Qu'est-ce qu'une demande d'accès de la personne concernée (DSAR) ?
Sous le GDPR, on parle couramment de droit d'accès. Une personne peut généralement demander si une organisation traite ses données à caractère personnel, demander une copie de ces données et obtenir certaines informations complémentaires sur la manière dont elles sont traitées.
Une DSAR est différente des demandes de rectification, d'effacement, de limitation, d'opposition ou de portabilité des données à caractère personnel. Il s'agit de droits distincts en matière de protection des données, même si une personne peut exercer plusieurs droits dans une même demande.
Les organisations ont besoin d'un processus DSAR efficace pour recevoir les demandes, vérifier l'identité lorsque c'est nécessaire, localiser les informations pertinentes, les examiner au regard des exemptions applicables ou des informations relatives à des tiers, et répondre de manière sécurisée dans le délai légal applicable.
Que signifie DSAR ?
DSAR est l'acronyme de « Data Subject Access Request », c'est-à-dire demande d'accès de la personne concernée.
Ce terme est largement utilisé dans les programmes de confidentialité et de protection des données pour désigner la demande d'une personne souhaitant accéder à ses informations personnelles.
Selon la juridiction, ce droit identique ou similaire peut être appelé :
Sous les lignes directrices de l'UK GDPR, par exemple, l'ICO décrit le droit d'accès comme le droit d'obtenir une copie de ses informations personnelles ainsi que d'autres informations complémentaires.
Qu'est-ce qu'une DSAR au titre du GDPR ?
Au titre de l'Article 15 du GDPR, le droit d'accès permet à une personne d'obtenir la confirmation que ses données à caractère personnel sont ou ne sont pas traitées et, le cas échéant, l'accès à ces données à caractère personnel ainsi qu'à certaines informations complémentaires.
Ces informations complémentaires peuvent porter sur des éléments tels que :
- Les finalités du traitement
- Les catégories de données à caractère personnel
- Les destinataires ou catégories de destinataires
- La durée de conservation envisagée, le cas échéant
- Les informations sur la source des données lorsqu'elles n'ont pas été collectées auprès de la personne
- Les informations sur les droits applicables
- Les informations sur la prise de décision automatisée, le cas échéant
- Les informations concernant les transferts internationaux, le cas échéant
Une DSAR ne se limite donc pas à un simple export de base de données.
Elle aide la personne à comprendre quelles données à caractère personnel sont traitées, pourquoi elles le sont et comment l'organisation les gère.
Quelles informations peut-on demander au moyen d'une DSAR ?
Une personne peut généralement demander à une organisation de lui donner accès à ses données à caractère personnel.
Par exemple, selon l'organisation et la portée de la demande, cela pourrait inclure :
- Les informations de compte
- Les coordonnées
- Les historiques de transactions
- Les enregistrements du service client
- Les informations relatives à l'emploi
- Les communications
- Les tickets d'assistance
- Les informations de profil
- Les identifiants d'appareil ou en ligne
- Certaines informations marketing
- Les données à caractère personnel contenues dans les systèmes internes
- Les données à caractère personnel détenues par les sous-traitants ou prestataires de services concernés
La portée exacte dépend de la loi applicable, des activités de traitement de l'organisation et des éventuelles exemptions ou restrictions applicables.
Une DSAR est-elle la même chose qu'une demande de suppression de données ?
Non.
Une DSAR est avant tout une demande d'accès.
Une demande de suppression invite une organisation à effacer des données à caractère personnel lorsque le droit légal applicable existe.
Ces droits sont distincts.
Par exemple :
« Veuillez me communiquer les données à caractère personnel que vous détenez à mon sujet. »
« Veuillez supprimer mes données à caractère personnel lorsque j'ai le droit d'en demander l'effacement. »
« Veuillez rectifier les données à caractère personnel inexactes. »
« Veuillez me fournir les données à caractère personnel concernées dans un format portable. »
Une même communication peut contenir plusieurs demandes ; le processus de réception d'une organisation doit donc être en mesure d'identifier et d'orienter chaque droit applicable.
