meta données pour cette page
  •  

Différences

Ci-dessous, les différences entre deux révisions de la page.

Lien vers cette vue comparative

Les deux révisions précédentesRévision précédente
Prochaine révision		Révision précédente
certif:procedure:demandedroitrpdg [2026/09/30 16:04] – nicolascertif:procedure:demandedroitrpdg [2026/09/30 16:12] (Version actuelle) – nicolas
Ligne 1: Ligne 1:
-====== Procédure sur l’exercice des droits des personnes #74 ======+|{{:undo-2.svg?30|}} [[certif:do#procedures|Retour au Dossier Organisationnel]]|| 
 +|{{:connexe.jpg?40|}} **Sujets connexes**|[[https://cartographie-fonctionnelle.logeas-web.fr/|Cartographie fonctionnelle de LoGeAs]]\\ [[:certif:procedure:li:gestiondesrealationtel]]\\ [[https://www.cnil.fr/fr/professionnels-comment-repondre-une-demande-de-droit-dacces|CNIL : comment répondre à une demande de droit d'accès]]| 
 +====== Proc#15 - Exercice des droits des personnes (RGPD) ====== 
 ===== Informations qualité ===== ===== Informations qualité =====
-|**Suivi des modifications majeures** |24 septembre 2021 - Nicolas Marchand - Création du document| + 
-|**Suivi des approbations** |Ce document correspond à l'élément ProjeQtor Document # 74 PROC-NFlog-58-Procédure sur l’exercice des droits des personnes| +^Suivi des modifications majeures^^^ 
-|**Objet** |L'objectif de ce document est de définir la réponse à apporter à une demande d'application d'un droit RGPD| +^Date^Auteur^Modifications^ 
-|**Destinataires** |**- Validation des modifications : ** Gérant \\  **- Approbation du document** : Equipe Assistance| +|24 septembre 2021|Nicolas MARCHAND|Création du document| 
-===== Objectif et champ d’application ===== +|30 septembre 2026|Nicolas MARCHAND|Mise au format de la maîtrise documentaire ; réorganisation en étapes ; précision du délai légal de réponse ; remplacement d'OTRS par les tickets et les courriels, et de MonEspace par logeas-web.fr ; ajout des droits d'opposition et de limitation ; création du registre des demandes, tenu dans le cloud de l'entreprise et non sur le wiki ; ajout du cas où Logeas Informatique est sous-traitant (données contenues dans la base d'un client)| 
-Ce document a pour objet de définir la réponse à apporter aux demandes de droit d’accès des personnes concernées à leurs données personnelles. + 
-Les demandes devront être traitées conformément aux valeurs de la Scop. +|**Suivi des approbations** |[[https://cartographie-fonctionnelle.logeas-web.fr/UniversProcedure?id=15|Cartographie fonctionnelle – fiche de la procédure]]| 
-===== Que dois-je faire quand je reçois une demande relative aux droits des personnes sur leurs données personnelles ? ===== +|**Objet** |Définir la réponse à apporter à une personne qui demande à exercer un droit prévu par le RGPD sur ses données personnelles (accès, rectification, effacement, portabilité, opposition, limitation).| 
-Dès réception d’une demande d'application d'un droit d’accès : +|**Destinataires** |**- Validation des modifications :** Gérant \\ **- Approbation du document :** Gérance| 
-  * vous devez immédiatement en informer le référent RGPD (actuellement Mr MARCHAND) ou à défaut à l'un des gérants. +|**Origine** |Ce document correspond à l'ancien élément ProjeQtOr Document #74 (PROC-NFlog-58).| 
-  * identifier si la demande correspond à un droit du RGPD + 
-  * identifier si la demande provient d’un employé ou d’un client +\\ 
-  * si il y a un doute (si besoin se référer à https://www.cnil.fr/fr/professionnels-comment-repondre-une-demande-de-droit-dacces): + 
-    * vérifier l'identité du demandeur +===== Champ d'application ===== 
-    * vérifier si la demande porte sur des données spécifiques + 
-==== Pour mémoire ==== +Cette procédure s'applique à toute demande par laquelle une personne veut exercer un droit sur ses données personnelles détenues par Logeas Informatique. Deux situations sont à distinguer : 
-  * nous devons répondre à la demande dans un délai de 30 jours calendaires, à moins qu’un délai plus court ne soit requis (ex. : demande d’accès provenant de la police). + 
-  * les demandes de droit d’accès doivent être prises en charge gratuitement. +^ Situation ^ Rôle de Logeas Informatique ^ Qui répond sur le fond ^ 
-==== Pourquoi dois-je appliquer ces principes ? ==== +| Données que Logeas Informatique gère pour son propre compte : comptes utilisateurs de logeas-web.fr, échanges d'assistance, facturation, dossiers des salariés | Responsable du traitement | Logeas Informatique, selon la présente procédure | 
-Le RGPD requiert une divulgation complète des données personnelles, à moins qu’un motif légal autorise la rétention partielle ou totale de ces informations. +| Données contenues dans la base LoGeAs d'un client : ses membres, ses donateurs, ses contacts | Sous-traitant du client | Le client. Logeas Informatique lui transmet la demande et l'aide à y répondre (voir « Demande portant sur la base d'un client ») | 
-Le RGPD exige que la divulgation des données personnelles porte sur toutes les données personnelles pertinentes. + 
-Nous devons dans un premier temps avoir correctement identifié les demandes qui ressortent du droit d’accès, pour les traiter de manière adéquate. +Les demandes sont traitées conformément aux valeurs de la Scop. 
