Les droits des personnes : accès, effacement, opposition

Les droits des personnes sont les pouvoirs que le RGPD donne à chacun sur ses données : savoir ce qu'une organisation détient sur lui, le corriger, le faire effacer, s'opposer à un traitement ou récupérer ses données. Le responsable de traitement doit répondre à chaque demande dans un délai d'un mois. Ce chapitre détaille chaque droit, la procédure pour traiter une demande et la façon de les prévoir dans une application.

Vue d'ensemble

À ces droits s'ajoute, en France, la possibilité de donner des directives sur le sort de ses données après sa mort (article 85 de la loi Informatique et libertés).

Le droit d'accès

C'est le droit le plus utilisé, et le point de départ des autres : on ne peut corriger ou effacer que ce qu'on sait détenu. La personne obtient :

• la confirmation que des données la concernant sont, ou ne sont pas, traitées ;
• une copie de ces données, la première gratuite (des frais raisonnables sont possibles pour des copies supplémentaires) ;
• les finalités, les catégories de données, les destinataires, la durée de conservation, la source des données si elles n'ont pas été collectées auprès d'elle, l'existence des autres droits et du droit de saisir la CNIL, et l'existence d'une décision automatisée avec sa logique.

Le droit d'accès porte sur toutes les données : la fiche du logiciel de gestion locative, mais aussi les tickets d'intervention, les courriels internes qui la concernent, les enregistrements d'appels, les journaux qui portent son identifiant. Il ne donne pas accès aux données d'autres personnes : on occulte le nom d'un voisin plaignant dans un ticket avant de transmettre la copie.

Le droit à l'effacement

La personne peut obtenir l'effacement de ses données dans six cas (article 17) : les données ne sont plus nécessaires ; elle retire son consentement et il n'existe pas d'autre base ; elle s'oppose au traitement et il n'existe pas de motif impérieux (ou il s'agit de prospection) ; le traitement est illicite ; une obligation légale impose l'effacement ; les données ont été collectées auprès d'un mineur dans le cadre d'un service en ligne.

L'effacement n'est pas un droit absolu. Le responsable peut refuser, totalement ou en partie, quand le traitement reste nécessaire au respect d'une obligation légale (les factures, les pièces comptables), à la constatation, l'exercice ou la défense de droits en justice (un litige en cours sur des impayés), à la liberté d'expression ou à l'archivage dans l'intérêt public. Il doit alors expliquer son refus et indiquer la possibilité de saisir la CNIL.

Le droit au déréférencement est une application de ce droit aux moteurs de recherche : depuis l'arrêt Google Spain de la Cour de justice de l'Union européenne du 13 mai 2014, une personne peut demander à un moteur de ne plus afficher, dans les résultats d'une recherche sur son nom, des liens vers des pages qui la concernent, lorsque l'information est inexacte, obsolète ou excessive. La page elle-même reste en ligne (chapitre 9).

Les droits d'opposition, de limitation et de portabilité

L'opposition vise les traitements fondés sur l'intérêt légitime ou la mission d'intérêt public. La personne invoque des raisons tenant à sa situation particulière ; le responsable doit s'arrêter, sauf s'il démontre des motifs légitimes et impérieux qui prévalent (la sécurité de son système, la défense d'un droit en justice). Contre la prospection, l'opposition est absolue : aucune justification n'est demandée, et l'organisation doit cesser immédiatement. Elle ne vise pas les traitements fondés sur le contrat ou l'obligation légale : un locataire ne peut pas s'opposer à l'appel de son loyer.

La limitation gèle les données le temps de régler une contestation : pendant que l'organisation vérifie une donnée contestée, pendant qu'elle examine une opposition, quand la personne préfère la limitation à l'effacement d'un traitement illicite, ou quand elle a besoin des données pour une action en justice alors que l'organisation n'en a plus l'usage.