DSAR et SAR
DSAR et SAR sont souvent employés de manière interchangeable.
Le terme SAR est particulièrement courant dans la pratique britannique en matière de vie privée.
Le concept sous-jacent est le droit d'accès de la personne.
L'ICO utilise explicitement l'expression « subject access request (SAR) » pour les demandes formulées au titre du droit d'accès.
Comment fonctionne une DSAR ?
Un flux de travail DSAR typique se présente ainsi :
- Demande reçue
- demande identifiée
- identité vérifiée si nécessaire
- portée évaluée
- données localisées
- informations examinées
- exemptions envisagées
- réponse préparée
- données transmises de manière sécurisée
- demande enregistrée
Recevoir la demande
La personne soumet une demande via un canal disponible.
Une demande n'a pas nécessairement besoin d'employer les mots « DSAR » ou « Article 15 ».
Une organisation doit disposer d'un processus permettant de reconnaître les demandes qui constituent un exercice du droit d'accès.
Vérifier l'identité lorsque c'est nécessaire
L'organisation peut avoir besoin de vérifier que le demandeur est bien la personne dont les données sont demandées.
La vérification d'identité doit être raisonnable et proportionnée.
Les lignes directrices actuelles de l'ICO soulignent que les organisations ne devraient pas exiger automatiquement une pièce d'identité officielle lorsque l'identité est déjà suffisamment établie.
Déterminer la portée
L'organisation doit déterminer quels systèmes et quelles catégories d'informations peuvent être pertinents.
Si une demande est réellement peu claire ou suffisamment large pour qu'une clarification soit raisonnablement nécessaire, l'organisation peut demander des précisions.
Toutefois, la demande de clarification ne doit pas servir simplement à rendre la demande inutilement difficile.
Rechercher dans les systèmes concernés
L'organisation doit effectuer une recherche appropriée des données à caractère personnel demandées.
Selon l'activité, cela peut impliquer :
- Les systèmes CRM
- Les bases de données clients
- La messagerie électronique
- Les systèmes d'assistance
- Les systèmes RH
- Les plateformes marketing
- Les entrepôts de données
- Les applications cloud
- Les systèmes archivés
- Les sous-traitants concernés
Examiner les informations
Avant toute divulgation, l'organisation doit examiner les informations au regard des éléments suivants :
- Les données à caractère personnel de tiers
- Les exemptions applicables
- Les informations confidentielles
- Les informations couvertes par le secret professionnel, le cas échéant
- Les considérations de sécurité
- La portée de la demande
- Les restrictions légales applicables
Préparer la réponse
La réponse doit fournir les données à caractère personnel et les informations complémentaires requises dans un format approprié et compréhensible.
Transmettre de manière sécurisée
L'organisation doit utiliser une méthode sécurisée pour transmettre les informations personnelles au demandeur.
Enregistrer la demande
L'organisation doit conserver des enregistrements appropriés concernant :
- La date de réception de la demande
- La personne qui l'a traitée
- Les étapes de vérification d'identité
- Les systèmes consultés
- Les informations fournies
- Les exemptions envisagées
- La date de réponse
- Les éventuelles prolongations
- Les communications pertinentes
Cela crée une piste d'audit permettant de démontrer comment la demande a été traitée.
Combien de temps prend une DSAR ?
Le délai dépend de la loi applicable en matière de protection de la vie privée.
GDPR
Au titre du GDPR, les organisations doivent généralement répondre sans retard injustifié et dans un délai d'un mois à compter de la réception d'une demande valable.
Ce délai peut être prolongé de deux mois supplémentaires lorsque cela est nécessaire compte tenu de la complexité ou du nombre de demandes. Le demandeur doit généralement être informé de cette prolongation et de ses motifs dans le délai initial d'un mois.
