Droits des Personnes RGPD : le Guide pour Développeurs
Implémentez les 8 droits des personnes et simplifiez l'exercice de droits
Le RGPD reconnaît 8 droits : information, accès, rectification, effacement, limitation, portabilité, opposition et encadrement des décisions automatisées. Vous avez un mois pour répondre à chaque demande. Découvrez comment mettre en œuvre techniquement ces droits, vérifier l'identité des demandeurs, gérer les sous-traitants et automatiser le processus avec une API DSAR complète.
Information, accès, rectification, effacement, limitation, portabilité, opposition, décision automatisée. Chaque personne peut les exercer à tout moment.
02
Un mois pour répondre
Délai légal obligatoire, extensible à 3 mois pour les demandes complexes. Le non-respect expose à des amendes CNIL massives.
03
Entièrement automatisable
Nous développons les interfaces, API DSAR et mécanismes techniques pour traiter les demandes conformément et dans les délais.
01
Les droits des personnes dans le RGPD
Le RGPD garantit 8 droits fondamentaux à chaque personne concernée par un traitement de données. Ces droits sont essentiels pour assurer un équilibre entre les besoins légitimes des entreprises et la protection des libertés individuelles.
Les trois premiers droits concernent la transparence et l'accès : le droit d'information (articles 13-14) vous garantit de savoir qui traite vos données et pourquoi, le droit d'accès (article 15) vous permet de demander une copie de toutes vos données, et le droit de rectification (article 16) autorise la correction de données inexactes.
Les trois suivants concernent le contrôle des données : le droit à l'effacement (article 17) permet de demander la suppression, le droit à la limitation (article 18) de restreindre l'usage, et le droit à la portabilité (article 20) de récupérer vos données dans un format utilisable.
Enfin, les deux derniers droits garantissent l'autonomie décisionnelle : le droit d'opposition (article 21) de refuser un traitement, notamment marketing, et les droits en matière de prise de décision automatisée (article 22) interdisant les décisions purement algorithmiques sans intervention humaine. Chaque demande d'exercice de droits appelle une réponse dans un délai d'un mois, qui peut être porté à trois mois compte tenu de la complexité et du nombre de demandes.
02
Droit d'accès (article 15)
Le droit d'accès est l'un des plus importants : la personne peut demander une copie de toutes les données vous la concernant. Vous devez fournir ces informations dans un format lisible et compréhensible, avec des explications claires sur le contexte de chaque donnée.
Concrètement, cela signifie : extraire TOUTES les données stockées (bases de données, logs, fichiers, sauvegardes), inclure les métadonnées (date de création, dernière modification, motif du traitement), fournir dans un format lisible (PDF, CSV, JSON) et une langue accessible, identifier l'origine des données et les destinataires potentiels.
Les pièges courants à éviter : ne pas oublier les données dans les archives ou sauvegardes, inclure les données dérivées ou inférées (scores, classifications), fournir sans explications techniques incompréhensibles, ou demander un délai d'attente anormalement long. L'accès doit être fourni dans les meilleurs délais, et au plus tard dans un délai d'un mois. Il n'est pas permis de refuser sous prétexte que l'extraction serait coûteuse ou complexe.
Le droit à l'effacement, aussi appelé « droit à l'oubli », permet à une personne de demander la suppression complète de ses données. Cependant, ce droit n'est pas absolu et il existe plusieurs exceptions importantes.
Le responsable du traitement DOIT supprimer les données si : elles ne sont plus nécessaires, la personne retire son consentement, elle s'oppose au traitement, ou elles ont été obtenues illégalement. En revanche, le responsable peut REFUSER si : une obligation légale exige la conservation, un motif d'intérêt public dans le domaine de la santé publique le justifie, les données sont nécessaires à la constatation, à l'exercice ou à la défense de droits en justice, le traitement relève de la liberté d'expression et d'information, ou l'intérêt archivistique/scientifique/historique prime.
Techniquement, l'effacement pose deux défis : le « hard delete » (suppression physique de toutes les traces) et la propagation aux sous-traitants (qui doivent eux aussi supprimer). Vous devez documenter les effacements pour justifier votre conformité, et gérer les sauvegardes : une donnée en base de données mais conservée dans une sauvegarde n'est pas vraiment effacée. Un audit technique approfondi est recommandé.
