AgentPublic/cnil huggingface dataset:
A cet égard, le mandat devrait rappeler à la personne concernée que sa pièce d’identité ne devrait être transmise à l’appui de la demande que si le responsable de traitement la connait sous son identité régalienne (par exemple, dans le cadre d’une relation avec une banque). Si le responsable de traitement connaît la personne sous un pseudonyme, la transmission de la pièce d’identité avec la demande de mandat pourrait ne pas être justifiée.
4.2 – Les données permettant au responsable de traitement de s’assurer de l’authenticité, de l’étendue et de la durée du mandat
Dans la mesure où il incombe au responsable de traitement détenteur des données de s’assurer de l’authenticité du mandat, il est recommandé que des mesures lui permettant de mettre en œuvre cette obligation soient prises en amont par les mandataires.
Dans certains cas, le recours à la signature électronique simple peut être envisagé afin de vérifier l’identité et la volonté de la personne concernée d’établir le mandat. Cette signature pourrait également permettre de garantir que le mandat n’a subi aucune modification depuis sa signature par la personne concernée.
Le responsable de traitement doit également être en mesure d’identifier, à travers le mandat, les données faisant l’objet de la demande, la nature des droits exercés et la durée du mandat.
La Commission recommande que le mandat invite expressément la personne concernée à préciser sa demande avec, par exemple, les catégories de données faisant l’objet de l’exercice du droit (par exemple, toutes les données relatives à ses interactions avec le service client), les finalités du traitement (par exemple, toutes les données collectées pour faciliter le paiement), le service fourni par le responsable de traitement (par exemple, un service de billetterie) ou encore par droit qu’elle souhaite exercer (si le mandataire le propose parmi ses services).
Enfin, la durée du mandat doit être indiquée, ce qui implique que l’échéance à laquelle le mandat prend fin doit être déterminée ou déterminable. Ainsi, la Commission considère qu’un mandat établi pour une durée indéfinie ne répond pas à l’exigence de l’article 77 du décret. Par exemple, les missions devant être accomplies par le mandataire peuvent être précisément listées, et il peut être prévu que l’accomplissement de ces dernières entraînera la résiliation automatique du mandat, notamment à la réception des données dans le cadre de l’exercice d’un droit à la portabilité des données. Par ailleurs, la Commission rappelle qu’en application de l’article 2004 du code civil, la personne concernée a le droit de révoquer le mandat à tout moment. La Commission recommande que, lorsque le mandat se renouvelle tacitement, la personne concernée en soit informée et puisse user de son droit de rétractation à tout moment. Lorsque la personne révoque son mandat, l’exercice des droits par le biais du mandataire doit cesser. Ce dernier doit donc notifier les responsables de traitement auprès desquels des demandes d’exercice des droits ont été adressées et qui sont toujours en cours de traitement, sans préjudice de l’éventuelle information de cette révocation à l’initiative de la personne concernée elle-même.
4.3 – Les données permettant au responsable de traitement d’identifier les destinataires des données
Le mandat doit expressément préciser si le mandataire peut être rendu destinataire des données, conformément à l’article 77 du décret. Pour assurer une transmission fluide des données, l’adresse (postale ou électronique) vers laquelle les données peuvent être acheminées peut également être précisée, de même que tout autre moyen technique permettant que les données soient reçues et utilisables au plus vite par l’entité destinataire, comme une clef d’accès à une interface de programmation d’application ( "application programming interface" ou API) ou encore une URL dédiée, dès lors que la transmission par ces moyens s’opère de manière sécurisée et que leur utilisation par le responsable du traitement ne nécessite pas d’efforts additionnels.
Dans les cas où le destinataire des données n’est pas précisé dans le mandat, la Commission recommande que les données soient transmises par défaut à la personne concernée.
Article 5 - Sur les demandes d’exercice de droit par voie électronique
L’article 12 alinéa 3 du RGPD prévoit que lorsque la personne concernée présente sa demande sous une forme électronique, les informations sont fournies par voie électronique si cela est possible, à moins que la personne concernée ne demande qu'il en soit autrement. Si cela est techniquement faisable, la Commission recommande que le mandataire offre à la personne concernée la possibilité de choisir le canal par lequel elle souhaite exercer sa demande (c’est-à-dire par voie postale ou par voie électronique), sachant que la voie électronique peut être considérée comme la voie par défaut.
