Comment gérer une DSAR sans dépasser le délai

Lorsque noyb a testé 121 demandes d'accès des personnes concernées (DSAR) déposées pour son 2026 Digital Omnibus Reality Check, 83,5 % n'ont pas été répondues conformément à la loi, et près de 30 % n'ont reçu aucune réponse.

Cet échec remonte à une cause commune, car la plupart des organisations ne peuvent pas localiser leurs propres données assez rapidement pour répondre dans les délais. Seuls 61 % ont mis en place un inventaire et une cartographie des données, selon le 2025 Global Privacy Benchmarks Report de TrustArc, et 55 % ne maintiennent pas continuellement un inventaire des données sensibles, selon le Netwrix 2026 Data and Identity Security Report.

Ce problème de localisation des données se manifeste une demande à la fois. Un DSAR peut arriver dans la boîte de réception partagée de confidentialité un mardi, et dès mercredi, quelqu’un envoie un e-mail à cinq chefs de département pour savoir s’ils ont des informations sur Jane Smith.

Le délai de 45 jours a commencé dès la réception de la demande, que quelqu'un ait commencé à chercher ou non.Un index de données reliant l'identité d'une personne à chaque endroit où ses données apparaissent empêche que chaque demande ne parte de zéro.

Une gestion efficace des DSAR combine cette visibilité avec un processus documenté pour la vérification, la découverte, la révision, la rédaction, la livraison et les preuves d’audit.

Qu'est-ce qu'un DSAR ?

Une demande d’accès des personnes concernées (DSAR) est une demande formelle d’un individu à une organisation pour obtenir une copie des données personnelles que l’organisation détient à son sujet. Elle couvre également les raisons pour lesquelles l’organisation conserve ces données, avec qui elle les partage, et la durée de leur conservation.

En vertu de l'article 15 du Règlement général sur la protection des données (RGPD) de l'Union européenne, vous pouvez utiliser n'importe quelle formulation dans la demande. Des expressions telles que "subject access request" ou "Article 15" sont facultatives. L'accès est l'un des plusieurs droits du sujet, aux côtés de la rectification, la suppression et la portabilité.

Aux États-Unis, le California Consumer Privacy Act et le California Privacy Rights Act (CCPA/CPRA) vous accordent 45 jours calendaires pour répondre, prolongeables une fois de 45 jours supplémentaires, avec une confirmation de réception requise sous 10 jours ouvrables.

D'autres lois des États américains utilisent généralement la même période de 45 jours ; la période de base de l'Iowa est de 90 jours, prolongeable une fois de 45 jours supplémentaires. Si votre organisation dessert également des résidents de l'UE, le RGPD vous accorde un mois à partir de la réception, prolongeable de deux mois supplémentaires lorsque la complexité ou le volume le justifient. Si vous prolongez, informez le demandeur du motif dans ce premier mois.

Pourquoi l'exécution des DSAR échoue

Le rapport du European Data Protection Board (EDPB) sur le Cadre de mise en œuvre coordonnée 2024, adopté le 16 janvier 2025, s'appuie sur 30 autorités de contrôle ayant examiné 1 185 responsables de traitement. Quatre causes reviennent dans leurs conclusions et reflètent les schémas opérationnels que les équipes de conformité américaines observent sous CCPA.

Les données personnelles sont dispersées sans index unique

Les données d'un employé se trouvent dans des bases de données RH, des enregistrements de customer relationship management (CRM), des boîtes aux lettres, des discussions Teams, des bibliothèques SharePoint, des partages de fichiers et des sauvegardes, sans aucun lien entre eux. Le registre des activités de traitement (ROPA) d'une organisation ne pointera pas vers ces enregistrements, car il décrit des catégories de traitement plutôt que l'emplacement physique des données d'une personne.

L'International Association of Privacy Professionals a constaté que manual ROPAs construites de cette manière sont incomplètes et deviennent obsolètes, car elles dépendent de chaque équipe pour rapporter avec précision ce qu'elle traite. Aucune technologie ne vous exonère du droit d'accès, et les données archivées et sauvegardées comptent.

Les recherches manuelles consomment la majeure partie de la fenêtre de réponse

Sans index, quelqu’un recherche système par système. Lorsque la recherche prend des semaines d’une fenêtre de 45 jours, la révision est compressée dans les derniers jours, et un réviseur est encore en train de rédiger au jour 40. L’examen de l’EDPB des cas d’application a révélé que les responsables traitent régulièrement certains types de fichiers, formats ou catégories de données hors de leurs réponses, manquant des fichiers non textuels, des métadonnées et des sauvegardes dans le processus.

