Chapitre 6.1 — Panorama des droits & modalités communes

⏱️ TL;DR — Les articles 12 à 22 du RGPD donnent à chaque personne une série de droits : être informée (art. 13-14), accéder à ses données (15), les faire rectifier (16), effacer (17), limiter (18), en obtenir la notification aux tiers (19), les récupérer (portabilité, 20), s’opposer (21) et ne pas subir une décision 100 % automatisée (22). Par-dessus, l’article 12 fixe les règles du jeu communes : la personne demande par tout moyen, tu réponds dans 1 mois (prolongeable de 2 mois si la demande est complexe), gratuitement, après avoir vérifié son identité — mais sans sur-collecter pour autant. Ce chapitre est la carte : les suivants zooment sur chaque droit.

🎯 Objectifs

Citer les droits des articles 12 à 22 et les reconnaître dans une demande réelle.
Appliquer le délai d’1 mois et savoir quand (et comment) le prolonger.
Vérifier l’identité du demandeur sans créer une nouvelle sur-collecte.
Savoir qui répond — et quoi faire quand tu es sous-traitant, pas responsable.

Les droits, d’un seul coup d’œil

Un droit = une chose précise que la personne peut exiger, et à laquelle tu dois répondre. Voici la carte complète.

Art.	Droit	Ce que la personne peut exiger
13-14	Information	Savoir, dès la collecte, qui traite quoi, pourquoi, combien de temps, et quels sont ses droits.
15	Accès	Obtenir la confirmation qu’on traite ses données, une copie, et les informations sur le traitement.
16	Rectification	Faire corriger une donnée inexacte ou compléter une donnée incomplète.
17	Effacement (« droit à l’oubli »)	Faire supprimer ses données dans les cas prévus — avec des limites.
18	Limitation	Geler un traitement : on conserve, mais on n’utilise plus.
19	Notification aux tiers	Que les destinataires des données soient informés d’une rectification, d’un effacement ou d’une limitation.
20	Portabilité	Récupérer ses données dans un format structuré et lisible par machine, et les faire transmettre.
21	Opposition	Dire non à un traitement — absolument pour la prospection, sur motifs pour l’intérêt légitime.
22	Décision automatisée & profilage	Ne pas subir une décision exclusivement automatisée à effet significatif, sauf garanties.

📚 Le texte — Ces droits vivent aux articles 12 à 22 du RGPD. L’article 12 est le mode d’emploi transversal (transparence, modalités d’exercice, délais, gratuité) ; les articles 13 à 22 détaillent chaque droit. On y consacre les chapitres 6.2 à 6.5.

Les modalités communes : les règles du jeu (art. 12)

Peu importe quel droit est demandé, les mêmes règles s’appliquent au traitement de la demande. Ce sont elles qui piègent le plus souvent les équipes.

La demande arrive « par tout moyen »

La personne n’a aucun formulaire imposé à respecter. Un e-mail, un courrier, un message dans le chat de support, une demande orale au téléphone : tout est recevable. Tu ne peux pas exiger qu’elle passe par un canal unique ou remplisse un modèle maison sous peine de rejet. En revanche, tu peux proposer un parcours simple (un espace « Mes données », un formulaire dédié) pour faciliter l’exercice — tant que ce n’est pas la seule voie possible.

Le délai : 1 mois, prolongeable de 2 mois

C’est le chiffre à graver : tu réponds dans un délai d’un mois à compter de la réception de la demande. Si la demande est complexe ou si elles sont nombreuses, tu peux prolonger de deux mois supplémentaires (soit trois mois au total) — mais tu dois informer la personne du report et de ses motifs dans le mois initial. Le report n’est pas un droit silencieux : pas d’information = pas de prolongation valable.

La gratuité de principe

Répondre à une demande de droits est gratuit. Tu ne factures pas l’accès, ni la copie, ni l’effacement. L’exception vise les demandes manifestement infondées ou excessives (par exemple des demandes répétitives au même objet) : là, tu peux exiger des frais raisonnables ou refuser — mais c’est à toi de démontrer le caractère abusif, et ce n’est pas un prétexte pour dissuader les demandes légitimes.

Vérifier l’identité — sans sur-collecter

Tu dois t’assurer que le demandeur est bien la personne concernée (ou son représentant), pour ne pas divulguer des données à un tiers. Mais attention au contre-piège : cette vérification ne doit pas devenir une nouvelle sur-collecte. Si la personne est déjà authentifiée dans son espace, sa session suffit souvent. Tu ne réclames une pièce d’identité que s’il existe un doute raisonnable, et de façon proportionnée — jamais « au cas où » pour toutes les demandes.

⚠️ Piège — Exiger systématiquement une copie de carte d’identité pour toute demande d’accès. C’est un excès de zèle qui crée un traitement de documents sensibles pour… vérifier une identité déjà connue. Pour un utilisateur connecté, l’authentification en place fait foi. Réserve la pièce justificative aux cas de doute réel (demande par un canal non authentifié, incohérences), et ne la conserve pas au-delà de la vérification.

Qui répond ? Le responsable de traitement

L’obligation de répondre pèse sur le responsable de traitement — celui qui a défini pourquoi et comment les données sont traitées. C’est là que la dualité RT / ST de FormaCampus (Partie 3) devient décisive : si tu reçois une demande alors que tu es sous-traitant, tu ne réponds pas toi-même sur le fond — tu transmets au responsable et tu l’assistes techniquement à répondre (obligation d’assistance du sous-traitant, art. 28).

