Une demande d’accès aux données de la personne concernée, ou DSAR, c’est quelqu’un qui vous demande quelles données vous détenez à son sujet et, souvent, qui vous demande d’en faire quelque chose. Au titre du GDPR, vous disposez généralement de trente jours pour répondre. Au titre de la CCPA, de quarante-cinq. Le compteur démarre à la réception de la demande, et dépasser l’échéance constitue à soi seul un manquement à la conformité. La bonne nouvelle, c’est qu’une DSAR est tout à fait gérable dès lors que vous avez un processus. En voici un.
Jour zéro : enregistrez la demande
Dès qu’une demande arrive, consignez-la. Ne la laissez pas dormir dans une boîte de réception personnelle. Notez qui a demandé, ce qui a été demandé, la date de réception et l’échéance.
- Précisez le type de demande. Accès, rectification, suppression et portabilité sont autant de cas distincts.
- Faites partir le compteur du jour où vous l’avez reçue, pas du jour où quelqu’un l’a remarquée.
- Accusez réception pour que la personne sache que vous vous en occupez.
Une demande peut arriver de partout : par e-mail, via un formulaire, voire dans un chat de support. Formez votre équipe à transférer tout ce qui ressemble à une demande de droits vers un point unique et suivi.
Jours un à trois : vérifiez l’identité
Vous ne devez pas remettre des données personnelles à la mauvaise personne. La vérification d’identité protège tout le monde, y compris le demandeur.
- Confirmez que la demande émane bien de la personne concernée ou d’un mandataire autorisé.
- Demandez une preuve raisonnable, sans exiger plus que nécessaire.
- Si vous ne pouvez pas vérifier, documentez votre tentative de bonne foi et le motif.
Collecter trop de pièces d’identité constitue en soi un risque pour la vie privée. Vérifiez assez pour être sûr, puis arrêtez-vous. Vous n’avez pas besoin d’un scan de passeport pour confirmer une adresse e-mail que vous détenez déjà.
Jours trois à quinze : retrouvez les données
C’est là le gros du travail. Vous devez rassembler tout ce que vous détenez sur la personne, dans chaque système. Plus votre cartographie des données est bonne, plus cela ira vite.
- Fouillez votre base de données principale, votre CRM, vos outils d’analyse, votre outil d’e-mailing et vos sauvegardes.
- Incluez les données détenues par les sous-traitants agissant pour votre compte.
- Notez ce que vous pouvez légalement retenir, par exemple des données qui exposeraient une autre personne.
Si vous n’avez jamais cartographié vos systèmes, la première DSAR est douloureuse. Servez-vous-en comme d’un levier pour construire cette cartographie et rendre la suivante rapide.
Jours quinze à vingt-cinq : préparez la réponse
Vous transformez maintenant des données brutes en une réponse claire et exploitable.
- Assemblez les données dans un format lisible que la personne peut réellement comprendre.
- Pour les demandes de suppression, effacez les données et confirmez ce qui a été supprimé.
- Pour les demandes de rectification, mettez l’enregistrement à jour et notez la modification.
- Occultez les informations relatives à d’autres personnes qui se trouveraient à côté des siennes.
Soyez clair dans votre réponse. Un mur d’exports de base de données n’est pas une bonne réponse. Expliquez ce que vous détenez, pourquoi, et ce que vous avez fait.
Jours vingt-cinq à trente : envoyez et archivez
Transmettez la réponse de façon sécurisée, puis conservez la preuve que vous l’avez fait.
- Utilisez un canal auquel la personne peut accéder en toute sécurité.
- Consignez la date de votre réponse et ce que vous avez fourni ou fait.
- Conservez la trace complète au cas où la personne ou un régulateur vous interrogerait plus tard.
Cet enregistrement est votre défense. Si quelqu’un met en doute la façon dont vous avez traité la demande, le journal répond à votre place.
Facilitez la prochaine
La première DSAR met votre processus à l’épreuve. Ensuite, l’objectif est de rendre chaque demande routinière. Une réception suivie, des échéances fixées, un périmètre de recherche connu, une réponse gabarit et une piste d’audit transforment une course stressante en simple check-list.
Si vous voulez la réception des DSAR, les compteurs SLA, un flux de traitement et une piste d’audit au même endroit, commencez gratuitement avec ConsentX et cessez de redouter la prochaine demande.