Droit à la Limitation du Traitement: Quand et Comment

Qu’est-ce que la limitation du traitement?

En vertu de l’article 18 du RGPD, une personne concernée peut vous demander de limiter le traitement de ses données personnelles. Cela signifie que vous pouvez encore stocker les données, mais vous ne pouvez pas les utiliser - pas d’envoi, pas d’analyse, pas de partage, pas de prise de décision basée sur ces données.

Imaginez que vous mettez les données dans un tiroir fermé à clé. Elles sont toujours là, mais personne n’y touche tant que la situation n’est pas résolue.

Quand ce droit s’applique-t-il?

Il existe exactement quatre motifs pour lesquels une personne concernée peut demander la limitation. Vous devez appliquer la limitation si l’une de ces situations s’applique.

Motif 1 : L’exactitude est contestée

La personne concernée affirme que les données sont inexactes et vous avez besoin de temps pour vérifier. Pendant cette période de vérification, les données doivent être limitées.

Exemple : Un client prétend que sa date de naissance dans votre système est fausse. Pendant que vous vérifiez vos dossiers originaux, vous limitez le traitement de ces données.

Motif 2 : Le traitement est illicite, mais pas de suppression souhaitée

Le traitement est illicite (par ex. pas de base juridique valide), mais la personne concernée préfère la limitation à l’effacement.

Exemple : Vous avez collecté des adresses e-mail sans consentement valide. Au lieu de demander la suppression, un client dit “gardez mes données mais ne les utilisez pas tant que vous n’avez pas mon consentement.”

Motif 3 : Données nécessaires pour des actions en justice

Vous n’avez plus besoin des données pour votre finalité initiale, mais la personne concernée en a besoin pour constater, exercer ou défendre des droits en justice.

Exemple : Un ancien employé vous demande de conserver ses évaluations de performance même si votre délai de conservation est expiré, car il a besoin de ces dossiers pour un litige en cours.

Motif 4 : Opposition en attente de vérification

La personne concernée s’est opposée au traitement en vertu de l’article 21, et vous vérifiez si vos motifs légitimes prévalent sur les siens.

Exemple : Un client s’oppose à votre profilage marketing direct. Pendant que vous évaluez si votre intérêt légitime prévaut sur son opposition, vous limitez le profilage.

Étape 1 : Enregistrez la demande

Dès que la demande arrive, notez :

• Qui fait la demande
• Quand vous l’avez reçue (le délai d’un mois commence maintenant)
• Par quel canal elle est arrivée
• Quel motif s’applique (ou laissez la personne concernée expliquer sa raison)
• Quelles données doivent être limitées

Étape 2 : Vérifiez l’identité

Avant de limiter les données, confirmez que vous avez affaire à la bonne personne. Les mêmes règles de vérification s’appliquent que pour les autres demandes :

• Titulaires de compte : confirmation via leur compte
• Personnes connues : confirmation via l’e-mail connu
• Personnes inconnues : demandez une copie expurgée d’une pièce d’identité

Étape 3 : Mettez en œuvre la limitation

C’est ici que cela devient concret. Vous devez vous assurer que les données sont stockées mais pas traitées d’une autre manière. Voici des approches concrètes :

Méthode	Comment ça fonctionne
Indicateur dans le CRM	Ajoutez un indicateur ou statut “limité” au dossier pour que le personnel sache ne pas l’utiliser
Dossier séparé	Déplacez les données vers un dossier ou une table de base de données à accès restreint
Restriction d’accès	Supprimez les permissions de traitement pour le dossier, en conservant uniquement l’accès en lecture pour le personnel autorisé
Blocage système	Si votre système le permet, bloquez le dossier pour qu’il ne soit pas inclus dans les mailings, rapports ou processus automatisés

Ce que vous devez arrêter :

• Envoyer du marketing ou des communications utilisant les données
• Inclure les données dans des analyses ou rapports
• Partager les données avec des tiers
• Prendre des décisions basées sur les données

Ce que vous pouvez encore faire :

• Stocker les données
• Les traiter avec le consentement de la personne concernée
• Les traiter pour des actions en justice
• Les traiter pour protéger les droits d’une autre personne
• Les traiter pour des raisons importantes d’intérêt public

Étape 4 : Informez les destinataires (article 19)

Comme pour la rectification et l’effacement, vous devez notifier tout destinataire qui a reçu les données que le traitement est désormais limité, sauf si cela est impossible ou exige des efforts disproportionnés.

Étape 5 : Répondez à la personne concernée

Envoyez une réponse claire dans un délai d’un mois :

• Confirmez que la limitation a été appliquée
• Expliquez quelles données sont concernées
• Décrivez comment vous avez mis en œuvre la limitation
• En cas de refus (total ou partiel), expliquez pourquoi et informez du droit de déposer une plainte auprès de l’autorité de contrôle

Quand lever la limitation?

C’est essentiel : vous devez informer la personne concernée avant de lever la limitation. Vous ne pouvez pas simplement recommencer à traiter les données sans la prévenir.

La limitation peut être levée lorsque :

• Le litige sur l’exactitude est résolu et les données sont confirmées correctes
• Le problème de traitement illicite est résolu (par ex. le consentement est obtenu)
• Les actions en justice pour lesquelles les données étaient conservées sont conclues
• Votre vérification de l’opposition au titre de l’article 21 est terminée

Informez toujours la personne concernée à l’avance. Donnez-lui une possibilité raisonnable de réagir avant de reprendre le traitement.

Défis courants de mise en œuvre

Systèmes CRM sans indicateur de limitation

De nombreux systèmes CRM standard n’ont pas de statut “limité” intégré. Les solutions alternatives incluent :

• Ajouter un champ personnalisé ou une étiquette
• Déplacer le dossier vers une liste “limitée” séparée
• Ajouter une note au dossier avec des instructions claires pour le personnel

Processus automatisés

Vérifiez si des workflows automatisés (séquences d’e-mails, rapports, synchronisations de données) incluent les données limitées. Vous devrez peut-être créer des règles d’exclusion ou supprimer manuellement le dossier des processus automatisés.

Bases de données partagées

Si plusieurs départements ou systèmes accèdent aux mêmes données, assurez-vous qu’ils respectent tous la limitation. Une limitation dans votre CRM est inutile si l’équipe marketing peut encore extraire les données d’une base de données partagée.

Questions fréquentes

Quelle est la différence entre limitation et effacement?

Avec l’effacement, les données sont supprimées définitivement. Avec la limitation, les données sont conservées mais vous ne pouvez pas les utiliser. La limitation est utile lorsque les données peuvent encore être nécessaires - par exemple lors d’un litige sur l’exactitude, ou lorsque la personne concernée a besoin des données pour des actions en justice.

Puis-je encore sauvegarder des données limitées?

Le stockage est explicitement autorisé pendant la limitation. L’inclusion de données limitées dans des sauvegardes régulières dans le cadre d’opérations de stockage normales est généralement acceptable. Cependant, vous ne devez pas utiliser activement les données de sauvegarde à des fins de traitement au-delà du stockage.

Que faire si je traite accidentellement des données limitées?

Il s’agit d’une violation potentielle de données. Documentez ce qui s’est passé, évaluez le risque pour la personne concernée et informez-la. Si le risque est élevé, vous devrez peut-être notifier l’autorité de contrôle dans les 72 heures. Revoyez vos contrôles techniques pour éviter que cela ne se reproduise.