6.- What is the procedure to exercise the rights contained in the new regulation?
6.- Quelle est la procédure à suivre pour exercer les droits collectés par le nouveau Règlement?
The GRDP requires controllers to facilitate the exercise of the data subjects’ rights. This requirement establishes that procedures and methods to do so must be visible, accessible and simple. This obligation requires to set up procedures enabling data subjects to easily prove that they have exercised their rights by electronic means, which is not always viable at present.
The exercise of rights shall be free of charge for the data subject, unless:
Where requests are manifestly unfounded or excessive, in particular because of their repetitive character, the controller may charge a reasonable fee taking into account the administrative costs of taking the action requested; or refuse to act on the request (such fee cannot represent additional income for the controller but should effectively correspond to the true cost of the processing of the request).
The controller shall provide information on the actions taken on a request to the data subject within one month (that period may be extended by two further months if requests are especially complex and the controller shall inform the data subject of any such extension within one month). If the controller decides not to take action on the request, the controller shall inform the data subject of the reasons for not taking action within one month of receipt of the request.
In accordance with the GDPR, controllers must use all reasonable measures to verify the identity of a data subject who requests access, and, in general, of data subjects that exercise the remaining ARCO rights.
When the controller processes a large quantity of information concerning a data subject, the controller may request that the data subject specify the information to which the request relates.
The controller may be assisted by processors to respond to requests made by data subjects exercising their rights, and such assistance may be included in the processing agreement.
Le RGPD exige que les responsables facilitent l’exercice de leurs droits auprès des personnes concernées. Ce mandat suppose que les procédures et les formulaires doivent être visibles, accessibles et simples. Cette obligation exige l'articulation de procédures permettant facilement aux personnes concernées de prouver qu'elles ont exercé leurs droits par des moyens électroniques, ce qui n'est actuellement souvent pas possible.
L'exercice des droits sera gratuite pour la personne concernée sauf :
Dans les cas de demandes de caractère manifestement infondé ou excessif, surtout les demandes répétitives, le responsable pourra exiger le paiement de frais pour compenser les coûts administratifs pour répondre à la demande, ou alors refuser d'agir (les frais ne peuvent pas impliquer un revenu supplémentaire pour le responsable, mais doit correspondre efficacement au coût réel du traitement de la demande).
Le responsable doit informer la personne concernée des actions découlant de sa demande dans un délai d'un mois (qui peut être prolongé à deux mois pour les demandes particulièrement complexes et le responsable doit notifier la personne concernée de cette extension au cours du premier mois). Si le responsable décide de ne pas donner suite à une demande, il doit en informer la personne concernée, en justifiant son refus, dans un délai d'un mois à compter de la date de sa présentation.
Conformément au RGPD, les responsables devront prendre toutes les mesures raisonnables pour vérifier l’identité de ceux qui demandent l’accès et, en général, de ceux qui exercent le reste des droits ARCO (droit d'accès, de rectification, d’effacement ou d'opposition).
Le responsable qui manipule une grande quantité d’informations d’une personne concernée peut demander à ce dernier de spécifier les informations visées dans sa demande d’accès.
Le responsable pourra compter sur la collaboration des sous-traitants pour veiller à l’exercice des droits des personnes concernées, et il peut inclure cette collaboration dans le contrat de cession de traitement.