Le droit de la vie privée donne aux personnes des droits sur leurs données. Les utilisateurs peuvent demander à voir ce que vous avez collecté, corriger des données inexactes, les supprimer ou les transférer ailleurs. Ces demandes sont fréquentes et juridiquement contraignantes. Vous devez avoir des processus pour les traiter vite et de façon complète. Ce chapitre présente les principaux droits des utilisateurs et la façon de les mettre en œuvre au quotidien.
Les principaux droits des utilisateurs
Le droit d'accès
Les utilisateurs peuvent demander une copie de toutes les données que vous détenez sur eux. Vous avez 30 jours (RGPD) pour la fournir. Les données doivent être dans un format courant et portable (CSV, PDF). Vous devez inclure tous les types de données : événements de statistiques, informations de compte, échanges, historique des transactions.
C'est complexe, car les données sont souvent réparties entre plusieurs systèmes. Vous devez interroger tous les systèmes, rassembler les données, les mettre en forme de façon lisible et les envoyer de manière sécurisée.
Le droit de rectification (correction)
Les utilisateurs peuvent demander la correction de données inexactes. Si votre système affiche le nom d'un utilisateur « Jhn » au lieu de « John », il peut demander la correction. Vous devez corriger rapidement. Cela vaut pour toute donnée que l'utilisateur conteste comme inexacte.
Le droit à l'effacement (suppression)
Traité dans le chapitre précédent. Les utilisateurs peuvent demander la suppression de leurs données. Vous avez 30 jours pour vous y conformer (avec des exceptions pour les obligations légales).
Le droit à la limitation du traitement
Les utilisateurs peuvent vous demander de limiter l'usage de leurs données. Exemple : « N'utilisez pas mes données pour le marketing, mais vous pouvez les garder pour la gestion de mon compte. » Vous devez respecter cette restriction et signaler les données comme limitées dans vos systèmes.
Le droit à la portabilité des données
Les utilisateurs peuvent demander leurs données dans un format qu'ils peuvent emporter chez une autre entreprise. C'est surtout important pour changer de service. Vous devez fournir les données dans un format structuré et couramment utilisé (JSON, CSV). Les données doivent être lisibles par une machine pour pouvoir être importées ailleurs.
Le droit d'opposition
Les utilisateurs peuvent s'opposer au traitement de leurs données pour certaines finalités. Si vous utilisez les données pour le marketing, ils peuvent s'y opposer. Vous devez arrêter, sauf motif légitime impérieux de continuer.
Les droits liés aux décisions automatisées
Si vous utilisez des algorithmes pour prendre des décisions concernant les utilisateurs (décisions de crédit, éligibilité à des services), les utilisateurs ont le droit de comprendre comment la décision a été prise et de demander un examen par un humain. Cela dépasse les statistiques, mais il est utile de le savoir.
Construire un processus de demande d'accès aux données
Étape 1 : créer un moyen de faire une demande
Offrez aux utilisateurs un moyen simple d'envoyer leurs demandes. Options : un formulaire web, une adresse e-mail (data-requests@yourcompany.com) ou un portail en libre-service dans les réglages du compte. Rendez-le facile à trouver (lien en bas de page, dans la politique de confidentialité, dans les réglages du compte).
Étape 2 : vérifier l'identité
Confirmez que la demande vient de l'utilisateur lui-même ou d'un représentant autorisé. Demandez une confirmation par e-mail, une vérification du mot de passe ou une pièce d'identité officielle (selon la sensibilité). Vous ne voulez pas envoyer de données personnelles à une personne qui usurpe une identité.
Étape 3 : déterminer quelles données fournir
Interrogez tous les systèmes où existent des données de l'utilisateur : comptes, statistiques, support, listes d'e-mails, CRM, sauvegardes. Rassemblez tout. Incluez : les e-mails envoyés à l'utilisateur, les envois de formulaires, les tickets de support, les achats, les événements de suivi, les préférences, l'historique des échanges.
Soyez complet. Une infraction fréquente : fournir une partie des données, mais pas toutes. Si une autorité enquête et trouve des données que vous n'avez pas communiquées, c'est un problème.
Étape 4 : mettre en forme de façon lisible
Fournissez les données dans un format clair. Les extractions brutes de base de données ne sont pas acceptables. Créez un document structuré : informations du compte d'abord, puis événements, puis échanges. Utilisez des tableaux et des titres clairs. Si l'utilisateur a besoin de portabilité, fournissez un format importable (JSON, CSV).
Étape 5 : transmettre de façon sécurisée
N'envoyez pas de données personnelles par e-mail non chiffré. Utilisez un service sécurisé de transfert de fichiers (lien de téléchargement sécurisé qui expire, e-mail chiffré, SFTP). Confirmez la réception.
Étape 6 : documenter
Consignez la demande : date de réception, date de traitement, données fournies, mode d'envoi. C'est votre preuve de conformité en cas d'enquête d'une autorité.
Traiter les demandes à grande échelle
Automatique ou manuel
Pour les petites entreprises, traiter les demandes à la main est possible. Pour les entreprises avec des millions d'utilisateurs, il faut de l'automatisation. Construisez un système qui : reçoit les demandes, vérifie l'identité, interroge les bases de données, met les données en forme et les livre, le tout avec un minimum de travail manuel.
Modèles et listes de contrôle
Créez des modèles de réponse : « Nous avons reçu votre demande le [date]. Voici vos données... » Créez des listes de contrôle : données du compte, c'est fait ; statistiques, c'est fait ; support, c'est fait. Les listes de contrôle évitent d'oublier un type de données.
