Quel délai s'applique ?
Selon la LPD, les renseignements sont en règle générale fournis dans les 30 jours (art. 25, al. 7, LPD). Si ce n'est pas possible, l'entreprise doit en informer la personne concernée et lui indiquer dans quel délai les renseignements lui seront fournis (art. 18 OPDo).
Selon le RGPD, les informations doivent être fournies dans les meilleurs délais, et au plus tard dans un délai d'un mois. Ce délai peut être prolongé de deux mois si la complexité ou le nombre de demandes l'exige ; la personne doit en être informée dans le premier mois, avec les motifs (art. 12, al. 3, RGPD).
Que doit contenir la réponse ?
Les deux lois exigent davantage qu'une liste de données :
| Contenu | LPD (art. 25, al. 2) | RGPD (art. 15) |
|---|---|---|
| Les données personnelles traitées en tant que telles | oui | oui, sous forme de copie |
| Finalité du traitement | oui | oui |
| Durée de conservation ou critères pour la déterminer | oui | oui |
| Provenance, si les données n'ont pas été collectées auprès de la personne | oui, si disponible | oui, si disponible |
| Destinataires ou catégories de destinataires | le cas échéant | oui |
| Décision individuelle automatisée et sa logique | le cas échéant | le cas échéant |
| Identité et coordonnées du responsable du traitement | oui | – |
| Indication des autres droits et du droit de réclamation | – | oui |
Comment vérifier l'identité ?
Seule la personne habilitée reçoit les renseignements. Communiquer les données à la mauvaise personne, c'est provoquer soi-même une violation de la sécurité des données. La vérification doit être proportionnée : une copie d'une pièce d'identité, une connexion via un compte client existant ou une identification vidéo – selon la sensibilité des données.
Pourquoi l'exhaustivité est-elle si difficile ?
Les données d'une personne se trouvent dans de nombreuses applications, partages de fichiers et boîtes aux lettres. Certains systèmes peuvent être interrogés directement, pour d'autres, les responsables des systèmes doivent vérifier eux-mêmes. Pendant ce temps, le délai court, et à la fin, il doit être possible de retracer qui a fourni quoi.
Il s'est avéré utile de définir une fois pour toutes quels systèmes relèvent d'une demande d'accès, qui en est responsable et quelles informations contient la réponse. Ainsi, chaque demande est traitée de la même manière, les délais sont surveillés et chaque étape est consignée.
Quand le droit d'accès peut-il être restreint ?
La LPD permet de refuser, de restreindre ou de différer la communication des renseignements, par exemple lorsqu'une loi le prévoit, que des intérêts prépondérants de tiers l'exigent ou que la demande est manifestement infondée ou procédurière (art. 26 LPD). Les motifs doivent être communiqués à la personne. Le RGPD connaît des limites similaires pour les demandes manifestement infondées ou excessives (art. 12, al. 5, RGPD).