Droits RGPD sur les données personnelles : accès, effacement, opposition et recours

Sur vos données personnelles, le RGPD vous donne des droits gratuits : droit à l'information, droit d'accès aux données, droit de rectification, droit à l'effacement des données, droit d'opposition, limitation du traitement et portabilité des données personnelles. Le responsable du traitement répond en principe sous un mois ; sinon, la CNIL, commission nationale de l'informatique et des libertés, reçoit la réclamation de la personne concernée.

Ce que recouvre le RGPD et à qui il s'applique

Le règlement général sur la protection des données, souvent abrégé en RGPD, est un texte européen directement applicable dans chaque pays de l'Union. En France, il se combine avec la loi Informatique et Libertés du 6 janvier 1978, modifiée, qui en précise certaines règles nationales. Son objectif est double : encadrer l'utilisation des données personnelles par les organismes et donner aux personnes concernées des droits effectifs pour garder la maîtrise de leurs informations.

Une donnée personnelle désigne toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement. Un nom, une adresse postale, une adresse de courriel, un numéro de téléphone, une photo, une adresse IP, des données de localisation ou un identifiant de client en sont des exemples. Un traitement correspond à toute opération portant sur ces données : collecte, enregistrement dans un fichier, conservation, consultation, modification, communication à un tiers, effacement.

Le RGPD s'applique aux entreprises, aux associations, aux administrations et aux collectivités, quel que soit leur secteur ou leur taille, dès lors qu'elles traitent des données de personnes situées dans l'Union européenne. Une plateforme installée hors d'Europe y est également soumise si elle cible des utilisateurs européens. Seul l'usage strictement personnel ou domestique, comme un carnet d'adresses privé, échappe au règlement.

Sur quelle base légale un organisme peut-il traiter vos données ?

Aucun traitement n'est licite sans une base légale. L'article 6 du RGPD en prévoit six, et le responsable du traitement doit indiquer laquelle il retient dans son information :

• le consentement de la personne concernée, libre, spécifique, éclairé et univoque ;
• l'exécution d'un contrat auquel la personne est partie, ou de mesures précontractuelles prises à sa demande ;
• une obligation légale qui pèse sur l'organisme, par exemple en matière fiscale ou sociale ;
• la sauvegarde des intérêts vitaux de la personne ou d'un tiers ;
• une mission d'intérêt public ou relevant de l'exercice de l'autorité publique ;
• l'intérêt légitime de l'organisme, à condition de ne pas méconnaître les droits et libertés de la personne.

Cette base légale n'est pas un détail technique : elle conditionne l'exercice des droits. Le droit à la portabilité ne s'applique qu'aux traitements fondés sur le consentement ou sur le contrat. Le droit d'opposition vise surtout l'intérêt légitime et la mission d'intérêt public. Quand le consentement est la base retenue, il peut être retiré à tout moment, aussi simplement qu'il a été donné. Les bandeaux de cookies en offrent l'exemple le plus courant : refuser doit être aussi facile qu'accepter, et la CNIL a sanctionné plusieurs acteurs du numérique pour des interfaces qui rendaient le refus plus difficile que l'acceptation.

Les droits de la personne concernée, un par un

Les articles 12 à 22 du RGPD énumèrent les droits de la personne concernée. Chacun répond à une question pratique différente, et la même demande peut en combiner plusieurs.

Le droit à l'information

Avant même toute demande, l'organisme doit informer la personne au moment de la collecte : identité et coordonnées du responsable du traitement, coordonnées du délégué à la protection des données s'il en existe un, finalités, base légale, destinataires, durée de conservation, éventuel transfert vers un pays tiers, droits dont elle dispose et possibilité d'introduire une réclamation auprès de la CNIL. Cette information doit être concise, compréhensible et facilement accessible, en général dans une politique de confidentialité ou une mention sous le formulaire de collecte.

Le droit d'accès

Le droit d'accès permet d'obtenir la confirmation que des données vous concernant sont traitées, puis une copie de ces données et les informations sur le traitement : finalités, catégories de données, destinataires, durée de conservation, source si les données n'ont pas été collectées auprès de vous. C'est souvent la première démarche à engager, car elle révèle ce que l'organisme détient réellement. La première copie est gratuite ; des frais raisonnables ne peuvent être demandés que pour des copies supplémentaires.

