Les droits qu'on vous demandera vraiment
Le RGPD en prévoit plusieurs, mais en pratique trois seulement reviennent :
- L'accès - « quelles données avez-vous sur moi ? »
- L'effacement - « supprimez tout. »
- L'opposition - « arrêtez de m'envoyer vos offres. »
Ce dernier est de loin le plus fréquent, et c'est aussi le plus simple à traiter.
Le délai : un mois
Vous avez un mois pour répondre, à compter de la réception. Prolongeable de deux mois si la demande est complexe, à condition de prévenir la personne dans le premier mois.
Le point important : il faut répondre, même pour dire non. Le silence est la faute la plus fréquente et la plus facilement sanctionnée.
Comment traiter une demande d'accès
Vérifiez d'abord que la personne est bien qui elle prétend être - sans exiger une pièce d'identité si vous pouvez vous en passer autrement. Puis rassemblez ce que vous détenez : fiche client, historique de commandes, échanges de mails, notes internes la concernant.
Fournissez une copie dans un format lisible. Vous n'êtes pas obligé de livrer un document sophistiqué : un export clair suffit.
Le droit à l'effacement n'est pas absolu
C'est le point que beaucoup ignorent. Vous devez conserver vos factures dix ans : un client qui demande la suppression totale ne peut pas les faire disparaître.
La bonne réponse dans ce cas : supprimer ce qui peut l'être - fichier prospect, historique de navigation, inscription newsletter - et expliquer clairement ce qui est conservé, pourquoi et jusqu'à quand. Les gens comprennent parfaitement quand on leur explique.
S'organiser à l'avance
Deux choses suffisent. Une adresse dédiée mentionnée dans votre politique de confidentialité, pour que les demandes arrivent au bon endroit. Et une trace écrite de chaque demande et de la réponse apportée - un simple tableau.
Le jour où quelqu'un conteste, c'est ce tableau qui vous protège.