La vérification d'identité et la définition du périmètre ajoutent de la friction avant le début des travaux

Le RGPD vous permet de vérifier l'identité uniquement lorsque vous doutez réellement de qui fait la demande, et non comme une étape systématique pour chaque requête, et le CCPA de manière similaire évalue la vérification selon la sensibilité de la demande.

Définir le périmètre de la demande nécessite le même jugement, car le EDPB présume qu'une demande générale couvre toutes les données personnelles sauf si le demandeur la limite expressément. Si une équipe ne peut pas voir ce que l'organisation détient, elle ne peut pas formuler une question clarificatrice pertinente, et le temps continue de s'écouler.

La rédaction manuelle des données tierces et exemptées est lente et risquée

Une réponse doit exclure les données d'autres personnes et tout ce qu'une exemption légale couvre. Lorsqu'elle est faite manuellement, une sur-censure viole le droit d'accès, et une sous-censure divulgue des données personnelles.

La mise en surbrillance en boîte noire dans les fichiers Word ou Portable Document Format (PDF) laisse souvent le texte lisible en dessous ; les métadonnées du fichier conservent les auteurs précédents et les modifications suivies, et les feuilles de calcul masquent les lignes.

Le processus de réponse DSAR, étape par étape

Une procédure documentée et répétable est ce qui distingue la réalisation des DSAR qui résiste à un audit d’une improvisation précipitée pour chaque nouvelle demande, et l’absence de procédure est le premier défi mentionné dans le rapport du Cadre de Coordination de l’Application (CEF) du EDPB.

Les sept étapes ci-dessous reflètent les attentes actuelles de l’EDPB et de la California Privacy Protection Agency (CPPA).

1. Enregistrez et reconnaissez la demande

Enregistrez chaque demande dès son arrivée, quel que soit le canal. Un DSAR est valide quelle que soit sa forme d’arrivée, y compris verbalement, via des formulaires web ou sur les réseaux sociaux, donc notez qui l’a reçue, quand et par quel canal.

Selon le RGPD de l'UE, le jour de réception ne compte pas, et une échéance tombant un week-end ou un jour férié est reportée au jour ouvrable suivant. Selon la CCPA, confirmez la réception dans les 10 jours ouvrables et indiquez la date limite du jour X au jour Y.

2. Vérifiez l'identité du demandeur

Demandez une pièce d’identité formelle uniquement lorsque vous avez un doute raisonnable documenté sur l’identité de la personne qui demande. Les lignes directrices 01/2022 du EDPB considèrent qu’une copie d’un document d’identité est un moyen faible de confirmer l’identité, car les identifiants existants tels qu’un nom d’utilisateur et un mot de passe établissent déjà qui fait la demande dans la plupart des cas.

Si vous devez demander une pièce d’identité, dites au demandeur qu’il peut masquer la photo et le numéro du document. La Californie évalue la vérification en fonction de la demande, allant d’un degré raisonnable de certitude pour les demandes courantes à un degré raisonnablement élevé de certitude pour les informations personnelles sensibles.

3. Définir la portée de la demande

Si la demande est vague et que vous disposez de beaucoup d’informations, demandez au demandeur de la préciser, mais continuez à travailler en attendant. Demander des clarifications ne suspend pas le délai selon le GDPR, et le CCPA ne suspend pas non plus le délai. Si le demandeur ne répond pas, interprétez la demande originale et agissez en conséquence.

4. Localisez les données dans tous les systèmes où elles se trouvent

Recherchez dans chaque système concerné des données sensibles liées au nom du demandeur ainsi qu'à un identifiant stable, tel qu'un numéro client ou employé. Le EDPB attend que la recherche couvre tous les systèmes informatiques et systèmes de classement non informatiques, pas seulement les bases de données qu'une équipe consulte par habitude.

Les réglementations CCPA exigent une revue tout aussi approfondie couvrant les données archivées et sauvegardées, les outils de collaboration comme Teams et Slack, ainsi que les appareils personnels utilisés pour le travail. La documentation officielle de Microsoft confirme que les données sur les ordinateurs locaux ou les serveurs de fichiers sur site sont hors de portée de ses outils DSR, donc votre liste de recherche doit nommer chaque serveur de fichiers et le tenant.

5. Examiner, rédiger et appliquer les exemptions

Appliquez un test en trois étapes aux données tierces avant toute divulgation :

• Pouvez-vous répondre sans identifier la tierce partie ?
• Cette personne a-t-elle donné son consentement ?
• Sinon, la divulgation est-elle raisonnable sans leur consentement ?

