Le d\u00e9cret du 1er ao\u00fbt dernier pris en application de la loi \u00ab\u00a0Informatique et libert\u00e9s\u00a0\u00bb r\u00e9cemment r\u00e9form\u00e9e (souvent d\u00e9sign\u00e9e sous l’intitul\u00e9 “LIL3”) vient pr\u00e9ciser certaines modalit\u00e9s pratiques concernant l’exercice de leurs droits par les personnes concern\u00e9es (droit d\u2019acc\u00e8s, droit de rectification, droit \u00e0 l\u2019effacement, droit \u00e0 la portabilit\u00e9,\u2026).<\/p>\n
<\/p>\n
Le r\u00e8glement europ\u00e9en (UE)2016\/679 du 27 avril 2016 dit \u00ab\u00a0r\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es\u00a0\u00bb (\u00ab\u00a0RGPD\u00a0\u00bb) \u00e9tant applicable depuis le 25 mai 2018, le l\u00e9gislateur fran\u00e7ais a modifi\u00e9 la loi n\u00b078-17 dite \u00ab\u00a0Informatique et libert\u00e9s\u00a0\u00bb<\/a>, puis son d\u00e9cret d\u2019application n\u00b02005-1309 pour harmoniser ces textes avec les nouvelles dispositions europ\u00e9ennes.<\/p>\n Suite \u00e0 l\u2019adoption du nouveau d\u00e9cret d\u2019application n\u00b02018-687 du 1er<\/sup> ao\u00fbt 2018, modifiant le d\u00e9cret d\u2019application n\u00b02005-1309 pr\u00e9cit\u00e9<\/a>, il en r\u00e9sulte notamment que\u00a0:<\/p>\n \u00ab\u00a0Lorsque la personne concern\u00e9e forme une demande, y compris par voie \u00e9lectronique, tendant \u00e0 la mise en \u0153uvre des droits pr\u00e9vus aux articles 38 \u00e0 40 de la loi <\/em>[Informatique et libert\u00e9s] et aux articles 12 \u00e0 21 du <\/em>[RGPD] pr\u00e9cit\u00e9 <\/em>[i.e. les droits des personnes concern\u00e9es], elle justifie de son identit\u00e9 par tout moyen.<\/strong> Elle peut exercer ses droits en utilisant des donn\u00e9es d’identit\u00e9 num\u00e9riques lorsque ces donn\u00e9es sont n\u00e9cessaires et estim\u00e9es suffisantes par le responsable du traitement pour authentifier ses utilisateurs. <\/em><\/p>\n \u00a0Lorsque le responsable du traitement ou le sous-traitant a des doutes raisonnables quant \u00e0 l’identit\u00e9 de cette personne, il peut demander les informations suppl\u00e9mentaires apparaissant n\u00e9cessaires, y compris, lorsque la situation l’exige, la photocopie d’un titre d’identit\u00e9 portant la signature du titulaire<\/strong>. <\/em><\/p>\n \u00a0Les d\u00e9lais<\/strong> pr\u00e9vus au 3 de l’article 12 du <\/em>[RGPD] pr\u00e9cit\u00e9 sont suspendus lorsque le responsable du traitement ou le sous-traitant a sollicit\u00e9 des informations suppl\u00e9mentaires n\u00e9cessaires pour identifier la personne concern\u00e9e <\/strong>\u00a0<\/em><\/p>\n \u00a0Lorsqu’il existe un doute raisonnable sur l’identit\u00e9 du demandeur ou sur l’adresse postale \u00e0 laquelle la personne concern\u00e9e a demand\u00e9 la transmission par \u00e9crit d’informations la concernant, la r\u00e9ponse peut \u00eatre exp\u00e9di\u00e9e sous pli recommand\u00e9 sans avis de r\u00e9ception, la v\u00e9rification de l’adresse et de l’identit\u00e9 s’effectuant lors de la d\u00e9livrance du pli\u00a0\u00bb<\/em> (cf. r\u00e9daction du nouvel article 92 du d\u00e9cret).<\/p>\n <\/p>\n En premier lieu, il appara\u00eet que le l\u00e9gislateur a ainsi consacr\u00e9 la doctrine de la Cnil qui avait rendu un avis sur le projet du d\u00e9cret pr\u00e9cit\u00e9 en consid\u00e9rant qu’une copie d’un titre d’identit\u00e9 ne devait \u00eatre sollicit\u00e9e que si elle \u00e9tait n\u00e9cessaire au traitement de la demande (Cnil, D\u00e9lib\u00e9ration n\u00b0 2018-284 du 21 juin 2018)<\/a>. En effet, dans cet avis, la Cnil avait estim\u00e9 que \u00ab\u00a0la sollicitation syst\u00e9matique d’une pi\u00e8ce d’identit\u00e9 peut constituer un frein \u00e0 l’exercice des droits des personnes, notamment dans le cadre des traitements li\u00e9s aux activit\u00e9s en ligne, d\u00e8s lors qu’elle aboutit \u00e0 requ\u00e9rir des personnes concern\u00e9es un niveau d’authentification plus forte en cas d’exercice de leurs droits que dans le cadre de leur utilisation du service. En outre, une telle exigence syst\u00e9matique pourrait conduire le responsable du traitement \u00e0 traiter des donn\u00e9es excessives au regard des finalit\u00e9s poursuivies, en m\u00e9connaissance du principe de minimisation des donn\u00e9es<\/em>\u00a0\u00bb.