§Vue d'ensemble
Un flux de traitement des DSAR doit réunir les équipes chargées de la protection des données, du juridique, de l'informatique, des RH et du support client, ainsi que les sous-traitants tiers. Le guide du circuit DSAR de RegulatoryBridge présente une approche pratique en cinq étapes de la gestion des demandes, appuyée sur des délais propres à chaque juridiction, une vérification d'identité proportionnée, un traitement sécurisé des données et une documentation prête pour l'audit.
L'objectif : un flux opérationnel unique et coordonné, suffisamment souple pour répondre aux différentes exigences légales selon les juridictions.
§Qu'est-ce qu'une demande d'accès d'une personne concernée ?
Une demande d'accès d'une personne concernée (DSAR) est une demande par laquelle une personne exerce son droit d'accès aux données à caractère personnel détenues ou traitées par une organisation. Selon le droit applicable, les droits connexes peuvent comprendre la rectification, l'effacement, la portabilité, la limitation et l'opposition.
Les organisations doivent distinguer les demandes d'accès des autres demandes d'exercice des droits, car chacune peut obéir à des critères de recevabilité, des exigences de vérification, des exemptions et des délais de réponse différents.
Un processus DSAR bien conçu aide les organisations à répondre de manière cohérente tout en protégeant les données à caractère personnel, les droits des tiers et les informations confidentielles.
Les cinq étapes en bref
§Le circuit DSAR en cinq étapes
Étape 1 : réception et enregistrement de la demande
Objectif : Enregistrer les demandes avec exactitude et établir les responsabilités.
Les personnes peuvent soumettre leurs demandes par e-mail, formulaire en ligne, support client, courrier postal ou tout autre canal disponible. Le personnel doit savoir reconnaître une demande valable même lorsque la personne n'emploie pas le terme DSAR ou ne cite aucune loi particulière sur la protection des données.
Actions recommandées :
- Fournir des instructions claires pour soumettre une demande d'exercice des droits.
- Consigner la date et l'heure de réception de la demande.
- Attribuer une référence de dossier unique.
- Identifier le type de droit exercé.
- Consigner l'identité déclarée et les coordonnées du demandeur.
- Identifier les juridictions et les cadres juridiques potentiellement applicables.
- Accuser réception lorsque cela est requis ou approprié.
- Désigner un responsable et consigner le délai de réponse applicable.
Résultat : Une demande enregistrée, dotée d'une référence de dossier, d'un responsable désigné et d'une première évaluation du délai.
Étape 2 : vérification d'identité proportionnée
Objectif : Protéger les données à caractère personnel sans créer d'obstacles inutiles à l'exercice des droits.
Avant de communiquer des données à caractère personnel, vérifiez si l'organisation dispose d'informations suffisantes pour vérifier l'identité du demandeur. Le niveau de vérification doit tenir compte des circonstances, de la sensibilité des informations et des exigences légales applicables.
Actions recommandées :
- S'appuyer sur un compte authentifié ou sur une relation client existante lorsque cela est approprié.
- Comparer les informations fournies avec les données déjà détenues.
- Ne demander des justificatifs supplémentaires que lorsque cela est raisonnablement nécessaire.
- Mettre en place un processus sécurisé pour les représentants autorisés.
- Restreindre l'accès aux justificatifs d'identité et les supprimer dès qu'ils ne sont plus nécessaires, sous réserve des obligations de conservation applicables.
- Consigner la décision de vérification et sa justification.
N'exigez pas systématiquement une pièce d'identité officielle lorsque des méthodes moins intrusives suffisent. Les exigences de vérification et l'effet de la vérification sur les délais légaux varient selon les juridictions.
Résultat : Une décision de vérification documentée et un relevé clair des informations encore attendues.
Étape 3 : recherche et collecte des données
Objectif : Localiser les données à caractère personnel pertinentes au sein de l'organisation et chez ses prestataires de services.
