Les questions-réponses de la CNIL sur la recommandation sur l’exercice des droits par un mandat

Cette recommandation s’adresse :

• aux personnes ou organismes mandataires qui permettent aux personnes d’exercer leurs droits par leur intermédiaire, y compris aux prestataires de service d’information sur les comptes si l’accès aux données est réalisé dans le cadre de la fourniture d’un service non soumis à la DSP2, ou si les données auxquelles ils accèdent ne proviennent pas d’un compte de paiement au sens de la DSP2.
• et à l’ensemble des responsables de traitement, publics ou privés, qui reçoivent des demandes d’exercice des droits par le biais de sociétés mandatées.

La recommandation se concentre essentiellement sur le mandat confié à des personnes ou organismes dont l’activité principale est d’exercer les droits de personnes concernées. Elle ne traite donc pas des autres formes de représentations telles que celles de l’autorité parentale, la tutelle, ou du mandat qui peuvent être confiées à des professions juridiques ou médicales.

Non.

Cette recommandation n’est pas prescriptive. Il s’agit d’un guide pratique qui a pour objectif d’éclairer les acteurs concernés (personnes et organismes mandataires, responsables de traitement recevant des demandes).

La CNIL encourage fortement à suivre cette recommandation, qui permet de répondre à de nombreuses questions pratiques et permet une certaine sécurité juridique.

Les exemples de la recommandation sont plus spécifiquement relatifs au droit à la portabilité et au droit d’accès.

Cependant, tous les droits Informatique et Libertés peuvent être exercés par l’intermédiaire d’un mandat.

Le mandataire a un véritable rôle d’intermédiaire entre la personne et le responsable de traitement concerné.

Au-delà du simple exercice des droits « à la place de… », la CNIL recommande, par exemple, que les mandataires informent les personnes de l’évolution de leur dossier, notamment si le délai de traitement est rallongé.

La CNIL recommande également aux mandataires de s’assurer que le contrat de mandat contient tous les éléments nécessaires tels que décrits ci-dessous.

Oui.

Les responsables de traitement auxquels les demandes sont adressées ne doivent pas procéder à la transmission des données sans s’être assurés au préalable de leur validité. Cela implique de vérifier l’identité de la personne concernée ainsi que la validité des demandes au regard du mandat dont ils doivent pouvoir prendre connaissance.

Dans l’hypothèse où un mandataire présente des demandes auprès de plusieurs organismes, la CNIL recommande de conclure un mandat propre à chaque responsable de traitement. Cela permet d’éviter qu’un responsable de traitement soit rendu destinataire d’informations dont il n’a pas à connaître, telles que l’identité d’autres responsables de traitement détenant des données sur la personne concernée ou encore de données d’identification uniquement valables auprès d’un responsable de traitement.

La CNIL recommande aux mandataires de s’assurer que les mandats contiennent les éléments permettant d’identifier le titulaire du droit exercé, de s’assurer de l’authenticité du mandat et de l’identité du mandataire ainsi que du destinataire des données (à savoir la personne concernée, le mandataire ou l’éventuel nouveau responsable de traitement dans le cadre du transfert direct, permis par le droit à la portabilité). Le mandat doit également permettre au responsable de traitement de s’assurer qu’il est bien le destinataire des demandes d’exercice de droit. La durée du mandat et la nature des droits exercés doivent aussi être prévues.

Pour exercer ses droits, la personne doit justifier qu’elle est bien la personne concernée par les données sur lesquelles elle veut exercer ses droits. Par principe, cette justification peut intervenir « par tout moyen ». Le professionnel ne peut pas exiger une copie d’une pièce d’identité de la personne qui exerce son droit, sauf en cas de doute raisonnable sur son identité et lorsque la situation l’exige.

Lorsque l’identité officielle de la personne n’est pas connue par le responsable de traitement (exemple : la personne utilise un pseudonyme), il n’est pas pertinent de demander une copie de la carte d’identité pour permettre aux personnes d’exercer leurs droits. Le niveau des vérifications à effectuer peut varier en fonction de la nature de la demande, de la sensibilité des informations communiquées et du contexte dans lequel la demande est faite.

Un responsable de traitement doit transmettre les données directement au mandataire dans le cadre d’une demande de portabilité lorsque cela est techniquement possible et que le mandat le prévoit.

Dans le cadre du droit d’accès, la CNIL encourage les responsables de traitement à adresser les données au mandataire lorsque ce dernier est désigné comme destinataire par la personne concernée dans le mandat.

L’objet du mandat est exclusivement d’exercer les droits de la personne concernée en son nom et pour son compte. Il n’autorise donc pas en tant que telle la réutilisation des données personnelles collectées dans ce cadre par le mandataire pour son propre compte.