L'ICO britannique décrit actuellement la même règle générale d'un mois au titre de l'UK GDPR, avec une prolongation pouvant aller jusqu'à deux mois supplémentaires pour les demandes complexes ou multiples.
CCPA
La loi californienne sur la vie privée repose sur un cadre et une terminologie différents.
Pour les demandes de consommateurs concernées au titre du CCPA, le délai de réponse standard est généralement de 45 jours, sous réserve des prolongations et exigences applicables.
C'est l'une des raisons pour lesquelles une plateforme DSAR doit appliquer des règles de SLA propres à chaque juridiction plutôt que de supposer qu'un même délai s'applique partout dans le monde.
Important
Il n'existe pas de délai DSAR universel.
Un système de gestion de la confidentialité doit déterminer le délai applicable en fonction de facteurs tels que :
- La juridiction
- La loi applicable en matière de protection de la vie privée
- Le type de demande
- La vérification d'identité
- Les besoins de clarification
- La complexité
- Les prolongations
- Les exemptions applicables
Une organisation peut-elle demander une pièce d'identité ?
Parfois.
Une organisation peut avoir besoin de vérifier l'identité avant de divulguer des informations personnelles, en particulier lorsqu'il existe un risque réel que des informations soient communiquées à la mauvaise personne.
Toutefois, la vérification d'identité doit être proportionnée.
Les lignes directrices actuelles de l'ICO indiquent que les organisations doivent rester raisonnables quant aux pièces d'identité qu'elles réclament et ne doivent pas exiger de pièce d'identité officielle lorsque cela n'est pas nécessaire.
Un bon flux de travail DSAR doit donc prendre en charge :
- La vérification d'identité
- La vérification fondée sur le risque
- Le traitement sécurisé des documents lorsque c'est nécessaire
- Le statut de vérification
- L'authentification du demandeur
- Les enregistrements d'audit
Une DSAR peut-elle être formulée oralement ?
Oui, selon le cadre juridique applicable.
Sous les lignes directrices de l'UK GDPR, une demande d'accès de la personne concernée peut être formulée oralement ou par écrit, y compris via des canaux tels que les réseaux sociaux. Le demandeur n'est pas nécessairement tenu d'utiliser un formulaire prescrit ou une terminologie juridique.
Les organisations doivent donc former leurs collaborateurs à reconnaître les demandes d'accès, même lorsqu'elles arrivent par :
- Téléphone
- Chat en direct
- Service client
- Réseaux sociaux
- Conversations en personne
- Formulaires de confidentialité en ligne
Un processus DSAR ne doit pas reposer entièrement sur un unique formulaire web.
Une DSAR doit-elle être appelée DSAR ?
Non.
Une personne n'a généralement pas besoin d'employer le terme « DSAR » pour qu'une organisation reconnaisse une demande d'accès valable.
Par exemple :
« Pouvez-vous m'envoyer toutes les informations personnelles que vous détenez à mon sujet ? »
pourrait constituer une demande d'accès même si la personne n'emploie jamais le terme DSAR.
Les organisations doivent donc former leurs équipes du service client, des ressources humaines, de l'assistance et de la confidentialité à reconnaître les demandes en fonction de leur contenu.
Que doit fournir une organisation ?
Au titre du droit d'accès prévu par le GDPR, l'organisation doit généralement fournir :
- La confirmation que des données à caractère personnel sont ou ne sont pas traitées.
- Une copie des données à caractère personnel concernées.
- Les informations complémentaires exigées par la loi applicable.
L'ICO résume le droit d'accès comme comprenant la confirmation du traitement, une copie des informations personnelles et des informations complémentaires.
L'organisation n'est pas nécessairement tenue de fournir l'intégralité de chaque document interne si le droit légal n'exige que la communication des données à caractère personnel du demandeur et des informations complémentaires applicables.
Une DSAR peut-elle inclure des informations concernant d'autres personnes ?
C'est possible, mais cela exige un examen attentif.