Un processus DSAR fiable suppose de savoir où les données à caractère personnel sont stockées, comment elles sont identifiées et quelles équipes ou quels fournisseurs doivent participer à la recherche.
Les sources possibles comprennent :
- Bases de données clients et systèmes de gestion des comptes
- Plateformes de CRM, de facturation et de support client
- Outils de messagerie électronique, de messagerie instantanée et de collaboration
- Systèmes RH et de gestion du personnel
- Plateformes de marketing, d'analyse et de publicité
- Entrepôts de données et applications métier
- Journaux de sécurité et pistes d'audit
- Enregistrements pertinents détenus par les sous-traitants et les prestataires de services
- Archives et sauvegardes, le cas échéant
Actions recommandées :
- Tenir un inventaire des systèmes et des responsables des données.
- Définir des procédures de recherche fondées sur des identifiants fiables.
- Assurer la coordination avec les sous-traitants et les équipes internes concernés.
- Consigner les systèmes interrogés, les critères de recherche et les dates de recherche.
- Évaluer si des recherches complémentaires sont nécessaires.
- Documenter les systèmes ou sources de données qui n'ont pas pu être interrogés et les raisons de cette impossibilité.
Les registres des activités de traitement peuvent aider à identifier les systèmes pertinents, mais ils doivent être complétés par des inventaires techniques et par la connaissance opérationnelle du terrain.
Résultat : Un ensemble d'enregistrements susceptibles de répondre à la demande, assorti d'une couverture de recherche documentée.
Étape 4 : examen, occultation et exemptions
Objectif : Préparer une réponse exacte tout en protégeant les autres droits et intérêts.
Les informations collectées doivent être examinées avant leur communication. Tout document contenant des données à caractère personnel ne doit pas nécessairement être fourni dans son intégralité, et certaines informations peuvent nécessiter une occultation ou relever d'une exemption applicable.
L'examen peut consister à :
- Confirmer que les enregistrements concernent bien le demandeur.
- Supprimer ou protéger les données à caractère personnel de tiers lorsque cela est requis.
- Évaluer les secrets protégés par la loi et les exemptions légales applicables.
- Examiner les informations commerciales confidentielles lorsque cela est juridiquement pertinent.
- Vérifier l'exactitude et l'exhaustivité de la réponse.
- Préparer les informations dans le format requis ou approprié.
- Faire procéder à une revue juridique pour les dossiers complexes, contestés ou à haut risque.
Évitez d'occulter automatiquement des documents entiers au seul motif qu'ils contiennent des informations relatives à des tiers. Examinez si les informations peuvent être communiquées de manière loyale moyennant une occultation proportionnée ou d'autres mesures.
Résultat : Un dossier de réponse vérifié, accompagné des occultations et exclusions documentées et de leurs motifs.
Étape 5 : remise sécurisée et clôture du dossier
Objectif : Répondre de manière appropriée et conserver une trace vérifiable.
Une fois la réponse examinée et approuvée, transmettez-la par un canal sécurisé adapté aux informations concernées et aux exigences applicables.
Actions recommandées :
- Confirmer le délai de réponse applicable et toute prolongation valable.
- Fournir les données à caractère personnel requises et les informations complémentaires.
- Expliquer tout refus ou toute restriction lorsque la loi l'exige.
- Inclure les informations applicables sur les droits de réclamation ou de recours.
- Chiffrer ou protéger par un autre moyen les fichiers de réponse sensibles.
- Vérifier le destinataire et la destination de l'envoi.
- Consigner la date, le mode et l'issue de la remise.
- Conserver le dossier conformément à une politique de conservation documentée.
- Suivre les actions en suspens et les enseignements tirés.
Résultat : Un dossier complet contenant la demande, la vérification, les recherches, les décisions d'examen, la réponse et la preuve de remise.
