Droit d'accès aux données (DSAR) dans le cadre du RGPD et du CCPA : comprendre les principales différences

La protection des données est aujourd'hui une préoccupation majeure pour les organisations. C'est pourquoi les lois sur la protection des données se sont multipliées dans le monde entier. Une étude révèle que seulement 10 % de la population mondiale bénéficiait d'une protection des données jusqu'à l'année dernière. L'étude indique également qu'environ 65 % des données de la population La sécurité des données sera assurée d'ici fin 2023. L'enquête Cisco sur la protection des données des consommateurs révèle que 84 % des personnes sont préoccupées par la confidentialité de leurs données dans le monde numérique et souhaitent un meilleur contrôle sur leur utilisation. Face à ces préoccupations croissantes, les instances législatives ont mis en place des réglementations spécifiques en matière de protection des données, accordant aux consommateurs le droit d'accéder à leurs données. Le Règlement général sur la protection des données (RGPD) européen, notamment, confère aux résidents le droit d'accès aux données (DSAR). De même, de nombreuses autres réglementations encadrent la protection des données, telles que la loi californienne sur la protection des données des consommateurs (CCPA), la LPRPDE au Canada et la LGPD au Brésil. Examinons les principales différences concernant le droit d'accès aux données dans le cadre du RGPD et de la CCPA. 

Qu'est-ce que le DSAR ?

Les demandes d'accès aux données (DSAR) ne sont pas nouvelles, les entreprises et les autorités gouvernementales les utilisant depuis de nombreuses années. Cependant, la réglementation sur la protection des données et la confidentialité a apporté plusieurs modifications qui facilitent l'accès aux données pour les consommateurs. Une DSAR est une demande adressée par une personne concernée à votre entreprise. Conformément à la réglementation, vous êtes tenu de fournir toutes les informations dans les meilleurs délais.  

Article 15 du RGPD Etats,

« Toute personne concernée devrait avoir le droit d’accéder aux données personnelles la concernant qui ont été collectées, d’exercer ce droit facilement et à intervalles raisonnables, et de connaître et de vérifier la licéité du traitement. »

Selon Article 1.81.5 du CCPA, 

(a) Le consommateur a le droit, à tout moment, d'exiger d'une entreprise qui vend des renseignements personnels le concernant à des tiers qu'elle cesse de le faire. Ce droit est appelé droit de retrait.

(b) Une entreprise qui vend les renseignements personnels des consommateurs à des tiers doit aviser les consommateurs, conformément à l'alinéa (a) de l'article 1798.135, que ces renseignements peuvent être vendus et que les consommateurs ont le « droit de refuser » la vente de leurs renseignements personnels.

(c) Une entreprise qui a reçu des instructions d'un consommateur de ne pas vendre les renseignements personnels du consommateur ou, dans le cas des renseignements personnels d'un consommateur mineur, qui n'a pas reçu le consentement pour vendre les renseignements personnels du consommateur mineur, est interdite.

DSAR en vertu du RGPD et du CCPA

En vertu du RGPD et du CCPA, la DSAR présente les différences et similitudes suivantes :

DSAR – Les points clés à considérer 

Concernant le DSAR, certaines attentes sont communes. En voici quelques-unes :

• L'entreprise répondra à la demande ou prendra des mesures. 
• La réponse inclura toutes les informations 
• L'action se déroulera dans un délai défini.

Pour les entreprises, l'une des exigences fondamentales est de conserver une trace écrite de la réponse apportée à la demande. Elles doivent notamment consigner la date de réception et la date de réponse. 

Les entreprises disposent d'un délai pour répondre aux demandes d'accès aux données (DSAR). Conformément au RGPD, elles doivent répondre dans un délai de 30 jours. En revanche, le CCPA impose un délai de 45 jours. D'autres délais peuvent également s'appliquer :

• 10 jours ouvrables pour confirmer la réception de la demande 
• 15 jours ouvrables pour répondre aux demandes de désabonnement 
• 90 jours ouvrables pour informer les fournisseurs de ne pas vendre d'informations sur les consommateurs
• Deux ans pour la tenue du registre des demandes 

DSAR – Les principales exceptions 

Il existe des exceptions au droit d'accès aux données (DSAR) pour les organisations dans certaines circonstances. Une exception courante au titre du RGPD est l'effort disproportionné. Les entreprises ne peuvent pas invoquer les exceptions au DSAR pour justifier leur refus de répondre aux demandes.

La loi californienne sur la protection des données des consommateurs (CCPA) autorise les organisations à supprimer des données à la demande. Par exemple, si un consommateur demande la suppression de ses données avant la fin de la période de garantie, l'entreprise est autorisée à y accéder. 

En d'autres termes, il existe de nombreuses exceptions à la DSAR, qui varient selon les juridictions, les lois de l'État et de nombreux autres facteurs. 

Liste de contrôle DSAR pour les organisations

Voici comment les entreprises peuvent choisir de répondre aux demandes d'accès aux données (DSAR) :

• Un système capable de recevoir et de traiter efficacement toutes les demandes
• Vérification de l'identité des personnes concernées dès réception des demandes 
• Collecte et examen des données relatives aux demandes traitées
• Plans de remédiation 
• Plans pour la livraison des informations demandées 

Les entreprises peuvent-elles refuser de répondre à une demande d'accès aux données (DSAR) ? Oui, dans certaines circonstances, elles peuvent refuser une demande. Voici quelques exemples :

• Le format consultable et accessible des renseignements personnels n'est pas maintenu
• Le traitement des données personnelles a pour but la conformité. 
• Les informations ne sont pas utilisées à des fins commerciales 
• Ces données sont utilisées à des fins de sécurité nationale ou de maintien de l'ordre.
• La personne concernée a formulé plusieurs demandes de perturbation du système.

Points clés à retenir

La protection des données et le respect de la vie privée sont des préoccupations majeures pour les autorités et organisations chargées de l'application de la loi. Différentes régions du monde ont mis en place diverses réglementations, telles que le RGPD dans l'UE, le CCPA en Californie et la LGPD au Brésil. La demande d'accès aux données (DSAR) confère aux consommateurs le droit d'accéder à leurs données. En vertu du CCPA et du RGPD, la DSAR assure aux personnes concernées la visibilité et le contrôle de leurs données. Bien qu'il existe certaines exceptions à la DSAR dans certaines situations, les personnes concernées conservent la liberté de demander l'accès à leurs données personnelles, leur suppression ou leur effacement. 

Vous avez des questions sur la protection des données et la confidentialité ? Nos experts sont toujours là pour vous aider.