Le RGPD te donne des droits (accès, rectification, effacement, opposition, etc.). Tu peux les exercer toi-même auprès des organismes qui détiennent tes données, ou mandater une personne ou un organisme pour agir en ton nom. Le CEPD (Comité européen de la protection des données, anciennement G29) et les autorités nationales comme la CNIL ont précisé ce cadre. Voici ce qu’il faut savoir sur l’exercice des droits RGPD par mandat.
Le RGPD permet déjà d’agir par l’intermédiaire d’un mandataire
L’article 12 du RGPD impose au responsable du traitement de faciliter l’exercice des droits des personnes concernées (articles 15 à 22). La représentation doit être appréciée dans le cadre applicable : le mandat doit autoriser le tiers et permettre les vérifications nécessaires. Tu n’es donc pas obligé de faire toi-même chaque demande d’accès, d’effacement ou de rectification : tu peux donner un mandat à quelqu’un pour qu’il exerce tes droits à ta place.
Cela vaut pour le droit d’accès, le droit à l’effacement, le droit à la rectification, à la limitation du traitement, à la portabilité, à l’opposition, etc. Les organismes qui reçoivent ces demandes (sites, courtiers en données, annuaires) doivent les traiter comme les demandes faites directement par la personne concernée, dès lors que le mandat est valable et que l’identité peut être vérifiée.
Ce que précisent les lignes directrices du CEPD
En janvier 2022, le CEPD (Comité européen de la protection des données, en anglais EDPB) a publié les Lignes directrices 01/2022 sur les droits des personnes concernées. Droit d’accès. Ces lignes directrices précisent comment les responsables de traitement doivent appliquer l’article 15 du RGPD et faciliter le droit d’accès. La version finale a été adoptée en 2023.
Les lignes directrices abordent les demandes d’accès présentées par un représentant. Le responsable doit pouvoir vérifier que le tiers est autorisé et éviter la communication à une personne non autorisée. Ce cadre éclaire la délégation d’une demande d’accès ; les autres droits doivent également respecter leurs règles propres.
Tu peux consulter les lignes directrices sur le site du CEPD/EDPB.
La recommandation de la CNIL sur le mandat
En juin 2021, la CNIL a publié une recommandation dédiée à l’exercice des droits par un mandat. Elle détaille les bonnes pratiques pour les mandataires (organismes ou personnes qui agissent pour le compte des personnes) et pour les responsables de traitement qui reçoivent des demandes par mandataire.
Points importants :
- Forme du mandat : la personne concernée mandate explicitement un tiers pour exercer tout ou partie de ses droits. La CNIL propose un mandat-type à titre de référence.
- Vérification : le responsable de traitement peut demander une preuve du mandat et des éléments lui permettant de s’assurer que tu es bien la personne concernée, dans le cadre fixé par le RGPD (souvent en direct avec toi, hors mandataire).
- Délais et refus : les mêmes délais (un mois en principe) et les mêmes règles (demande manifestement infondée ou excessive) s’appliquent que pour une demande directe.
Cette recommandation donne un cadre pratique en France pour les services qui envoient des demandes d’effacement ou d’accès en ton nom : après ton audit gratuit, tu nous autorises par mandat à envoyer les demandes d’effacement aux sites et courtiers que tu choisis, et nous agissons en ton nom dans ce périmètre.
Pourquoi confier l’exercice de tes droits à un mandataire ?
Exercer ses droits soi-même demande du temps : identifier chaque responsable de traitement (sites, courtiers, annuaires), trouver le bon contact (DPO, formulaire), envoyer la demande, relancer. En donnant un mandat à un organisme spécialisé, tu centralises les démarches : tu définis les démarches que tu confies au mandataire, et le mandataire envoie les demandes pour toi, dans le respect du RGPD et des recommandations CEPD/CNIL.
Chez Data Knight, nous nous appuyons sur ce cadre : tu fais un audit gratuit de ta présence en ligne (web public, courtiers, fuites de données, Dark web), tu sélectionnes les données à faire effacer, tu nous donnes une autorisation (mandat), et nous envoyons les demandes d’effacement en ton nom. Nous détaillons comment ça marche (audit, autorisation, envoi, suivi). Pour le volet effacement en pratique, voir Article 17 RGPD, Courtiers : relance et CNIL et le guide empreinte + effacement.
Vérifier le périmètre avant de signer un mandat
Avant d’autoriser un service, vérifie ce que le document lui permet de faire :
- Les actions confiées : demander un effacement n’équivaut pas à confier tous tes droits RGPD.
- Les destinataires et données concernés : tu dois comprendre les traces ou organismes visés.
- Le suivi : qui reçoit les réponses et comment retrouver les demandes déjà envoyées ?
- La fin du mandat : vérifie comment retirer l’autorisation et quelles démarches sont encore en cours.
Cette checklist sert à lire le mandat proposé ; elle ne remplace pas son texte. La recommandation de la CNIL traite notamment du contenu du mandat, des demandes automatisées et de la sécurité.
Ce que Data Knight prend en charge
Chez Data Knight, le mandat accompagne les demandes de retrait prévues par l’offre et les cibles choisies. La pédagogie sur l’accès ou la portabilité ne signifie pas que notre service réalise toute démarche de ce type. Une analyse du web n’est pas une demande d’accès auprès de chaque organisme.
Notre méthode décrit la préparation adaptée à chaque source, les informations limitées par destinataire, les envois et le suivi. Un CAPTCHA ou une vérification d’identité peut demander ton intervention directe ; Data Knight ne collecte ni ne stocke ta pièce d’identité.
Exemple fictif : tu souhaites conserver un profil professionnel et retirer une ancienne adresse dans un annuaire. Autoriser un service ne signifie pas demander la suppression de toute ta présence en ligne. Tu choisis les traces à traiter ; le résultat dépend aussi des organismes contactés.
Voir aussi : Droits vie privée et données personnelles expliqués · Article 17 RGPD : droit à l’effacement · Courtiers RGPD : pas de réponse, relance et CNIL · Courtiers en données : comment retirer tes infos