Le droit de rectification

Une information inexacte ou incomplète doit être corrigée sans délai à votre demande : erreur dans l'adresse, date de naissance fausse, situation familiale périmée. Le droit de rectification permet aussi de compléter des données incomplètes par une déclaration complémentaire.

Le droit à l'effacement

Souvent appelé droit à l'oubli, le droit à l'effacement oblige l'organisme à supprimer vos données dans plusieurs cas : elles ne sont plus nécessaires au regard de la finalité, vous retirez votre consentement, vous exercez votre droit d'opposition, le traitement est illicite, ou les données ont été collectées auprès d'un mineur dans le cadre de services en ligne. Ce droit connaît des limites : obligation légale de conservation, exercice de la liberté d'expression et d'information, intérêt public dans le domaine de la santé publique, fins de recherche scientifique ou historique, constatation ou défense de droits en justice. Pour les résultats d'un moteur de recherche, une demande de déréférencement se fait directement auprès du moteur, via son formulaire.

Le droit d'opposition

Le droit d'opposition vous permet de refuser, pour des raisons tenant à votre situation particulière, un traitement fondé sur l'intérêt légitime ou sur une mission d'intérêt public. L'organisme doit alors cesser, sauf s'il démontre des motifs légitimes et impérieux. Pour la prospection commerciale, l'opposition est absolue : pas besoin de justifier, l'organisme doit arrêter d'utiliser vos données à cette fin.

Le droit à la limitation du traitement

Moins connu, le droit à la limitation du traitement gèle provisoirement l'utilisation des données : l'organisme les conserve mais ne peut plus s'en servir. Il s'applique quand vous contestez l'exactitude des données, le temps de la vérification, quand le traitement est illicite mais que vous préférez la limitation à l'effacement, quand vous en avez besoin pour une action en justice, ou pendant l'examen de votre opposition.

Le droit à la portabilité

Le droit à la portabilité permet de récupérer les données que vous avez fournies, dans un format structuré, couramment utilisé et lisible par machine, et de les transmettre à un autre service. Il vaut pour les traitements automatisés fondés sur le consentement ou sur un contrat : historique de commandes, liste de lecture, contacts d'une messagerie, photos d'un réseau social.

Le droit de ne pas faire l'objet d'une décision entièrement automatisée

Une personne a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, qui produit des effets juridiques la concernant ou l'affecte de manière significative, comme le refus automatique d'un crédit en ligne. Quand une telle décision est permise, par exemple parce qu'elle est nécessaire au contrat, la personne peut obtenir une intervention humaine, exprimer son point de vue et contester la décision.

Comment exercer ses droits RGPD en pratique ?

La procédure est simple et ne demande aucun formalisme particulier. Les étapes suivantes couvrent la plupart des situations :

1. Identifier le responsable du traitement. Ses coordonnées figurent dans la politique de confidentialité, les mentions légales ou les conditions générales du service. Si l'organisme a désigné un délégué à la protection des données, adressez-lui directement la demande.
2. Choisir le canal. Courriel, formulaire en ligne dédié, espace client ou courrier : tous sont valables. Le courrier recommandé avec avis de réception laisse une preuve de la date d'envoi, utile en cas de litige.
3. Formuler la demande. Précisez le droit exercé (accès, rectification, effacement, opposition, limitation, portabilité), les données visées et, pour une rectification, l'information exacte. Aucune justification n'est exigée pour le droit d'accès.
4. Justifier de son identité si l'organisme a un doute raisonnable. Une copie de pièce d'identité ne peut être réclamée systématiquement : l'organisme doit se limiter aux informations nécessaires pour vérifier que la demande vient bien de la personne concernée.
5. Conserver une trace de l'envoi et de la date, point de départ du délai de réponse.

L'organisme doit répondre dans un délai d'un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois compte tenu de la complexité et du nombre de demandes, à condition d'en informer la personne dans le premier mois, avec les motifs du report. S'il refuse de donner suite, il doit le dire dans le même délai d'un mois, en indiquant la possibilité de saisir la CNIL et de former un recours juridictionnel. Les démarches sont gratuites ; seules des demandes manifestement infondées ou excessives, notamment répétitives, permettent un refus ou des frais raisonnables.

Les réseaux sociaux et les grands services en ligne proposent en général un outil de téléchargement des données dans les paramètres du compte : c'est la voie la plus rapide pour le droit d'accès et la portabilité. Pour les questions plus larges sur vos droits en ligne, consultez aussi notre dossier sur le droit du numérique et les usages d'internet.

