RGPD

Droits des participants : ce qu'un organisateur doit savoir répondre, et en combien de temps

· · Par Yuval Abudarham

Un tirage que vos participants recalculent eux-mêmes

Graine publiée avant le tirage, aléa public drand, vidéo partageable. Gratuit pour les participants.

Créer un compteVérifier un tirage existant

Un participant écrit : « supprimez mes données ». Le message arrive un mardi, le tirage a lieu jeudi. Que faites-vous, et qu'êtes-vous tenu de faire ? La réponse n'est pas la même selon le droit invoqué, et la différence a des conséquences directes sur l'intégrité du tirage.

Les quatre droits qu'on rencontre réellement

L'accès. La personne demande ce que vous détenez sur elle. Vous devez lui fournir une copie des données, l'indication des finalités, des destinataires et de la durée de conservation. Pour un jeu-concours, c'est en général court : une adresse, une date, un statut de participation.

L'effacement. La personne demande la suppression. Le droit n'est pas absolu — il cède devant une obligation légale de conservation ou la défense d'un droit en justice — mais dans un jeu-concours, il s'applique presque toujours.

L'opposition. La personne refuse un traitement, typiquement la prospection. Contrairement à l'effacement, elle ne demande pas la disparition de ses données, elle demande qu'on cesse un usage précis.

Le retrait du consentement. Il ne vaut que pour l'avenir, et il doit être aussi simple à exercer que le consentement l'a été à donner. Un lien de désinscription en un clic satisfait cette exigence ; une demande par courrier postal, non.

Le délai : un mois, et ce qu'il contient

La réponse est due dans un délai d'un mois, prolongeable de deux mois pour les demandes complexes — à condition d'informer la personne de la prolongation et de son motif à l'intérieur du premier mois.

Ce délai n'est pas un délai de traitement, c'est un délai de réponse. Répondre « nous avons bien reçu votre demande » ne l'arrête pas.

Le cas qui pose vraiment problème : le tirage déjà scellé

C'est la situation qui intéresse un organisateur, et que presque aucun article ne traite.

Sur DrawSeal, la liste des participants est scellée à la fermeture des inscriptions : réduite à une empreinte publiée avant que le hasard employé n'existe. C'est ce sceau qui rend le tirage démontrable — si la liste peut encore changer après coup, plus rien n'est prouvable.

Que se passe-t-il alors si un participant demande l'effacement après le scellement ?

Les deux exigences ne s'opposent que si l'on croit que le sceau contient des données personnelles. Il n'en contient pas : les feuilles de l'arbre ne portent que des identifiants pseudonymes et des poids. Aucune adresse e-mail, aucun nom. L'effacement porte sur les données personnelles rattachées à l'identifiant ; il les supprime sans toucher au sceau, qui reste valide.

C'est une conséquence directe d'un choix de conception : publier une empreinte plutôt qu'une liste. Elle permet de satisfaire un droit du participant sans détruire la preuve due aux autres participants.

Comment s'organiser, concrètement

  1. Une adresse de contact indiquée dans le règlement et dans chaque e-mail. Une demande envoyée n'importe où reste valable ; autant la diriger.
  2. Une procédure écrite, même courte : qui reçoit, qui vérifie l'identité, qui exécute, où est tracée l'exécution.
  3. La vérification d'identité, proportionnée. Demander une pièce d'identité pour supprimer une adresse e-mail est excessif : la maîtrise de l'adresse suffit le plus souvent à l'établir.
  4. Une trace de l'exécution. C'est ce qui vous protège si la même personne revient six mois plus tard.

Ce qu'il faut retenir

Quatre droits reviennent : accès, effacement, opposition, retrait du consentement — ce dernier devant être aussi simple à exercer qu'il l'a été à donner. Le délai de réponse est d'un mois. Un effacement demandé après le scellement de la liste ne détruit pas la preuve du tirage, parce que le sceau ne contient aucune donnée personnelle : seulement des identifiants pseudonymes.

FAQ

Faut-il retirer un participant du tirage s'il demande l'effacement avant ?

Oui, si la demande arrive avant la clôture des inscriptions : il n'y a plus de base pour le faire participer. Après le scellement, la participation reste comptée dans une liste figée, mais les données personnelles associées sont effacées.

Peut-on refuser un effacement pour garder une preuve ?

Rarement, et il faut alors pouvoir justifier l'obligation légale invoquée. Une preuve de tirage n'en fait pas partie dès lors qu'elle repose sur des pseudonymes : l'argument tombe de lui-même.

Que répondre à une demande d'accès sur un jeu terminé depuis deux ans ?

Ce que vous détenez encore. Si les données du jeu ont été purgées au terme prévu, la réponse est « nous ne détenons plus ces données », en indiquant la durée appliquée. C'est une réponse complète, pas une dérobade.

Une désinscription vaut-elle demande d'effacement ?

Non. La désinscription est une opposition à la prospection. Elle suppose même de conserver une trace de l'adresse, dans une liste d'opposition, pour ne plus la contacter.

À lire ensuite

Essayer