Les enregistrements d'une organisation peuvent contenir des informations personnelles concernant :
- Le demandeur
- Des salariés
- Des clients
- Des membres de la famille
- Des contacts professionnels
- D'autres tiers
L'organisation doit examiner si la divulgation révélerait indûment les informations personnelles d'une autre personne.
C'est l'une des raisons pour lesquelles le traitement d'une DSAR requiert souvent un examen humain, même lorsque le processus de collecte initial est automatisé.
Une organisation peut-elle refuser une DSAR ?
Le droit d'accès n'est pas illimité.
Selon la loi applicable, des exemptions ou des restrictions peuvent s'appliquer.
Par exemple, l'organisation peut devoir examiner des questions relatives à :
- Les droits des tiers
- Le secret professionnel
- La confidentialité
- Les restrictions réglementaires
- Les considérations liées aux forces de l'ordre
- Les demandes manifestement infondées ou excessives
- D'autres exemptions légales
Une organisation ne doit pas rejeter une demande simplement parce qu'elle est inopportune.
Lorsqu'une demande est refusée ou que des informations sont retenues, l'organisation doit respecter les exigences légales applicables en matière d'explications, d'exemptions et de droits de réclamation ou de recours.
Les lignes directrices actuelles de l'ICO indiquent que les organisations ne peuvent refuser l'accès que lorsqu'une exemption ou une restriction s'applique, y compris pour certaines demandes manifestement infondées ou excessives.
Les DSAR sont-elles gratuites ?
Dans de nombreux régimes de protection de la vie privée, les personnes peuvent exercer leur droit d'accès sans payer de frais standard.
Par exemple, sous les lignes directrices de l'UK GDPR, les organisations ne peuvent généralement pas facturer de frais pour répondre à une demande d'accès de la personne concernée.
Des frais raisonnables peuvent être autorisés dans des circonstances limitées, par exemple pour certaines demandes manifestement infondées ou excessives ou pour des copies supplémentaires, selon la loi applicable.
La règle exacte dépend de la juridiction.
DSAR et portabilité des données
Une demande de portabilité des données est différente d'une DSAR.
Les deux peuvent impliquer la fourniture de données à caractère personnel, mais la portabilité est assortie de conditions supplémentaires et d'une finalité spécifique.
La portabilité des données concerne généralement la réception de certaines données à caractère personnel dans un format structuré, couramment utilisé et lisible par machine et, lorsque c'est techniquement possible, leur transmission à un autre responsable du traitement.
Toute DSAR ne constitue pas une demande de portabilité.
Une plateforme de gestion des droits à la vie privée doit donc distinguer :
- L'accès
- La rectification
- La suppression
- La portabilité
- L'opposition
- La limitation
- Les autres droits applicables
DSAR et GDPR
Le droit d'accès prévu par l'Article 15 du GDPR constitue la principale base juridique d'une DSAR fondée sur le GDPR.
Ce droit aide les personnes à comprendre comment leurs données à caractère personnel sont traitées et leur permet de vérifier si le traitement est licite.
Un processus DSAR bien conçu doit donc relier les demandes d'accès au programme plus large de responsabilité GDPR de l'organisation.
DSAR et UK GDPR
L'UK GDPR prévoit un droit d'accès globalement comparable à celui du GDPR.
Les organisations britanniques doivent suivre les lignes directrices actuelles de l'Information Commissioner's Office (ICO), car les exigences opérationnelles détaillées et les orientations peuvent évoluer.
En particulier, les organisations doivent tenir compte des règles actuelles concernant :
- Les délais de réponse
- Les prolongations
- La clarification
- La vérification d'identité
- Les recherches raisonnables
- Les exemptions
- La communication sécurisée
- Les réclamations
L'ICO a mis à jour ses lignes directrices sur le droit d'accès en 2025 et 2026, notamment pour refléter les changements introduits par le Data (Use and Access) Act 2025.
