Demandes GDPR des sujets de données : Droits et exigences

Le Règlement Général sur la Protection des Données (GDPR) est une loi de l'Union européenne qui régit la manière dont les entreprises peuvent collecter et utiliser les données personnelles des résidents de l'UE. Il établit des normes qui aident à garantir que ces données ne sont pas stockées, traitées ou partagées d'une manière qui exposerait les individus à des risques. La loi spécifie également comment les organisations doivent réagir en cas de data breach.

Une caractéristique clé du GDPR est qu'il codifie un ensemble de droits spécifiques des personnes concernées qui donnent le pouvoir aux individus de faire des demandes d'accès spécifiques aux organisations. Cet article détaille quelles sont ces demandes et comment votre organisation est tenue de les gérer. Il propose également des solutions qui peuvent vous aider à fournir des réponses rapides et précises aux demandes de données GDPR afin d'éviter des pénalités de dix millions d'euros ou plus.

Quels types de données sont couverts par le GDPR ?

En vertu du GDPR, les résidents de l'UE ont des droits spécifiques concernant les personal data que les organisations détiennent à leur sujet. Des exemples clés de données personnelles incluent :

• Des informations d'identification de base, telles que les noms et adresses
• Informations financières, telles que les détails de compte bancaire
• Caractéristiques personnelles, y compris la nationalité, la date de naissance et le sexe
• Informations sur la santé, y compris les détails sur les conditions de santé et les handicaps
• Les données génétiques, y compris les résultats des tests ADN et d'autres informations sur le patrimoine génétique
• Informations sur l'emploi, telles que les numéros des employés et les salaires
• Des identifiants en ligne comme les noms d'utilisateur
• Données comportementales, y compris des détails sur les intérêts ou l'activité en ligne
• Les données biométriques, telles que les données de reconnaissance faciale
• Informations de localisation

Quelles sont les étapes d'une demande d'accès aux données ?

Lorsqu'une personne fait une demande d'accès aux données, la première étape, bien sûr, est pour l'organisation de vérifier si elle stocke ou traite des données personnelles appartenant à cette personne. Si ce n'est pas le cas, elle doit rapporter cette absence de données à la personne concernée, et sa tâche est accomplie.

D'autre part, si l'organisation stocke ou traite des données pour la personne, elle doit procéder à une deuxième étape et traiter la demande spécifique de l'individu. La section suivante explique les types de demandes et comment les gérer.

Quelles demandes les individus peuvent-ils faire aux organisations en vertu du GDPR ?

Voici 6 types de demandes que les individus exerçant leurs droits en vertu du GDPR peuvent faire et ce qu'elles signifient pour votre organisation.

1. Quelles informations détenez-vous sur moi, et pourquoi ?

Cette enquête repose sur deux droits :

• Le droit d'être informé (Articles 13 et 14).Les résidents de l'UE ont le droit à des informations claires et précises concernant quelles données personnelles une organisation a collectées à leur sujet, même si cela signifie savoir que l'entreprise n'a collecté aucune donnée les concernant.
• Le droit d'accès (Article 15).Ils ont également le droit de savoir si et comment leurs données personnelles sont traitées, y compris les catégories de données collectées, l'objectif du traitement, les méthodes et politiques de conservation, à qui les données sont divulguées, combien de temps elles seront conservées et d'où proviennent les informations.

2. Vous avez des informations incorrectes à mon sujet ; je veux qu'elles soient corrigées.

Ce type de demande est fondé sur le droit de rectification (Article 16), qui oblige les organisations à garantir que toutes les données personnelles qu'elles stockent sont exactes et à jour. Les personnes concernées ont le droit de demander que les données personnelles inexactes soient corrigées ou que les données incomplètes soient complétées.

Pour garantir la conformité, vous avez besoin d'une intégration étroite entre tous vos systèmes et processus de données afin que les données mises à jour dans un système soient automatiquement corrigées dans tous les autres emplacements.

Demandez une démo individuelle : Atteindre et prouver la conformité au RGPD

3. Je ne veux plus que vous conserviez mes données. Veuillez les supprimer !

Ce type de demande couvre deux droits :

• Le droit à l'effacement (droit à l'oubli) (Article 17).Une personne peut demander à une organisation de supprimer ses informations personnelles de ses registres et ressources et de cesser immédiatement toute diffusion ultérieure des données. L'entreprise doit supprimer toutes les données qui répondent à l'un des critères suivants :
• A été collecté de manière illégale
• N'est plus nécessaire
• A été collecté pendant l'enfance de la personne
• Apparaît en ligne

L'organisation peut refuser la demande d'effacement si elle viole l'un des points suivants :

• Le droit à la liberté et à l'expression
• Raisons d'intérêt public dans le domaine de la santé publique ou de la recherche scientifique ou historique
• L'établissement, l'exercice ou la défense de revendications légales ou d'une charge juridique

Notez que même si votre entreprise est autorisée à conserver les données d'une personne, vous devez obtenir son consentement pour tout traitement ultérieur.

Lisez le billet de blog associé : Le droit à l'oubli : lois de l'UE et préoccupations des États-Unis

• Le droit à la limitation du traitement (Article 18). Si l'obligation de supprimer les données d'une personne n'est pas claire, celle-ci peut tout de même demander une restriction temporaire de leur traitement jusqu'à ce que l'entreprise résolve le problème, informe la personne concernée et obtienne son consentement. Se conformer à ce droit du RGPD nécessite un examen au cas par cas.

