Personne concernée : définition

Ce qu'il faut comprendre

Le RGPD définit la personne concernée à travers la notion de donnée personnelle : c'est la personne physique identifiée ou identifiable à laquelle les données se rapportent. Sa nationalité ou son lieu de résidence importent peu. Le texte ne protège pas les personnes morales : une entreprise cliente n'est pas une personne concernée, mais ses salariés dont vous détenez les coordonnées le sont.

La personne concernée dispose de droits : être informée, accéder à ses données, les faire rectifier ou effacer, s'opposer à certains traitements, demander la limitation ou la portabilité, retirer son consentement et introduire une réclamation auprès de la CNIL. L'organisme doit lui répondre dans un délai d'un mois, qui peut être prolongé de deux mois compte tenu de la complexité ou du nombre de demandes.

Certaines personnes concernées appellent une vigilance accrue : mineurs, personnes âgées dépendantes, patients, salariés placés sous l'autorité de leur employeur. Pour une personne protégée, les droits peuvent être exercés avec l'assistance ou par l'intermédiaire de son représentant, selon la mesure de protection. Erreur fréquente : oublier les personnes concernées indirectes, comme les proches d'un résident ou les ayants droit d'un salarié.

Exemple concret

Dans un EHPAD, les personnes concernées sont nombreuses : les résidents, leurs proches et leur personne de confiance dont les coordonnées figurent au dossier, les salariés, les candidats à l'embauche, les intervenants libéraux et les visiteurs filmés à l'entrée. Chaque catégorie doit apparaître dans le registre et recevoir une information adaptée, par exemple dans le livret d'accueil pour les résidents et une note interne pour le personnel.

Textes de référence

• RGPD, art. 4, 1)
• RGPD, art. 12
• RGPD, art. 77

Le texte intégral du règlement : où lire le RGPD et comment s'y repérer.