Une trentaine de CNIL européennes (autorités de surveillance) ont mené des enquêtes coordonnées courant 2024 afin d’évaluer le respect, par les responsables de traitement, du droit d’accès à leurs données par les personnes concernées.
Ces actions ont pris diverses formes : exercices d’enquête, évaluations préliminaires pour identifier d’éventuelles infractions et, dans certains cas, ouverture d’enquêtes ou de contrôles formels.
Un questionnaire standardisé a été élaboré pour interroger un large éventail de responsables de traitement, qu’ils soient publics ou privés, soit 1 185 responsables de traitement y ont répondu, représentant des secteurs variés, allant des PME aux grandes entreprises.
Pour près des deux tiers des autorités de surveillance, l’analyse des réponses a ainsi révélé un niveau de conformité comme allant de « moyen » à « élevé ». Toutefois, un faible volume de demandes d’accès signalé par certains responsables de traitement suggère un manque de reconnaissance des requêtes d’accès, pouvant refléter des lacunes en matière de sensibilisation.
Une autre observation clé concerne le manque de connaissance des lignes directrices relatives à l’application de ce droit, adoptées par le CEPD le 28 mars 2023. Ce qui explique la mauvaise ou l’absence d’application de ce droit auprès des personnes concernées.
Malgré cela, des pratiques exemplaires ont été relevées, comme l’intégration de formulaires en ligne dits « conviviaux » permettant aux personnes concernées de réaliser facilement la demande auprès du responsable de traitement ou encore l’adoption de systèmes en libre-service pour télécharger ces données personnelles de manière autonome.
La CNIL a ouvert une consultation publique jusqu’au 28 février 2025 pour élaborer un référentiel de certification destiné aux sous-traitants traitant des données personnelles. Cette initiative vise à renforcer la conformité au RGPD de ces acteurs et à offrir aux responsables de traitement une garantie supplémentaire dans le choix de leurs partenaires.
Dans le cadre du RGPD, les sous-traitants ont en effet des obligations spécifiques lorsqu’ils traitent des données pour le compte d’un responsable de traitement. Ce cadre réglementaire s’applique à tous les sous-traitants, sans critère ou caractère critique des activités sous-traitées.
En revanche, la communication de la CNIL autour de ce référentiel s’adresse de manière plus directe et ferme aux prestataires informatiques, aux intégrateurs de logiciels, aux agences de marketing et aux entreprises de services numériques en les citant ouvertement. Un appel du pied remarqué de la part de l’Autorité auprès de ces entreprises qui s’exemptent peut-être trop rapidement de leurs obligations…
De leur côté, les responsables de traitement doivent s’assurer que leurs sous-traitants offrent des garanties suffisantes en matière de protection des données.
La future certification permettra donc aux sous-traitants d’attester de la conformité d’un produit, d’un service ou encore de l’éthique et de la politique générale de l’entreprise en matière de protection des données personnelles. Elle servira également d’outil de sélection pour les entreprises recherchant des prestataires fiables.
