ALKERN 

PROCESS INTERNE 

Version 1.0 du 01/01/2024 

1. SYNTHESE DES DROITS EXISTANTS 

2. SYNTHESE DE LA PROCEDURE DE GESTION DES DROITS 

La gestion d’un droit exercé par un individu doit suivre le parcours suivant :  

Délais de traitement d’1 mois (prolongeable de 2 mois en cas de difficultés justifiées)

3. GESTION INTERNE DES DEMANDES DE DROIT 

1. Tableau de suivi des demandes 

Le tableau suivant doit être complété pour chaque demande d’exercice de droit afin de pouvoir opérer un suivi des demandes. 

2. Adresse de contact dédié à l’exercice des droits 

L’adresse d’exercice des droits dédiée pour l’Entreprise est : protectiondesdonnees@alkern.fr 

4. GESTION DES DEMANDES DE DROIT : ELEMENTS COMMUNS A TOUS LES DROITS 

1. Identité du demandeur 

Le responsable du traitement doit répondre à une demande après s’être assuré de l’identité du demandeur sous peine de communiquer des informations à un tiers non autorisé.  

En cas de doute sur l’identité de la personne, un justificatif peut être demandé à l’individu. 

Les modalités de cette vérification d’identité sont au choix du responsable de traitement, qui doit l’adapter à la sensibilité du traitement et des données personnelles, mais il ne saurait être question de chercher à gêner l’exercice du droit d’accès en formulant des exigences trop élevées. 

Concernant les pièces d’identité acceptées, il est possible de s’inspirer de la liste définie par le code électoral. L’arrêté du 12 décembre 2013 pris en application des articles R. 5 et R. 60 du code électoral liste treize pièces pour les ressortissants français et celles que doivent produire les ressortissants de l’Union européenne. 

Pour les mineurs, il faut demander une copie du livret de famille en plus de la justification d’identité. 

Le droit d’accès est, certes, personnel, mais le titulaire peut tout à fait donner mandat à un tiers. 

2. Délai de réponse à un droit 

L’Entreprise doit répondre dans un délai d’1 mois.  

Elle a la possibilité de prolonger le délai de réponse de deux mois (total : 3 mois) dans le cas où la demande est complexe et qu’en parallèle vous faites face à un grand nombre de demandes.  

Toutefois, l’Entreprise est tenue d’informer la personne concernée de ce report dans un délai d’un mois à compter de la réception de la demande complète (soit le délai initial) et de fournir les motifs qui justifient le retard. 

Il est prudent de conserver pendant un temps raisonnable une copie des éléments communiqués au demandeur (en sus du courrier de réponse), pour prouver la bonne diligence, pour traiter un éventuel droit de suite (correction, opposition, suppression), voire même un éventuel litige. 

3. Demande abusive 

L’Entreprise n’est pas tenue de répondre (de fournir les données demandées) à une demande manifestement abusive.  

Le caractère manifestement abusif, se caractérise par le nombre, le caractère répétitif ou systématique de la demande.  

En cas de contestation, la charge de la preuve du caractère manifestement abusif des demandes incombe au responsable auprès duquel elles sont adressées.  

Le RGPD laisse le choix au responsable du traitement confronté à une demande manifestement infondée ou excessive, soit d’exiger le paiement de frais raisonnables liés aux coûts administratifs que cela suppose, soit de refuser de donner suite à une telle demande (Article 12 5°). 

L’Entreprise s’appuie sur son DPO quant à l’analyse du caractère abusif de la demande.  

Le raisonnement suivi par le DPO est à documenter, pour conserver trace de sa propre doctrine et rester cohérent lors des analyses du même type à venir. 

5. Spécificités du droit d’accès 

1. Catégories de données visées par le droit d’accès 

L’article 15 du RGPD prévoit de communiquer une copie des données faisant l’objet du traitement. Toute donnée traitée par l’entreprise doit donc être communiquée à l’individu. 

(Exemple pour un client : factures / date d’envoi des newsletters / historique de navigation / historique d’achat / historique lié au SAV. Exemple pour un salarié : Historique des congés ou absences / fiches de paie / Planning / données d’un système de badge / données d’un outil de géolocalisation…) 

Dans sa délibération°2007-046 du 15 mars 2007, la CNIL indique que : « les informations enregistrées dans les zones dites bloc-notes, zones libres ou commentaires sont des données à caractère personnel au même titre que les données relatives au contrat client ». En conséquence, elles doivent également être communiquées. 

