meta données pour cette page
Ceci est une ancienne révision du document !
 Retour au Dossier Organisationnel |
|
 Sujets connexes | Cartographie fonctionnelle de LoGeAs Proc#10 - Gestion des relations client CNIL : comment répondre à une demande de droit d'accès |
Proc#15 - Exercice des droits des personnes (RGPD)
Informations qualité
| Suivi des modifications majeures | ||
|---|---|---|
| Date | Auteur | Modifications |
| 24 septembre 2021 | Nicolas MARCHAND | Création du document |
| 30 septembre 2026 | Nicolas MARCHAND | Mise au format de la maîtrise documentaire ; réorganisation en étapes ; précision du délai légal de réponse ; remplacement d'OTRS par les tickets et les courriels, et de MonEspace par logeas-web.fr ; ajout des droits d'opposition et de limitation ; création du registre des demandes ; ajout du cas où Logeas Informatique est sous-traitant (données contenues dans la base d'un client) |
| Suivi des approbations | Cartographie fonctionnelle – fiche de la procédure |
| Objet | Définir la réponse à apporter à une personne qui demande à exercer un droit prévu par le RGPD sur ses données personnelles (accès, rectification, effacement, portabilité, opposition, limitation). |
| Destinataires | - Validation des modifications : Gérant - Approbation du document : Equipe |
| Origine | Ce document correspond à l'ancien élément ProjeQtOr Document #74 (PROC-NFlog-58). |
Champ d'application
Cette procédure s'applique à toute demande par laquelle une personne veut exercer un droit sur ses données personnelles détenues par Logeas Informatique. Deux situations sont à distinguer :
| Situation | Rôle de Logeas Informatique | Qui répond sur le fond |
|---|---|---|
| Données que Logeas Informatique gère pour son propre compte : comptes utilisateurs de logeas-web.fr, échanges d'assistance, facturation, dossiers des salariés | Responsable du traitement | Logeas Informatique, selon la présente procédure |
| Données contenues dans la base LoGeAs d'un client : ses membres, ses donateurs, ses contacts | Sous-traitant du client | Le client. Logeas Informatique lui transmet la demande et l'aide à y répondre (voir « Demande portant sur la base d'un client ») |
Les demandes sont traitées conformément aux valeurs de la Scop.
Règles
- Délai : la réponse est donnée dans un délai de 30 jours calendaires à compter de la réception de la demande. Le RGPD fixe ce délai à un mois ; il peut être prolongé de deux mois si la demande est complexe, à condition d'en informer la personne, avec les raisons, avant la fin du premier mois.
- Gratuité : les demandes sont traitées gratuitement.
- Étendue : la réponse porte sur toutes les données personnelles concernées, sauf si un motif légal autorise à en retenir une partie.
- Droits des tiers : la communication ne doit pas porter atteinte aux droits d'autres personnes.
- Canal de réponse : la réponse part du ticket ou d'une boîte de courriel partagée, jamais d'une boîte personnelle (Proc#10).
- Preuve : Logeas Informatique doit pouvoir démontrer à la CNIL qu'il a traité la demande. Chaque demande est inscrite au registre, et les documents fournis sont conservés (voir « Registre et conservation »).
Ces règles demandent le concours de tous ceux qui traitent des données personnelles au quotidien : une demande mal identifiée ou traitée en retard peut conduire la personne à saisir la CNIL.
Que faire à la réception d'une demande
- Informer immédiatement le référent RGPD, ou à défaut l'un des gérants.
- Inscrire la demande au registre, avec sa date de réception.
- Qualifier la demande : correspond-elle à un droit prévu par le RGPD, et lequel ?
- Identifier le demandeur et les données visées : salarié (ou ancien salarié), client ou utilisateur, ou personne dont les données figurent dans la base d'un client ? Dans ce dernier cas, suivre « Demande portant sur la base d'un client ».
- En cas de doute, et en s'appuyant sur la fiche de la CNIL :
- vérifier l'identité du demandeur ;
- vérifier si la demande porte sur des données précises.