Rédigez lorsque cela est possible et enregistrez ce que vous avez retenu. D'autres exemptions couramment reconnues dans le GDPR et les lois des États américains incluent le secret professionnel, les négociations en cours, les secrets commerciaux et les références confidentielles, chacune ne s'appliquant que lorsque ses conditions spécifiques sont remplies.

En vertu de the EU GDPR, les secrets commerciaux et la propriété intellectuelle peuvent limiter la copie sans refuser complètement la demande. Utilisez un logiciel spécifique de rédaction plutôt que des outils de surlignage et fournissez une raison défendable pour chaque rédaction.

6. Emballez et livrez la réponse

Fournissez les données dans un format que le demandeur peut lire sans analyste de données. Le RGPD exige que la réponse soit concise et transparente, rédigée dans un langage qu’un lecteur ordinaire peut comprendre, plutôt qu’une exportation système que seul IT comprendrait. Si la demande est arrivée par voie électronique, envoyez un format électronique couramment utilisé, sauf si le demandeur a demandé autre chose.

L'Autoriteit Persoonsgegevens néerlandaise a infligé une amende de 10 millions d'euros à Uber en janvier 2024, invoquant un processus de demande difficile à utiliser, des fichiers de réponse dans lesquels les données personnelles n'étaient pas toujours structurées et difficiles à interpréter, ainsi qu'une divulgation peu claire des périodes de conservation et des transferts de données. Une exportation brute des lignes de base de données peut ne pas répondre à cette exigence.

7. Documentez ce qui a été fait

Remplissez votre journal DSAR au fur et à mesure, en appliquant la même discipline de gestion des enregistrements que votre organisation utilise ailleurs, afin qu’un auditeur puisse reconstituer la demande sans vous. Enregistrez la date de réception, le responsable, la date d’échéance, la date réelle de réponse, les raisons du retard, les informations retenues et pourquoi, les exemptions appliquées et par qui, ainsi que les vérifications d’identité effectuées. En vertu du CCPA, vous devez conserver les enregistrements des demandes et réponses pendant au moins 24 mois.

Le coût d’une erreur dans un DSAR

L'application des DSAR suit trois schémas récurrents, couvrant les délais manqués, les réponses inutilisables par les demandeurs et les exigences de vérification d'identité que la loi n'autorise pas. Les régulateurs ont infligé des amendes aux organisations pour chaque schéma.

Le non-respect de la date limite entraîne une amende directe

L'Autorité belge de protection des données a infligé une amende à un opérateur télécom de 100 000 € en août 2024 pour avoir répondu 14 mois après une demande DSAR. Le RGPD plafonne les amendes pour les défaillances d'accès à 20 000 000 € ou 4 % du chiffre d'affaires annuel mondial, selon le montant le plus élevé, et la CCPA autorise des sanctions civiles allant jusqu'à 7 500 $ par violation intentionnelle.

Ce plafond suit le même schéma d'application observé dans d'autres amendes GDPR, donc une réponse tardive entraîne une exposition réelle bien avant qu'une affaire ne l'atteigne.

Une réponse incomplète ou peu claire entraîne également une amende

L'Autorité néerlandaise de protection des données a infligé une amende de 4 750 000 € à Netflix dans une décision de novembre 2024. L'autorité a constaté que la déclaration de confidentialité de Netflix n'expliquait pas clairement les finalités, les destinataires et les périodes de conservation, et que les clients qui demandaient quelles données Netflix détenait à leur sujet ne recevaient pas suffisamment d'informations, enfreignant ainsi le droit d'accès du RGPD en vertu de l'article 15. Une réponse rapide crée néanmoins une responsabilité si le demandeur ne peut pas obtenir les informations demandées.

Exiger plus de vérifications que la loi ne le permet crée sa propre responsabilité

Le DPC irlandais a réprimandé Groupon Ireland Operations Limited en mars 2024 pour avoir exigé une pièce d'identité photographique alors que la vérification par email était disponible, et aucune pièce d'identité n'avait été requise lors de l'inscription. En 2025, le Conseil d'État néerlandais a réduit l'amende contre DPG Media de 525 000 € à 262 500 € tout en confirmant que l'entreprise avait agi de manière négligente en demandant des copies d'identité sans examiner si une alternative moins intrusive, comme la vérification par email, était possible.

Les régulateurs considèrent la gestion des demandes d’accès comme une priorité d’application courante

En Californie, la CPPA a infligé une amende de 632 500 $ à American Honda en mars 2025 pour avoir exigé au moins huit champs de données pour chaque demande de confidentialité et avoir refusé au moins 20 demandes de désinscription et de limitation en demandant une vérification non autorisée par la loi. Les demandes d'accès aux données étaient la plus grande catégorie de plaintes auprès de la Data Protection Commission (DPC) irlandaise en 2025, à 42 %, preuve que ces cas sont fréquents et non exceptionnels.