-L’application de cette procédure nécessite le soutien actif de tous les employés qui traitent au quotidien des données à caractère personnel. + 
-Logeas informatique doit être en mesure de prouver qu’il est performant devant la CNIL. +===== Règles ===== 
-Le RGPD requiert la mise en place d’une procédure de gestion des plaintes, avant que la personne concernée ne s’oriente vers la CNIL.  + 
-===== Comment doit-on procéder ? ===== +  * **Délai :** la réponse est donnée dans un délai de 30 jours calendaires à compter de la réception de la demande. Le RGPD fixe ce délai à un mois ; il peut être prolongé de deux mois si la demande est complexe, à condition d'en informer la personne, avec les raisons, avant la fin du premier mois. 
-Il n'existe pas à ce jour de procédure automatique.\\ +  * **Gratuité :** les demandes sont traitées gratuitement. 
-Il convient donc d'agir au cas par cas.\\ +  * **Étendue :** la réponse porte sur toutes les données personnelles concernées, sauf si un motif légal autorise à en retenir une partie. 
-L'ensemble des documents fournis seront stockés dans un dossier "RGPD - Droit d'accès aux informations personnelles" situé dans le dossier du client concerné (exemple : D:\Logeas Informatique\Clients\EPUdF\RGPD - Droit d'accès aux informations personnelles) +  * **Droits des tiers :** la communication ne doit pas porter atteinte aux droits d'autres personnes. 
-==== Cas du droit d'accès ==== +  * **Canal de réponse :** la réponse part du ticket ou d'une boîte de courriel partagée, jamais d'une boîte personnelle ([[:certif:procedure:li:gestiondesrealationtel|Proc#10]]). 
-=== OTRS === +  * **Preuve :** Logeas Informatique doit pouvoir démontrer à la CNIL qu'il a traité la demande. Chaque demande est inscrite au registre, tenu hors du wiki, et les documents fournis sont conservés (voir « Registre et conservation »). 
-  - faire une recherche par le nom de l'utilisateur et/ou son adresse mail + 
-  - vérifier que la communication ne porte pas atteinte au droit d'autres personnes +Ces règles demandent le concours de tous ceux qui traitent des données personnelles au quotidien : une demande mal identifiée ou traitée en retard peut conduire la personne à saisir la CNIL. 
-  - imprimer les files de contact dans un fichier PDF à stocker dans un répertoire + 
-=== MonEspace.logeas.fr === +===== Que faire à la réception d'une demande ===== 
-Il n'existe pas à ce jour de procédure automatique, il convient donc de faire des copies d'écrans non accessible par l'utilisateur. + 
-=== Autres === +  - **Informer immédiatement le référent RGPD**, ou à défaut l'un des gérants. 
-Pour mémoire aucun contact avec des clients ne doit partir depuis les files de mail (autre qu'OTRS). +  - **Inscrire la demande au registre**, avec sa date de réception. 
-En cas de doute procéder de même que pour OTRS, pour ce faire, vous aurez besoin de rechercher des e-mails (y compris les mails archivés ou supprimés s’ils peuvent être retrouvés), documents Word, tableurs, enregistrements vidéos, etc. +  - **Qualifier la demande :** correspond-elle à un droit prévu par le RGPD, et lequel ? 
-==== Cas du droit à oubli ==== +  - **Identifier le demandeur et les données visées :** salarié (ou ancien salarié), client ou utilisateur, ou personne dont les données figurent dans la base d'un client ? Dans ce dernier cas, suivre « Demande portant sur la base d'un client ». 
-Seules les données de MonEspace sont concernées. +  - **En cas de doute**, et en s'appuyant sur la [[https://www.cnil.fr/fr/professionnels-comment-repondre-une-demande-de-droit-dacces|fiche de la CNIL]] : 
-S'agissant de données liées à un contrat, elles seront uniquement archivées (suivi de la relation client) +    * vérifier l'identité du demandeur ; 
-==== Cas du droit de modification ==== +    * vérifier si la demande porte sur des données précises. 
-Le cas échéant indiquer au client comment il peut modifier sa fiche. +  - **Traiter la demande** selon le droit exercé (voir ci-dessous). Il n'existe pas de traitement automatique : chaque demande est traitée au cas par cas. 
-==== Cas du droit de portabilité ==== +  - **Répondre** à la personne dans le délai. 
-A ce stade, ce droit n'est pas possible automatiquement sur la base MonEspace.\\ +  - **Compléter le registre** avec la date et la nature de la réponse, et conserver les documents fournis. 
