Demandes des personnes concernées et le RGPD et CCPA

Le règlement général sur la protection des données (RGPD) présente de nouvelles règles pour les organisations qui offrent des produits et des services aux membres de l’Union européenne (UE), ou qui collectent et analysent des données pour les résidents de l’UE quel que soit l’endroit où vous vous trouvez et celui où se trouve votre entreprise. Vous trouverez plus d’informations dans l’article Résumé du RGPD.

De même, le California Consumer Privacy Act (CCPA) fournit des droits et des obligations en matière de confidentialité aux consommateurs californiens. Ces droits incluent des droits similaires aux droits des personnes concernées par le RGPD, tels que le droit de supprimer, d’accéder et de recevoir (portabilité) leurs informations personnelles. Le CCPA prévoit également des publications d’informations, des protections contre la discrimination des personnes faisant usage de leurs droits et la possibilité d’opter pour ou contre certains transferts de données classés en tant que « ventes ». Ce document vous permet d’obtenir des informations sur le traitement des demandes des personnes concernées (DPC) dans le cadre du RGPD et du CCPA à l’aide des produits etdes services Microsoft.

Pour les définitions de la terminologie RGPD, consultez Règlement général sur la protection des données. Pour plus d’informations sur le rôle de Microsoft en tant que processeur de données, consultez Microsoft en tant que processeur de données.

Qu’est-ce qu’une demande de la personne concernée ?

Le Règlement général sur la protection des données (RGPD) accorde aux personnes (appelées personnes concernées par le règlement) le droit de gérer les données personnelles qu’un employeur ou un autre type d’agence ou de organization (connu sous le nom de contrôleur de données ou simplement de contrôleur) collecte à leur sujet. Le RGPD accorde aux personnes concernées des droits spécifiques sur leurs données personnelles. Ces droits incluent l’obtention de copies de leurs données personnelles, la demande de modification de celles-ci, la restriction du traitement de celles-ci, leur suppression ou leur réception dans un format électronique afin qu’ils puissent les déplacer vers un autre responsable du traitement.

En tant que contrôleur, vous êtes tenu d’examiner rapidement chaque DSR et de fournir une réponse substantielle en effectuant l’action demandée ou en fournissant une explication de la raison pour laquelle la DSR ne peut pas être prise en charge par le contrôleur. Consultez vos propres conseillers juridiques ou de conformité concernant la bonne disposition d’un DSR donné.

Plusieurs processus peuvent être impliqués dans l’exécution d’une DSR, sous réserve des règles de conformité au RGPD de votre organization.

  • Découvrir: Utilisez les outils de recherche et de découverte pour trouver plus facilement les données client susceptibles de faire l’objet d’une DSR. Une fois que vous avez collecté des documents potentiellement réactifs, vous pouvez effectuer une ou plusieurs des actions DSR décrites dans les étapes suivantes pour répondre à la demande. Vous pouvez également déterminer que la demande ne répond pas aux instructions de votre organization pour répondre aux DSR.
  • Accès: Récupérez les données personnelles qui résident dans le cloud Microsoft et, si nécessaire, créez-en une copie à laquelle la personne concernée peut accéder.
  • Rectifier : modifiez ou mettez en œuvre d’autres actions demandées sur les données à caractère personnel, le cas échéant.
  • Limiter : limiter le traitement des données personnelles en supprimant les licences de différents services Azure ou en désactivant les services souhaités lorsque c’est possible. Vous pouvez également supprimer les données du cloud Microsoft et les conserver localement ou à un autre emplacement.
  • Supprimer : supprimez définitivement des données à caractère personnel qui résidaient dans le cloud Microsoft.
  • Exporter/Recevoir (Portabilité) : fournit une copie électronique (dans un format lisible par un ordinateur) des données ou des informations personnelles à la personne concernée.

Chaque section des guides spécifiques au produit décrit les procédures techniques qu’un contrôleur de données organization peut suivre pour répondre à une DSR pour les données personnelles dans le cloud Microsoft.

Guide pratique pour utiliser les guides spécifiques au produit

Chaque guide spécifique au produit se compose de deux parties :

  • Partie 1 : Répondre aux demandes des personnes concernées pour les données client : La partie 1 explique comment accéder, corriger, restreindre, supprimer et exporter des données à partir d’applications dans lesquelles vous avez créé des données. Cette section explique comment exécuter des DSR sur le contenu client et sur les informations d’identification des utilisateurs.
  • Partie 2 : répondre aux demandes de personnes concernées pour les journaux générés par le système : lorsque vous utilisez les services d’entreprise de Microsoft, Microsoft génère des informations appelées Journaux générés par le système, pour fournir le service. La partie 2 explique comment accéder à ces informations, les supprimer et les exporter.

