Générez une checklist de réponse aux demandes RGPD

Ce générateur transforme une demande d’accès, d’effacement ou de portabilité en checklist pratique. Il réunit les étapes opérationnelles communes, ajoute les actions propres au droit choisi et rappelle le délai standard ainsi que la prorogation éventuelle à surveiller. Ce résultat facilite la planification, mais ne constitue pas un conseil juridique et ne remplace pas l’analyse des faits ni du droit applicable.

Déclenchez le délai et attribuez la responsabilité

Consignez d’abord la date de réception, le canal, le droit exercé et la personne responsable. L’objectif standard du RGPD est de répondre sans retard injustifié et dans un délai d’un mois calendaire. Une demande peut parvenir par un canal inattendu ou sans vocabulaire juridique : le service client, les ressources humaines et les autres équipes concernées doivent savoir la reconnaître et la transmettre. Vérifiez l’identité de façon proportionnée, surtout lorsqu’une divulgation ou un effacement présente un risque, sans exiger systématiquement des justificatifs superflus. Si un mandataire intervient, contrôlez également son pouvoir. Clarifiez rapidement une portée ambiguë et consignez l’accord. Gardez l’échéance visible pendant ces échanges. Une demande complexe ou un grand nombre de demandes peut justifier jusqu’à deux mois supplémentaires, mais vous devez informer la personne dans le premier mois et motiver ce retard. Suivez cet avis comme une tâche distincte et conservez chaque calcul et décision afin que le calendrier reste vérifiable.

Recherchez, évaluez et appliquez le droit choisi

Établissez un plan couvrant les systèmes, sous-traitants, archives, messageries, équipes et identifiants susceptibles de contenir les données visées. Documentez les résultats ainsi que les emplacements contrôlés sans résultat. Pour l’accès, rassemblez les données et les informations complémentaires requises tout en protégeant les droits et libertés d’autrui. Pour l’effacement, identifiez son fondement et vérifiez si une obligation légale, une action en justice, la liberté d’expression, l’intérêt public ou une autre exception impose de poursuivre le traitement. Si l’effacement s’applique, traitez les systèmes actifs, les flux en aval, les sous-traitants et les copies conservées sous contrôle justifiable. Pour la portabilité, isolez les données fournies par la personne, traitées automatiquement sur la base du consentement ou d’un contrat. Produisez un format structuré, couramment utilisé et lisible par machine, puis envisagez la transmission directe si elle est demandée et techniquement possible. La checklist ne tranche pas automatiquement le droit : les exceptions, règles sectorielles et circonstances peuvent modifier la réponse correcte.

Contrôlez, remettez en sécurité et clôturez

Avant l’envoi, comparez le dossier à la demande initiale et à sa portée documentée. Vérifiez qu’il concerne la bonne personne, écarte les informations inutiles et protège proportionnellement les tiers. La réponse doit exposer clairement les mesures prises, toute limitation ou tout refus, ainsi que les voies de réclamation et de recours judiciaire pertinentes. Une décision de refus ou de facturation fondée sur le caractère manifestement infondé ou excessif doit être revue au niveau approprié et communiquée dans le délai initial applicable. Choisissez un canal adapté à la sensibilité des données. N’envoyez pas des pièces d’identité, des communications ou un historique de compte à une adresse non vérifiée. Validez le destinataire d’un transfert direct de portabilité et conservez la preuve de remise. Consignez enfin la date, l’approbation, le canal, les sources recherchées, les exceptions, les notifications et les engagements restants. Adaptez ce contrôle répétable à votre politique et aux faits. À $0.002 par requête API, il favorise aussi un traitement homogène sans remplacer l’appréciation professionnelle.