DSAR et CCPA
Le cadre californien de protection de la vie privée confère aux consommateurs des droits sur leurs informations personnelles, y compris des droits d'accès à ces informations.
Le CCPA utilise sa propre terminologie, ses propres procédures, exemptions et délais ; les organisations ne doivent donc pas se contenter de copier un flux de travail DSAR conçu pour le GDPR en supposant qu'il satisfait aux exigences californiennes.
Un système de gestion des droits à la vie privée doit identifier la juridiction applicable et orienter la demande vers le flux de travail approprié.
DSAR et DPDPA en Inde
La Digital Personal Data Protection Act (DPDPA) indienne utilise une terminologie différente de celle du GDPR.
La DPDPA désigne la personne sous le terme de Data Principal, plutôt que par la notion de « personne concernée » du GDPR.
Les organisations opérant en Inde doivent donc distinguer :
- Les droits des personnes concernées au titre du GDPR / de l'UK GDPR
- Les droits des consommateurs au titre du CCPA
- Les droits des Data Principals au titre de la DPDPA
Une plateforme de confidentialité internationale doit utiliser des flux de travail propres à chaque juridiction plutôt que de traiter chaque demande relative à la vie privée comme une DSAR fondée sur le GDPR.
DSAR et demande d'exercice des droits de la personne concernée
Une demande d'exercice des droits de la personne concernée (DSR), ou Data Subject Request, est un concept plus large qu'une DSAR.
Une demande d'exercice des droits peut porter sur :
- L'accès
- La rectification
- La suppression
- La limitation
- L'opposition
- La portabilité
- D'autres droits propres à une juridiction
Une DSAR porte spécifiquement sur l'accès.
Cette distinction est utile pour les équipes chargées de la confidentialité, car un seul message entrant peut contenir plusieurs droits.
Par exemple :
« Dites-moi quelles données vous détenez à mon sujet, corrigez mon adresse et supprimez mon profil marketing. »
Cette communication contient potentiellement :
- Une demande d'accès
- Une demande de rectification
- Une demande de suppression
L'organisation doit identifier et traiter chaque droit applicable.
DSAR et retrait du consentement
Une DSAR est également différente d'un retrait du consentement.
« Je retire le consentement que j'avais donné précédemment. »
« Donnez-moi accès à mes données à caractère personnel et aux informations applicables sur leur traitement. »
Une personne peut exercer les deux droits, mais ils ne doivent pas être confondus.
Par exemple, un utilisateur pourrait retirer son consentement marketing et, séparément, demander l'accès aux données à caractère personnel que l'organisation détient à son sujet.
DSAR et cookies
Une DSAR peut potentiellement porter sur des données à caractère personnel associées à l'activité en ligne.
Selon les circonstances, les informations pertinentes pourraient inclure :
- Les identifiants en ligne
- Les identifiants de compte
- Les informations liées aux cookies
- Les identifiants publicitaires
- Les adresses IP
- L'activité sur le site web
- Les profils marketing
- Les enregistrements de préférences
La question de savoir si certaines informations de cookies ou de mesure d'audience constituent des données à caractère personnel dépend de la loi applicable et du contexte.
Les organisations doivent donc prendre en compte les systèmes de données en ligne pertinents lorsqu'elles effectuent des recherches DSAR, plutôt que de limiter la recherche à leur CRM.
DSAR et enregistrements de consentement
Les enregistrements de consentement peuvent être pertinents pour une DSAR.
Par exemple, une organisation peut détenir des informations montrant :
- Quand le consentement a été recueilli
- Quelles finalités ont été présentées
- Quels choix ont été faits
- Quelle version de la mention d'information a été affichée
- Quelles préférences ont été modifiées
- Quand le consentement a été retiré
- Quels identifiants ont été associés à l'événement de consentement
Lorsque ces informations constituent les données à caractère personnel de la personne et relèvent de la portée de la demande, elles peuvent devoir être prises en compte lors du traitement de celle-ci.
