Demande d'accès, de modification ou de suppression de données à caractère personnel

Qu'est-ce qu'une demande d'accès, de modification ou de suppression de données à caractère personnel ?

Ce modèle permet à toute personne de demander à un organisme (site web, magasin, entreprise, association, etc.) :

• l'accès à ses données personnelles,
• leur rectification (correction ou mise à jour),
• ou leur suppression (effacement).

Il est conforme au Règlement général sur la protection des données (RGPD).

Qu'est-ce qu'une donnée personnelle ?

Une donnée personnelle est toute information permettant d'identifier directement ou indirectement une personne : nom, prénom, photo, adresse postale, adresse e-mail, numéro de téléphone, adresse IP, numéro de sécurité sociale, etc.

Remarque : Certaines données personnelles sont considérées comme "données sensibles" par le RGPD, car leur utilisation peut présenter un risque particulier pour la vie privée.
Il s'agit notamment de données révélant l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, l'état de santé (physique ou mentale)...

Ces données bénéficient d'une protection renforcée : en principe, elles ne peuvent être collectées ou utilisées qu'avec le consentement explicite de la personne concernée, ou dans des cas très spécifiques prévus par la loi (santé publique, justice, sécurité, etc.).

Quels sont les droits d'une personne sur ses données personnelles ?

Les principaux droits d'une personne sur ses données personnelles sont les suivants :

• Droit à l'information et droit d'accès : Il est possible de demander à un organisme de confirmer s'il détient des données personnelles, de savoir lesquelles, et d'en obtenir une copie dans un format compréhensible.

Exemple : solliciter auprès d'une banque ou d'un site e-commerce la communication des données enregistrées concernant un client.

• Droit de rectification : Toute donnée inexacte, incomplète ou obsolète peut être corrigée ou mise à jour.

Exemple : demander la correction d'une adresse erronée ou la mise à jour de coordonnées bancaires.

• Droit à la portabilité : Ce droit permet d'obtenir les données personnelles dans un format structuré et couramment utilisé, afin de les transmettre à un autre organisme.

Exemple : transférer l'historique de consommation d'un fournisseur d'énergie vers un concurrent. Changer d'application de streaming de musique et récupérer ses playlists.

• Droit à la limitation du traitement : Il est possible de demander à ce qu'un organisme conserve les données sans les utiliser temporairement.

Exemple : geler l'utilisation de données pendant la vérification de leur exactitude.

• Droit d'opposition : Un individu peut s'opposer à l'utilisation de ses données personnelles, sans nécessairement demander leur suppression.

Exemple : refuser l'utilisation de ses données à des fins de prospection commerciale.

• Droit de ne pas faire l'objet d'une décision automatisée : Ce droit protège contre les décisions prises uniquement sur la base d'un traitement automatisé (par exemple un algorithme), lorsqu'elles ont des effets importants sur la vie du demandeur.

Exemple : contester un refus automatique de crédit décidé par un logiciel sans intervention humaine.

• Droit à l'effacement (ou droit à l'oubli) : Il est possible de demander la suppression de données qui ne devraient plus être conservées ou dont l'utilisation porte préjudice.

Exemple : supprimer une ancienne photo publiée en ligne ou un compte client inactif.

Quelle est la différence avec la demande de déréférencement ?

Les deux documents sont différents, puisqu'ils ne s'adressent pas à la même personne :

• La demande d'accès, rectification ou suppression concerne les données détenues directement par un organisme (ex. un magasin, un site web, une administration).
• La demande de déréférencement vise uniquement les moteurs de recherche pour qu'ils cessent d'afficher certains résultats liés au nom du demandeur.

Pour résumer :

• Si le demandeur souhaite que l'information disparaisse du site d'origine, la demande d'accès, de modification ou de suppression de données à caractère personnel.
• Si le demandeur souhaite seulement qu'elle n'apparaisse plus dans les résultats de recherche, la lettre pour demander le déréférencement doit être utilisée.

Qui peut écrire cette lettre ?

Toute personne peut écrire ce courrier lorsque la demande la concerne :

• Une personne, afin de demander l'accès, la suppression ou la modification de ses propres données personnelles (particulier, client, salarié, usager, etc.).

Dans certains cas, cette demande peut être écrite pour le compte d'une autre personne :

• Un représentant légal (parent pour son enfant mineur, tuteur, avocat, etc.).
• Un héritier (lorsqu'il souhaite accéder, modifier ou supprimer les données d'une personne défunte).

Que doit contenir la lettre ?

La lettre doit préciser :

• L'identité complète du demandeur (nom, prénom, coordonnées).
• L'organisme destinataire.
• Le droit exercé (accès, rectification, suppression).
• Les données ou situations concernées.
• Les motifs de la demande (ex. "données obsolètes", "compte non utilisé", "photo à supprimer").

Quels documents joindre à la lettre ?

En principe, aucun document n'est obligatoire si l'identité du demandeur peut être vérifiée grâce aux informations fournies (adresse, numéro client, téléphone…). En cas de doute, l'organisme pourra demander une copie d'un document d'identité.

Il est possible de joindre toute pièce utile pour préciser la demande (ex. copie d'un mail, référence client, capture d'écran).

Que faire une fois la demande d'accès prête ?

La lettre doit être signée, puis envoyée par courrier recommandé avec accusé de réception. La recommandé permet de garder une preuve de l'envoi de la lettre.

Toujours pour une question de preuve, il est aussi important de conserver une copie de la lettre envoyée.

Que faire si l'organisme ne répond pas dans les délais ?

L'organisme doit répondre dans un délai de 1 mois. Ce délai peut être prolongé jusqu'à 3 mois si la demande est complexe.

Si passé ce délai, le demandeur n'a obtenu aucune réponse, deux possibilités s'offrent à lui :

• Relancer l'organisme en rappelant la date de sa première demande.
• Saisir directement la CNIL. Cette seconde option est aussi valable dans le cas où l'organisme répond, mais que le demandeur juge que la réponse n'est pas satisfaisante.

Quelle est la loi applicable ?

• Règlement général sur la protection des données (RGPD).
• Loi Informatique et Libertés n° 78-17 du 6 janvier 1978.

Aide d'un avocat

Vous pourrez choisir de consulter un avocat si vous avez besoin d'aide.

L'avocat pourra répondre à vos questions ou vous aider dans vos démarches. Cette option vous sera proposée à la fin du document.

Comment modifier le modèle ?

Vous remplissez un formulaire. Le document se rédige sous vos yeux au fur et à mesure de vos réponses.

A la fin, vous le recevez aux formats Word et PDF. Vous pouvez le modifier et le réutiliser.