Les erreurs courantes dans le traitement des demandes
Ne pas répondre à temps : la limite de 30 jours n'est pas facultative. La dépasser est une infraction. Réglez des rappels et suivez les échéances.
Fournir des données incomplètes : si vous fournissez une partie des données mais pas toutes, vous n'êtes pas conforme. Assurez-vous que votre recherche couvre tous les systèmes.
Une mauvaise mise en forme : fournir une extraction brute de base de données n'est pas conforme. Mettez les données en forme de façon lisible.
Ne pas vérifier l'identité : envoyer des données personnelles à des usurpateurs engage votre responsabilité. Vérifiez toujours.
Ignorer les demandes suivantes : si le même utilisateur fait plusieurs demandes, traitez chacune. Ne supposez pas que les précédentes couvrent la nouvelle.
Facturer des frais : le RGPD n'autorise des frais que si les demandes sont manifestement infondées ou excessives. N'utilisez pas les frais pour décourager des demandes légitimes.
Droits des utilisateurs et fonctionnement de l'entreprise
Traiter les demandes de données est une charge. Mais les entreprises qui respectent les droits des utilisateurs gagnent la confiance, évitent les amendes, attirent des clients attentifs à la vie privée et attirent des talents (les employés aiment travailler pour des entreprises éthiques). Le coût opérationnel est un investissement dans la culture et la conformité.
Intégrer les droits des utilisateurs dans la conception du produit
L'approche la plus maligne : intégrer les droits des utilisateurs au produit dès le départ. Offrez aux utilisateurs un portail en libre-service où ils peuvent : voir leurs données, les télécharger, les supprimer, modifier leurs préférences. Cela allège le support et donne du pouvoir aux utilisateurs. La plupart des applications récentes le proposent (réglages du compte, export des données, boutons de suppression du compte).
Quelle liste de contrôle systématique pour inclure toutes les données d'un utilisateur dans ma réponse ?
Créez un inventaire : (1) Systèmes de comptes (e-mail, nom, téléphone, préférences). (2) Statistiques (événements, horodatages, informations sur l'appareil, localisation). (3) Échanges (e-mails envoyés, tickets de support, historiques de chat). (4) Transactions (achats, remboursements, paiements échoués). (5) Données tierces (données partagées avec des fournisseurs). Interrogez chaque système par identifiant utilisateur. Ne comptez pas sur des recherches manuelles : automatisez. Documentez ce que vous avez interrogé et quand.
Quelle est la meilleure façon de mettre en forme et de livrer une réponse à une demande d'accès ?
Créez un document PDF ou HTML avec des sections : « Les informations de votre compte », « Votre activité », « Les échanges ». Utilisez des tableaux pour les événements (date, action, détails). Pour les demandes de portabilité, fournissez aussi du CSV ou du JSON. Livrez de façon sécurisée : lien de téléchargement protégé par mot de passe (qui expire au bout de 14 jours), e-mail chiffré ou service sécurisé de transfert de fichiers. Confirmez la réception avec l'utilisateur. Gardez une trace du mode de livraison pour vos registres de conformité.
Quand puis-je facturer une demande d'accès à un utilisateur, et combien ?
RGPD : facturez seulement si la demande est « manifestement infondée ou excessive » (très rare). En général, c'est gratuit. CCPA : des frais raisonnables seulement. En pratique : ne facturez pas la première demande ; ne facturez que les demandes répétées du même utilisateur sur une courte période (au-delà du seuil de la demande abusive). Répondez toujours gratuitement à la première demande. Annoncez la règle à l'avance dans votre politique de confidentialité.
Que faire des données que je ne parviens vraiment pas à localiser, et dois-je continuer à chercher ?
Recherche raisonnable : interrogez tous les systèmes en production que vous contrôlez et vérifiez les sauvegardes si elles sont accessibles. Si les données n'existent pas dans vos systèmes principaux, vous êtes conforme. Si vous avez trouvé des données partielles (les statistiques existent mais pas les informations du compte), documentez les systèmes vérifiés. Écrivez à l'utilisateur : « Nous avons cherché dans [liste des systèmes] et trouvé [X]. Nous n'avons pas trouvé de données dans [systèmes Y] parce que [raison]. »
Quelle est la procédure légale pour les demandes faites par quelqu'un qui agit au nom d'un utilisateur ?
Étape 1 : demandez à la personne autorisée une autorisation écrite de l'utilisateur (pièce d'identité notariée pour les mineurs ou en cas d'incapacité). Étape 2 : vérifiez que le signataire est bien qui il prétend être (comparez avec la pièce d'identité). Étape 3 : vérifiez que l'autorisation couvre le type de demande concerné (accès, suppression, etc.). Étape 4 : répondez à la personne autorisée ou à l'utilisateur (vérifiez selon la juridiction, certaines exigent une copie pour l'utilisateur). Conservez l'autorisation dans votre dossier.
Quel plan d'action si je ne respecte actuellement pas les délais des demandes de données ?
Tout de suite : (1) Retrouvez toutes les demandes en attente, prolongez le délai de 30 jours en expliquant pourquoi. (2) Mettez en place un système de suivi des demandes (un tableur au minimum, un outil de demandes de vie privée à grande échelle). (3) Désignez un responsable (une seule personne redevable). (4) Fixez un délai interne de 20 jours (10 jours de marge avant l'échéance légale de 30 jours). (5) Documentez le processus : demande reçue → recherche dans les systèmes → mise en forme de la réponse → livraison. Testez d'abord avec une fausse demande.