5.1 - Les demandes d’exercice de droit via l’utilisation d’une API
Les demandes d’exercice de droit par le biais d’un mandataire peuvent être réalisées par le biais d’une interface de programmation d’application.
Les API permettent de réduire considérablement la charge des responsables de traitement dans le traitement des demandes d’exercice de droits. La Commission encourage ainsi les responsables de traitement détenteurs de données et les mandataires à avoir recours à cette technique, notamment lorsqu’ils doivent traiter une quantité importante de demandes d’exercice de droits.
Par ailleurs, quand les responsables de traitement fournissent un accès par API, la Commission recommande que l’accès à l’API soit stable, que celle-ci ait un niveau de disponibilité élevé, et que des mesures de sécurité adaptées aux risques soient mises en œuvre.
Le recours à une API peut être particulièrement pertinent si une mise à jour régulière des données est nécessaire pour que le mandataire puisse fournir le service à la personne concernée (par exemple, dans le cadre d’un service d’alerte à l’arrivée d’une nouvelle facture téléphonique).
Enfin, lorsque des API sont développées afin de se conformer aux exigences du règlement délégué (UE) 2018/389, la Commission encourage les acteurs assujettis à la DSP2 à étendre leur usage aux données n’entrant pas dans le champ de la DSP2, afin de pouvoir répondre de manière sécurisée et avec plus de fluidité aux demandes d’exercice des droits qu’ils pourraient recevoir.
5.2 – Les demandes d’exercice de droit via l’utilisation de la technique d’aspiration de données ("scraping")
Les mandataires peuvent solliciter auprès de la personne concernée ses identifiant et mot de passe en vue d’extraire des données la concernant accessibles depuis le site du responsable de traitement (technique dite d’aspiration de données ou "scraping" ).
L’utilisation des données d’authentification avec l’accord de la personne concernée dans cette optique n’est pas interdite par principe par le RGPD.
Toutefois, compte tenu des risques importants qu’elle comporte pour les personnes concernées, notamment au regard de la préservation du niveau de sécurité apporté par les mécanismes d’authentification reposant sur l’utilisation de mots de passe, le recours à cette technique devrait être strictement limité et systématiquement soumis au recueil d’un consentement valable de la personne concernée (c’est-à-dire libre d’être donné ou refusé, indépendamment de la conclusion du mandat et susceptible d’être retiré à tout moment).
De même, le mandataire deviendrait dans cette hypothèse responsable des traitements des données permettant l’authentification de la personne concernée, et serait alors tenu de mettre en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque.
Le premier cas d’usage est celui dans lequel le responsable de traitement permet l’accès aux données par aspiration en l’indiquant de manière univoque dans sa réponse à la demande qui lui est adressée. Dans ce cas, le responsable du traitement et le mandataire sont tenus d’adapter les mesures de sécurité et devraient, en amont de l’exercice du droit d’accès, procéder à une analyse de risques afin de mettre en œuvre les mesures de sécurité adéquates afin que ces risques soient maîtrisés.
Par exemple, ces mesures peuvent consister en la mise en place d’une authentification dédiée au mandataire permettant son identification et une traçabilité des accès, la mise à disposition d’une version dégradée du site contenant uniquement les informations auxquelles le mandataire peut avoir accès, ou l’usage d’un mot de passe temporaire et dédié au mandataire sur le compte utilisateur.
Le second correspond au cas où un responsable de traitement ne répond pas à une demande effectuée à plusieurs reprises, au-delà des délais prévus par le RGPD.