Le droit à la portabilité garantit que vous pouvez récupérer vos données dans un format exploitable, généralement pour les transférer à un autre service. C'est particulièrement important pour éviter de dépendre d'un seul prestataire.
Cependant, ce droit ne s'applique pas universellement. Il concerne uniquement les données : obtenues avec le consentement ou dans le cadre d'un contrat (pas les données collectées sur base légale d'obligation légale), et que la personne a déclarées ou qui sont tirées de son activité, comme un historique d'achat (pas les données dérivées, calculées ou inférées). Par exemple, un score de crédit calculé à partir de vos données n'est pas portable, car c'est une donnée dérivée.
Le format doit être structuré et lisible par machine : JSON, CSV, XML, pas un PDF scannalisé. Vous avez aussi l'obligation de transférer directement chez un concurrent si techniquement possible. L'une des complexités : consolider les données depuis plusieurs systèmes (ERP, CRM, analytics) dans un export cohérent et vérifiable. Automatiser ce processus réduit drastiquement les délais et les erreurs.
05
Droit d'opposition et profilage (articles 21-22)
Le droit d'opposition (article 21) autorise le refus d'un traitement, notamment dans un contexte marketing. Si la personne demande de ne plus recevoir vos emails commerciaux, vous DEVEZ arrêter immédiatement. Il existe des exceptions pour les traitements justifiés par un intérêt légitime suffisamment puissant, mais elles sont rares et difficiles à défendre.
Le droit en matière de prise de décision automatisée (article 22) est encore plus fort : une personne ne peut pas être soumise à une décision purement algorithmique ayant des effets significatifs, sauf si la décision est nécessaire à la conclusion ou à l'exécution d'un contrat, autorisée par le droit de l'Union ou d'un État membre, ou fondée sur le consentement explicite de la personne. Cela signifie que vous ne pouvez pas refuser un crédit, un emploi ou un service basé uniquement sur un algorithme sans intervention humaine. Vous devez mettre en place un processus d'appel et d'examen manuel.
Techniquement, cela oblige à documenter chaque décision automatisée, conserver des traces d'intervention humaine, et fournir une explication compréhensible sur les raisons de la décision (pas juste « l'algorithme a dit non »). Les systèmes de IA et machine learning doivent être auditables et explicables.
06
Implémenter les droits dans votre application
Implémenter techniquement les droits RGPD exige une architecture pensée dès la conception. Commencez par exposer une API DSAR sécurisée : endpoints pour soumettre une demande, vérifier son statut, recevoir les données ou recevoir la confirmation d'effacement.
Le workflow complet comprend : 1) collecte de la demande avec contexte (quel droit exact), 2) vérification de l'identité robuste (multi-facteur si données sensibles), 3) vérification de la légitimité (délai, demandes antérieures frauduleuses), 4) extraction conforme et validation (test que le délai soit respecté), 5) archivage immédiat pour audit, 6) notification des sous-traitants, 7) envoi sécurisé (email chiffré, lien temporaire, pas de stockage du fichier en clair).
Les défis techniques : gérer les données fragmentées (plusieurs bases, microservices, systèmes tiers), expurger les logs et backups (une « vraie » suppression prend du temps), vérifier les permissions utilisateur internes (qui a accès à quelle donnée), documenter totalement (audit trail incontournable). La solution la plus robuste : une plateforme GDPR Toolkit centralisée qui médiatise toutes les demandes.
Chez Bob le développeur, nous ne construisons pas seulement des
produits SaaS, nous réalisons des rêves. Bob, à la barre de notre
équipe d'experts, est bien plus qu'un développeur : il est le
co-pilote agile et dévoué de votre projet entrepreneurial.
Eux-mêmes anciens entrepreneurs, les membres de Bob
comprennent les défis auxquels vous faites face et savent comment
les transformer en opportunités.
01
En contact permanent
Nous savons que chaque entreprise est unique. C'est pourquoi Bob et son équipe mettent un point d'honneur à tisser des relations solides et authentiques avec chacun de nos clients.
02
Rapidité et efficacité : notre signature
Dans le monde des startups, le temps c'est de l'argent. Notre processus de développement agile garantit que votre produit sera sur le marché en un temps record, prêt à conquérir son audience.
