Droits des personnes : définition
Rédigé et vérifié par Sonia Di Pasqua, DPO sénior
Mis à jour le
En bref
Les droits des personnes sont les prérogatives que le RGPD accorde à chaque individu sur ses données : être informé, y accéder, les rectifier, les effacer, s'opposer à leur traitement, en limiter l'usage ou les récupérer.
Ce qu'il faut comprendre
Le RGPD consacre ses articles 12 à 22 aux droits des personnes concernées. On y trouve le droit à l'information, le droit d'accès, de rectification, d'effacement, de limitation, de portabilité, d'opposition, ainsi que la protection contre les décisions entièrement automatisées. La loi Informatique et Libertés ajoute en France le droit de donner des directives sur le sort de ses données après son décès.
Concrètement, tout organisme qui traite des données doit pouvoir recevoir une demande, vérifier l'identité du demandeur en cas de doute raisonnable et répondre dans un délai d'un mois. Ce délai peut être prolongé de deux mois si la demande est complexe ou si les demandes sont nombreuses, à condition de prévenir la personne dans le premier mois. La réponse est gratuite, sauf demande manifestement infondée ou excessive.
Tous les droits ne s'appliquent pas à tous les traitements. La portabilité ne vaut que pour les traitements fondés sur le consentement ou le contrat. L'opposition ne joue pas de la même manière selon la base légale. Il faut donc raisonner traitement par traitement, à partir du registre. L'erreur la plus fréquente consiste à ne pas organiser la réception des demandes : un courriel arrive sur une boîte générique, personne ne le traite et le délai d'un mois expire. Le non-respect des droits peut être sanctionné jusqu'à 20 M€ ou 4 % du chiffre d'affaires annuel mondial.
Exemple concret
Une ancienne bénévole d'une association sportive écrit pour savoir quelles informations la structure conserve sur elle et demande leur suppression. Le secrétaire identifie les fichiers concernés (adhérents, photos, liste de diffusion), vérifie qu'aucune obligation comptable n'impose de garder certaines pièces, supprime le reste et lui répond par écrit en moins d'un mois, en précisant ce qui a été effacé et ce qui est conservé.
Textes de référence
- RGPD, art. 12 à 22
- RGPD, art. 12, 3)
Le texte intégral du règlement : où lire le RGPD et comment s'y repérer.