Que faire si l'organisme ne répond pas ?

Passé le délai d'un mois sans réponse, ou face à un refus que vous estimez injustifié, plusieurs recours s'offrent à vous. Le premier est la réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), autorité de contrôle française. Elle se dépose en ligne, sur le site de la CNIL, avec la copie de la demande initiale et les éventuels échanges. La CNIL peut intervenir auprès de l'organisme, mener un contrôle et, le cas échéant, engager une procédure de sanction.

Il est également possible de saisir le juge, notamment pour obtenir la réparation d'un préjudice matériel ou moral causé par une violation du RGPD : l'article 82 prévoit ce droit à réparation contre le responsable du traitement ou le sous-traitant. Une association active dans la protection des données peut aussi agir au nom de plusieurs personnes. Quand la collecte s'accompagne d'un démarchage abusif ou d'un usage frauduleux de vos coordonnées, les règles protectrices du droit de la consommation complètent utilement celles du RGPD.

Des exemples concrets de données personnelles et de demandes

Les données personnelles ne se limitent pas au nom et au prénom. Quelques exemples de données traitées au quotidien, et le droit qui permet d'agir sur chacune :

• données de navigation : cookies, historique de navigation, adresse IP enregistrée par un site web. Le retrait du consentement et le droit d'opposition permettent d'en arrêter l'utilisation à des fins publicitaires ;
• données de localisation collectées par une application mobile : le droit d'accès révèle la fréquence de collecte, le droit à l'effacement permet d'en demander la suppression ;
• données de communication : courriels, numéros appelés, messages échangés avec un service client. Leur communication à des tiers doit être prévue par l'information délivrée à la personne ;
• données de gestion d'un compte client : identité, adresse, historique d'achats. Le droit de rectification corrige une donnée inexacte, la portabilité permet de changer de prestataire ;
• données relatives à l'emploi : fiches de paie, évaluations, badges d'accès. Le secteur des ressources humaines est l'un des premiers concernés par les demandes d'accès.

Chaque exemple montre la même logique : l'information délivrée à la personne concernée, la finalité spécifique du traitement et la sécurité des données déterminent ce que l'organisme peut faire, et ce que la personne peut exiger. Une donnée collectée pour un objectif précis ne doit pas être réutilisée pour un autre objectif incompatible sans nouvelle information, voire sans nouveau consentement.

La commission nationale de l'informatique et des libertés met également à disposition des modèles de courrier pour chaque droit : demande d'accès aux données, demande de rectification, demande d'effacement des données personnelles, opposition à la prospection. Les utiliser permet de respecter la forme attendue et de viser le bon article du règlement, ce qui accélère la gestion de la demande par l'organisme. Ces modèles se complètent sans difficulté : il suffit d'indiquer votre identité, les données personnelles concernées et le cadre de la relation avec l'organisme, par exemple un contrat, un abonnement ou une simple navigation sur son site.

Quelles obligations pèsent sur les entreprises ?

Le respect des droits de la personne concernée n'est qu'une partie de la conformité. Le RGPD repose sur un principe de responsabilité : le responsable du traitement doit être en mesure de démontrer à tout moment qu'il respecte le règlement. Concrètement, cela se traduit par plusieurs obligations :

• respecter les principes de licéité, loyauté et transparence, de limitation des finalités, de minimisation des données, d'exactitude, de limitation de la durée de conservation, d'intégrité et de confidentialité ;
• tenir un registre des traitements décrivant chaque activité de traitement, ses finalités, les catégories de données et de destinataires, les durées de conservation et les mesures de sécurité ;
• assurer la sécurité des données par des mesures techniques et organisationnelles adaptées au risque : gestion des accès, chiffrement, sauvegardes, journalisation ;
• désigner un délégué à la protection des données (DPO) lorsque c'est obligatoire : autorités et organismes publics, organismes dont l'activité de base implique un suivi régulier et systématique à grande échelle ou le traitement à grande échelle de données sensibles ;
• réaliser une analyse d'impact relative à la protection des données avant tout traitement susceptible d'engendrer un risque élevé pour les droits et libertés des personnes ;
• encadrer les sous-traitants par un contrat qui précise leurs obligations, et les transferts vers un pays tiers ou une organisation internationale par des garanties appropriées.

