Un client te demande ses données personnelles : comment répondre à une demande RGPD sans paniquer

Un matin, un e-mail arrive : « Conformément au RGPD, je vous demande la communication de l'ensemble des données personnelles que vous détenez sur moi. » Parfois c'est un client mécontent, parfois un ancien salarié, parfois simplement quelqu'un de curieux. Dans une petite entreprise, ce genre de message provoque souvent un moment de flottement : à qui le transmettre, que faut-il envoyer, dans quel délai ? Voici la marche à suivre, étape par étape.

Ce que la personne a le droit d'obtenir

Le droit d'accès est prévu par l'article 15 du RGPD. Toute personne peut obtenir la confirmation que tu traites ou non des données la concernant et, si c'est le cas, une copie de ces données. Elle a aussi droit à un ensemble d'informations : les finalités du traitement, les catégories de données concernées, les destinataires à qui elles ont été communiquées, la durée de conservation prévue ou les critères qui la déterminent, l'existence de ses autres droits, comme la rectification ou l'effacement, la possibilité d'introduire une réclamation auprès de la CNIL, et la source des données si elles n'ont pas été collectées auprès d'elle.

En clair : ce n'est pas seulement « voici votre fiche client ». C'est « voici ce que nous avons, pourquoi nous l'avons, avec qui nous le partageons, et combien de temps nous le gardons ».

Le délai : un mois, en principe

Le RGPD impose de répondre dans les meilleurs délais et au plus tard dans un délai d'un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois supplémentaires, compte tenu de la complexité et du nombre de demandes, à condition d'informer la personne de cette prolongation et de ses motifs dans le premier mois.

Le compteur part de la réception, pas du moment où quelqu'un ouvre enfin la boîte mail générique. C'est pourquoi la première étape est organisationnelle : savoir qui reçoit ces demandes et qui les traite.

Étape 1 : enregistrer la demande

Dès réception, note la date, le canal, l'identité annoncée du demandeur et l'objet exact de la demande. Un simple tableau suffit. Ce registre des demandes te servira à respecter les délais et à prouver, en cas de contrôle ou de réclamation, que tu as traité la demande correctement.

Accuse réception rapidement. Un message court, qui confirme que la demande a bien été reçue et sera traitée dans le délai légal, rassure la personne et désamorce souvent un conflit naissant.

Étape 2 : vérifier l'identité, sans excès

Tu ne dois pas communiquer des données à quelqu'un qui n'est pas la personne concernée. Si tu as un doute raisonnable sur l'identité du demandeur, tu peux demander des informations complémentaires. Mais attention à ne pas exiger systématiquement une copie de pièce d'identité quand ce n'est pas nécessaire : si la demande vient de l'adresse e-mail habituelle d'un client connu, cela peut suffire. La vérification doit être proportionnée.

Étape 3 : rechercher les données partout

C'est l'étape la plus sous-estimée. Les données d'une personne ne sont pas seulement dans ton logiciel principal. Pense au fichier clients, à la messagerie, aux tableurs partagés, au logiciel de facturation, à l'outil d'envoi de newsletters, au site web et à ses formulaires, aux enregistrements téléphoniques s'il y en a, aux dossiers papier, et aux prestataires qui traitent des données pour ton compte.

Ton registre des traitements, si tu l'as tenu, est ici ton meilleur allié : il te dit où chercher. Sans lui, tu risques d'oublier un outil, et une réponse incomplète n'est pas une réponse conforme.

Étape 4 : préparer la réponse

Rassemble une copie des données et les informations obligatoires dans un document clair. Le format doit être compréhensible : une capture d'écran de base de données avec des intitulés techniques ne l'est pas. Si la demande a été faite par voie électronique, la réponse est en principe fournie sous une forme électronique d'usage courant, sauf si la personne demande autre chose.

Attention aux données concernant d'autres personnes. Le droit d'accès ne doit pas porter atteinte aux droits d'autrui : si un document contient aussi des informations sur un collègue ou un autre client, il faut les masquer avant de le transmettre.

La première copie est gratuite. Pour des copies supplémentaires, des frais raisonnables fondés sur les coûts administratifs peuvent être demandés.

Étape 5 : envoyer et archiver

Envoie la réponse par un canal sécurisé, adapté à la sensibilité des données. Puis archive la demande, la réponse et la date d'envoi. Ce dossier est ta preuve.

Les cas particuliers

La demande manifestement infondée ou excessive, notamment parce qu'elle est répétée sans raison, peut être refusée ou donner lieu à des frais raisonnables. Mais c'est à toi de démontrer son caractère infondé ou excessif : n'utilise pas cet argument à la légère, et motive toujours un refus en indiquant la possibilité de saisir la CNIL.

La demande qui cache un litige. Un salarié en conflit avec l'entreprise peut exercer son droit d'accès pour obtenir des éléments. C'est légitime. Ta réponse doit rester factuelle et complète ; si un contentieux est en cours, fais-toi accompagner pour ne pas commettre d'erreur.

La demande qui porte sur un autre droit. Parfois, la personne ne veut pas seulement voir ses données : elle veut les faire corriger, effacer, ou s'opposer à la prospection. Chaque droit a ses règles, mais le même délai d'un mois s'applique en principe. Traite chaque demande pour ce qu'elle est.

Mettre en place une procédure simple

Le jour où une demande arrive, il est trop tard pour inventer la méthode. Une procédure d'une page suffit pour une petite structure : l'adresse de réception, la personne responsable, le modèle d'accusé de réception, la liste des outils où chercher, le modèle de réponse et l'endroit où archiver. Teste-la une fois sur toi-même ou sur un collègue volontaire : tu découvriras où sont tes angles morts.

Pour aller plus loin

Le module droits des personnes : répondre en un mois entraîne sur des demandes réelles et leurs pièges. Pour savoir où chercher les données, tenir le registre des traitements et cartographier les données et les durées de conservation posent les fondations. Si des prestataires traitent des données pour toi, le contrat de sous-traitance article 28 t'aide à vérifier qu'ils t'aideront à répondre.