La sensibilisation à la confidentialité des données personnelles s'est accrue ces dernières années et, par conséquent, le nombre de demandes des personnes concernées a également augmenté de façon constante. De nombreuses entreprises reçoivent ces demandes et doivent apprendre à les traiter. Découvrez comment répondre à une demande de droit à l'effacement au titre du RGPD.
Vous avez reçu une demande d'effacement et vous vous demandez maintenant ce qu'elle signifie et ce que vous devez faire. Ou bien vous voulez en savoir plus parce que vous savez que les entreprises reçoivent de plus en plus de demandes de ce type de la part d'utilisateurs aléatoires sur Internet. Quelle que soit la situation dans laquelle vous vous trouvez, à la fin de cet article, vous saurez ce qu'il faut faire.
Le règlement général sur la protection des données (RGPD) de l'Union européenne a doté les internautes de droits individuels pour défendre la confidentialité de leurs données. Ces droits ont également été intégrés dans les lois nationales - le Royaume-Uni a adopté la loi sur la protection des données de 2018 et le RGPD britannique, le Danemark a adopté sa propre loi sur la protection des données, et ainsi de suite.
La sensibilisation autour de la confidentialité des données personnelles a augmenté ces dernières années, et par conséquent, le nombre de demandes des personnes concernées a également augmenté de façon constante. De nombreuses entreprises reçoivent ces demandes et doivent apprendre à les traiter.
Dans cet article, nous allons plonger en profondeur dans ce qui suit:
Le droit à l'effacement du RGPD donne aux individus le droit de demander l'effacement de tout ou partie de leurs données personnelles que vous traitez. Il est largement connu sous le nom de "droit à l'oubli".
Le droit à l'oubli fait partie des droits des personnes concernées par le RGPD, qui comprennent également le droit d'accès, le droit de rectification, le droit d'opposition, le droit d'opposition à la prise de décision et au profilage automatisés, le droit à la portabilité des données, et plus encore.
Ce droit est défini par l'article 17 et les considérants 65 et 66 du RGPD.
Il s'applique uniquement aux informations personnelles que vous détenez au moment de la demande, et lorsqu'un utilisateur vous demande d'effacer ses données, vous devez vous y conformer dans la plupart des situations.
Contrairement à certains droits individuels prévus par le RGPD, le droit à l'effacement n'est pas un droit absolu, ce qui signifie qu'il y a des situations où vous devez vous conformer aux demandes, mais il existe des exceptions à la règle où vous n'avez pas à vous y conformer.
Vous devez répondre et vous conformer à une demande d'effacement chaque fois qu'aucune exemption ne s'applique, et c'est le cas dans la plupart des situations auxquelles vous serez confronté.
N'oubliez pas que les exemptions s'appliquent dans de rares cas et que la règle générale existe pour une bonne raison.
L'article 17, paragraphe 1, du RGPD stipule que vous devez honorer une demande d'effacement de données lorsque:
Vous n'êtes pas tenu d'effacer les données de l'utilisateur dans l'une des situations suivantes :
Oui, vous pouvez refuser une demande d'effacement si elle est infondée ou excessive.
La demande est non fondée si l'intention de la personne concernée n'est pas d'obtenir l'effacement de ses données mais autre chose. Voici quelques exemples de demandes non fondées :
Les demandes sont trop nombreuses si elles portent sur la même chose que d'autres demandes ou si elles se chevauchent avec d'autres demandes.
Vous pouvez refuser les demandes infondées ou excessives. Vous devez néanmoins y répondre dans un délai d'un mois à compter de leur réception. Dans la réponse, expliquez à l'utilisateur pourquoi la demande a été refusée.
En cas de doute, demandez un avis juridique ou l'avis de l'autorité de surveillance.
Vous avez donc reçu une demande d'effacement d'une personne concernée. Que devez-vous faire maintenant?
Avant d'expliquer le processus, il est essentiel de comprendre deux choses :
La procédure est simple. Il comprend les étapes suivantes:
Plongeons dans chaque étape, une par une. Pour mieux les expliquer, nous allons utiliser une demande imaginaire d'effacement d'une adresse électronique.
Le RGPD vous oblige à déterminer une méthode pour recevoir les demandes. Il vous oblige également à recevoir et à accepter toute demande de la personne concernée comme si elle avait été soumise selon la méthode désignée.
Ainsi, si vous disposez d'un formulaire de demande de la personne concernée sur votre site web mais que celle-ci a soumis sa demande par courrier électronique, vous devez vous comporter comme si elle vous avait contacté par le biais du formulaire de demande.
