Respecter le droit à l’oubli du Règlement général sur la protection des données (RGPD)

Le droit à l’effacement, aussi appelé droit à l’oubli, est une disposition clé du Règlement général sur la protection des données (RGPD). Il donne aux personnes le droit de demander à une organisation de supprimer leurs données personnelles, et oblige les organisations à donner suite à ces demandes dans un délai déterminé.

Pour les entreprises qui utilisent plusieurs outils et bases de données, respecter le droit à l’effacement peut s’avérer difficile. Voici les principaux défis auxquels elles sont confrontées, et quelques solutions possibles.

Défi 1 : identifier toutes les occurrences de données personnelles

L’un des premiers défis des entreprises qui cherchent à répondre aux demandes de suppression de données personnelles est d’identifier toutes les occurrences de ces données dans leurs différents outils et bases de données. Les données personnelles peuvent se trouver à de nombreux endroits : systèmes de CRM, plateformes de marketing automation, bases de données RH, etc. De plus, ces données peuvent être dupliquées d’un système à l’autre, ce qui rend encore plus difficile de toutes les identifier et de toutes les supprimer.

Solution : mener un exercice d’inventaire et de cartographie des données

Pour identifier toutes les occurrences de données personnelles dans leurs différents outils et bases de données, les entreprises doivent mener un exercice d’inventaire et de cartographie des données. Il s’agit de recenser toutes les données que l’entreprise collecte et conserve, et de cartographier la circulation de ces données au sein de l’organisation. Grâce à ces informations, l’entreprise peut ensuite établir une cartographie qui indique où sont stockées les données personnelles et comment elles sont utilisées.

Défi 2 : s’assurer que les données sont supprimées dans tous les systèmes

Une fois que l’entreprise a identifié toutes les occurrences de données personnelles dans ses différents outils et bases de données, le défi suivant consiste à s’assurer que ces données sont supprimées dans tous les systèmes. C’est particulièrement difficile lorsque les données sont stockées dans des formats différents ou que certains systèmes ne sont pas connectés aux autres.

Solution : mettre en place un processus de suppression des données

Pour s’assurer que les données sont supprimées dans tous les systèmes, les entreprises doivent mettre en place un processus de suppression des données. Il s’agit de définir un processus standardisé de suppression, qui consiste notamment à identifier tous les systèmes où les données sont stockées, à établir un calendrier de suppression et à suivre l’avancement de la suppression. Les entreprises devraient en outre envisager d’automatiser ce processus partout où c’est possible, afin de réduire le risque d’erreur.

Défi 3 : concilier le droit à l’effacement et les autres obligations légales

Enfin, les entreprises doivent concilier le droit à l’effacement avec d’autres obligations légales, comme les obligations de conservation ou les gels de données à des fins juridiques (legal holds). Par exemple, la loi peut imposer à une entreprise de conserver certains types de données pendant une durée déterminée, même si une personne demande leur suppression.

Solution : définir une politique de legal hold

Pour concilier le droit à l’effacement avec les autres obligations légales, les entreprises doivent définir une politique de legal hold. Cette politique doit préciser dans quelles circonstances les données doivent être conservées, et selon quels processus. Elle doit aussi contenir des consignes pour répondre aux demandes de suppression de données lorsqu’un legal hold est en vigueur.

Conclusion

Respecter le droit à l’effacement peut être difficile pour les entreprises qui utilisent plusieurs outils et bases de données. Toutefois, en menant un exercice d’inventaire et de cartographie des données, en mettant en place un processus de suppression et en définissant une politique de legal hold, elles peuvent répondre aux demandes de suppression de données personnelles tout en respectant leurs autres obligations légales.