Comprendre les DSR pour les comptes de service Microsoft Entra ID et Microsoft

En utilisant le jeton direct d’annuaire étendu (EDDT), les utilisateurs invités au sein d’un locataire peuvent lancer des DSR sur plusieurs locataires. Toutes les DSR lancées par l’utilisateur s’exécutent sur tous les locataires où l’utilisateur est autorisé par l’administrateur du locataire correspondant.

Le même processus s’applique également aux comptes de service Microsoft (MSA) dans le contexte des services fournis à un client d’entreprise. L’exécution d’une DSR sur un compte MSA associé à un locataire Microsoft Entra concerne uniquement les données au sein du locataire. En outre, il est important de comprendre ce qui suit lors de la gestion des comptes MSA au sein d’un locataire :

  • Si un utilisateur MSA crée un abonnement Azure, l’abonnement est géré comme s’il s’agissait d’un locataire Microsoft Entra. Par conséquent, les DSR sont délimitées dans le locataire, comme décrit ci-dessus.
  • Si un abonnement Azure créé via un compte MSA est supprimé, cela n’affecte pas le compte MSA réel. Là encore, comme indiqué ci-dessus, les DSR exécutées dans l’abonnement Azure sont limitées à l’étendue du locataire lui-même.

Les utilisateurs exécutent des DSR sur un compte MSA lui-même, en dehors d’un locataire donné, via le tableau de bord de confidentialité du consommateur.

Considérations spécifiques relatives à la DSR

Insights générés par les produits ou services Microsoft

Les insights peuvent être générés par des services tels que Viva Personal Insights. Office 365 inclut des services en ligne qui fournissent des insights aux utilisateurs et aux organisations qui les utilisent. Les données générées par ces services peuvent produire des données personnelles pertinentes pour une DSR. Pour plus d’informations sur les processus DSR spécifiques au service, consultez la section suivante.

DSR pour des journaux générés par le système

Les journaux et les données associées générées par Microsoft peuvent contenir des données que le RGPD considère comme personnelles. Vous ne pouvez pas restreindre ou rectifier les données dans les journaux générés par le système. Les données des journaux générés par le système sont des actions factuelles effectuées dans le cloud Microsoft et les données de diagnostic. Les modifications compromettraient l’historique des actions et augmenteraient les risques de fraude et de sécurité. Microsoft offre la possibilité d’accéder, d’exporter et de supprimer des journaux générés par le système dont vous pourriez avoir besoin pour effectuer une DSR. Voici quelques exemples de ces données :

  • Données relatives à l’utilisation de produits et de services tels que les journaux d’activité des utilisateurs
  • Requêtes de recherche et données de requête des utilisateurs
  • Données générées par les produits et services qui résultent des fonctionnalités du système et de l’interaction des utilisateurs ou d’autres systèmes.

Pour plus d’informations sur les journaux générés par le système à partir d’une exportation DSR (Data Subject Right), consultez Vue d’ensemble des journaux générés par le système à partir d’une exportation de demande de personne concernée (DSR).

Viva Engage

La suppression du compte d’un utilisateur ne supprime pas les journaux générés par le système pour Viva Engage. Pour supprimer les données contenues dans ces applications, consultez l'une des ressources suivantes :

Clouds nationaux

Dans certains clouds nationaux, un administrateur IT général doit supprimer les journaux générés par le système.

Services Microsoft

Si vos organization ou vos utilisateurs collaborent avec Microsoft pour bénéficier d’un support lié aux produits et services Microsoft, certaines de ces données peuvent contenir des données personnelles. Pour plus d’informations, reportez-vous à Demandes des personnes concernées du support Microsoft et des services professionnels concernant le RGPD.

Produits de contrôleur Microsoft

Dans certains cas, les utilisateurs de votre organization peuvent accéder aux produits ou services Microsoft pour lesquels Microsoft est le contrôleur de données. Dans ce cas, vos utilisateurs doivent initier leur propre DSR directement auprès de Microsoft et Microsoft répond aux demandes directement à l’utilisateur.

Produits tiers

Pour les produits et services tiers accessibles via l’authentification de compte Microsoft, dirigez toutes les demandes de la personne concernée vers le tiers concerné.

Outils d’administration sur les demandes des personnes concernées

En savoir plus

  • Last updated on