Les responsables du traitement sont souvent confrontés à des difficultés lors de la réception de demandes émanant de personnes concernées, visant à obtenir des informations sur le traitement de leurs données personnelles ou à exercer d'autres droits au titre du RGPD. La vérification des bases de données et des archives, la préparation d'une réponse et la communication des informations exigent des ressources temporelles et humaines importantes. En outre, les délais de réponse courts et la possibilité de sanctions en cas d'exécution incomplète ou incorrecte ajoutent une pression supplémentaire.

Qu'est-ce qu'une demande d'exercice des droits au titre du RGPD ?

La personne concernée peut adresser sa demande de différentes manières : par e-mail, par téléphone, via un site internet ou par l'intermédiaire des profils du responsable du traitement sur les réseaux sociaux. La demande peut être rédigée en texte libre et n'a pas besoin de suivre un modèle déterminé ni de contenir des termes tels que « données personnelles » ou « RGPD ». Des exemples de telles demandes sont :

  • « Veuillez me communiquer l'ensemble des informations me concernant dont vous disposez. »
  • « Je souhaite savoir quelles informations vous détenez à mon sujet. »
  • « Je souhaite savoir d'où vous détenez ces informations à mon sujet. »

Pour reconnaître de telles demandes, les employés doivent suivre une formation et respecter une procédure interne de traitement de celles-ci.

Conditions de validité de la demande

La demande d'exercice des droits au titre du RGPD doit être établie par écrit pour être valable. Si elle est envoyée par voie électronique, elle doit être signée au moyen d'une signature électronique. Toutefois, selon la pratique de la Commission pour la protection des données personnelles, si le responsable du traitement répond par e-mail à une demande non valable, celle-ci est réputée reconnue comme valable.

Les exigences relatives au contenu de la demande comprennent :

  • Le nom, le numéro personnel d'identité (ЕГН) et l'adresse de la personne concernée ;
  • La description de la demande ;
  • La forme préférée de réception des informations ;
  • La signature et la date de dépôt ;
  • L'adresse de correspondance.

Si la demande est déposée par un mandataire, une procuration est exigée (sans certification notariale). Si un parent dépose une demande concernant les données d'un enfant, un acte de naissance de l'enfant peut être exigé. En cas de demande incomplète, le responsable du traitement doit informer la personne des corrections nécessaires et peut lui proposer un modèle.

Délai de réponse à la demande

Le responsable du traitement est tenu de répondre à la demande ou d'informer la personne concernée des mesures prises dans un délai d'un mois à compter de la réception de la demande. Ce délai peut être prolongé une seule fois de deux mois en cas de complexité importante ou de nombre élevé de demandes.

Si la demande initiale est incomplète et susceptible de correction, le délai de réponse commence à courir à compter de la date de régularisation des irrégularités. Une bonne pratique consiste à indiquer la date de début et la date de fin du délai sur la demande.

Frais liés à une demande d'une personne concernée

La réponse à de telles demandes est gratuite, quels que soient les coûts et le temps qu'elle exige. Font exception les cas de demandes manifestement infondées ou excessives, par exemple des demandes fréquemment répétées, pour lesquelles le responsable du traitement peut imposer des frais tenant compte des coûts administratifs.

Si les données de la personne changent fréquemment, des demandes fréquentes peuvent être justifiées. L'appréciation du caractère infondé ou excessif s'effectue au cas par cas.

Si vous avez besoin d'une consultation, de l'élaboration de documents ou d'une formation en lien avec la protection des données personnelles, contactez-nous au tél. : 0887550706 ou par e-mail : [email protected]