Justification d'identité
Exercer des droits relatifs à des données personnelles
Lorsqu'une personne désire obtenir l'accès, la suppression ou la modification de ses données personnelles, l'entité sollicité doit s'assurer qu'il s'agit du bon interlocuteur.
Les principes de la sécurité (art. 20 CPDT-JUNE) exigent que le processus permette de s'assurer qu'il s'agisse de la bonne personne, mais ne signifie pas que l'entité est en droit de demander automatiquement une copie de la carte d’identité pour ce faire, et en particulier pour l'accès aux données personnelles. On ne peut pas non plus en déduire que la personne concernée doit automatiquement annexer la copie de sa carte d’identité à sa demande.
L'entité ne peut exiger la production de la carte d’identité que lorsqu'il n'y a pas d'autres solutions. Préalablement, l'entité doit dans un premier temps évaluer si d’autres informations permettent l’identification de la personne et privilégier la mise en place de mesures aptes à permettre l’identification de la personne.
Exemples:
Vérifier que l'adresse postale du demandeur corresponde à la réalité et envoyer la réponse en lettre recommandée à cette adresse, avec la mention "Confidentiel".
Envoi d'un SMS d’authentification si l'entité dispose du numéro de mobile de la personne.
Envoi d'un code sécurité à rappeler dans les correpondances.
Proposer une procédure d'accès électronique.
Proposition d'utiliser une plateforme sécurisée.
Etc. (plus les données sont sensibles, plus le processus doit garantir la sécurité).
Dans une affaire espagnole, une amende administrative de 300’000 euros a été prononcée contre la société Page Group pour la violation de la limitation de la conservation et pour la violation des modalités de l’exercice des droits de la personne. Ce montant a été prononcé par l'autorité espagnole car la société, en plus d’une copie de la carte d’identité, demandait également à la personne des copies de sa carte d’assurance et de ses factures d’énergie ou d’eau pour vérifier l’exactitude de l’adresse de la personne concernée (Livio di Tria, Droit d’accès et justification d’identité, 18 avril 2022 in www.swissprivacy.law/136)