Dans cette hypothèse, la Commission recommande que le mandataire mette en place les dispositifs suivants : (i) la personne concernée a été pleinement informée des risques encourus dans le cadre du recueil de son consentement ; (ii) le responsable de traitement a été prévenu en amont qu’une aspiration va être mise en œuvre avec les informations lui permettant d’identifier les accès par le mandataire (telles que l’adresse IP de ce dernier, la date, l’heure et la durée de sa connexion, etc.) ; (iii) le mandataire est en mesure de fournir un mandat valide au responsable de traitement si ce dernier en fait la demande, et ce, même si les données ont déjà été collectées ; (iv) le mandataire ne collecte pas de données dont il n’a pas à connaître au regard du mandat, notamment en permettant au mandant de vérifier, de rectifier ou supprimer tout ou partie des données collectées par ce biais ; et (v) le mot de passe utilisé ordinairement par l’utilisateur n’est pas transmis au mandataire. A cette fin, les mandataires devraient mettre en place un système permettant que l’aspiration soit réalisée via le navigateur de la personne concernée (par exemple, par une extension spécifique dans le navigateur). A défaut, la Commission recommande au mandataire d’informer la personne concernée de la nécessité de changer son mot de passe pour en créer un temporaire permettant d’accéder à son compte, puis de le modifier à nouveau une fois cet accès réalisé par le mandataire.
La Commission recommande en tout état de cause que, dans l’hypothèse exceptionnelle où le mandataire utilise un mot de passe, dédié ou temporaire, celui-ci ne soit accessible à aucun membre de son personnel et soit supprimé immédiatement après l’accès aux données. Si l’aspiration est utilisée de manière récurrente, le mandataire doit informer régulièrement la personne de l’existence de cet accès et lui demander de confirmer son souhait de poursuivre la collecte.
La Commission rappelle également que les mandataires envisageant de recourir à cette technique d’aspiration des données ne peuvent exiger la désactivation de mesures de sécurité légitimes mises en place par les responsables de traitement, telles que les systèmes de blocage d’accès aux contenus par des robots comme l’usage de captchas ou de système de suspension d’accès à certaines adresses IP représentant un risque de sécurité avéré.
Article 6 - Sur la réponse apportée par le responsable de traitement à la demande d’exercice de droits 
La Commission encourage les acteurs à collaborer autant que possible afin de faciliter l’exercice des droits des personnes et leur rappelle qu’ils ne peuvent créer de conditions additionnelles, dépourvues de fondement juridique, qui feraient obstacle à l’aboutissement d’une demande d’exercice de droit.
6.1 – Sur la prorogation du délai de réponse lorsqu’une demande est complexe
Conformément à l’article 12 alinéa 3 du RGPD, le responsable du traitement doit informer la personne sur les mesures prises pour répondre à sa demande, dans les meilleurs délais et en tout état de cause dans un délai d'un mois à compter de la réception de la demande. Au besoin, ce délai peut être prolongé de deux mois compte tenu de la complexité et du nombre de demandes.
Le responsable de traitement doit être en mesure de démontrer la complexité de la demande ; le simple fait qu’une demande est exercée par le biais d’un mandataire ne suffit pas à proroger automatiquement le délai de réponse.
Le mandataire devrait jouer pleinement son rôle d’intermédiaire entre le responsable de traitement et la personne concernée. Par exemple, si le responsable de traitement accuse réception de la demande, confirme sa prise en compte (notamment dans le cas d’une demande de rectification ou de suppression) ou s’il répond en informant qu’une prolongation de deux mois est nécessaire, le mandataire devrait transmettre ces informations à la personne concernée. A cet égard, la Commission recommande que la personne concernée puisse suivre l’avancement de la mission du mandataire, et ce à tout moment de sa réalisation (sans préjudice des obligations de transparence et d’exercice des droits relatives aux traitements de ses données à caractère personnel par ledit mandataire).
6.2 – Sur la transmission des données du responsable de traitement au mandataire
En ce qui concerne le format technique des données, l’article 20 du RGPD énonce que les données doivent être transmises dans un format couramment utilisé, c’est-à-dire dans un format que des systèmes doivent être en mesure de traiter de manière automatisée. Bien que cet article ne soit relatif qu’aux données faisant l’objet d’une demande de portabilité, la Commission encourage les responsables de traitement et les mandataires à avoir recours à des formats standards globaux ou à l’échelle d’un secteur, et de préférence ouverts et documentés (par exemple XML, JSON, CSV, assortis de métadonnées utiles au meilleur niveau de granularité possible, tout en maintenant un niveau d’abstraction élevé) pour répondre aux demandes d’exercice des droits.
