# Droits des personnes concernées : traiter les demandes dans le SI Informatique de gestion · Bachelor 3 > Accès, remise des données, rectification et effacement : organiser le traitement des demandes. ## Introduction La loi fédérale sur la protection des données révisée (nLPD), en vigueur depuis le 1er septembre 2023, donne aux personnes concernées des droits que l'entreprise doit pouvoir honorer concrètement. Pour un informaticien de gestion, la question n'est pas seulement juridique : il faut savoir où se trouvent les données d'une personne, dans quels systèmes, sous quelle forme, et qui répond à la demande. Le droit d'accès permet à toute personne de demander si des données la concernant sont traitées et d'obtenir les informations nécessaires pour faire valoir ses droits et garantir un traitement transparent : données traitées, finalité, durée de conservation, origine, destinataires. La nLPD a aussi introduit un droit à la remise ou à la transmission des données personnelles dans un format électronique courant (portabilité), pour les données traitées de manière automatisée que la personne a fournies, lorsque le traitement repose sur le consentement ou sur un contrat. Le droit à la rectification de données inexactes complète l'ensemble. La réponse doit en principe être donnée dans les 30 jours et gratuitement. Un processus clair (point d'entrée unique, vérification de l'identité, recherche dans les systèmes, relecture juridique, réponse documentée) transforme une obligation diffuse en procédure maîtrisée. Une réponse fausse ou incomplète donnée intentionnellement peut engager la responsabilité pénale de la personne qui en est chargée. ## Objectifs d'apprentissage - Énumérer les droits des personnes concernées prévus par la nLPD - Distinguer droit d'accès et droit à la remise des données (portabilité) - Concevoir un processus de traitement des demandes avec délai et vérification d'identité - Identifier les limites et refus justifiables d'une demande - Relier la cartographie des données aux exigences de réponse ## Concepts clés - **Droit d'accès** : Obtenir confirmation du traitement et les informations nécessaires : données, finalité, durée, origine, destinataires. - **Portabilité** : Remise ou transmission des données fournies par la personne, dans un format électronique courant, pour les traitements automatisés fondés sur le consentement ou un contrat. - **Délai de réponse** : En principe 30 jours, sans frais pour la personne, sauf exceptions prévues. - **Restriction du droit** : Le responsable peut refuser, restreindre ou différer lorsqu'une loi, un intérêt prépondérant de tiers ou le caractère abusif de la demande le justifie. - **Cartographie des données** : Inventaire des systèmes et flux contenant des données personnelles, indispensable pour répondre vite et complètement. ## Conclusion Les droits des personnes concernées ne sont crédibles que s'ils sont soutenus par une organisation et un système d'information capables de retrouver, corriger, exporter et supprimer des données dans un délai court. La nLPD déplace une part de la conformité vers l'architecture : inventaire des données, identifiants uniques, processus de demande documentés. Pour l'examen, retenez la structure droits - délai - vérification d'identité - restrictions - responsabilité pénale, ainsi que la logique de la cartographie. Pour la pratique, préférez un point d'entrée unique et un registre des demandes, afin de pouvoir démontrer la conformité. ## Cartes ### Depuis quand la nLPD est-elle en vigueur ? Depuis le 1er septembre 2023. ### Que peut obtenir une personne qui exerce son droit d'accès ? Les informations nécessaires pour faire valoir ses droits et garantir un traitement transparent, dont les données traitées, la finalité, la durée de conservation, l'origine et les destinataires. ### Quel est le délai de réponse en principe ? 30 jours, et la réponse est en principe gratuite. ### À quelles conditions la portabilité s'applique-t-elle ? Données traitées de manière automatisée, fournies par la personne, sur la base du consentement ou d'un contrat. ### Pourquoi vérifier l'identité du demandeur ? Pour ne pas remettre des données personnelles à un tiers non autorisé : une réponse mal adressée est elle-même une violation. ### Dans quels cas peut-on refuser ou restreindre l'accès ? Si une loi le prévoit, si les intérêts prépondérants d'un tiers l'exigent, ou si la demande est manifestement infondée ou abusive, avec indication du motif. ### Pourquoi une cartographie des données est-elle un prérequis opérationnel ? Sans inventaire des systèmes, sauvegardes et fichiers, la réponse risque d'être incomplète dans le délai imparti. ### Qui est l'autorité de surveillance fédérale en matière de protection des données ? Le Préposé fédéral à la protection des données et à la transparence (PFPDT). ### Que risque la personne qui fournit intentionnellement une réponse fausse ou incomplète ? Une amende pénale pouvant atteindre CHF 250 000, car la nLPD vise la personne physique responsable. ### Une rectification demandée par un client doit-elle toucher uniquement le CRM ? Non : elle doit se répercuter sur tous les systèmes qui détiennent la donnée (ERP, entrepôt, exports, sous-traitants). ## Glossaire - **Personne concernée** : Personne physique dont les données personnelles font l'objet d'un traitement. - **Responsable du traitement** : Entité qui décide des finalités et des moyens du traitement et qui répond des droits des personnes. - **Portabilité** : Droit de recevoir ses données dans un format électronique courant ou de les faire transmettre à un autre responsable. - **Vérification d'identité** : Contrôle proportionné que le demandeur est bien la personne concernée. - **Rectification** : Correction ou complétion de données inexactes. - **PFPDT** : Autorité fédérale de surveillance qui peut ouvrir une enquête et rendre des décisions contraignantes depuis la nLPD. https://ruvy.ch/decks/-P5CybcQqBYFpvZu5BvG