Une fois que vous avez reçu la demande d'effacement, vous devez y répondre sans délai excessif. Il est de bonne pratique d'informer l'utilisateur que vous l'avez reçue et que vous y répondrez dans le délai de 30 jours. Vous n'êtes pas obligé de lui remettre un reçu spécifique pour la demande. Tout élément de communication fait l'affaire.
Vous pouvez ensuite passer à l'étape suivante.
Vous ne voulez pas supprimer les données de la mauvaise personne, car cela vous causerait des problèmes juridiques. C'est pourquoi vous devez d'abord vérifier l'identité de la personne concernée.
Si l'utilisateur dispose d'un compte utilisateur sur votre site Web, il pourrait rapidement supprimer ses informations personnelles. En outre, il vous serait facile de confirmer son identité par le biais de son compte.
Toutefois, ce n'est pas toujours aussi simple. Parfois, la vérification de l'identité d'un utilisateur exige plus d'efforts de votre part. Vous pouvez donc demander à la personne concernée de prendre certaines mesures raisonnables pour confirmer son identité.
Par exemple, la suppression de son numéro de téléphone pourrait impliquer l'envoi d'un code SMS. La suppression d'une adresse électronique pourrait inclure l'envoi d'un code par courrier électronique. Vous pouvez choisir vos outils de vérification de l'identité en fonction des données qui doivent être supprimées.
Dans notre exemple, vous pouvez présumer de leur identité s'ils vous ont contacté via la même adresse électronique. Ou vous pouvez leur envoyer un code par e-mail pour une meilleure sécurité.
Au cours de cette étape, vous devez vous assurer que la demande d'effacement
Si ces trois conditions sont remplies, passez à l'étape 4.
C'est ici que vous examinez les données pour trouver les éléments exacts des informations personnelles que vous devez supprimer.
Pour supprimer une adresse e-mail de votre CRM, vous devez vous connecter à votre CRM, trouver l'e-mail et le supprimer. Il en va de même pour la suppression d'une adresse dans un logiciel d'automatisation de la messagerie.
Une fois que vous avez trouvé les données personnelles requises, vous pouvez les supprimer. Une bonne pratique consiste à en informer la personne concernée.
Une fois que vous avez supprimé les données, informez vos responsables du traitement des données de la suppression. Vous serez responsable s'ils continuent à traiter les données que vous deviez supprimer au cas où elles seraient restées sur leurs serveurs.
Ne pas se conformer aux demandes d'effacement constitue une violation du RGPD. Une violation du RGPD entraîne des sanctions.
Pour vous donner une idée de ce qui peut suivre une violation, la procédure se déroule comme suit:
La troisième étape, au cours de laquelle l'agence de protection des données enquête sur l'affaire, est celle où les choses pourraient empirer pour vous. Lorsque le DPA enquête sur une plainte, il n'examine pas uniquement la plainte de la personne concernée. Elle peut explorer toutes vos pratiques en matière de confidentialité des données.
Une plainte pour refus d'une demande d'effacement peut aboutir à la décision que vous avez refusé une demande de manière illégale, que vous n'avez pas obtenu un consentement valable, que votre avis de confidentialité n'est pas conforme, que vous ne consignez pas le consentement, que vous n'employez pas de mesures de sécurité des données suffisantes, etc. Vous voyez le genre.
Si vous ne vous conformez pas à une seule demande de suppression de données, les autorités de contrôle peuvent examiner votre entreprise et trouver de nombreuses autres violations du RGPD.
Comme nous l'avons mentionné plus haut, qui dit violations du RGPD dit sanctions du RGPD. Certaines entreprises s'en sortent avec des notifications et des réprimandes, mais d'autres paient de lourdes amendes. Voici quelques exemples pour avoir une vue d'ensemble:
Les entreprises qui savent comment gérer la confidentialité des données peuvent rapidement effacer des informations lorsqu'on leur demande de le faire.
Au minimum, vous devriez faire ce qui suit pour rationaliser le processus :
Réservez un appel dès aujourd'hui si vous souhaitez obtenir plus d'informations sur la conformité à Secure Privacy et au consentement des cookies RGPD, ou si vous souhaitez que notre expert en protection des données effectue un " check-up " rapide de votre site Web, de votre bannière de consentement aux cookies ou de votre politique en matière de cookies.
Get exclusive insights on privacy laws, compliance strategies, and product updates delivered to your inbox
Explore more privacy compliance insights and best practices
