Modèles et enregistrements · ISO 27701 · Chapitre A.1
Modèle de registre des demandes d’exercice des droits ISO 27701
Chaque fois que quelqu’un demande à voir, corriger ou effacer ses données, un délai commence à courir. Le registre démontre que la demande a été traitée à temps et avec la bonne réponse.
En une phrase
Le registre des demandes d’exercice des droits consigne chaque demande d’accès, de rectification, d’effacement, de limitation, de portabilité ou d’opposition avec sa date de réception, la vérification d’identité, les actions menées et la date de réponse, parce que l’article 12.3 du RGPD accorde un mois pour répondre, prolongeable de deux mois, et que l’ISO/IEC 27701 inclut le traitement de ces demandes parmi les mesures du responsable du traitement du tableau A.1.
- Où la norme l’exige
- ISO 27701 · Chapitre A.1 L’édition de 2025 est citée : les numéros 4 à 10 sont des chapitres ; A.1, A.2 et A.3 sont les tableaux de l’Annexe A regroupant les mesures du responsable du traitement, du sous-traitant et celles communes aux deux.
- Type d’information
- Enregistrement obligatoire Enregistrement à conserver comme preuve de la mesure (tableau A.1 ; art. 12 et 15 à 22 du RGPD)
- Qui le renseigne
- Celui qui reçoit la demande et le responsable du PIMS Le service client ou les RH l’enregistrent ; le délégué examine les cas douteux
- Quand
- Le jour même de sa réception Le délai court à partir de la réception, et non du moment où quelqu’un la lit
- Durée de conservation
- Fixée par l’organisme Ni la norme ni le RGPD ne fixent de durée pour l’enregistrement lui-même ; le principe de limitation de la conservation (art. 5.1.e du RGPD) oblige à justifier celle qui est retenue.
Ce que demande la norme
Ce qu’exige ISO 27701 et ce qui est laissé à votre appréciation
La norme demande au responsable du traitement d’avoir défini et documenté ses obligations envers les personnes concernées et la manière de traiter leurs demandes : accès, rectification, effacement, opposition et les autres. Le sous-traitant, de son côté, doit aider son client à y répondre (tableau A.2 et art. 28.3.e du RGPD).
Le RGPD fixe un mois à compter de la réception, prolongeable de deux mois si la complexité ou le nombre de demandes le justifie, à condition d’informer la personne de la prolongation dans le premier mois (art. 12.3). Si la demande n’est pas satisfaite, il faut en expliquer les raisons et indiquer la possibilité d’introduire une réclamation auprès de l’autorité (art. 12.4).
Ni la norme ni le règlement n’exigent un registre sous ce nom, mais sans lui il est impossible de prouver le respect des délais, et l’auditeur demandera un échantillon.
Structure
Les champs que doit comporter le modèle
- Numéro, date de réception et canal
- Droit exercé
- Personne concernée et vérification de son identité
- Traitements et systèmes concernés
- Date limite et, le cas échéant, prolongation notifiée
- Actions menées, y compris la notification aux destinataires (art. 19 du RGPD)
- Réponse envoyée et date
- Refus motivé, le cas échéant
- Sous-traitant impliqué et sa réponse
Exemple
Exemple : demande d’effacement dans une salle de sport fictive
Entreprise, personnes et chiffres fictifs : l’exemple montre seulement à quoi ressemble un enregistrement correctement renseigné.
| Champ | Contenu |
|---|---|
| Numéro et date | SD-2026-019 · 2 juin 2026 · E-mail à vieprivee@ |
| Droit | Effacement après résiliation de l’abonnement |
| Vérification | Concordance avec l’adresse e-mail enregistrée et le numéro d’adhérent |
| Systèmes | Logiciel de gestion des adhérents, application de réservation, plateforme de lettres d’information |
| Date limite | 2 juillet 2026 |
| Actions | Suppression dans les réservations et les lettres d’information ; dans le logiciel des adhérents, les données de facturation sont verrouillées en raison d’une obligation fiscale |
| Réponse | 18 juin 2026 · Indique ce qui a été supprimé et ce qui a été verrouillé, avec la base légale · Club Alameda (fictif) |
À l’audit
Les erreurs que relèvent souvent les auditeurs
- Les demandes arrivent dans des boîtes différentes et personne ne surveille le délai.
- Des justificatifs d’identité disproportionnés sont exigés pour un droit simple.
- La suppression est faite dans le système principal, mais les copies, les lettres d’information et les sous-traitants sont oubliés.
- Le refus n’en explique pas le motif et n’informe pas du droit d’introduire une réclamation.
Dans Kimobox
Comment tenir cet enregistrement dans Kimobox
- 1Chaque demande est enregistrée dans un formulaire avec sa date de réception et son délai calculé.
- 2Le système alerte avant l’échéance et fait remonter la demande si personne ne répond.
- 3La localisation des données par personne concernée indique les systèmes sur lesquels agir.
- 4La réponse est conservée avec la demande et ses preuves.
Questions fréquentes
Ce que l’on nous demande avant de commencer
Quel est le délai de réponse ?
Un mois à compter de la réception, prolongeable de deux mois si la complexité ou le nombre de demandes le justifie, en informant la personne dans le premier mois (art. 12.3 du RGPD).
Peut-on faire payer ?
En règle générale, non. Seules des demandes manifestement infondées ou excessives permettent d’exiger des frais raisonnables ou de refuser, et il revient au responsable du traitement de le démontrer (art. 12.5 du RGPD).
Tenez les enregistrements ISO 27701 sans modèles éparpillés
Nous vous montrons le module en fonctionnement avec des données proches des vôtres.
Poursuivez la visite
Pages associées
Droits des personnes concernées
Le RGPD reconnaît aux personnes concernées le droit d’accéder à leurs données, de les rectifier, de les…
Mesures pour responsables du traitement et sous-traitants
L’Annexe A réunit les mesures de référence du PIMS pour les responsables du traitement et les sous-traitants…
Modèle de registre des activités de traitement ISO 27701
Ce que doit contenir le registre des activités de traitement d’un PIMS ISO 27701 et de l’art. 30 du RGPD…
Modèle d’inventaire des données personnelles ISO 27701
Bâtir l’inventaire des données personnelles d’un PIMS ISO 27701 : où sont les données, dans quels systèmes…