§Délais de réponse aux DSAR par juridiction
Le délai de réponse dépend du droit applicable et du droit exercé. L'aperçu ci-dessous montre pourquoi les organisations doivent disposer de flux de traitement adaptés à chaque juridiction.
| Cadre réglementaire | Principe général en matière de délais |
|---|---|
| GDPR de l'UE | Répondre dans les meilleurs délais et, en règle générale, dans un délai d'un mois. Deux mois supplémentaires peuvent être accordés pour les demandes complexes ou nombreuses, moyennant l'information requise et l'indication des motifs. |
| UK GDPR | En règle générale un mois, avec une prolongation possible de deux mois supplémentaires au maximum lorsqu'elle est autorisée et dûment communiquée. |
| CCPA/CPRA (Californie) | Les demandes de droit de savoir et les demandes connexes soumises aux règles applicables appellent en général une réponse dans un délai de 45 jours calendaires. Un délai supplémentaire de 45 jours peut être accordé lorsque cela est raisonnablement nécessaire et moyennant l'information requise. |
| DPDPA (Inde) | Vérifiez les dispositions d'entrée en vigueur et les règles d'application (Rules) avant de considérer comme applicables les exigences de réponse aux demandes d'exercice des droits des « Data Principals ». L'entrée en vigueur de ce cadre est échelonnée. |
| LGPD (Brésil) | La confirmation de l'existence d'un traitement et l'accès sont régis par l'article 19, qui prévoit notamment une réponse simplifiée immédiate et une déclaration complète dans un délai de 15 jours, sous réserve des dispositions applicables. |
| APPI (Japon) | Les demandes de communication de données à caractère personnel conservées doivent être traitées sans délai en vertu de l'article 33, sous réserve des exceptions et procédures applicables. |
| PDPA (Singapour) | Les demandes d'accès doivent en général être traitées dès que cela est raisonnablement possible ; il convient de vérifier les exigences applicables et les lignes directrices de l'autorité de contrôle pour la demande en question. |
Ce tableau est un résumé et ne dispense pas de vérifier le droit en vigueur. D'autres droits peuvent être assortis de délais différents, et des exigences sectorielles ou contractuelles supplémentaires peuvent s'appliquer.
Recommandation opérationnelle : Fixez des jalons internes laissant suffisamment de temps pour la collecte des données, l'examen et la remise sécurisée. Ne présumez pas que le délai d'une juridiction s'applique automatiquement à toutes les demandes.
§Difficultés courantes liées aux DSAR et comment y répondre
Demandes reçues par plusieurs canaux
Les collaborateurs peuvent recevoir des demandes relatives à la protection des données par des tickets de support, par e-mail ou sur les réseaux sociaux. Formez le personnel à reconnaître ces demandes et à les orienter vers un flux centralisé sans retarder inutilement leur enregistrement.
Données à caractère personnel dispersées dans plusieurs systèmes
Tenez à jour un inventaire des données, un registre des responsables de systèmes et des procédures de recherche documentées. Automatisez l'extraction lorsque cela est approprié, mais conservez un examen humain pour les enregistrements complexes.
Vérification d'identité excessive ou insuffisante
Appliquez un processus de vérification proportionné et fondé sur les risques. Des demandes excessives de justificatifs d'identité peuvent créer des risques pour la vie privée et des obstacles inutiles, tandis qu'une vérification insuffisante peut conduire à une divulgation non autorisée.
Informations relatives à des tiers et documents confidentiels
Appuyez-vous sur un processus d'examen documenté pour identifier les exemptions applicables et protéger les droits des autres personnes. Consignez les raisons pour lesquelles des informations n'ont pas été communiquées ou ont été occultées.
Délais dépassés
Suivez les délais légaux, les possibilités de prolongation, l'état de la vérification et les dépendances dans un système centralisé de gestion des dossiers. Faites remonter rapidement les demandes complexes au lieu d'attendre que l'échéance approche.