-Il convient donc de prendre contact avec un développeur qui procèdera à un export manuel directement depuis la base de donnée. + 
-===== Cas particulier des (ex)salariés ===== +===== Traitement selon le droit exercé ===== 
-Dans le cas ou le demandeur est un (ex) salarié, il convient de joindre aussi à la demande le dossier "social"+ 
 +^ Droit ^ Ce que demande la personne ^ Ce que l'on fait ^ 
 +| **Accès** | Obtenir une copie de ses données. | On rassemble les données de la personne dans chacun des outils (voir « Où chercher »), puis on les lui communique. | 
 +| **Rectification** | Faire corriger des données inexactes. | Le cas échéant, on indique à la personne comment modifier elle-même sa fiche. | 
 +| **Effacement** (droit à l'oubli) | Faire supprimer ses données. | Seules les données du compte utilisateur de logeas-web.fr sont concernées. Comme elles sont liées à un contrat, elles ne sont pas supprimées mais uniquement archivées (suivi de la relation client). | 
 +| **Portabilité** | Récupérer ses données dans un format réutilisable. | Ce droit n'est pas automatisé sur la base des utilisateurs de logeas-web.fr. On prend contact avec un développeur, qui réalise un export manuel directement depuis la base de données. | 
 +| **Opposition** | Ne plus faire l'objet d'un traitement, par exemple ne plus recevoir les courriels d'information. | Le référent RGPD examine la demande. Si le traitement n'est pas nécessaire à l'exécution du contrat ou à une obligation légale, on y met fin pour cette personne (par exemple, retrait des listes d'envoi). | 
 +| **Limitation** | Faire geler l'utilisation de ses données, le temps qu'une contestation soit examinée. | Le référent RGPD examine la demande. Pendant l'examen, les données sont conservées mais ne sont plus utilisées. | 
 + 
 +==== Où chercher (droit d'accès) ==== 
 + 
 +^ Outil ^ Comment ^ 
 +| **Tickets d'assistance** | Rechercher par le nom de l'utilisateur et par son adresse de courriel. Vérifier que la communication ne porte pas atteinte aux droits d'autres personnes. Exporter les échanges dans un fichier PDF. | 
 +| **Boîtes de courriel partagées** (assistance, contact, compta) | Même recherche, y compris dans les courriels archivés ou supprimés s'ils peuvent être retrouvés. Exporter les échanges dans un fichier PDF. | 
 +| **logeas-web.fr** | Relever les informations du compte de la personne auxquelles elle n'a pas accès elle-même, par des copies d'écran. | 
 +| **Autres** | En cas de doute, rechercher aussi dans les documents, les tableurs, les enregistrements vidéo, etc. | 
 + 
 +===== Demande portant sur la base d'un client ===== 
 + 
 +Une personne (membre, donateur, contact d'une structure cliente) peut s'adresser à Logeas Informatique pour exercer un droit sur des données enregistrées dans la base LoGeAs de cette structure. Pour ces données, c'est le client qui est responsable du traitement : Logeas Informatique n'est que son sous-traitant et ne décide pas de la réponse. 
 + 
 +  - **Ne pas répondre sur le fond** et ne communiquer, modifier ou supprimer aucune donnée de la base du client de sa propre initiative. 
 +  - **Informer le référent RGPD** et inscrire la demande au registre. 
 +  - **Transmettre la demande au client sans délai** : le délai de réponse d'un mois court pour lui. 
 +  - **Informer la personne** que sa demande a été transmise à la structure concernée, qui lui répondra. 
 +  - **Aider le client s'il le demande** : extraction, rectification ou suppression des données dans sa base, réalisées sur son instruction écrite. 
 +  - **Compléter le registre** avec la date de transmission au client. 
 + 
 +===== Cas particulier des salariés et anciens salariés ===== 
 + 
 +Si le demandeur est un salarié ou un ancien salarié, on joint aussi à la réponse son dossier « social ». 
 + 
 +===== Registre et conservation ===== 
 + 
 +  * Chaque demande est inscrite au **registre des demandes d'exercice de droits**, dès sa réception, puis complétée à la réponse. 
 +  * **Le registre est nominatif : il n'est pas tenu sur le wiki**, qui est consultable sans connexion. C'est un tableur conservé dans le cloud de l'entreprise (kDrive), dans le dossier RGPD de la gérance. Seuls la gérance et le référent RGPD y ont accès. 
 +  * Le registre ne contient que ce qui est nécessaire au suivi : identité du demandeur, qualité, droit exercé, dates, suite donnée. Il ne contient ni pièce d'identité, ni contenu de la demande. 
 +  * Le registre et les documents fournis sont conservés pendant la durée fixée par le référent RGPD, puis supprimés. 
 +  * Le [[:certif:procedure:demandedroitrpdg:registre|modèle du registre]] et le nombre de demandes reçues par année, sans aucun nom, sont publiés sur le wiki. 
 +  * Tous les documents fournis sont rangés dans un dossier « RGPD - Droit d'accès aux informations personnelles », placé dans le dossier du client concerné. 
 + 
 +Exemple : ''D:\Logeas Informatique\Clients\EPUdF\RGPD - Droit d'accès aux informations personnelles''