Le partenaire peut-il répondre directement au visiteur ?

Le RGPD charge le responsable de répondre et le sous-traitant de l'aider. Répondre à la place du client suppose une instruction de sa part, prévue au contrat. Sans elle, transmettez la demande au client sans attendre.

Faut-il demander une pièce d'identité au visiteur ?

Non, en principe. La CNIL indique qu'une pièce d'identité n'est demandée qu'en cas de doute raisonnable ; l'identité peut être établie par d'autres moyens, comme un numéro client ou une authentification sur un espace sécurisé.

Demande d'effacement RGPD reçue par un sous-traitant

La réponse à une demande d'accès ou d'effacement revient au client, responsable de traitement. Si la demande arrive chez vous ou chez l'éditeur, elle doit lui être transmise sans attendre, et vous devez l'aider à y répondre : l'article 28 du RGPD (règlement général sur la protection des données) en fait une obligation du sous-traitant. Le délai légal est d'un mois à compter de la réception de la demande, prolongeable de deux mois pour une demande complexe, à condition d'en informer la personne. Comme ce délai court dès la réception, chaque maillon doit savoir quoi faire de la demande le jour même.

Les droits en jeu

Droit	Article	Ce que le visiteur peut obtenir
Accès	15	La confirmation que ses données sont traitées, une copie et des informations sur le traitement
Effacement	17	La suppression de ses données, notamment quand elles ne sont plus nécessaires
Information sur les destinataires	19	Le responsable notifie l'effacement à chaque destinataire et, sur demande, indique à la personne qui ils sont

Les délais

L'article 12, paragraphe 3, impose une réponse « dans les meilleurs délais et en tout état de cause dans un délai d'un mois à compter de la réception de la demande ». Le délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes ; le responsable informe alors la personne de la prolongation et de ses motifs. La CNIL (Commission nationale de l'informatique et des libertés) rappelle qu'il faut, dans tous les cas, informer la personne des suites données dans le mois.

Le parcours d'une demande dans la chaîne

Réception. Le visiteur écrit où il peut : au client, à l'adresse de votre marque, au support de l'éditeur, voire dans l'assistant lui-même.
Transmission au client. Le maillon qui reçoit la demande la transmet au client, avec la date de réception. Fixez un délai interne court, par exemple deux jours ouvrés (hypothèse à adapter).
Identification. La CNIL indique qu'il ne faut pas exiger de pièce d'identité, sauf doute raisonnable. Pour un assistant sans compte, la conversation se retrouve par des éléments que le visiteur peut fournir : date et heure, adresse électronique laissée dans l'échange, extrait d'un message.
Recherche et extraction. Le partenaire ou l'éditeur retrouve les conversations et les fournit au client sous une forme lisible.
Réponse. Le client répond au visiteur.
Effacement en cascade, s'il est demandé et justifié : la plateforme, les exports, les copies dans les outils du client, les prestataires de l'éditeur. L'article 19 demande au responsable de notifier l'effacement à chaque destinataire.
Trace. Chacun garde la trace de la demande, des dates et de ce qui a été fait.

Ce que contient une réponse d'accès

La CNIL précise qu'il faut fournir une copie des données, quel que soit leur support, sous réserve des droits des tiers, et les informations sur le traitement : finalités, catégories de données, destinataires, durée de conservation, autres droits, droit de réclamation, source des données, décisions automatisées et garanties en cas de transfert hors de l'Union européenne. Une liste des catégories de données ne suffit pas.

Pour un assistant revendu, les destinataires et les transferts sont justement les informations que le client ne détient pas seul. Fournissez-les-lui une fois pour toutes (voir la mention d'information et les transferts).

Quand refuser

La CNIL admet le refus d'une demande manifestement infondée ou excessive, notamment par son caractère répétitif, ou portant sur des données déjà effacées ou non conservées. Tout refus est motivé et indique les voies et délais de recours. C'est au client de décider d'un refus, pas au sous-traitant.

Les délais internes à convenir (exemple)

Étape	Qui	Délai interne (hypothèse)
Transmettre la demande au client	Maillon qui la reçoit	2 jours ouvrés
Retrouver et extraire les conversations	Partenaire, avec l'éditeur	5 jours ouvrés après la demande du client
Effacer dans la plateforme et chez les prestataires	Éditeur	5 jours ouvrés après l'instruction
Confirmer l'effacement au client	Partenaire	1 jour ouvré après l'éditeur

Ces durées sont un exemple de découpage qui laisse au client le temps de répondre dans le mois. Fixez les vôtres avec l'éditeur avant de signer.

Ce que dit la CNIL du sous-traitant

Le guide du sous-traitant de la CNIL (septembre 2017) demande au sous-traitant d'aider son client, « dans toute la mesure du possible », à donner suite aux demandes d'exercice des droits. Parmi ses six bonnes pratiques publiées le 08/07/2020, la CNIL rappelle que le sous-traitant doit aider le donneur d'ordre dans le traitement de ces demandes. Sa page sur le droit d'accès précise : votre sous-traitant « doit vous aider à vous acquitter de vos obligations ».

Cette page est une information générale. Pour une demande délicate (refus, conversation contenant des données de tiers, litige), le client s'appuie sur son délégué à la protection des données ou sur un avocat.