Le cycle de vie d’une demande

Chaque demande, quel que soit le droit, suit le même parcours. Code-le une fois, réutilise-le partout.

💡 Réflexe — Ouvre un registre des demandes de droits dès aujourd’hui : date de réception, identité vérifiée (comment), droit demandé, rôle (RT ou ST), date de réponse, contenu. Ce n’est pas de la bureaucratie : c’est ton accountability (art. 5.2) et ton filet en cas de contrôle CNIL. Une demande non tracée est une demande que tu ne peux pas prouver avoir traitée.

🧭 Sur FormaCampus — On centralise toutes les demandes sur une adresse unique, dpo@formacampus.fr, plus un bouton « Mes données » dans l’espace connecté (facilitation, pas obligation). Un aiguillage automatique qualifie chaque demande : si les données appartiennent à un traitement où FormaCampus est sous-traitant d’une école ou d’un organisme, la demande est routée vers l’établissement responsable, et l’équipe se contente de l’assister (extraction technique). Si FormaCampus est responsable (comptes créés en direct, prospection), elle répond elle-même, dans le mois.

🔒 Côté personne concernée — Pour un stagiaire ou un parent, ces droits sont la contrepartie concrète de la confiance qu’il t’accorde. Il n’a pas à connaître le bon article ni le bon formulaire : il écrit « je veux voir mes données » et cela suffit à déclencher tes obligations. Ce qu’il attend : une réponse claire, rapide (un mois, c’est un maximum, pas un objectif), et gratuite — sans avoir à se justifier ni à prouver son identité de façon humiliante.

✏️ Exercices

Exercice 1 — Recevable ou pas ? Un stagiaire écrit sur le chat de support : « Salut, je veux la liste de tout ce que vous avez sur moi. » L’équipe répond : « Merci d’utiliser le formulaire officiel en PDF et de joindre votre carte d’identité. » Où est l’erreur ?

✅ Solution

Deux erreurs. (1) La demande est recevable telle quelle : elle arrive par tout moyen (art. 12), et le chat de support en fait partie. On ne peut pas la rejeter faute de « formulaire officiel » — au mieux on propose le formulaire pour faciliter, sans l’imposer. (2) Exiger d’emblée la carte d’identité est disproportionné si le stagiaire est déjà connecté : sa session vérifie son identité. La pièce ne se demande qu’en cas de doute raisonnable. Le délai d’un mois court dès ce message, pas à partir du jour où il aura rempli le PDF.

Exercice 2 — Le bon délai. Une demande d’accès arrive le 3 mars. Le dossier est éclaté sur plusieurs systèmes, l’extraction prendra du temps. Que fais-tu, et jusqu’à quand ?

✅ Solution

Le délai de principe expire le 3 avril (un mois). Si la complexité justifie une prolongation, tu peux aller jusqu’au 3 juin (deux mois de plus, soit trois au total) — à condition d’informer la personne du report et de ses motifs avant le 3 avril. Sans cette information dans le premier mois, la prolongation n’est pas valable et tu es hors délai. Astuce : envoie l’information de report dès que tu constates la complexité, pas au dernier jour.

Exercice 3 — RT ou ST ? Le collège Jean-Moulin utilise FormaCampus pour ses classes. Un parent écrit à FormaCampus pour demander les données de son enfant. Qui répond, et que fait FormaCampus ?

✅ Solution

Sur ce périmètre scolaire, l’école est responsable de traitement et FormaCampus est sous-traitant. FormaCampus ne répond donc pas sur le fond : il transmet la demande au collège (le responsable) et lui apporte son assistance technique pour extraire les données (obligation d’assistance du sous-traitant, art. 28). C’est le collège qui, dans le délai d’un mois, décide et répond au parent. FormaCampus documente le routage dans son registre des demandes.

🧠 Quiz de révision

1. Quels articles couvrent les droits des personnes ?

Les articles 12 à 22 du RGPD. L’article 12 pose les modalités communes (transparence, forme de la demande, délais, gratuité, vérification d’identité) ; les articles 13 à 22 détaillent chaque droit : information, accès, rectification, effacement, limitation, notification aux tiers, portabilité, opposition, décision automatisée.

2. Quel est le délai de réponse, et peut-on l’allonger ?

Un mois à compter de la réception. Il est prolongeable de deux mois (trois au total) si la demande est complexe ou si les demandes sont nombreuses — à condition d’informer la personne du report et de ses motifs dans le mois initial.

3. Répondre à une demande de droits, est-ce payant ?

Non, c’est gratuit par principe. Seule exception : les demandes manifestement infondées ou excessives (répétitives), pour lesquelles on peut demander des frais raisonnables ou refuser — mais c’est au responsable de démontrer l’abus, pas de l’invoquer pour dissuader.

4. Comment vérifier l’identité du demandeur ?

De façon proportionnée et sans sur-collecter. Si la personne est déjà authentifiée, sa session suffit. On ne réclame une pièce justificative qu’en cas de doute raisonnable, et on ne la conserve pas au-delà de la vérification. Exiger une carte d’identité pour toute demande est un excès de zèle.

5. Qui doit répondre à une demande de droits ?

Le responsable de traitement. Quand on est sous-traitant (cas fréquent de FormaCampus vis-à-vis des écoles et organismes), on ne répond pas sur le fond : on transmet au responsable et on l’assiste techniquement (art. 28).

Chapitre suivant : Information, accès, rectification — les trois droits « de base » : savoir ce qu’on fait de ses données, en obtenir une copie, et faire corriger ce qui est faux.