 Par ailleurs, en transmettant les données, il convient également de fournir à l’individu une liste étoffée d’informations : 

– La confirmation que des données à caractère personnel la concernant font ou ne font pas l’objet de ce traitement (article 15.1) ; 

– Les données à caractère personnel qui la concernent (article 15.1) ; 

– Les finalités du traitement (article 15.1.a) ; 

– Les catégories de données concernées (article 15.1.b) ; 

– Les destinataires ou catégories de destinataires auxquels les données ont été ou seront communiquées, en particulier ceux qui sont établis dans des pays tiers ou les organisations internationales (article 15.1.c) ; 

– La durée de conservation des données envisagée, ou si ce n’est pas possible, les critères utilisés pour déterminer cette durée (article 15.1.d) ; 

– La possibilité d’exercer auprès du responsable du traitement les droits de rectification des données, d’effacement des données, d’opposition au traitement, et à la limitation du traitement (article 15.1.e); 

– Le droit d’introduire une réclamation auprès d’une autorité de contrôle (article 15.1.f) ; 

– Toute information disponible quant à la source des données la concernant lorsqu’elles ne sont pas collectées directement auprès d’elle (article 15.1.g) ;  

– L’existence d’une prise de décision automatisée, y compris un profilage, ou du moins des informations utiles concernant aussi bien la logique sous-jacente que l’importance et les conséquences prévues de ce traitement pour elle (article 15.1.h) ; 

– Les garanties appropriées en cas de transfert des données la concernant vers un pays tiers ou à une organisation internationale (article 15.2).  

Avant que la réponse soit adressée, le DPO / PERSONNE HABILITÉE EN INTERNE veillera à sa complétude. 

L’article 15.1.h) du RGPD indique que la personne concernée a le droit d’obtenir « des informations utiles » à propos de la logique sous-jacente du traitement de données qui entraîne une prise de décision automatisée. Précisant que la personne concernée a également le droit de se voir communiquer l’importance et les conséquences issues de ce traitement. 

2. Recherches  

À moins de précision de la part du demandeur, la recherche doit porter en priorité sur les applications majeures ALKERN et celles dont la personne concernée a naturellement connaissance (gestion de ses commandes, dossier du personnel, etc.). 

Dans certains cas particuliers à identifier (dont le service Ressources humaines), les informations peuvent également être cherchées dans les dossiers papier. 

La réponse doit être rédigée de manière claire et lisible. Pour se faire, les codes et abréviations qui figureraient sur les documents communiqués au demandeur doivent être explicités.  

Le DPO / PERSONNE HABILITÉE EN INTERNE y veille (en essayant de se mettre « à la place » du demandeur) et formule ses conseils. 

3. Limites 

Le RGPD limite le droit d’accès en fonction du droit des tiers. Il indique dans son considérant 63 que ce droit doit s’exercer sans porter atteinte aux droits et libertés d’autrui, ni au secret des affaires ou à la propriété intellectuelle, « notamment au droit d’auteur protégeant le logiciel ». 

4. Salariés 

Un salarié doit pouvoir accéder à l’ensemble des données de gestion des ressources humaines qui ont servi à prendre une décision à son égard (quel qu’en soit le support – le dossier papier, sur lequel des notes manuscrites peuvent avoir été portées, doit également pouvoir être accédé), mais le salarié (ou l’ancien salarié) n’a pas le droit d’accéder aux données concernant la situation personnelle d’un tiers, notamment d’un autre salarié, et aux données prévisionnelles de carrière (potentiel de carrière, classement), sauf si ces données ont été prises en compte pour décider de son augmentation de salaire, de sa promotion, de son affectation, etc. 

6. Spécificités du droit de rectification 

Lorsqu’une personne demande que ses données soient rectifiées, il convient de vérifier si les données ont été transmises par l’entreprise à un destinataire. 

Dans ce cas, si l’Entreprise donne droit à la demande, elle doit également demander aux destinataires de tenir compte de ce droit de rectification. 

