et pour ne pas se retrouver hors délai de réponse, l’organisation aura besoin de visualiser les demandes les plus anciennes, les plus récentes, prioriser certaines demandes… ce qui est difficle via une boîte mail.

Enfin, cette efficacité de gestion est aussi très largement liée à la possibilité de centraliser toutes les demandes au sein d’un même espace afin de pouvoir faire remonter la demande au bon interlocuteur.

Attention : si le responsable de traitement ne donne pas suite à une demande d'exercice de droit, les personnes concernées peuvent introduire une réclamation auprès de l’autorité de contrôle et former un recours juridictionnel.
L’organisme s’expose, d’une part à un contrôle de l’autorité, et d’autre part à une sanction.

En pratique, la gestion des demandes d’exercice de droit par mail semble très largement insuffisante.

Dastra, une solution vous permettant d'optimiser votre gestion des demandes d'exercices des droits

Dastra propose de remédier à ces difficultés par son module de gestion des exercices des droits :

En effet, grâce à ce module vous allez pouvoir :

Centraliser et visualiser toutes les demandes d’exercice des droits

Comment ? 2 possibilités :

Créer manuellement vos demandes au sein de l'application
Créer un widget de collecte automatique des demandes

En toute hypothèse, vous pourrez retrouver et centraliser toutes vos demandes d'exercices des droits depuis Dastra.

Gérer les types de demande et délais de réponse

Avec Dastra, ne perdez plus de temps, en quelques clics vous pouvez visualiser le type de demande et le délai restant pour apporter une réponse, essentiel pour prioriser et gérer efficacement les demandes d'exercices des droits.

Apporter une réponse directement depuis la demande avec Dastra

Il vous est offert la possibilité de répondre à la personne concernée directement depuis la demande référencée dans Dastra

Cet espace vous permettra de conversez avec la personne concernée depuis la demande vous pourrez également demander des informations complémentaires ou pièces jointes que vous retrouverez dans cet espace.

Enfin, vous aurez la possibilité de gérer tous les messages échangés avec les personnes concernées depuis notre module d'exercices des droits.

Gérer les demandes en mode collaboratif

Vous avez besoin d'informations ? Vous souhaitez indiquer un élément à un collègue ?

Vous pouvez assigner des commentaires aux demandes et notifier un utilisateur de Dastra (en utilisant le @ avant le nom).

Vous souhaitez assigner une tâche à un de vos collègues pour lui indiquer de vous donner telle information par rapport à telle demande ? C'est également possible.

Comment ?

Dans l'éditeur de la demande, vous bénéficier d'un onglet commentaire ou tâches :

Enfin, n'hésitez pas à modifier l'étape de la demande, ces étapes personnalisables pourront vous être utiles dans votre organisation des traitements des demandes d'exercices des droits.