Ce qu’il faut rechercher lors de l’évaluation des outils DSAR

Après la deuxième ou troisième précipitation, la plupart des responsables conformité commencent à s'intéresser aux logiciels DSAR. Cette catégorie couvre tout le cycle de vie de la demande, de la capture et de la journalisation à la vérification d'identité, au triage, à la collecte, à la validation et à la communication. Discovery détermine la durée de la quatrième étape, évaluez-la donc en premier.

Découverte partout où vos données résident

L’outil doit prouver la présence de données personnelles au niveau du fichier, de la ligne et du message plutôt que de compter sur les personnes pour lister les systèmes dans un questionnaire. Le scan direct fournit cette preuve ; la découverte et la classification des données personnelles doivent être des critères principaux.

La couverture hybride est également importante car 77 % des organisations évoluent dans un environnement informatique hybride, selon le Cybersecurity Trends Report 2025 de Netwrix.

Dans un environnement majoritairement Microsoft, vérifiez la couverture des serveurs de fichiers sur site, Exchange, SharePoint et SQL Server aux côtés de Microsoft 365, car les directives DSR de Microsoft pour Microsoft 365 considèrent les serveurs de fichiers sur site comme hors périmètre.

Vérification d'identité et collecte intégrées au flux de travail

Un seul chemin d'entrée doit automatiquement enregistrer la réception, suivre la date d'échéance (y compris toute fenêtre de reconnaissance CCPA ou avis d'extension GDPR), et appliquer les niveaux de vérification de l'étape deux afin que toute demande d'identification nécessite un doute raisonnable documenté.

Les workflows par email et tableurs imposent aux gestionnaires individuels de conserver manuellement les horodatages, et les preuves se perdent lorsqu'une personne part.

Rédaction qui ne nécessite pas de passage manuel sur chaque fichier

Demandez comment l’outil gère les noms de tiers dans 1 000 documents et si sa sortie est définitivement expurgée plutôt que masquée de façon réversible. La documentation de certains outils d’eDiscovery met en garde contre les limites des métadonnées d’expurgation. Un outil qui signale les données de tiers et les catégories exemptées avant la révision humaine laisse aux réviseurs la dernière semaine pour les décisions.

Une piste d’audit produite automatiquement

Le flux de travail doit générer automatiquement une audit trail, enregistrant chaque recherche, action du réviseur et livraison avec acteur et horodatage, afin que les champs d’audit se remplissent automatiquement. Vérifiez la conservation des journaux d’audit selon les 24 mois du CCPA.

Comment Netwrix vous aide à gérer les DSAR sans précipitation

Netwrix Access Analyzer fournit le moteur de découverte, classification et gouvernance de l'accès aux données derrière Netwrix DSPM, qui rassemble ces capacités pour les environnements hybrides.

Savoir où se trouvent les données personnelles avant qu'une demande n'arrive

Netwrix Access Analyzer découvre et étiquette les informations personnelles identifiables (PII) dans les environnements hybrides, constituant l'inventaire indexé dont dépend un flux de travail DSAR avant qu'une demande ne soit soumise.

Il fonctionne avec plus de 40 sources de données prises en charge, y compris les serveurs de fichiers Windows, SharePoint Online, SQL Server et Oracle.

Là où se trouve le reste du flux de travail

Netwrix DSPM fournit la couche de découverte et d'accès : où se trouvent les données personnelles et qui peut y accéder. La prise en charge des demandes, la vérification d'identité, la rédaction et le journal de réponse appartiennent toujours à un flux de travail de demande de confidentialité ou de ticket, il faut donc les évaluer selon les critères ci-dessus.

Construisez un processus DSAR qui ne dépend pas d'une précipitation

Construire l’index avant qu’une demande n’arrive supprime le besoin de précipitation, car la recherche cesse d’être le goulot d’étranglement et l’étape quatre devient une consultation au lieu d’un balayage manuel de chaque système. Commencez par classer les emplacements où se concentrent les données personnelles, comme les partages HR, les boîtes aux lettres et les bases de données clients.

Ensuite, rédigez les niveaux de vérification et le modèle de journal des étapes deux et sept, puis effectuez une demande d'entraînement de bout en bout pour la chronométrer. Si cet exercice montre que la recherche consomme toujours la fenêtre, voyez comment indexed discovery peut rechercher dans vos sources de données et préserver les preuves pour examen.

Demandez une démo pour voir comment Netwrix peut vous aider à indexer les données personnelles sur des systèmes hybrides, effectuer des recherches DSAR sans consultations manuelles système par système, et produire automatiquement des preuves d’audit.