Témoignages
Ce que disent nos clients
“
Nous avons fait appel à Bob dans le cadre du développement de notre site Spliit et de notre web app. Leur accompagnement était complet avec une forte expertise technique et une approche produit. Ils ont su s'adapter rapidement à notre contexte et nos besoins. Fortement recommandé!
François Bulteau · CEO - Spliit
“
Antoine nous a accompagnés quelques mois sur le développement NextJS / NestJS / Typescript de plusieurs MVP dans le cadre de nos cycles exploratoires chez Carbonfact.
La collaboration est excellente : les échanges sont clairs, efficaces. Antoine s'est très bien adapté à notre contexte et a travaillé avec beaucoup d'autonomie, ce qui était parfait à notre stade de développement.
Nous avons beaucoup apprécié sa capacité à comprendre rapidement les enjeux business et à s'assurer de l'alignement de ses choix techniques avec nos pratiques et notre stratégie.
Nous serons ravis de travailler à nouveau avec Antoine et l'équipe de Bob le Développeur.
Romain Champourlier · CTO - Carbonfact
“
Je suis satisfait de la production finale d’Hypnolib.
Points positifs : Qualité de la prestation, Réactivité, Disponibilité, Force de propositions.
Stanislas Bétoux · CEO - Hypnolib
“
Engagé pour réaliser et développer notre site internet multiplateforme et multilingue. L’équipe a été très compétente en proposant des technologies Getbiz.
L'équipe de Bob le développeur a su bien comprendre notre projet, pour nous proposer la meilleure solution de développement pour la création de notre application.
Leur accompagnement fut très professionnel et les délais respectés. Bravo et merci à toute l'équipe.
Stanislas Denis · CEO - GetBiz
“
Bob le développeur a su répondre rapidement et efficacement à chacune de nos attentes.
Leur accompagnement et leur agilité tout au long de la réalisation du projet nous ont été très précieux, et nous ont permis de répondre très rapidement aux différentes difficultés rencontrées.
Leur expertise technique et leur orientation business nous ont permis de trouver ensemble les meilleures solutions pour une réalisation plus robuste sur le long terme.
Merci à toute l’équipe !
Romain Le Drogo · Founder - Sutom
“
L'équipe a su s'adapter aux différentes exigences et être force de proposition sur les concepts originaux que nous avons soumis pour notre plateforme interne. Hâte de retravailler ensemble!
RILESUNDAYZ · Record label and publishing company
FAQ
Questions fréquentes
01Quels sont les droits des personnes dans le RGPD ?
Le RGPD garantit 8 droits fondamentaux à chaque personne dont les données sont traitées. Le droit d'information (articles 13-14) garantit une transparence totale sur les traitements. Le droit d'accès (article 15) permet de demander une copie de toutes les données vous concernant. Le droit de rectification (article 16) autorise la correction de données inexactes. Le droit à l'effacement, ou « droit à l'oubli » (article 17), permet demander la suppression de vos données, sauf exceptions. Le droit à la limitation du traitement (article 18) permet de restreindre l'usage des données. Le droit à la portabilité (article 20) garantit une récupération facile dans un format exploitable. Le droit d'opposition (article 21) permet de refuser un traitement, notamment le marketing. Enfin, les droits relatifs à la prise de décision automatisée (article 22) interdisent les décisions purement automatisées ayant des effets significatifs sans intervention humaine.
02Quel est le délai pour répondre à une demande d'exercice de droits ?
Le délai légal est d'un mois à compter de la réception de la demande (article 12 du RGPD). Si vous avez un doute raisonnable sur l'identité du demandeur et lui demandez des informations supplémentaires, ce délai est suspendu jusqu'à leur réception. Vous pouvez le prolonger de deux mois, compte tenu de la complexité et du nombre de demandes. Vous avez l'obligation d'informer la personne de cette prolongation et de ses motifs dans un délai d'un mois à compter de la réception de la demande. Passé ce délai sans réponse, vous êtes en violation du RGPD et la CNIL peut engager des poursuites.
03Peut-on refuser une demande d'effacement ?
