Quelles informations une entreprise doit-elle fournir en réponse à une demande d'accès ?
En principe, l’entreprise doit indiquer si elle traite des données personnelles concernant la personne et lui fournir les informations nécessaires pour garantir la transparence du traitement et l’exercice de ses droits. Cela comprend notamment l’identité et les coordonnées du responsable, les données traitées, la finalité, la durée de conservation ou ses critères, l’origine des données dans certains cas, ainsi que, le cas échéant, les décisions automatisées et les destinataires. Les renseignements sont en règle générale gratuits et fournis dans un délai de 30 jours.
Lorsqu’une personne exerce son droit d’accès, elle peut demander au responsable du traitement si des données personnelles la concernant sont traitées. La réponse ne se limite pas à un simple oui ou non: elle doit contenir les informations nécessaires pour permettre l’exercice des droits prévus par la loi et pour garantir la transparence du traitement. Même si le traitement est confié à un sous-traitant, l’obligation de répondre reste à la charge du responsable du traitement. Le droit d’accès ne peut pas faire l’objet d’une renonciation anticipée.[1]
- l’identité et les coordonnées du responsable du traitement;
- les données personnelles traitées en tant que telles;
- la finalité du traitement;
- la durée de conservation des données personnelles ou, si cela n’est pas possible, les critères pour fixer cette dernière;
- les informations disponibles sur l’origine des données personnelles, dans la mesure où ces données n’ont pas été collectées auprès de la personne concernée;
- le cas échéant, l’existence d’une décision individuelle automatisée ainsi que la logique sur laquelle se base la décision;
- le cas échéant, les destinataires ou les catégories de destinataires auxquels des données personnelles sont communiquées, ainsi que les informations prévues à l’art. 19, al. 4.
Des règles particulières complètent cette réponse. Des données personnelles sur la santé peuvent être communiquées à la personne concernée, moyennant son consentement, par l’intermédiaire d’un professionnel de la santé qu’elle aura désigné. En outre, les renseignements demandés sont fournis gratuitement. Le Conseil fédéral peut toutefois prévoir des exceptions, notamment si la communication de l’information exige des efforts disproportionnés; il faut donc vérifier si une exception réglementaire applicable existe. Enfin, en règle générale, les renseignements sont fournis dans un délai de 30 jours.[1]
Cette réponse résume le texte légal cité tel qu’il est publié sur Fedlex. Il faut vérifier la disposition actuellement en vigueur et toute modification ultérieure avant d’agir.[1]