Afflux de DSARs : traitement par lots pour la conformité RGPD
L'article 12 du RGPD fixe un délai d'un mois. Les organisations doivent répondre aux demandes d'accès aux données personnelles (DSAR) dans les 30 jours. Les cas complexes bénéficient d'une prolongation de 60 jours. Le délai commence à la réception de la demande. Il n'y a pas de délai de grâce. Un délai manqué est une violation à part entière.
En 2024, les amendes des APD ont largement fait connaître les droits des personnes concernées. La DPC irlandaise a infligé à LinkedIn une amende de 310 millions d'euros pour publicité comportementale sans consentement valide. Elle a sanctionné Meta de 251 millions d'euros pour notification tardive d'une violation de données. Chaque amende a été suivie d'une campagne de sensibilisation. De plus en plus de personnes ont pris conscience de leurs droits. Les volumes de DSAR ont augmenté.
Le cadre d'application coordonné de l'EDPB 2024 visait les manquements au droit d'accès. Les organisations qui ne peuvent pas démontrer des DSAR conformes font désormais l'objet d'une surveillance accrue.
Consultez notre aperçu de conformité et nos pratiques de sécurité pour notre soutien au RGPD.
Le problème des données personnelles tierces
Les réponses aux DSAR posent un problème spécifique : les données personnelles de tiers.
Une personne concernée demande tous les documents détenus à son sujet. Ces documents peuvent mentionner d'autres personnes. Une note de support peut contenir le numéro de téléphone d'un autre client. Un fil d'e-mails peut afficher l'adresse d'un collègue. Un dossier de plainte peut citer un tiers. Envoyer ces documents expose les données d'autrui. C'est une violation distincte de leurs droits.
Vous devez examiner chaque document. Vous devez supprimer les références aux tiers avant l'envoi. Un opérateur télécom avec 300 DSAR par mois et 50 documents par demande doit traiter 15 000 documents chaque mois — uniquement pour la conformité DSAR.
Une équipe de trois personnes ne peut pas y faire face. La vérification manuelle ne tient pas dans une fenêtre d'un mois à cette échelle.
Architecture de traitement par lots
Un preset de réponse DSAR résout ce problème. Le preset analyse chaque document. Il détecte tous les noms, coordonnées et autres identifiants. Il anonymise chaque correspondance sauf celles appartenant à la personne qui a fait la demande. Vous renseignez le nom et le numéro de compte de cette personne au début du traitement.
Les autres clients mentionnés dans les documents sont anonymisés. Les employés cités dans les notes de service sont anonymisés. Les tiers dans les e-mails sont anonymisés. Tout cela se fait avant l'assemblage du dossier de réponse.
Le traitement de 50 documents prend quelques minutes — pas des heures. L'équipe conformité vérifie les cas limites dans la sortie. Le délai de réponse passe de plusieurs semaines à quelques jours.
Consultez notre page entités pour voir quels types de données le preset détecte par défaut.
Ce qui rend un workflow défendable
Trois éléments rendent un workflow DSAR défendable.
Rapidité. Les outils de traitement par lots suppriment le goulot d'étranglement qui cause des retards en volume.
Précision. Le preset doit supprimer les données personnelles de tiers sans toucher aux données de la personne concernée. Un preset bien configuré gère cette distinction.
Piste d'audit. L'article 5(2) exige la preuve de conformité. Les traitements par lots enregistrent quels documents ont été traités, quel preset a été utilisé et quand. Ce journal constitue votre preuve.