Droit d’accès : confirmer le traitement et fournir les données

En vertu de l’article 15 du GDPR, le droit d’accès confère aux personnes deux éléments concrets : premièrement, la confirmation que leurs données à caractère personnel font effectivement l’objet d’un traitement et, deuxièmement, une copie de ces données accompagnée d’informations essentielles telles que les finalités du traitement, les catégories de données concernées et les destinataires auxquels elles ont été communiquées. Ce droit n’est pas identique au droit à l’effacement (article 17), qui permet aux personnes de demander la suppression de leurs données, ni au droit à la limitation du traitement (article 18), qui suspend le traitement. Considérez l’accès comme un outil de transparence : il révèle ce qui se passe, au lieu d’y mettre fin ou de supprimer les données.

Pour éviter toute confusion, une astuce utile consiste à retenir la formule « montrez-moi, ne m’arrêtez pas » pour le droit d’accès. Si une question mentionne une personne souhaitant savoir à qui ses données ont été envoyées ou pourquoi elles sont conservées pendant cinq ans, il s’agit du droit d’accès, et non du droit à l’effacement. Autre indice permettant d’éliminer des réponses : le droit d’accès s’accompagne toujours d’une copie des données, ce qui n’est pas le cas de l’effacement ni de la limitation. Dans les questions à choix multiple, méfiez-vous des réponses trompeuses qui remplacent le mot « confirmation » par « suppression » ou « blocage » : ces termes relèvent d’autres articles.

Pour bien retenir ce point, testez-vous avec une brève situation mentale : un client demande « Pouvez-vous me dire si vous conservez mon adresse électronique et avec qui vous la partagez ? » Il s’agit du droit d’accès, et non du droit à l’effacement. Si vous associez la formule « confirmer et copier » à l’article 15, vous éviterez le piège courant consistant à confondre ces droits.