Une telle réutilisation, si elle a lieu, doit être envisagée de manière distincte, en tant que traitement de données personnelles autonome pleinement soumis au respect de l’ensemble des dispositions du RGPD. Ce traitement doit notamment répondre à une ou des finalités déterminées, explicites et légitimes, être fondé sur une base légale valable et être mis en œuvre sous le contrôle de la personne concernée. A cet égard, le recueil du consentement spécifique, libre et éclairé des personnes concernées doit être privilégié, et sera souvent obligatoire, préalablement à toute réutilisation de leurs données pour des fins étrangères au mandat d’exercice des droits, dès lors qu’une telle réutilisation ne peut reposer sur l’exécution du contrat de mandat conclu avec la personne concernée et n’apparait pas entrer, de manière générale, dans ses attentes raisonnables.

Les éventuels traitements des données réalisés par les mandataires pour leur propre compte ne doivent pas influencer les responsables de traitements dans leur appréciation de la recevabilité des demandes d’exercice des droits. Ces réutilisations relèvent exclusivement de la responsabilité des mandataires.

À l’inverse, les mandataires devraient s’abstenir de présenter des demandes dont l’objet serait manifestement abusif ou excessif, et ne peuvent imposer au responsable du traitement, sur la seule base du RGPD et du mandat qui leur est confié, une transmission en temps réel, directe et continue de données.

Un responsable de traitement qui aurait valablement donné droit à une demande après s’être assuré de l’identité de la personne concernée et de la validité de la demande au regard du mandat ne peut être tenu responsable des traitements opérés par le mandataire.

À moins que les acteurs déterminent ensemble les moyens et les finalités du traitement (auquel cas une responsabilité conjointe pourrait être retenue), le responsable de traitement et le mandataire sont des responsables de traitement distincts.

Le RGPD prévoit un principe de gratuité lors de l’exercice des droits, pour les données transmises soit au demandeur, soit à l’organisme final.

Il n’est possible de demander le paiement de « frais raisonnables basés sur les coûts administratifs » que :

• pour toute copie supplémentaire demandée par la personne concernée (par ex. si une personne exerce son droit chaque semaine) ;
• si la demande est manifestement infondée ou excessive.

Attention : le coût des « frais raisonnables basés sur les coûts administratifs » ne doit pas être une entrave à l’exercice du droit.

Certaines contributions à la consultation publique sur le projet de recommandation ont apporté des perspectives intéressantes sur des projets consistant à gérer et transférer des consentements auprès de différents responsables de traitement. Cela viserait à permettre à une personne concernée de centraliser ses préférences pour le traitement de ses données qui seraient prises en compte par une multitude de services.

La CNIL précise toutefois que cela ne rentre pas dans l’objet du mandat. Le mandataire est mandaté par la personne concernée, et non par un autre responsable de traitement qui lui confirait la tâche de recueillir un consentement pour son compte.

Bien que la recommandation s’applique dans une certaine mesure aux systèmes de gestion des informations personnelles (ou PIMS en anglais) puisqu’elle s’inscrit dans cette logique, elle n’a pas vocation à développer ni à remplacer les travaux déjà réalisés en la matière, notamment par le Contrôleur européen de la protection des données.

Non.

Cette recommandation ne s’inscrit pas dans une démarche d’anticipation des projets de réglementation européens, notamment du projet de règlement sur la gouvernance des données, susceptibles d’encadrer la neutralité d’intermédiaires de données.

Pour en savoir plus : les questions-réponses de la Commission européenne sur le règlement sur la gouvernance des données

Non.

Certaines contributions à la consultation publique sur la recommandation ont émis l’idée que la CNIL pourrait dresser une liste des mandataires respectueux de la réglementation.

Les professionnels concernés peuvent solliciter la certification de leur(s) service(s). Ce mécanisme permet, en effet, aux professionnels de communiquer sur le niveau de protection des données offert par leurs produits, services, processus ou systèmes de données.

Les relations contractuelles que choisiraient de nouer les responsables de traitement et mandataires relèvent de leur choix discrétionnaire en l’absence d’obligation dans la réglementation, sous réserve qu’elles n’empiètent pas sur les principes de protection des données. La formalisation de ces relations serait toutefois de nature à sécuriser et à fluidifier les échanges, raison pour laquelle la CNIL encourage toute approche constructive en la matière. Cela permettrait par exemple d’envisager la mise en place d’API pour automatiser l’exercice des droits. 

Enfin, l’exercice des droits ne devrait pas conduire à des transferts de données personnelles en dehors des conditions prévues par le RGPD. Toutefois, le mandat ne présente pas de particularité en la matière, et les dispositions du chapitre V du RGPD doivent en tout état de cause être respectées.