Mises à jour de la section RGPD : Droit de restreindre le traitement des données

Quel est le droit de restreindre le traitement ?

La série Règlement Général de Protection des Données (RGPD) vise à donner à l’individu (personne concernée) plus de contrôle sur le sort de ses données personnelles. L'article 18 du règlement détaille le droit de l'individu d'imposer des restrictions à une organisation et de limiter la manière dont il utilise les données.

La personne concernée doit avoir une raison pour restreindre les données, par exemple, elle peut penser que les données sont inexactes ou elle ne pense pas avoir donné son consentement pour que ses données soient utilisées de la manière dont elles l'ont été. Regardons cela plus en détail.

Quand une personne peut-elle exercer son droit à restreindre le traitement ?

Le Bureau du commissaire à l'information (ICO) déclare que :

• la personne conteste l'exactitude de ses données personnelles et vous vérifiez l'exactitude des données ;
• les données ont été traitées illégalement (c'est-à-dire en violation de l'exigence de licéité du premier principe du RGPD) et la personne s'oppose à l'effacement et demande à la place une limitation ;
• vous n'avez plus besoin des données personnelles mais la personne a besoin que vous les conserviez afin d'établir, d'exercer ou de défendre un droit en justice ; ou
• la personne s'est opposée au traitement de ses données en vertu de l'article 21, paragraphe 1, et vous vous demandez si vos motifs légitimes prévalent sur ceux de la personne.

Bien qu'il existe des distinctions claires, vous pouvez constater que la limitation du traitement est liée au droit de rectification du RGPD (article 16) et au droit d'opposition (article 21, paragraphe 1). Cela signifie qu'il est recommandé que si vous recevez une demande de rectification ou d'opposition, vous limitez automatiquement le traitement pendant que la demande est en cours d'examen.

Comment restreindre le traitement des données pour le RGPD ?

L'efficace gestion de cet aspect du RGPD, comme beaucoup d’autres, se résume à la planification des processus. Le traitement des données personnelles comprend la collecte, la structuration, la diffusion et l'effacement, vous devez donc en tenir compte lors de la création de votre processus.

De plus, la méthode de stockage que vous utilisez est tout aussi importante. Si vous recevez une demande de restriction, vous pouvez temporairement déplacer ces données vers un système de traitement distinct. Vous pouvez également choisir de rendre les données indisponibles ou de les supprimer de l'endroit où elles sont actuellement visibles, comme sur un site Web par exemple.

Si vous avez déjà partagé ces données avec une autre organisation, vous devez l'informer de la demande.

Quand une restriction peut-elle être levée ou refusée ?

Normalement, une restriction au traitement est un état temporaire si elle est fondée sur l’exactitude ou la nécessité. Une fois que ces questions auront été résolues et que vous aurez informé la personne, vous pourrez choisir de lever la restriction.

Vous pouvez refuser une demande de restriction si vous la jugez infondée ou excessive. L'ICO déclare :

Si vous considérez qu’une demande est manifestement infondée ou excessive vous pouvez :

• demander des « frais raisonnables » pour traiter la demande ; ou

• refuser de traiter la demande.

Dans les deux cas, vous devrez justifier votre décision.

Vous devez baser les frais raisonnables sur les coûts administratifs liés au respect de la demande. Si vous décidez de facturer des frais, vous devez contacter la personne rapidement et l'en informer. Vous n’êtes pas tenu de donner suite à la demande tant que vous n’avez pas reçu les frais.

Si vous refusez une demande, vous devez expliquer à la personne pourquoi vous avez pris cette décision, expliquer son droit de déposer une plainte auprès de l'ICO et l'informer de ses droits judiciaires.

Nous avons parlé de la nécessité de mettre en place des politiques pour faciliter le traitement de ces demandes. Mais votre organisation maîtrise-t-elle les données personnelles qu’elle détient ? ISMS.online a une solution pour ça.