Ces obligations concernent autant la petite entreprise qui gère un fichier de clients que la grande plateforme. La protection des données personnelles dès la conception et par défaut impose aussi de ne collecter que les données nécessaires : un formulaire en ligne qui exige une date de naissance sans raison, par exemple, méconnaît le principe de minimisation des données. La CNIL publie des guides pratiques et des modèles de registre adaptés aux structures de petite taille.

Données sensibles : une protection renforcée

Certaines catégories de données bénéficient d'une protection particulière : origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données génétiques, données biométriques servant à identifier une personne, données concernant la santé, la vie sexuelle ou l'orientation sexuelle. Leur traitement est interdit par principe, sauf exceptions prévues à l'article 9 : consentement explicite, obligations en matière de droit du travail et de protection sociale, médecine préventive ou diagnostic médical, motifs d'intérêt public dans le domaine de la santé publique, recherche scientifique ou historique encadrée.

Les données de santé relèvent en outre de règles propres : hébergement par un prestataire certifié, secret médical, accès du patient à son dossier. Ces garanties sont détaillées dans notre page consacrée aux droits du patient face aux établissements de santé.

Violation de données : qui doit prévenir qui ?

Une violation de données personnelles désigne une atteinte à la sécurité entraînant la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès non autorisé à des données : piratage, envoi d'un courriel au mauvais destinataire, perte d'un ordinateur non chiffré. Le responsable du traitement doit notifier la violation à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si elle ne présente pas de risque pour les droits et libertés des personnes.

Lorsque la violation est susceptible d'engendrer un risque élevé, les personnes concernées doivent aussi être informées, dans les meilleurs délais, avec les mesures à prendre de leur côté : changer un mot de passe, surveiller les opérations bancaires, se méfier des messages d'hameçonnage. Si vos coordonnées bancaires ont été exposées et qu'un paiement frauduleux apparaît, les démarches de remboursement sont décrites dans notre guide sur les recours après une fraude bancaire en ligne.

Quels risques en cas de non-conformité ?

La CNIL dispose d'un pouvoir de sanction étendu : rappel à l'ordre, injonction de mise en conformité, limitation ou suspension du traitement, amende administrative. Selon l'article 83, les manquements les plus graves, qui touchent notamment aux droits des personnes, aux principes de base ou aux transferts vers des pays tiers, peuvent être sanctionnés jusqu'à 20 millions d'euros ou, pour une entreprise, jusqu'à 4 % du chiffre d'affaires annuel mondial de l'exercice précédent, le montant le plus élevé étant retenu. Pour d'autres manquements, comme l'absence de registre ou de sécurité suffisante, le plafond est de 10 millions d'euros ou 2 % du chiffre d'affaires mondial.

La CNIL publie ses décisions de sanction, et la publicité fait partie de la sanction : l'atteinte à l'image pèse souvent plus lourd que l'amende pour une entreprise qui dépend de la confiance de ses clients. Le règlement prévoit aussi une procédure simplifiée pour les dossiers moins complexes, qui permet à la commission de traiter plus rapidement les plaintes du quotidien.

Questions fréquentes sur les droits RGPD

Un employeur doit-il répondre à une demande d'accès d'un salarié ?

Un employeur est un responsable du traitement comme un autre : il doit communiquer au salarié ou à l'ancien salarié les données qu'il détient sur lui, y compris les courriels professionnels le concernant, sous réserve des droits des tiers et du secret des affaires.

Peut-on exiger la suppression de son compte client ?

La suppression d'un compte client peut être demandée à tout moment. L'organisme peut toutefois conserver certaines données, comme les factures, pendant la durée imposée par une obligation légale, en les archivant et en limitant leur accès.

Combien de temps un organisme peut-il conserver mes données ?

Le RGPD ne fixe pas de durée unique : l'organisme définit une durée de conservation proportionnée à la finalité du traitement et doit l'indiquer dans son information. Pour un prospect qui n'a jamais répondu, la CNIL recommande en général trois ans à compter du dernier contact.

Le RGPD protège-t-il les données des personnes décédées ?

Le règlement européen ne s'applique pas aux personnes décédées, mais la loi Informatique et Libertés permet à chacun de définir des directives sur le sort de ses données après son décès, et aux héritiers d'exercer certains droits.