Un formulaire de Demande d'accès aux données personnelles (DSAR) permet à vos utilisateurs de demander l'accès aux informations personnelles les concernant ou de demander que certaines actions soient effectuées sur leurs données personnelles. En vertu de certaines lois sur la protection de la vie privée — comme le Règlement général sur la protection des données (RGPD) — vous devez vous assurer que vos utilisateurs peuvent soumettre des demandes pour accéder, modifier, transférer ou supprimer leurs données personnelles.
Termly propose un formulaire DSAR intégrable qui se trouve dans votre tableau de bord.
Préparer la réception des DSAR
Voici quelques étapes à suivre pour vous préparer à recevoir des DSAR :
Donnez aux utilisateurs un moyen de soumettre des DSAR — vous pouvez souhaiter intégrer un formulaire ou fournir des coordonnées spécifiques pour les soumissions de DSAR.
Créez et documentez un processus standard de réponse aux DSAR.
-
Tenez une liste détaillée de tous les endroits où votre organisation peut stocker des données personnelles. Ceux-ci peuvent inclure :
Dossiers clients/membres de l'équipe
Comptes de messagerie électronique
Données stockées sur des serveurs appartenant à des prestataires de services
Enregistrements audio
Et plus encore — examinez attentivement votre situation spécifique pour trouver tous les endroits où vous stockez des données personnelles
Répondre à une DSAR
Voici quelques étapes que nous recommandons aux organisations de mettre en œuvre lors de la réponse aux DSAR :
Déterminez quelle loi sur la protection des données s'applique au sujet des données. Différentes lois ont des exigences différentes concernant le délai pour traiter la demande, la responsabilité de l'entreprise traitant les données, et plus encore. Vous pouvez déterminer la loi applicable en vérifiant la localisation du sujet des données. Si vous utilisez le formulaire DSAR de Termly, le demandeur pourra sélectionner la loi qui lui est applicable lors de la soumission de sa demande.
Vérifiez l'identité du demandeur. Des individus malintentionnés pourraient utiliser votre formulaire DSAR pour collecter des informations sur vos utilisateurs. Informez le demandeur que la DSAR a été reçue, mais vérifiez toujours l'identité du demandeur avant d'envoyer des données personnelles. Par exemple, vous pouvez vérifier l'identité d'un demandeur en exigeant qu'il envoie sa demande en utilisant les mêmes coordonnées que lors de son inscription à votre service, ou en demandant au demandeur de confirmer les informations que vous avez pour son compte.
Clarifiez la demande. Le demandeur demande-t-il un accès aux données, une suppression, ou autre chose ? Obtenez des informations supplémentaires du demandeur si nécessaire.
Déterminez la validité de la demande. Établissez si la demande est valide et peut être traitée dans un délai légal. Sinon, vous pouvez prendre des mesures supplémentaires pour demander une extension allant jusqu'à 60 jours.
-
Inspectez les données. Vous devrez effectuer une recherche dans vos dossiers et données pour localiser toutes les informations personnelles appartenant au demandeur. Cela peut inclure des copies papier, des fichiers numériques, des comptes, des données stockées sur les serveurs des prestataires de services, et plus encore.
Veillez à protéger les informations personnelles des autres sujets de données — ne supprimez pas ou ne partagez pas d'informations avec le demandeur qui ne lui appartiennent pas.
Si vous ne pouvez pas supprimer les données demandées pour des raisons de protection contre la fraude, de procédures judiciaires en cours, d'obligations légales ou autres raisons, informez le demandeur des données que vous ne pouvez pas supprimer et pourquoi. Consultez un conseiller juridique si vous êtes confronté à ce scénario.
Choisissez le bon format pour fournir l'information. Nous recommandons de créer des modèles d'e-mails DSAR pour les réponses et les demandes de suppression. Certaines des informations que nous recommandons d'inclure sont détaillées dans la section ci-dessous.
Tenez un journal d'audit des demandes DSAR. Incluez les sources des informations collectées, le processus de révision, les décisions clés prises concernant la légitimité de la demande et l'application éventuelle d'exemptions, la réponse fournie et les divulgations, ainsi que toutes les communications avec l'individu et d'autres tiers. Cela sera essentiel si l'individu demande un examen interne de la réponse ou dépose une plainte.
Informations à inclure dans votre réponse DSAR
Nous recommandons d'inclure les informations suivantes dans vos réponses DSAR :
-
Demandes d'information sur les données
Finalités du traitement
Catégories de données personnelles concernées
Les destinataires ou catégories de destinataires auxquels les données personnelles ont été ou seront communiquées, y compris tout autre pays ou organisation internationale
Toute garantie appropriée pour le transfert des données
La durée pendant laquelle les données personnelles seront conservées, ou, si ce n'est pas possible, les critères utilisés pour déterminer cette durée
La source des données si elles n'ont pas été collectées directement auprès du sujet des données
L'existence de toute prise de décision automatisée, y compris le profilage, et toute information significative sur la logique impliquée
-
Demandes de suppression de données
Confirmez que les données personnelles ont été supprimées avec succès de vos systèmes et des systèmes tiers
Si le demandeur doit supprimer manuellement ses données personnelles, fournissez des instructions détaillées sur la manière de procéder
S'il existe une exception et que vous ne pouvez pas satisfaire à la demande de suppression, indiquez les raisons du refus
Si certaines données personnelles sont stockées dans des systèmes de sauvegarde en attente de suppression, assurez-vous d'expliquer le calendrier de suppression.
-
Informations supplémentaires
-
Avant d'envoyer votre réponse DSAR, assurez-vous que le demandeur connaît ses droits, notamment :
Le droit de demander la rectification ou l'effacement des données personnelles ou la limitation du traitement de ses données personnelles
Le droit de déposer une plainte auprès de l'autorité de contrôle compétente.
-
Suivi des DSAR
Termly vous informera par e-mail lorsqu'une soumission DSAR est effectuée pour votre site web. L'e-mail contiendra les détails de la soumission et quelques instructions sur la manière de répondre.
Nous vous recommandons de conserver des enregistrements de toutes les demandes reçues, de leur statut, et de toute information ou commentaire supplémentaire.
Lors de la tenue d'un journal de vos demandes DSAR, incluez les informations suivantes :
ID de la demande
Type de demande (effacement, accès, rectification, opposition, restriction, portabilité des données)
Catégorie du sujet des données (visiteur du site web, utilisateur, client, employé)
Date de la demande
Date limite de réponse
Personne responsable de la réponse
Statut de la demande
Commentaires