C'est pourquoi les enregistrements de consentement et la gestion des DSAR ne devraient pas toujours fonctionner comme des systèmes totalement distincts.
DSAR et sous-traitants tiers
Les organisations font fréquemment appel à des sous-traitants et à des prestataires de services tiers.
Une DSAR peut donc exiger de localiser des informations dans :
- Les plateformes CRM
- Les fournisseurs de messagerie
- Le stockage cloud
- Les outils d'assistance client
- Les plateformes marketing
- Les systèmes de mesure d'audience
- Les plateformes RH
- Les systèmes de paiement
- Les entrepôts de données
- D'autres sous-traitants
L'organisation reste responsable de la gestion de son flux de travail relatif au droit d'accès au titre de la loi applicable, même lorsque les données concernées sont stockées ou traitées via des systèmes tiers.
En quoi l'automatisation aide-t-elle pour les DSAR
Le traitement manuel des DSAR peut devenir difficile à mesure que le nombre de demandes et de systèmes de données augmente.
Une plateforme de gestion des DSAR peut automatiser une partie du flux de travail, notamment :
- La réception des demandes
- La création de dossiers
- La vérification d'identité
- La classification des demandes
- Le calcul des délais
- Le suivi des SLA
- L'attribution
- Les notifications internes
- Le suivi des sources de données
- Les flux de traitement des demandes
- La transmission sécurisée
- Les journaux d'audit
- Les escalades
L'automatisation doit venir en appui de l'équipe chargée de la confidentialité plutôt que supprimer l'examen humain nécessaire.
Check-list d'automatisation des DSAR
Un flux de travail DSAR mature doit comprendre :
Réception
- Réception centralisée des demandes
- Prise en charge de l'e-mail et des formulaires web
- Création manuelle de demandes
- Numérotation automatique des dossiers
Classification
- Détection des demandes d'accès
- Classification des droits
- Détection de la juridiction
- Attribution d'une priorité
Vérification d'identité
- Authentification du demandeur
- Statut de vérification
- Flux de vérification proportionnés
- Traitement sécurisé des pièces justificatives
Gestion des délais
- Calcul du SLA applicable
- Rappels automatiques des échéances
- Suivi des prolongations
- Alertes d'escalade
Découverte des données
- Inventaire des systèmes
- Attribution des recherches
- Coordination avec les sous-traitants
- Suivi de la collecte
Examen
- Suppression des doublons
- Examen des informations relatives à des tiers
- Examen des exemptions
- Approbation humaine
Traitement de la demande
- Export sécurisé
- Génération de la réponse
- Suivi de la transmission
- Clôture de la demande
Audit
- Historique complet des activités
- Horodatages
- Utilisateurs assignés
- Enregistrements des recherches
- Décisions
- Réponse finale
- Preuve de l'achèvement
Erreurs courantes en matière de DSAR
Traiter chaque demande relative à la vie privée comme une DSAR
La rectification, la suppression, la portabilité, l'opposition et l'accès sont des droits distincts.
Exiger un formulaire spécifique
Les organisations ne doivent pas rendre inutilement difficiles des demandes d'accès légitimes simplement parce que le demandeur n'a pas utilisé un formulaire particulier.
Exiger automatiquement une pièce d'identité officielle
La vérification d'identité doit être proportionnée au risque.
Ne chercher que dans le CRM
Des données à caractère personnel peuvent exister dans des dizaines de systèmes.
Ignorer les sous-traitants
Des données à caractère personnel pertinentes peuvent être détenues par des prestataires cloud, marketing, de mesure d'audience, d'assistance ou d'autres services.
Manquer les délais
Une demande sans compteur SLA est facile à laisser passer.
Transmettre des données de manière non sécurisée
Les informations personnelles doivent être transmises par un mécanisme sécurisé approprié.
Divulguer les informations d'une autre personne
Les réponses aux DSAR exigent un examen attentif lorsque les enregistrements contiennent des données à caractère personnel de tiers.