<\/p>\n La Cnil a d’ailleurs confirm\u00e9 sa position dans sa fiche pratique \u00ab<\/span> Professionnel : comment r\u00e9pondre \u00e0 une demande de droit d’acc\u00e8s ?<\/em><\/a> \u00bb, publi\u00e9e le 8 ao\u00fbt dernier, en indiquant qu’\u00ab <\/span>il n’est pas n\u00e9cessaire de joindre une photocopie d’un titre d’identit\u00e9 en cas d’exercice d’un droit d\u00e8s lors que l’identit\u00e9 de la personne est suffisamment \u00e9tablie<\/em>\u00a0\u00bb<\/span>.<\/p>\n Par cons\u00e9quent, compte-tenu de cette nouvelle r\u00e9daction en droit fran\u00e7ais, il semble qu\u2019il ne soit pas n\u00e9cessaire pour un responsable de traitement, lors de la r\u00e9ception d\u2019une demande d\u2019exercice de ses droits adress\u00e9e par une personne concern\u00e9, de demander syst\u00e9matiquement une copie de son titre d\u2019identit\u00e9 sign\u00e9 pour y r\u00e9pondre. Il conviendra d\u2019appr\u00e9cier au cas par cas si seule la copie du titre d\u2019identit\u00e9 du demandeur permet de s\u2019assurer de son identit\u00e9 ou si d\u2019autres \u00e9l\u00e9ments pourraient \u00eatre suffisants (par exemple, lorsque la demande \u00e9mane d\u2019une personne concern\u00e9e via son espace personnel en ligne et dont les donn\u00e9es d\u2019identit\u00e9 num\u00e9riques suffisent \u00e0 l\u2019authentifier). Si d\u2019autres moyens permettent de v\u00e9rifier l\u2019identit\u00e9 du demandeur, le traitement d\u2019une copie de son titre d\u2019identit\u00e9 pourraient \u00eatre consid\u00e9r\u00e9 comme excessif.<\/p>\n En termes d’application pratique, il r\u00e9sulte de ce qui pr\u00e9c\u00e8de que la r\u00e9f\u00e9rence, dans les mentions d\u2019information, \u00e0 la communication syst\u00e9matique d\u2019une copie d\u2019un titre d\u2019identit\u00e9 sign\u00e9 \u00e0 l’appui d’une demande \u00e9manant d’une personne concern\u00e9e visant \u00e0 l’exercice de ses droits ne semble plus opportune.<\/strong><\/p>\n <\/p>\n En second lieu, ce nouveau texte vient apporter une pr\u00e9cision importante sur les cons\u00e9quences li\u00e9es \u00e0 la demande d\u2019informations suppl\u00e9mentaires pouvant \u00eatre adress\u00e9e par le responsable de traitement au demandeur en cas de doute raisonnable sur l’identit\u00e9 de ce dernier. Il \u00e9tait initialement pr\u00e9vu par le droit fran\u00e7ais qu\u2019une telle demande avait pour effet de suspendre le d\u00e9lai octroy\u00e9 au responsable de traitement pour r\u00e9pondre \u00e0 la personne concern\u00e9e. Toutefois, les effets d\u2019une telle demande sur les d\u00e9lais de r\u00e9ponse \u00e9taient devenus incertains compte tenu de la r\u00e9daction et de la terminologie employ\u00e9es\u00a0dans le\u00a0RGPD, lequel ne se prononce pas express\u00e9ment sur cette question.<\/p>\n D\u00e9sormais, le doute est lev\u00e9 puisque le d\u00e9cret pr\u00e9cit\u00e9 confirme le principe selon lequel la demande d\u2019informations suppl\u00e9mentaires suspend le d\u00e9lai de r\u00e9ponse, \u00e9tant pr\u00e9cis\u00e9 qu\u2019une telle demande doit effectivement \u00eatre justifi\u00e9e et non r\u00e9alis\u00e9e par le responsable de traitement \u00e0 des fins dilatoires pour profiter des effets d\u2019une telle suspension. Pour m\u00e9moire, le d\u00e9lai de r\u00e9ponse \u00e0 la personne concern\u00e9e \u00e0 l\u2019initiative d\u2019une demande d\u2019exercice de ses droits est en principe d\u2019un mois \u00e0 compter de la r\u00e9ception de sa demande, ce d\u00e9lai pouvant \u00e9ventuellement \u00eatre exceptionnellement prolong\u00e9 de deux mois en raison de la complexit\u00e9 et du nombre de demandes le cas \u00e9ch\u00e9ant.<\/p>\n <\/p>\n Par AGIL’IT – P\u00f4le IT & Data protection<\/a><\/p>\nExcessivit\u00e9 de la collecte syst\u00e9matique du titre d\u2019identit\u00e9 du demandeur<\/strong><\/h2>\n
Suspension du d\u00e9lai de r\u00e9ponse en cas de demande d\u2019informations suppl\u00e9mentaires<\/strong><\/h2>\n