RGPD – Traitement des demandes d’exercice de droits
1. Objet
Le Règlement Général sur la Protection des Données (RGPD) a pour objectif de garantir la protection des droits et libertés fondamentaux des personnes, en particulier leur droit à la vie privée et à la maîtrise de leurs données personnelles. Il repose sur des principes de transparence, de loyauté et de responsabilité, imposant aux organisations de traiter les données de manière licite, équitable et sécurisée.
Au-delà de la conformité juridique, le RGPD incarne une démarche éthique visant à instaurer une relation de confiance entre les responsables de traitement et les personnes concernées. Il impose la mise en place de mesures organisationnelles et techniques permettant de respecter les droits des individus, de limiter les risques et de démontrer la conformité à tout moment (principe d’accountability).
La présente procédure a pour objet de définir, au sein de GravitHy, les règles, responsabilités et étapes permettant de recevoir, instruire, traiter et répondre aux demandes des personnes concernées relatives à l’exercice de leurs droits prévus par le Règlement Général sur la Protection des Données.
2. Champ d’application
Cette procédure s’applique à toutes les activités de traitement de données personnelles réalisées par GravitHy en sa qualité de responsable de traitement ou de sous-traitant, dans le cadre de ses opérations commerciales, administratives et techniques.
Elle concerne l’ensemble des personnes concernées par ces traitements, notamment :
- Les salariés et candidats ;
- Les partenaires et prestataires ;
- Les clients et prospects ;
- Toute autre personne dont les données personnelles sont traitées par l’entreprise.
La procédure couvre toutes les demandes d’exercice des droits prévus par le RGPD (articles 12 à 23), quel que soit le canal de réception (courrier, email, formulaire en ligne), et s’applique à tous les systèmes et supports utilisés pour le traitement des données (bases informatiques, fichiers papier, applications métiers).
3. Références
- Loi Informatique et Libertés du 06/01/1978 ;
- Règlement Général sur la Protection des Données du 25 mai 2018 (Règlement UE 2016/679).
4. Définitions
Données personnelles
Toute information se rapportant à une personne physique identifiée ou identifiable. Une personne physique peut être identifiée :
- Directement (exemple : nom et prénom) ;
- Indirectement (exemple : par un numéro de téléphone, de plaque d’immatriculation, un identifiant tel que le numéro de sécurité sociale, une adresse postale ou courriel, mais aussi la voix ou l’image).
L’identification d’une personne physique peut être réalisée :
- À partir d’une seule donnée (exemple : nom) ;
- À partir du croisement d’un ensemble de données (exemple : une femme vivant à telle adresse, née tel jour et membre de telle association).
Traitement
Toute opération ou ensemble d’opérations portant sur des données personnelles, quel que soit le procédé utilisé, notamment la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation, la modification, l’extraction, la consultation, l’utilisation, la communication par transmission ou diffusion, ou toute autre forme de mise à disposition, ainsi que le rapprochement de données.
Responsable de traitement
Le responsable de traitement est la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement.
Dans le cadre de cette procédure, le responsable de traitement est GravitHy.
Sous-traitant
Le sous-traitant est la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui traite des données à caractère personnel pour le compte du responsable de traitement.
Dans le cadre de ses activités, GravitHy pourra agir en qualité de sous-traitant ou faire appel à des sous-traitants.
5. Droit d’information
Il s’agit de la garantie que toute personne dont les données personnelles sont traitées est préalablement informée, de manière transparente et compréhensible, des aspects essentiels du traitement concerné (article 13 du RGPD).
6. Droit d’accès
Prévu à l’article 15 du RGPD, ce droit permet à une personne concernée d’obtenir la confirmation qu’un traitement de ses données est en cours, de consulter ces données, d’en vérifier l’exactitude ou d’en obtenir une copie à tout moment.