Oui, le RGPD prévoit plusieurs exceptions au droit à l'effacement (article 17, paragraphe 3). Vous pouvez refuser si le traitement est nécessaire : à l'exercice du droit à la liberté d'expression et d'information, au respect d'une obligation légale ou à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique, à des motifs d'intérêt public dans le domaine de la santé publique, à des fins archivistiques dans l'intérêt public, de recherche scientifique ou historique ou à des fins statistiques, ou à la constatation, à l'exercice ou à la défense de droits en justice. Dans tous ces cas, vous devez informer la personne des motifs du refus.
04Comment vérifier l'identité du demandeur ?
La personne justifie de son identité par tout moyen, et la vérification doit rester proportionnée à la nature de la demande et à la sensibilité des données. Les méthodes courantes : la comparaison avec les données que vous possédez déjà (email enregistré, numéro client), l'exercice de la demande depuis un espace où la personne est déjà authentifiée, ou l'envoi d'un code à usage unique sur un numéro déjà connu. La copie d'une pièce d'identité ne peut être demandée qu'en cas de doute raisonnable sur l'identité du demandeur. Attention à ne pas demander des vérifications excessives qui rendraient impossible ou compliquée l'exercice du droit. La vérification doit être équilibrée entre sécurité et accessibilité.
05Le droit à la portabilité s'applique-t-il à toutes les données ?
Non, le droit à la portabilité ne s'applique qu'aux données fournies par la personne avec son consentement ou dans le cadre d'un contrat. Il concerne les données que la personne a déclarées et celles tirées de son activité (historique d'achat, données d'un objet connecté), mais pas les données dérivées, calculées ou inférées. Par exemple, un score de risque calculé à partir de vos données n'est pas portable. Le format doit être structuré, couramment utilisé et lisible par machine (JSON, CSV, XML). Vous avez aussi l'obligation de transmettre les données directement à un autre responsable si demandé techniquement possible.
06Que faire si une demande concerne des données partagées avec des sous-traitants ?
Le responsable du traitement reste responsable même si des sous-traitants traitent les données concernées. Vous devez coordonner avec eux rapidement. Pour une demande d'effacement, vous transmettez l'ordre d'effacement à tous vos sous-traitants qui doivent s'exécuter sans délai. Pour l'accès, vous devez consolider les données de tous les sous-traitants et fournir un export complet. Pour la portabilité, même logique : collecte auprès de tous les sous-traitants puis transmission à la personne. Les délais de coordination doivent rester compris dans le délai légal d'un mois. Documentez chaque étape pour justifier votre diligence.
07Comment automatiser le traitement des demandes d'exercice de droits ?
Une API DSAR automatise le processus complet : collecte, vérification, extraction, export et envoi sécurisé. Le workflow comprend : 1) Collecte sécurisée des demandes via un formulaire web ou par email. 2) Vérification automatisée ou semi-automatique de l'identité (comparaison email, double facteur). 3) Extraction des données conformes à la demande depuis votre base de données. 4) Export dans le format demandé (JSON, CSV, PDF). 5) Archivage de la demande et des échanges pour audit. 6) Notification des sous-traitants et synchronisation des réponses. 7) Envoi sécurisé à la personne. Des plateformes RightsTech comme OneTrust, Transcend ou notre propre solution intègrent ces flux.
08Que risque-t-on si on ne répond pas dans les délais ?
Le non-respect des délais expose à des amendes CNIL pouvant atteindre 20 millions d'euros ou 4% du chiffre d'affaires. Au-delà de l'amende, la CNIL peut prononcer un rappel à l'ordre, une injonction de mise en conformité assortie d'une astreinte pouvant atteindre 100 000 euros par jour de retard, ou la limitation temporaire ou définitive du traitement, voire son interdiction. En parallèle, la personne lésée peut engager un recours judiciaire et obtenir dommages-intérêts. Enfin, le Code pénal punit d'une contravention de la cinquième classe le fait de ne pas répondre à une demande d'accès, ou de ne pas procéder à la rectification ou à l'effacement demandés (articles R. 625-11 et R. 625-12).
Sources
Sources et références officielles
Les informations de cette page sont issues de sources officielles et de références juridiques fiables. Nous vous encourageons à consulter ces documents pour approfondir vos connaissances sur l'exercice des droits des personnes.