Considérer les délais du GDPR comme universels
Les différentes juridictions appliquent des règles et des délais de réponse différents.
Clôturer le dossier sans piste d'audit
Les organisations doivent être en mesure de démontrer comment la demande a été reçue, évaluée, recherchée, examinée et traitée.
Check-list de mise en œuvre des DSAR pour les entreprises
- Définir ce qui constitue une DSAR.
- Former les collaborateurs en contact avec la clientèle à reconnaître les demandes.
- Proposer des canaux de demande accessibles.
- Vérifier l'identité lorsque c'est nécessaire et de manière proportionnée.
- Déterminer la juridiction applicable.
- Calculer le délai légal correct.
- Identifier la portée de la demande.
- Rechercher dans les systèmes concernés.
- Se coordonner avec les sous-traitants lorsque c'est nécessaire.
- Examiner les informations personnelles de tiers.
- Évaluer les exemptions applicables.
- Préparer la réponse dans un format accessible.
- Transmettre les informations de manière sécurisée.
- Enregistrer la demande et la réponse.
- Suivre les délais et les prolongations.
- Conserver des preuves à des fins d'audit.
- Revoir le processus régulièrement.
DSAR et ConsentX
ConsentX peut aider les organisations à gérer les flux de travail relatifs aux DSAR et aux droits à la vie privée grâce à un processus centralisé couvrant la réception des demandes, la vérification d'identité, le suivi des SLA, le traitement et les preuves d'audit.
Un flux de travail typique peut être :
- Demande
- vérification d'identité
- détection de la juridiction/des règles
- compteur SLA
- découverte des données
- examen
- traitement
- réponse sécurisée
- enregistrement d'audit
Cela aide les équipes chargées de la confidentialité à réduire le risque de :
- Délais manqués
- Demandes non attribuées
- Erreurs de suivi manuel
- Enregistrements de demandes incomplets
- Traitement incohérent
- Auditabilité insuffisante
L'objectif n'est pas simplement d'automatiser les réponses par e-mail.
L'objectif est de créer un flux de travail auditable pour les droits à la vie privée.
Points clés à retenir
- Une DSAR est une demande d'accès aux données à caractère personnel d'une personne.
- Une DSAR est également couramment appelée demande d'accès du sujet (SAR) ou demande d'exercice du droit d'accès.
- Une DSAR est distincte des demandes de suppression, de rectification, de portabilité, d'opposition ou de limitation.
- Au titre du GDPR, le droit d'accès exige généralement une réponse dans un délai d'un mois, sous réserve des prolongations admissibles.
- Les lignes directrices de l'UK GDPR prévoient de même un délai d'un mois, avec des prolongations possibles pour les demandes complexes ou multiples.
- Les demandes d'accès au titre du CCPA obéissent à des règles et à des délais différents.
- La vérification d'identité peut être appropriée, mais elle doit rester proportionnée.
- Les organisations doivent rechercher dans les systèmes concernés et tenir compte des données détenues par les sous-traitants.
- Les réponses aux DSAR peuvent exiger un examen au regard des informations relatives à des tiers et des exemptions légales.
- Le traitement sécurisé et les enregistrements d'audit sont des éléments importants de la gestion des DSAR.
- Une plateforme DSAR doit appliquer des règles et des compteurs SLA propres à chaque juridiction, et non un délai unique à l'échelle mondiale.
- L'automatisation peut fluidifier la réception, la vérification, la découverte, le traitement et les preuves d'audit.
Construisez un flux de travail auditable pour les droits à la vie privée
L'objectif n'est pas simplement d'automatiser les réponses par e-mail. L'objectif est de créer un flux de travail auditable pour les droits à la vie privée. ConsentX peut aider les organisations à gérer les DSAR et les demandes relatives aux droits à la vie privée grâce à un processus centralisé couvrant la réception des demandes, la vérification d'identité, le suivi des SLA, le traitement et les preuves d'audit.