Demande de droit d’accès
Une demande de droit d’accès (DSAR, pour Data Subject Access Request) est la demande par laquelle une personne demande à un organisme de confirmer s’il traite ses données personnelles et de lui en remettre une copie, avec des informations sur leur utilisation.Le droit vient de l’article 15 du RGPD. La personne a droit à la confirmation que ses données sont traitées, à une copie de celles-ci, et à des informations sur les finalités, les catégories de données, les destinataires, la durée de conservation ou les critères utilisés pour la fixer, la source si les données n’ont pas été collectées auprès d’elle, l’existence d’une prise de décision automatisée, et les garanties applicables aux transferts hors de l’EEE. La première copie est gratuite ; les copies supplémentaires peuvent donner lieu à des frais raisonnables. Selon l’article 12, la réponse est due dans un délai d’un mois, prolongeable de deux mois pour les demandes complexes ou nombreuses, et le responsable de traitement peut demander des informations supplémentaires lorsqu’il a des doutes raisonnables sur l’identité du demandeur.
En Californie, l’équivalent est la demande de savoir (request to know) prévue aux sections 1798.110 et 1798.115 du Code civil, à laquelle il faut répondre sous 45 jours, prolongeables une fois de 45 jours avec information du consommateur.
Pour les données d’un site web, la difficulté est le rapprochement. Un visiteur qui écrit par e-mail n’est pas lié de façon évidente à un identifiant de cookie : le site a donc besoin d’une méthode, par exemple demander l’identifiant affiché dans les paramètres des cookies, pour retrouver ses enregistrements dans les outils de mesure d’audience et dans le registre des consentements sans divulguer les données de quelqu’un d’autre. Collecter trop de pièces d’identité pour vérifier une demande crée son propre risque. Voir droits des personnes concernées pour la liste complète.