7. Droit de rectification
Prévu à l’article 16 du RGPD, ce droit permet à toute personne concernée d’obtenir du responsable de traitement la correction de ses données personnelles lorsqu’elles sont inexactes ou leur complément lorsqu’elles sont incomplètes.
8. Droit d’effacement (droit à l’oubli)
Prévu à l’article 17 du RGPD, ce droit permet à une personne concernée de demander au responsable de traitement la suppression de ses données personnelles dans les meilleurs délais, sous certaines conditions.
Le droit à l’effacement ne s’applique pas lorsque le traitement est nécessaire pour :
- Exercer le droit à la liberté d’expression et d’information ;
- Respecter une obligation légale ou accomplir une mission d’intérêt public ;
- Répondre à des motifs d’intérêt public dans le domaine de la santé ;
- Assurer un archivage dans l’intérêt public, conduire des recherches scientifiques ou historiques ou réaliser des statistiques ;
- Constater, exercer ou défendre des droits en justice.
9. Droit à la limitation du traitement
Prévu à l’article 18 du RGPD, ce droit permet à une personne concernée de demander que ses données personnelles ne soient plus utilisées, mais seulement conservées, notamment lorsque :
- Elle conteste l’exactitude des données (pendant la durée de la vérification) ;
- Le traitement est illicite mais elle refuse leur effacement ;
- Le responsable de traitement n’a plus besoin des données mais celles-ci sont nécessaires à l’exercice ou à la défense de droits en justice ;
- Elle s’oppose au traitement (article 21 du RGPD), dans l’attente de la vérification des motifs légitimes.
10. Droit à la portabilité
Prévu à l’article 20 du RGPD, ce droit permet à une personne concernée de recevoir ses données personnelles dans un format structuré, couramment utilisé et lisible par machine, puis de les transmettre à un autre responsable de traitement sans obstacle lorsque :
- Le traitement repose sur le consentement ou sur un contrat ;
- Le traitement est effectué par des moyens automatisés (à l’exclusion des fichiers papier) ;
- Il concerne les données fournies par la personne concernée (à l’exclusion des données déduites ou inférées).
11. Droit d’opposition
Prévu à l’article 21 du RGPD, ce droit permet à une personne concernée de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, au traitement de ses données personnelles lorsque celui-ci repose sur :
- L’intérêt légitime du responsable de traitement ou d’un tiers ;
- Une mission d’intérêt public ou relevant de l’exercice de l’autorité publique ;
- La prospection commerciale (marketing direct). Dans ce cas, l’opposition est absolue et doit être respectée sans condition.
12. Droit de ne pas faire l’objet d’une décision individuelle automatisée
Prévu à l’article 22 du RGPD, ce droit permet à une personne de demander qu’une décision fondée sur ses données personnelles ne repose pas exclusivement sur un traitement automatisé ou sur un algorithme analysant ses données, mais fasse également l’objet d’une intervention ou d’une vérification humaine.
13. Procédure
Les demandes d’exercice de droits doivent être adressées à l’adresse suivante :
Email :
rgpd@gravithy.eu
Ou par courrier :
GravitHy
À l’attention du référent RGPD
5, rue du Louvre
75001 Paris
Si la demande est formulée oralement, elle devra ensuite faire l’objet d’une confirmation écrite par le ou la demandeur(se), notamment afin de faciliter son identification.
13.1 La réception de la demande par GravitHy
Chaque demande réceptionnée est enregistrée par le ou la référent(e) données personnelles dans un registre centralisé comportant notamment :
- La date de réception (point de départ du délai légal) ;
- L’identité du demandeur ;
- Le type de droit exercé ;
- Le canal de réception ;
- La référence interne ;
- Le responsable de traitement ;
- La date d’envoi de la réponse.
13.2 L’accusé de réception
Le ou la référent(e) RGPD accuse réception de la demande dans les meilleurs délais (72 heures maximum).
L’accusé de réception doit préciser le délai maximal de réponse (un mois calendaire). Si la demande n’est pas suffisamment claire, une demande d’informations complémentaires peut être adressée au demandeur.
