Répondez aux demandes d'accès et d'effacement pour l'ensemble de vos formulaires

Le chapitre III du RGPD accorde aux personnes qui remplissent vos formulaires un ensemble de droits. Les deux que vous rencontrerez le plus souvent :

• Accès (article 15). Confirmation que vous détenez ou non leurs données, une copie de celles-ci, et des informations telles que les finalités, les destinataires et la durée de conservation.
• Effacement (article 17). Suppression lorsque, entre autres motifs, les données ne sont plus nécessaires, que le consentement est retiré, ou que la personne s'oppose au traitement et qu'il n'existe aucun motif impérieux de les conserver. L'article 17, paragraphe 3, prévoit des exceptions, comme les données que vous devez conserver pour respecter une obligation légale.

Les personnes peuvent aussi demander la rectification (article 16) ou la limitation (article 18), obtenir une copie portable des données qu'elles ont fournies lorsque le traitement repose sur le consentement ou un contrat (article 20), et s'opposer à un traitement fondé sur l'intérêt légitime (article 21), que vous ne pouvez alors poursuivre que pour des motifs légitimes impérieux.

L'article 12, paragraphe 3, fixe le délai : répondre dans les meilleurs délais et dans un mois à compter de la réception, prolongeable de deux mois supplémentaires pour les demandes complexes ou nombreuses, si vous en informez la personne dans le premier mois. La réponse est en principe gratuite (article 12, paragraphe 5).

Si vous avez des doutes raisonnables sur l'identité du demandeur, vous pouvez demander des informations permettant de la confirmer (article 12, paragraphe 6). Pour les données de formulaires, une vérification proportionnée consiste souvent en une réponse envoyée depuis l'adresse e-mail figurant dans les soumissions. Évitez de demander plus de données, comme une copie de pièce d'identité, que la demande ne le justifie. Les lignes directrices 01/2022 du Comité européen de la protection des données sur le droit d'accès détaillent les vérifications d'identité et l'étendue d'une copie.

Vous êtes le responsable du traitement, c'est donc à vous de répondre à la demande. Formward est votre sous-traitant et, au titre de l'article 28, paragraphe 3, point e), et de la section 8 du DPA, vous assiste en fournissant des outils plutôt qu'en répondant à votre place. Une demande qui parvient directement à Formward vous est transmise.

La console DSAR se trouve dans le tableau de bord, sous Demandes des personnes concernées, disponible à partir de l'offre Personal. Elle fonctionne avec les adresses e-mail.

1. Recherche. Saisissez l'adresse e-mail de la personne. La console parcourt chaque formulaire des espaces de travail auxquels vous appartenez et retrouve les soumissions où l'adresse apparaît dans le contenu, y compris dans les champs de texte libre et les versions antérieures des réponses modifiées. Les résultats sont regroupés par formulaire, avec la date, un aperçu et les noms des fichiers joints. Les vérifications de destinataires de notification et les acceptations de DPA liées à cette adresse sont également listées.
2. Exporter. Téléchargez le résultat au format JSON. Il répertorie chaque soumission correspondante avec son formulaire, sa date et un aperçu du contenu. Pour les soumissions longues ou les fichiers joints, ouvrez la soumission dans le tableau de bord afin de remettre à la personne une copie complète.
3. Effacer. Après confirmation, Formward supprime toutes les soumissions correspondantes dans l'ensemble de vos formulaires, avec leurs fichiers joints, l'historique des réponses et les enregistrements de livraison des webhooks, ainsi que les vérifications de destinataires correspondantes. Vous recevez un certificat d'effacement au format JSON : un hachage de l'adresse e-mail, le nombre d'enregistrements effacés, les formulaires concernés et l'heure.
4. Historique. Chaque recherche et chaque effacement est consigné dans l'historique des demandes, et les effacements également dans le journal d'audit de l'espace de travail. La personne y est identifiée par un hachage à sens unique, jamais par son adresse e-mail.

Un point à vérifier avant tout effacement : la recherche porte sur l'adresse en tant que texte, donc anna@example.com correspond aussi à joanna@example.com. Consultez d'abord les résultats par formulaire. Et si un formulaire ne demandait jamais d'adresse e-mail, recherchez plutôt dans les soumissions le nom ou le numéro de téléphone.

1. Notez la date de réception de la demande : le délai d'un mois commence à cette date.
2. Vérifiez l'identité de manière proportionnée, généralement en répondant à l'adresse enregistrée.
3. Recherchez dans la console DSAR, puis dans les endroits qu'elle ne peut pas voir : boîtes de réception des notifications, tableurs, CRM alimentés par des webhooks, fichiers exportés.
4. Pour un accès, envoyez la copie accompagnée des informations de l'article 15 : finalités, destinataires, durée de conservation et autres droits de la personne.
5. Pour un effacement, vérifiez si une exception de l'article 17, paragraphe 3, s'applique, effacez, puis conservez le certificat.
6. Répondez dans le mois, ou expliquez la prolongation dans ce même délai.

Une durée de conservation courte rend chacune de ces étapes plus simple. Le modèle de formulaire de contact et le guide du formulaire de contact collectent tous deux une adresse e-mail, sur laquelle la console effectue ses recherches.