La portabilité permet de récupérer ses données dans un format structuré, couramment utilisé et lisible par machine (JSON, CSV, XML) et de les transmettre à un autre organisme, ou de demander leur transmission directe quand c'est techniquement possible. Elle ne couvre que les données fournies par la personne (y compris les données d'usage générées par son activité), pas celles que l'organisation a calculées ou déduites, et seulement pour les traitements automatisés fondés sur le consentement ou le contrat.

Les décisions entièrement automatisées

L'article 22 protège contre les décisions prises sans aucune intervention humaine qui produisent des effets juridiques ou affectent la personne de manière significative : refus automatique d'un crédit par un score, rejet automatique d'une candidature, attribution d'un logement par un algorithme seul. Elles ne sont permises que si elles sont nécessaires à un contrat, autorisées par la loi ou fondées sur le consentement explicite, et avec des garanties : droit d'obtenir une intervention humaine, d'exprimer son point de vue et de contester. Une intervention humaine de façade (un agent qui valide sans examiner) ne suffit pas.

Traiter une demande : la procédure

La réponse est gratuite. Pour les demandes manifestement infondées ou excessives (répétitives), le responsable peut exiger des frais raisonnables ou refuser, mais c'est à lui de le démontrer. Si l'organisation ne répond pas, la personne peut adresser une plainte à la CNIL, en ligne, en joignant sa demande initiale. La CNIL contacte alors l'organisme et peut ouvrir un contrôle ou une procédure de sanction (chapitre 6).

Prévoir les droits dans une application

Le principe de protection des données dès la conception (article 25) impose de prévoir l'exercice des droits dans l'architecture, pas au moment où la première demande arrive.

Exemple d'export pour le droit d'accès et la portabilité, avec une route d'API protégée qui ne renvoie que les données de l'utilisateur connecté :

// GET /api/moi/export : export des données du locataire connecté (Express)
app.get('/api/moi/export', authentifier, async (req, res) => {
  const id = req.utilisateur.id; // jamais un identifiant pris dans l'URL
  const [locataire, demandes, consentements] = await Promise.all([
    db.locataire.trouver(id),
    db.demande.lister({ idLocataire: id }),
    db.consentement.lister({ idLocataire: id }),
  ]);
  res.attachment('mes-donnees.json');
  res.json({ exporteLe: new Date().toISOString(), locataire, demandes, consentements });
});

Pour l'effacement, on distingue ce qui doit être supprimé et ce qui doit être conservé pour une obligation légale :

-- Effacement d'un ancien locataire : les données de compte disparaissent ;
-- les factures restent intactes, en archivage intermédiaire à accès restreint,
-- jusqu'à la fin de l'obligation de conservation de 10 ans.
START TRANSACTION;
UPDATE facture SET archivee = TRUE WHERE id_locataire = 4521;
DELETE FROM consentement WHERE id_locataire = 4521;
DELETE FROM demande      WHERE id_locataire = 4521;
DELETE FROM compte_portail WHERE id_locataire = 4521;
UPDATE locataire SET nom = NULL, prenom = NULL, email = NULL, telephone = NULL, efface_le = NOW()
 WHERE id_locataire = 4521;
COMMIT;

Les factures ne sont ni supprimées ni modifiées : une facture dont on aurait remplacé le nom du client ne prouverait plus rien. Marquées comme archivées, elles sortent de l'application courante et passent dans une table ou un schéma que seule la comptabilité peut lire ; elles seront supprimées à la fin du délai légal.

Les sauvegardes posent une question pratique : on ne restaure pas chaque sauvegarde pour en retirer une personne. On documente plutôt que les données effacées disparaîtront avec la rotation normale des sauvegardes, que celles-ci ne servent qu'à restaurer le système, et que les effacements seront rejoués si une sauvegarde est restaurée. D'où l'intérêt de tenir la liste des effacements effectués, et d'informer la personne de ce délai.

Exercices

app.post('/compte/:id/supprimer', async (req, res) => {
  await db.query('UPDATE compte_portail SET actif = 0 WHERE id = ' + req.params.id);
  res.send('Votre compte a été supprimé.');
});