Le traitement de données à caractère personnel place la personne concernée dans une situation structurellement asymétrique : ses informations sont collectées, conservées et exploitées par un tiers — le responsable du traitement — qui en maîtrise seul les finalités et les moyens. Pour rééquilibrer ce rapport, le droit positif ne se contente pas d’imposer des obligations au responsable du traitement ; il reconnaît à la personne concernée un faisceau de droits subjectifs, opposables et directement invocables, par lesquels elle reprend la main sur ses propres données.
Ces droits sont consacrés par le Règlement général sur la protection des données (RGPD) et, en droit interne, par la loi du 6 janvier 1978 dite « informatique et libertés ». Ils forment un véritable statut de la personne concernée : droit d’être informée, d’accéder à ses données, de les rectifier, de les effacer, d’en limiter ou d’en obtenir la portabilité, de s’opposer enfin à certains traitements. Ubi ius, ibi remedium : à chacun de ces droits répond une voie d’exercice concrète, encadrée par des délais et des modalités précises.
Avant d’examiner chacune de ces prérogatives, il importe de saisir ce qui les unit. Quelle que soit la prérogative invoquée, son exercice obéit à un régime procédural commun, énoncé à l’article 12 du RGPD — c’est l’objet du présent article que d’en exposer l’architecture.
Panorama des droits reconnus à la personne concernée
Tandis que pèse sur le responsable du traitement un certain nombre d’obligations, la personne concernée jouit de plusieurs droits qui lui sont conférés par la loi informatique et libertés et le RGPD.
Au nombre de ces droits figurent :
- Le droit à être informé du traitement
- Le droit d’accès aux données à caractère personnel
- Le droit de rectification des données à caractère personnel
- Le droit d’effacement des données à caractère personnel
- Le droit à la limitation du traitement
- Le droit à la portabilité des données à caractère personnel
- Le droit d’opposition au traitement et à la prise de décision automatisée
La personne concernée est la personne physique identifiée ou identifiable à laquelle se rapportent les données à caractère personnel faisant l’objet du traitement. C’est en cette qualité — et non comme partie à un contrat ou comme usager d’un service — qu’elle se voit reconnaître les droits énoncés par le RGPD. Ces droits sont attachés à sa personne : ils ne se transmettent pas et ne peuvent faire l’objet d’une renonciation générale et anticipée.
Un socle de règles communes : l’article 12 du RGPD
Bien que divers et variés, ces droits obéissent à des règles communes énoncées à l’article 12 du RGPD. Ce texte ne crée pas, à lui seul, de prérogative substantielle : il fixe le cadre procédural transversal dans lequel s’exerce chacun des droits précités. Quatre séries de règles s’en dégagent — une exigence de transparence dans la communication, un encadrement strict du délai de réponse, un principe de gratuité, et un jeu de limites générales tempérant l’exercice des droits.
L’obligation de transparence
Lorsque le responsable du traitement doit fournir des informations à la personne concernée au titre de l’un des droits qu’elle est susceptible d’exercer, il lui appartient de prendre des mesures appropriées et de procéder à toute communication d’information d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un enfant.
L’article 12 du RGPD précise que les informations ainsi communiquées peuvent être fournies par écrit ou par d’autres moyens y compris, lorsque c’est approprié, par voie électronique.
Lorsque la personne concernée en fait la demande, les informations peuvent être fournies oralement, à condition que l’identité de la personne concernée soit démontrée par d’autres moyens.
À cet égard, lorsque la personne concernée présente sa demande sous une forme électronique, les informations sont fournies par voie électronique lorsque cela est possible, à moins que la personne concernée ne demande qu’il en soit autrement.
Un internaute adresse, depuis le formulaire de contact d’un site marchand, une demande d’accès à ses données. Le responsable du traitement ne saurait lui répondre par un courrier postal truffé de renvois à des conditions générales obscures : il doit lui communiquer, par la même voie électronique, une réponse claire et directement intelligible. S’il s’agit d’un service destiné à des mineurs, la formulation devra être adaptée à la compréhension d’un enfant.
Le délai de réponse imposé au responsable du traitement
L’article 12 du RGPD prévoit que le responsable du traitement doit fournir à la personne concernée des informations pertinentes et adaptées dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande.
Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes.
En cas de prorogation du délai de réponse, le responsable du traitement informe la personne concernée de cette prolongation et des motifs du report dans un délai d’un mois à compter de la réception de la demande.
Dans l’hypothèse où le responsable du traitement ne donnerait pas suite à la demande formulée par la personne concernée, il informe celle-ci sans tarder et au plus tard dans un délai d’un mois à compter de la réception de la demande des motifs de son inaction et de la possibilité d’introduire une réclamation auprès d’une autorité de contrôle et de former un recours juridictionnel.
Une demande d’effacement est reçue le 3 mars. Le principe : la réponse est due au plus tard le 3 avril (un mois). Si le dossier est complexe — multiplicité des fichiers concernés, vérifications techniques —, le responsable peut proroger ce délai de deux mois, soit jusqu’au 3 juin, à la double condition d’en informer la personne concernée avant le 3 avril et de motiver ce report. Le silence pur et simple, lui, est exclu : même un refus doit être notifié dans le mois, assorti de l’indication des voies de recours.
La gratuité de principe de l’exercice des droits
L’article 12, 5 du RGPD prévoit qu’aucun paiement ne peut être exigé par le responsable du traitement pour fournir à la personne concernée les informations sollicitées, pour procéder à toute communication et prendre toute mesure au titre de l’exercice de ses droits.
Toutefois, lorsque les demandes de la personne concernée sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, le responsable du traitement peut exiger le paiement de frais raisonnables qui tiennent compte des coûts administratifs supportés pour fournir les informations, procéder aux communications ou prendre les mesures demandées.
Les limites générales à l’exercice des droits
Deux limites générales à l’exercice des droits de la personne concernée sont posées par le RGPD :
- Première limite : la demande de précisions complémentaires à la personne concernée
- Lorsque le responsable du traitement a des doutes raisonnables quant à l’identité de la personne physique présentant la demande d’exercice de ses droits, il peut demander que lui soient fournies des informations supplémentaires nécessaires pour confirmer l’identité de la personne concernée.
- Seconde limite : le refus de déférer à la demande de la personne concernée
- L’article 12 du RGPD prévoit que dans l’hypothèse où les demandes de la personne concernée sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, le responsable du traitement peut refuser de donner suite à ces demandes.
- Si cette situation se présente, il incombe alors au responsable du traitement de démontrer le caractère manifestement infondé ou excessif de la demande — actori incumbit probatio, la charge de la preuve pesant ici sur celui qui invoque l’exception pour se soustraire à son obligation.