En ce qui concerne le canal de transmission, l’article 12 du RGPD énonce que lorsque la personne concernée présente sa demande sous une forme électronique, les informations sont fournies par voie électronique, lorsque cela est possible, à moins que la personne concernée ne demande qu’il en soit autrement. La Commission constate ainsi que le RGPD pose un principe de parallélisme des formes. Aussi, si le mandataire a mis en place des mesures permettant à la personne concernée d’exercer sa demande par voie postale, des mesures similaires devraient être prises permettant de recevoir les données par ce même canal.
La transmission directe des données au mandataire par le responsable de traitement peut être exigée dans le cadre du droit à la portabilité, lorsque cela est techniquement possible et que le mandat le prévoit.
Dans le cadre d’un droit d’accès, la Commission encourage les responsables de traitement à adresser les données au mandataire lorsque ce dernier est désigné comme destinataire par la personne concernée dans le mandat.
Article 7 - Sur le refus de faire droit à une demande d’exercice de droit par le biais d’un mandataire
7.1 - Lorsque la demande est manifestement infondée ou excessive
L’article 12 alinéa 5 b) du RGPD énonce que lorsque les demandes d'une personne concernée sont "manifestement" infondées ou excessives, notamment en raison de leur caractère répétitif, le responsable de traitement peut refuser de donner suite à ces demandes. La Commission considère que le caractère manifestement infondé ou excessif d’une demande devrait faire l’objet d’une appréciation au cas par cas par le responsable de traitement détenteur des données, et que le terme manifestement implique que le caractère infondé soit indéniable et évident.
La Commission estime que le fait qu’une demande soit effectuée par le biais d’un mandataire ne permet pas de considérer qu’elle est manifestement infondée. De plus, la Commission rappelle que les responsables de traitement détenteurs des données ne sont pas responsables des utilisations ultérieures que feraient les mandataires une fois les données transmises : le caractère manifestement infondé ne peut pas être caractérisé par d’éventuelles réutilisations, qui relèvent entièrement de la responsabilité du mandataire.
La Commission rappelle que la quantité de données faisant l’objet de la demande ne constitue pas une justification suffisante pour considérer qu’une demande est excessive.
Enfin le CEPD a considéré dans ses lignes directrices relatives au droit à la portabilité que les cas dans lesquels le responsable de traitement peut refuser de fournir les informations demandées devraient être très rares, même lorsqu’il est question de demandes multiples. Dans cet esprit, la Commission estime que le caractère répétitif de demandes d’exercice de droits ne suffit pas à lui seul pour les considérer comme excessives.
Toutefois, la Commission estime que le renouvellement d’une demande d’exercice de droits pourrait être considérée comme excessif si une demande rigoureusement similaire a déjà été adressée au responsable de traitement détenteur des données, alors que (i) cette demande porte sur le même ensemble de données et les mêmes droits ; (ii) qu’aucune réponse n’a encore été délivrée ; et que (iii) le délai de réponse (un mois pouvant être prorogé de deux mois) dont dispose le responsable de traitement n’est pas encore écoulé.
A l’inverse, le renouvellement d’une demande qui porte sur le même ensemble de données et sur les mêmes droits ne devrait pas être considéré comme excessif si le délai de réponse est écoulé et que le responsable de traitement n’a pas respecté ses obligations en ne répondant pas à la demande, ou qu’il a répondu de manière insatisfaisante (si, par exemple, il n’a pas correctement rectifié les données ou n’a pas procédé au transfert de l’ensemble des données portables).
S’il a déjà été donné entièrement satisfaction à une première demande par le responsable de traitement, les conditions dans lesquelles une demande relative au même ensemble de données et pour les mêmes droits peut être renouvelée sont généralement liées à des évènements ponctuels, comme par exemple :
le souhait de la personne concernée d’ajouter un nouveau destinataire à sa demande de portabilité des données ; ou
lorsque la personne concernée peut raisonnablement considérer que de nouvelles données sont apparues ou que les modalités de traitement ont évolué, comme l’indique le considérant 63 du RGPD.