4. Je souhaite transférer les informations que vous détenez sur moi à un autre prestataire de services.

Le droit à la portabilité des données (Article 20) permet aux résidents de l'UE d'exiger d'une entreprise de transférer leurs données personnelles vers un autre fournisseur de services. Ce droit favorise l'interopérabilité en facilitant le transfert des données des utilisateurs entre les contrôleurs de données. Il encourage également la concurrence entre les services numériques car les utilisateurs peuvent changer de fournisseur sans perdre leurs données personnelles.

Se conformer à cette disposition implique de fournir les données dans un format structuré, lisible par machine que vous pouvez transmettre directement à l'autre partie.

5. Arrêtez de m'appeler !

Les individus ont le droit de s'opposer aux activités de traitement des données (Article 21), telles que l'utilisation de leurs données personnelles à des fins de marketing ou autres. Les motifs valables pour refuser ce type de demande incluent la démonstration de l'un des éléments suivants :

• Il existe un besoin légitime pour le traitement.
• La demande est excessive ou infondée.
• Les données demandées sont utilisées à des fins publiques, historiques ou statistiques.
• Les données demandées ont été utilisées ou fournies pour l'exercice de revendications légales.

6. Cessez de permettre à votre système automatisé de prendre des décisions qui affectent mes intérêts légaux.

Le GDPR confère également des droits en matière de prise de décision automatisée et de profilage (Article 22). Si vous avez mis en place une prise de décision automatisée et un profilage pour les données personnelles, vous devez fournir « des informations significatives sur la logique impliquée, ainsi que sur l'importance et les conséquences envisagées de ce traitement pour la personne concernée. »

Les trois raisons valables pour effectuer un traitement automatique et un profilage sont :

• La personne a donné son consentement.
• Le traitement est nécessaire pour la conclusion ou l'exécution d'un contrat.
• Le traitement est autorisé par une loi de l'union ou de l'État membre applicable au responsable du traitement.

Pour éviter les violations qui pourraient entraîner des amendes coûteuses, assurez-vous que les employés ne traitent pas les informations via des fonctionnalités automatisées sans vérifier qu'il existe une raison valable de le faire.

Lisez le billet de blog associé : Qu'est-ce que le GDPR : 10 questions fréquemment posées

Comment Netwrix peut-il vous aider à répondre aux demandes du GDPR ?

Le logiciel de conformité au GDPR de Netwrix peut vous donner la confiance que vous êtes capable de gérer tous ces types de demandes de données de manière fluide en découvrant toutes les informations que vous stockez sur un individu en seulement quelques clics.

De manière plus générale, les solutions Netwrix peuvent aider votre organisation à protéger l’ensemble de ses données sensibles et réglementées. Vous pouvez mettre en place une gouvernance des données, supprimer les accès inappropriés, appliquer les politiques de sécurité et détecter les menaces avancées en temps utile afin d’éviter les coûts élevés liés aux violations de sécurité et aux non-conformités réglementaires.

Notre équipe d'experts possède une solide compréhension non seulement du GDPR mais aussi du California Consumer Privacy Act (CCPA) et de nombreuses autres réglementations de sécurité des données. Ils fournissent aux organisations des conseils personnalisés et ciblés pour répondre à leurs besoins de conformité. Pour en savoir plus, inscrivez-vous à une démo ou téléchargez une correspondance des exigences du GDPR et des fonctionnalités de Netwrix.

Questions Fréquemment Posées

Qu'est-ce qu'une demande GDPR ?

Demande d'accès aux données du sujet Les exigences du GDPR permettent aux individus de demander à une organisation de fournir une copie des données personnelles qu'elle détient à leur sujet, d'effacer leurs données, de transférer les données à un autre fournisseur, et ainsi de suite. Les organisations qui ne se conforment pas à ces demandes dans le délai spécifié encourent de lourdes amendes.

Quel est le droit de demande d'accès en vertu du GDPR ?

Un right of access est également connu sous le nom de « subject access ». Il s'agit du droit des individus d'accéder à des copies de leurs propres informations personnelles et données, ainsi qu'à des données supplémentaires, en vertu du règlement de protection GDPR. Ce droit est conçu pour permettre aux individus de savoir comment et pourquoi les organisations utilisent leurs données.

Que comprend le droit d'accès en vertu du GDPR ?

Les informations auxquelles les personnes concernées ont le droit d'accéder en vertu du GDPR comprennent :

• Les catégories de données personnelles traitées
• Combien de temps l'organisation prévoit-elle de stocker leurs informations personnelles
• Les destinataires ou catégories de destinataires des données personnelles
• Informations sur la provenance des données
• L'existence de tout processus de prise de décision automatisé

Si des données personnelles doivent être transférées vers un pays tiers sans protection adéquate, les personnes concernées doivent être informées des mesures de sauvegarde utilisées pour protéger leurs données.

Quels sont les droits des personnes concernées en vertu du GDPR ?

En vertu du GDPR, data subjects disposent de certains droits qu'ils peuvent exercer en relation avec leurs données personnelles. Ces droits comprennent :

• Le droit de recevoir toutes les informations collectées à leur sujet
• Le droit de rectification des données erronées ou incomplètes
• Le droit de restreindre le traitement de leurs données
• Le droit à la portabilité des données afin qu'ils puissent facilement changer de fournisseur
• Le droit de ne pas être soumis à des décisions prises uniquement par un traitement automatisé
• Le droit de s'opposer à la manière dont leurs données sont conservées ou traitées
• Le droit à l'effacement des données

Les entreprises doivent-elles se conformer au GDPR ?

Toute organisation qui stocke ou traite les données des résidents de l'UE doit se conformer au GDPR. Le non-respect peut entraîner des amendes allant jusqu'à 2 % du chiffre d'affaires mondial total de l'entreprise pour l'exercice financier précédent ou 10 millions d'euros, selon le montant le plus élevé.