Demandes répétitives ou excessives
Vérifiez si le droit applicable autorise la facturation de frais ou un refus, et documentez le fondement juridique. Ne qualifiez pas automatiquement d'abusives des demandes répétées ; appliquez aux faits le critère juridique pertinent.
§Liste de contrôle du circuit DSAR
Utilisez cette liste de contrôle pour vérifier si votre organisation dispose des contrôles de processus essentiels.
- Une procédure documentée de réception et de reconnaissance des demandes
- Un registre centralisé avec identifiants de dossier et suivi des délais
- Des responsabilités claires en matière de pilotage et d'escalade
- Des procédures de vérification d'identité proportionnées
- Un inventaire des systèmes et des responsables de données concernés
- Des procédures de coordination avec les sous-traitants et les fournisseurs
- Des décisions d'examen, d'occultation et d'exemption documentées
- Une remise sécurisée de la réponse et une vérification du destinataire
- Des traces des communications, des recherches et des décisions
- Des règles de délai et de prolongation propres à chaque juridiction
- La formation du personnel et des tests périodiques du processus
- Une politique de conservation documentée pour les dossiers de DSAR
§Questions fréquentes
Quelle est la différence entre une DSAR et une « subject access request » ?
L'expression « subject access request » désigne couramment la demande d'une personne visant à accéder à ses données à caractère personnel dans le cadre d'un régime de protection des données particulier, tel que le UK GDPR. DSAR est un terme opérationnel plus large, souvent employé pour les demandes d'accès et, dans certaines organisations, pour les demandes connexes d'exercice des droits. Les droits précis dépendent du droit applicable.
Quand le délai de réponse à une DSAR commence-t-il à courir ?
C'est le droit applicable qui détermine le point de départ du délai de réponse. En vertu du GDPR, le délai général d'un mois court à compter de la réception de la demande. Il ne faut pas présumer qu'une vérification ou une demande de précisions suspend automatiquement le délai.
Une organisation peut-elle refuser une DSAR ?
Une demande peut être refusée ou limitée lorsqu'un fondement juridique précis le permet, par exemple pour certaines demandes manifestement infondées ou excessives au sens du GDPR, ou en application d'exemptions légales. L'organisation doit évaluer les circonstances, documenter son raisonnement et fournir les explications requises.
Une organisation doit-elle interroger tous ses systèmes ?
Elle doit mener une recherche raisonnable, au périmètre adapté, qui satisfasse à ses obligations légales. Les systèmes pertinents dépendent des activités de traitement de l'organisation et de la demande. Les limites de la recherche doivent être évaluées et documentées, et non considérées comme des exemptions automatiques.
Le traitement des DSAR peut-il être automatisé ?
Oui. La réception, l'attribution des dossiers, les rappels d'échéance, les recherches dans les systèmes, l'extraction des données et le suivi du flux peuvent être automatisés. L'examen humain reste important pour les litiges relatifs à l'identité, les droits des tiers, les exemptions légales et les décisions de communication complexes.
Comment conserver les dossiers de DSAR ?
Conservez une documentation suffisante pour démontrer la manière dont la demande a été traitée, sous réserve des exigences applicables en matière de conservation et de minimisation des données. Ne conservez que les informations nécessaires à la responsabilisation, au respect des obligations légales et à des fins opérationnelles légitimes.
Mettre en place un processus DSAR plus efficace
Un flux DSAR bien conçu peut améliorer la cohérence, réduire les tâches manuelles et renforcer la responsabilisation dans l'ensemble de votre organisation. L'essentiel est d'associer un processus opérationnel commun aux règles propres à chaque juridiction, qui déterminent ce qui doit être communiqué et dans quel délai.
RegulatoryBridge peut aider votre organisation à évaluer ses procédures d'exercice des droits, à identifier les lacunes opérationnelles et à élaborer une approche structurée de la conformité transfrontalière.
Contactez RegulatoryBridge pour échanger sur votre processus DSAR et vos exigences de conformité en matière de protection des données.