En ce qui concerne l’ajout d’un nouveau destinataire dans le cadre d’une demande de portabilité, la Commission encourage le mandataire à mettre en place un mécanisme permettant à la personne concernée d’ajouter directement sur sa plateforme un nouveau destinataire, si les données ont été conservées par le mandataire, afin d’éviter de renouveler la demande de portabilité auprès du responsable de traitement.
Dans tous les cas, la Commission recommande que la personne concernée puisse déterminer librement l’étendue de sa demande et puisse choisir de renouveler un même mandat. En tant que bonne pratique, le mandataire peut lui conseiller de cibler sa demande de renouvellement ou de préciser les raisons pour lesquelles elle estime qu’un renouvellement est nécessaire.
D’une manière générale, la Commission recommande de ne pas prévoir de renouvellement par défaut ou de périodicité d’un mandat, sauf si :
la nature du traitement permet d’anticiper que des modifications seront régulièrement apportées aux données concernées et que le mandataire propose un service de mise à jour périodique des données ; ou si
la transmission des données se fait par l’intermédiaire d’une API. En effet, le recours à une API permet de réduire considérablement la charge relative au traitement de demandes d’exercices de droit répétitives et réduit la probabilité que des demandes puissent être considérées comme imposant une charge excessive.
Enfin, le responsable de traitement ne peut garder le silence lorsqu’il reçoit une demande d’exercice de droits. S’il refuse d’y faire droit, il devra, en application de l’article 12 alinéa 6 du RGPD, justifier des motifs de son refus. Cette justification pourra se faire auprès du mandataire, qui devra en informer la personne concernée. A défaut, le responsable de traitement s’expose, au dépôt d’une plainte auprès de la Commission ou à un recours juridictionnel si la personne concernée souhaite contester le refus implicite ou explicite de prise en compte de sa demande.
7.2 - Lorsque le responsable de traitement a des doutes raisonnables sur l’identité de la personne concernée
Le fait qu’une demande d’exercice de droits soit exercée par l’intermédiaire d’un mandataire ne doit pas conduire à considérer a priori qu’il existe des doutes raisonnables quant à l’identité de la personne. Ainsi, si les informations préalablement fournies dans le mandat sont suffisantes, il n’est en principe pas nécessaire de collecter des informations supplémentaires. En revanche, ces doutes raisonnables peuvent par exemple être caractérisés en cas d’homonymie.
Dans les cas où le responsable de traitement aurait des doutes raisonnables sur l’identité de la personne, notamment lorsque la personne a recours à un pseudonyme qui ne concorde pas avec les informations détenues par lui-même, il peut collecter des informations supplémentaires pour confirmer l’identité, sachant qu’une attention spécifique doit être portée au principe de pertinence des données. Par exemple, si le responsable de traitement ne connaît pas la personne sous son identité régalienne, la collecte de la pièce d’identité pour procéder à des vérifications supplémentaires n’est en principe pas pertinente. A cet égard, la Commission encourage l’adoption de protocoles d’authentification partagés entre le mandataire et le responsable de traitement, afin que ce dernier puisse s’assurer que la personne concernée est bien celle qu’elle prétend être, et de faciliter la transmission directe des données.
Pour la collecte d’informations supplémentaires, le responsable de traitement peut se tourner aussi bien vers le mandataire que vers la personne concernée. Dans ce dernier cas, la Commission invite les responsables de traitement à veiller et à tenir le mandataire informé de cette démarche. Par exemple, il peut mettre en place des mécanismes d’authentification permettant à la personne concernée de se connecter au service en ligne avec ses identifiants et lui demander de confirmer que la demande émane bien d’elle. Le responsable de traitement peut également la contacter directement en vue de vérifier la concordance avec des informations dont il dispose déjà (historique d’achat, numéro de carte de fidélité, etc.).
7.3 - Sur la possibilité de refuser une demande en raison d’une impossibilité technique 
Lorsque la réponse est fournie sous une forme électronique, la transmission des données peut se faire par le biais d’une transmission directe ou d’outils automatisés permettant l’extraction des données pertinentes (comme par exemple des API).
La Commission encourage les responsables de traitement et les mandataires à développer des systèmes standardisés afin de réduire les entraves techniques qui font obstacle à la transmission directe des données. L’adoption des technologies standardisées peut se faire à plusieurs niveaux :