13.3 La vérification de l’identité du demandeur
L’identité de la personne exerçant ses droits doit être vérifiée afin de s’assurer que la demande ne concerne pas un tiers.
En cas de doute raisonnable, une pièce d’identité peut être demandée. Cette pratique doit toutefois rester exceptionnelle.
13.4 La qualification et la recevabilité de la demande
Le ou la référent(e) RGPD qualifie la nature de la demande (accès, suppression, rectification, etc.).
Il ou elle vérifie ensuite sa recevabilité en s’assurant notamment :
- Que les données concernent bien la personne à l’origine de la demande ;
- Que GravitHy agit en qualité de responsable de traitement ;
- Qu’aucune exception légale ne s’oppose à l’exercice du droit demandé (par exemple une obligation légale de conservation).
13.5 Le traitement de la demande
13.5.1 Les données concernées sont traitées par GravitHy
Après avoir accusé réception de la demande, l’avoir qualifiée et analysé sa recevabilité, le ou la référent(e) données personnelles la transmet à la ou aux directions concernées.
Un retour doit être effectué auprès du ou de la référent(e) dans un délai maximal de dix (10) jours à compter de la réception de la demande par la ou les directions concernées, accompagné soit des éléments demandés, soit de la confirmation des actions réalisées (effacement, rectification, etc.).
Les directions concernées préparent, en lien avec le ou la référent(e) RGPD, un dossier de réponse contenant l’ensemble des données effectivement détenues sous une forme compréhensible et précisant :
- Les finalités des traitements ;
- Les catégories de données concernées ;
- Les destinataires des données ;
- La durée de conservation ;
- L’existence éventuelle de décisions automatisées ou de profilage ;
- La source des données lorsqu’elles n’ont pas été collectées directement auprès de la personne concernée ;
- Les garanties applicables aux transferts hors Union européenne, le cas échéant.
13.5.2 Les données concernées sont traitées par un sous-traitant
GravitHy demeure l’interlocuteur unique du demandeur.
Le ou la référent(e) RGPD notifie le sous-traitant dans les meilleurs délais et lui adresse une instruction formelle précisant :
- Le type de droit exercé (accès, suppression, etc.) ;
- L’identité de la personne à l’origine de la demande ;
- Le périmètre des données concernées ;
- Le délai contractuel de réponse prévu entre GravitHy et le sous-traitant ainsi que le délai légal applicable (un mois).
À réception des informations transmises par le sous-traitant, le ou la référent(e) RGPD vérifie :
- L’exhaustivité des informations communiquées ;
- L’absence de données de tiers non filtrées ;
- Le respect effectif du droit exercé.
Le ou la référent(e) RGPD doit également obtenir une preuve de l’exécution du droit demandé (par exemple une confirmation de suppression ou de modification).
Dans tous les cas, le responsable de traitement doit refuser une demande d’effacement lorsque celle-ci n’est pas légitime (par exemple lorsque les données demeurent nécessaires à l’exécution d’un contrat).
13.6 La réponse
La réponse doit être adressée par écrit dans un délai maximal d’un mois à compter de la réception de la demande.
Ce délai peut être prolongé d’un mois supplémentaire en cas de demandes multiples et complexes.
Lorsque les données sont traitées par un sous-traitant, la réponse relève obligatoirement de GravitHy en sa qualité de responsable de traitement.
14. Conservation des dossiers
Les demandes et les réponses associées sont conservées pendant une durée de trois (3) ans afin de constituer un élément de preuve en cas de contrôle de la CNIL.
15. Mise à jour
La présente procédure est la propriété de GravitHy.
Elle peut être modifiée à tout moment afin de tenir compte des évolutions législatives, réglementaires, jurisprudentielles ou techniques, ainsi que des changements apportés aux pratiques de l’entreprise en matière de traitement des données personnelles.