- Traiter la demande selon le droit exercé (voir ci-dessous). Il n'existe pas de traitement automatique : chaque demande est traitée au cas par cas.
- Répondre à la personne dans le délai.
- Compléter le registre avec la date et la nature de la réponse, et conserver les documents fournis.
Traitement selon le droit exercé
| Droit | Ce que demande la personne | Ce que l'on fait |
|---|---|---|
| Accès | Obtenir une copie de ses données. | On rassemble les données de la personne dans chacun des outils (voir « Où chercher »), puis on les lui communique. |
| Rectification | Faire corriger des données inexactes. | Le cas échéant, on indique à la personne comment modifier elle-même sa fiche. |
| Effacement (droit à l'oubli) | Faire supprimer ses données. | Seules les données du compte utilisateur de logeas-web.fr sont concernées. Comme elles sont liées à un contrat, elles ne sont pas supprimées mais uniquement archivées (suivi de la relation client). |
| Portabilité | Récupérer ses données dans un format réutilisable. | Ce droit n'est pas automatisé sur la base des utilisateurs de logeas-web.fr. On prend contact avec un développeur, qui réalise un export manuel directement depuis la base de données. |
| Opposition | Ne plus faire l'objet d'un traitement, par exemple ne plus recevoir les courriels d'information. | Le référent RGPD examine la demande. Si le traitement n'est pas nécessaire à l'exécution du contrat ou à une obligation légale, on y met fin pour cette personne (par exemple, retrait des listes d'envoi). |
| Limitation | Faire geler l'utilisation de ses données, le temps qu'une contestation soit examinée. | Le référent RGPD examine la demande. Pendant l'examen, les données sont conservées mais ne sont plus utilisées. |
Où chercher (droit d'accès)
| Outil | Comment |
|---|---|
| Tickets d'assistance | Rechercher par le nom de l'utilisateur et par son adresse de courriel. Vérifier que la communication ne porte pas atteinte aux droits d'autres personnes. Exporter les échanges dans un fichier PDF. |
| Boîtes de courriel partagées (assistance, contact, compta) | Même recherche, y compris dans les courriels archivés ou supprimés s'ils peuvent être retrouvés. Exporter les échanges dans un fichier PDF. |
| logeas-web.fr | Relever les informations du compte de la personne auxquelles elle n'a pas accès elle-même, par des copies d'écran. |
| Autres | En cas de doute, rechercher aussi dans les documents, les tableurs, les enregistrements vidéo, etc. |
Demande portant sur la base d'un client
Une personne (membre, donateur, contact d'une structure cliente) peut s'adresser à Logeas Informatique pour exercer un droit sur des données enregistrées dans la base LoGeAs de cette structure. Pour ces données, c'est le client qui est responsable du traitement : Logeas Informatique n'est que son sous-traitant et ne décide pas de la réponse.
- Ne pas répondre sur le fond et ne communiquer, modifier ou supprimer aucune donnée de la base du client de sa propre initiative.
- Informer le référent RGPD et inscrire la demande au registre.
- Transmettre la demande au client sans délai : le délai de réponse d'un mois court pour lui.
- Informer la personne que sa demande a été transmise à la structure concernée, qui lui répondra.
- Aider le client s'il le demande : extraction, rectification ou suppression des données dans sa base, réalisées sur son instruction écrite.
- Compléter le registre avec la date de transmission au client.
Cas particulier des salariés et anciens salariés
Si le demandeur est un salarié ou un ancien salarié, on joint aussi à la réponse son dossier « social ».
Registre et conservation
- Chaque demande est inscrite au registre des demandes d'exercice de droits, dès sa réception, puis complétée à la réponse.
- Tous les documents fournis sont rangés dans un dossier « RGPD - Droit d'accès aux informations personnelles », placé dans le dossier du client concerné.
Exemple : D:\Logeas Informatique\Clients\EPUdF\RGPD - Droit d'accès aux informations personnelles