Lettre de l’employeur reportant l’accès du salarié/du client à ses données personnelles

Ce que dit la loi :

Le Règlement Général sur la Protection des Données (RGPD) prévoit la possibilité pour le salarié ou le client visé par les données d'avoir un droit d'accès à ces données (article 15 du RGPD). Il prévoit également la possibilité pour ce salarié ou ce client, de demander la rectification (article 16 du RGPD) ou l'effacement (article 17 du RGPD) dans les meilleurs délais.

Pour un accès aux données, il est prévu que le responsable du traitement fournisse une copie des données à caractère personnel faisant l'objet d'un traitement. Il peut exiger le paiement de frais raisonnables basés sur les coûts administratifs pour toute copie supplémentaire demandée par le salarié ou le client concerné.

Lorsque le salarié ou le client concerné présente sa demande par voie électronique, les informations sont fournies sous une forme électronique d'usage courant, à moins que le salarié ou le client ne demande qu'il en soit autrement.

Egalement, le salarié ou le client concerné a le droit d'obtenir du responsable du traitement la confirmation que des données à caractère personnel le concernant sont ou ne sont pas traitées.

Lorsque les données le concernant sont traitées, le salarié ou le client doit pouvoir accéder auxdites données à caractère personnel ainsi qu'aux informations suivantes :

• les finalités du traitement ;
• les catégories de données à caractère personnel concernées ;
• les destinataires ou catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées, en particulier les destinataires qui sont établis dans des pays tiers ou les organisations internationales ;
• lorsque cela est possible, la durée de conservation des données à caractère personnel envisagée ou, lorsque ce n'est pas possible, les critères utilisés pour déterminer cette durée ;
• l'existence du droit de demander au responsable du traitement la rectification ou l'effacement de données à caractère personnel, ou une limitation du traitement des données à caractère personnel relatives à la personne concernée, ou du droit de s'opposer à ce traitement ;
• le droit d'introduire une réclamation auprès d'une autorité de contrôle ;
• lorsque les données à caractère personnel ne sont pas collectées auprès de la personne concernée, toute information disponible quant à leur source ;
• l'existence d'une prise de décision automatisée, y compris un profilage, et, au moins en pareils cas, des informations utiles concernant la logique sous-jacente, ainsi que l'importance et les conséquences prévues de ce traitement pour la personne concernée.

Lorsque les données à caractère personnel sont transférées vers un pays tiers ou à une organisation internationale, le salarié ou le client concerné a le droit d'être informé des garanties appropriées, en ce qui concerne ce transfert.

Pour une rectification des données, le salarié ou le client concerné peut obtenir du responsable du traitement, dans les meilleurs délais, la rectification des données à caractère personnel le concernant qui sont inexactes.

Compte tenu des finalités du traitement, le salarié ou le client concerné a le droit d'obtenir que les données à caractère personnel incomplètes soient complétées, y compris en fournissant une déclaration complémentaire.

Pour un effacement des données, le salarié ou le client concerné a le droit d'obtenir du responsable du traitement l'effacement lorsque l'un des motifs suivants s'applique :

• les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d'une autre manière ;
• le salarié ou le client concerné retire le consentement sur lequel est fondé le traitement et il n'existe pas d'autre fondement juridique au traitement ;
• le salarié ou le client concerné s'oppose au traitement ou il n'existe pas de motif légitime impérieux pour le traitement ;
• les données à caractère personnel ont fait l'objet d'un traitement illicite ;
• les données à caractère personnel doivent être effacées pour respecter une obligation légale qui est prévue par le droit de l'Union ou par le droit de l'État membre auquel le responsable du traitement est soumis ;
• les données à caractère personnel ont été collectées dans le cadre de l'offre de services de la société de l'information.

Ces informations doivent être communiquées sous 1 mois à compter de la réception de la demande ou 2 mois s'il s'agit d'une demande complexe.