Demande d'Acces aux Donnees (DSAR)
Formulaire DSAR professionnel pour les organisations suisses et europeennes. Permet aux personnes d'exercer leurs droits d'acces, de rectification, d'effacement et de portabilite en vertu de la nLPD art. 25 et du RGPD art. 15.
A propos de ce modele
Le formulaire de Demande d'Acces aux Donnees (DSAR) offre aux personnes un canal structure et conforme pour exercer leurs droits en matiere de confidentialite aupres de votre organisation. Il couvre tous les droits disponibles selon la nLPD suisse (art. 25-32) et le RGPD europeen (art. 15-22): droit d'acces, droit de rectification, droit a l'effacement, droit a la limitation du traitement et droit a la portabilite des donnees.
- Identite du demandeur: nom complet, e-mail, date de naissance
- Relation avec l'organisation: client, employe, prestataire, visiteur du site web, autre
- Type de droit exerce: acces, rectification, effacement, portabilite, limitation, opposition
- Perimetre de la demande: categories de donnees specifiques ou periodes
- Format de reponse prefere: PDF, CSV, e-mail, courrier postal
- Telechargement d'un document d'identite pour verification
- Optionnel: autorisation d'un representant tiers
- Signature confirmant l'exactitude de la demande
Delai de reponse: 30 jours selon la nLPD et le RGPD
En vertu de la nLPD suisse et du RGPD europeen, les organisations doivent repondre a une DSAR valide dans les 30 jours suivant la reception. Pour les demandes complexes ou volumineuses, une extension unique de 60 jours supplementaires est possible, mais le demandeur doit en etre informe dans le delai initial de 30 jours. Un defaut de reponse peut declencher des plaintes aupres du PFPDT.
Comment utiliser ce modele
Ouvrir le modele
Cliquez sur 'Utiliser le modele' pour en creer une copie dans votre tableau de bord.
Ajouter les details de votre organisation
Mettez a jour le titre et la description du formulaire avec le nom de votre organisation et les coordonnees de votre Delegue a la Protection des Donnees.
Lier votre politique de confidentialite
Ajoutez un lien vers votre politique de confidentialite dans la description.
Configurer les controles d'acces
Limitez l'acces aux reponses du formulaire a votre equipe juridique ou de protection des donnees uniquement.
Configurer la notification d'accusé de reception
Parametrez un e-mail d'accusé de reception automatique envoye au demandeur apres soumission.
Traiter et cloturer les demandes
Enregistrez chaque DSAR dans votre registre des droits des personnes, traitez la demande dans les 30 jours et documentez votre reponse.
Droits des personnes concernees en Suisse: contexte nLPD et RGPD
La nLPD revisee, en vigueur depuis le 1er septembre 2023, a considerablement etendu les droits des personnes concernees et aligne le cadre juridique suisse sur le RGPD europeen. Pour les organisations suisses qui traitent aussi des donnees de residents europeens, les deux regimes peuvent s'appliquer simultanement.
Le droit d'acces
En vertu de la nLPD art. 25 et du RGPD art. 15, toute personne concernee a le droit d'obtenir la confirmation que des donnees la concernant sont traitees et, le cas echeant, de recevoir une copie de ces donnees avec des informations complementaires: les finalites du traitement, les categories de donnees, les destinataires, la duree de conservation, l'origine des donnees et des informations sur toute prise de decision automatisee. L'acces est en principe gratuit.
Le droit a l'effacement
Le droit a l'effacement oblige les organisations a supprimer les donnees personnelles sans delai injustifie lorsque: les donnees ne sont plus necessaires pour la finalite initiale; le consentement a ete retire; les donnees ont ete traitees illegalement; ou l'effacement est exige par la loi applicable. Les demandes d'effacement ne peuvent pas toujours etre pleinement honorees pour les donnees soumises a des obligations legales de conservation.
Verification d'identite: equilibrer vie privee et securite
Un defi cle dans le traitement des DSAR est de verifier l'identite du demandeur sans creer une barriere disproportionnee. Les organisations doivent demander le minimum d'informations necessaires pour identifier la personne concernee — generalement nom, e-mail et date de naissance. La collecte de copies de documents d'identite doit etre limitee aux cas ou l'identite ne peut vraiment pas etre confirmee autrement.
Questions frequentes
Une organisation peut-elle facturer la reponse a une DSAR?
Selon la nLPD et le RGPD, la premiere copie des donnees personnelles fournie en reponse a une demande d'acces doit etre gratuite. Pour les demandes subsequentes ou manifestement infondees ou excessives, des frais raisonnables peuvent etre factures ou la demande peut etre refusee. La base de tout frais ou refus doit etre communiquee par ecrit.
Que faire si la DSAR concerne des donnees de tiers?
Lorsque l'execution d'une DSAR impliquerait la divulgation de donnees personnelles d'un tiers, l'organisation doit equilibrer les droits des deux parties. Les options comprennent la redaction des informations identifiant le tiers avant de fournir la reponse, ou la retenue de cette partie avec explication si la redaction n'est pas possible.
Quel est le role du PFPDT dans les litiges DSAR?
Le Prpose federal a la protection des donnees et a la transparence (PFPDT) est l'autorite de surveillance suisse en matiere de protection des donnees. Si une personne estime que sa DSAR a ete traitee de maniere inappropriee, elle peut deposer une plainte aupres du PFPDT. Depuis la revision de la nLPD, le PFPDT dispose de pouvoirs d'execution renforces.