7. Spécificités du droit à l’effacement (droit à l’oubli) 

Une personne a le droit d’obtenir l’effacement des données lorsque : 

• Les données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ; 
• La personne a retiré son consentement au traitement des données ; 
• La personne exerce un droit d’opposition avec un motif valable et l’Entreprise n’a pas de motif impérieux à conserver les données ; 
• Les données concernent un mineur de moins de 15 ans ; 
• Les données doivent être effacées pour respecter une obligation légale. 

Le droit à l’effacement sera limité dans les cas suivants : 

• Le traitement est nécessaire au respect du droit à la liberté d’expression et d’information ; 
• Une obligation légale requiert le traitement de données ou la conservation des données ; 
• La conservation des données est nécessaire à la constatation, à l’exercice ou à la défense des droits en justice. 

Si l’Entreprise donne droit à la demande, elle doit également demander aux destinataires de tenir compte de ce droit à l’effacement. 

8. Spécificités du droit à la limitation du traitement 

Le droit à la limitation du traitement est un droit temporaire. 

Pendant la limitation du traitement, les données peuvent être conservées par le responsable de traitement à l’exclusion de tout autre traitement. 

Il s’applique dans les cas suivants : 

• L’exactitude des données est contestée : la limitation s’applique pendant la durée de vérification des données ; 
• Le responsable de traitement n’a plus besoin des données mais celles-ci sont encore nécessaires pour une personne afin d’exercer ses droits en justice. Ex : les images d’un système de vidéosurveillance sont supprimées après un délai d’1 mois. En exerçant son droit à la limitation, la personne demande que la suppression sont soit suspendue le temps de récupérer les données pour exercer un droit en justice ; 
• La personne exerce son droit d’opposition : la limitation du traitement s’applique le temps de vérifier le motif légitime de la demande et de donner suite ou non à la demande. 

Si l’Entreprise donne droit à la demande, elle doit également demander aux destinataires de tenir compte de ce droit à la limitation. 

9. Spécificités du droit à la portabilité des données 

1. Etendue du droit à la portabilité 

Le droit à la portabilité des données ne concerne que les données qui ont été fournies par l’individu à l’entreprise. 

Cela ne concerne donc pas les données générées par l’entreprise (données enrichies et données nouvelles) sur cet individu et qui n’auraient pas été collectées directement auprès de cet individu. 

Ex : Un client fournit son nom, prénom et adresse email. L’entreprise catégorise ce client comme un « client gold ». 

Dans ce cas, le droit à la portabilité des données ne portera que sur le nom, prénom et l’adresse email. 

A noter que le droit à la portabilité ne porte pas atteinte aux droits et libertés de tiers à cette demande. 

2. Bases juridiques pour lesquelles le droit à la portabilité s’applique 

A noter que le droit à la portabilité ne s’applique que pour les traitements qui se basent sur le consentement de l’individu ou sur l’exécution d’un contrat à l’exclusion de toute autre base juridique. 

3. Méthode de mise à disposition des données 

Pour le droit à la portabilité, il y a deux hypothèses : 

• Soit l’individu demande à récupérer ses données pour les transmettre lui-même à une autre entreprise ; 
• Soit l’individu demande que l’Entreprise qui a collecté les données, les transmettent directement à l’autre entreprise. 

En l’absence de précisions de l’individu, les données doivent lui être remises dans un format générique exploitable et interopérable (ex : doc .csv .rtf…). 

10. Spécificités du droit d’opposition au traitement de données : Hypothèses de droit d’opposition 

Le droit d’opposition est de deux ordres : 

• Un droit d’opposition pour des raisons tenant à sa situation particulière ; 
• Un droit d’opposition spécifique à la prospection commerciale et au profilage à des fins de prospection ; 

Le premier droit d’opposition s’applique lorsque la personne concernée justifie de raisons propres à sa demande et que l’entreprise ne peut démontrer aucun motif légitime et impérieux de conserver les données. 

Le droit d’opposition spécifique à la prospection commerciale et au profilage à des fins de prospection s’applique sans motif. Dès lors, l’Entreprise doit y donner droit dans tous les cas. 

Exemples de droit d’opposition à la prospection commerciale : Désabonnement email / désabonnement SMS / Désabonnement prospection par courrier.