Accès, rectification, effacement, opposition, portabilité : chaque droit a une cible, des exceptions et un délai. Comment formuler la bonne demande et quoi faire si personne ne répond.
Le RGPD vous ouvre huit demandes distinctes : accès, rectification, effacement, limitation, portabilité, opposition, retrait du consentement et refus d’une décision entièrement automatisée. Le droit qui fonctionne dépend de la base légale sur laquelle repose le traitement, pas de votre degré d’agacement. L’organisme a un mois pour répondre, prorogeable de deux mois s’il vous en informe et motive. En cas de silence ou de refus, la plainte en ligne auprès de la CNIL est gratuite, mais elle ne vous fera pas indemniser : la réparation d’un préjudice relève du juge civil.
Un site marchand conserve votre adresse six ans après votre dernière commande. Une enseigne vous écrit chaque semaine alors que vous n’avez rien demandé. Un ancien employeur garde votre CV dans son vivier de candidatures. Les trois situations relèvent du RGPD, mais pas du même droit, et demander la mauvaise chose reste le meilleur moyen d’obtenir un refus parfaitement légal.
Le règlement général sur la protection des données, applicable depuis le 25 mai 2018, et la loi Informatique et Libertés du 6 janvier 1978 qui l’articule en droit français, ne créent pas un droit général à disparaître. Ils créent huit demandes, chacune avec sa cible, ses exceptions et son délai. La CNIL enregistre de l’ordre de 17 000 plaintes par an selon ses rapports annuels, ce qui donne une idée du nombre de demandes qui n’aboutissent pas du premier coup.
Tout traitement de données repose sur l’une des six bases légales de l’article 6 : votre consentement, l’exécution d’un contrat, une obligation légale, l’intérêt légitime de l’organisme, une mission d’intérêt public ou la sauvegarde d’intérêts vitaux. Cette base n’est pas une formalité de juriste. Elle détermine mécaniquement quels leviers vous pouvez actionner.
Demander l’effacement de vos factures à un commerçant échouera : le code de commerce lui impose de les conserver dix ans. Demander l’effacement de tout votre dossier pour faire cesser une prospection commerciale est un détour inutile, alors que l’opposition, elle, s’exerce sans avoir à se justifier. La base légale figure dans la politique de confidentialité de l’organisme, qui doit l’indiquer traitement par traitement. Lisez-la avant d’écrire : c’est cinq minutes gagnées et un refus évité.
| Base légale | Exemple courant | Droits efficaces | Droit inopérant |
|---|---|---|---|
| Consentement | Lettre d’information, traceurs publicitaires, photo sur un site associatif | Retrait du consentement, effacement, portabilité | Opposition, devenue sans objet |
| Contrat | Compte client, abonnement, livraison | Accès, rectification, portabilité, limitation | Effacement tant que le contrat court |
| Obligation légale | Facture conservée dix ans, déclaration sociale | Accès, rectification | Effacement, opposition |
| Intérêt légitime | Prospection vers des clients, prévention de la fraude | Opposition, limitation, accès | Portabilité |
| Mission d’intérêt public | Fichiers scolaires, dossiers administratifs | Accès, rectification, limitation | Portabilité, effacement en règle générale |
L’article 15 vous ouvre droit à une copie des données vous concernant. On oublie souvent qu’il ouvre aussi droit à cinq informations qui valent parfois davantage : les finalités du traitement, les catégories de données, les destinataires, la durée de conservation prévue et l’origine des données lorsqu’elles n’ont pas été collectées auprès de vous. La première copie est gratuite. Limite : l’accès ne doit pas porter atteinte aux droits des tiers, ce qui autorise à masquer les données d’autres personnes, pas à opposer un secret global. Un salarié peut ainsi obtenir ses relevés de badgeuse, ses évaluations et les messages professionnels où il est nommé.
L’article 16 vise les données inexactes ou incomplètes. Faire corriger une date de naissance chez un opérateur, une adresse erronée qui vous prive de vos courriers, une mention professionnelle périmée : le droit fonctionne bien. Il s’arrête là où commence le jugement. Un impayé réellement constaté ne se rectifie pas, il se conteste sur le fond. Une note d’évaluation défavorable est une opinion, pas une donnée inexacte, et vous pouvez seulement y faire ajouter votre déclaration complémentaire.
L’article 17 s’applique notamment quand les données ne sont plus nécessaires, quand vous retirez votre consentement, quand vous vous opposez avec succès ou quand le traitement est illicite. Les exceptions sont larges : obligation légale de conservation, liberté d’expression et d’information, constatation ou défense d’un droit en justice. Concrètement, un site de petites annonces fermera votre compte mais gardera les pièces comptables et les éléments nécessaires à la lutte contre la fraude. La suppression réelle d’un compte laisse presque toujours un résidu légitime.
L’article 18 ne fait rien disparaître : il met le traitement en pause. L’organisme conserve les données mais n’a plus le droit de les utiliser, sauf pour la défense d’un droit en justice ou avec votre accord. C’est le bon outil pendant une contestation, par exemple quand un fournisseur d’énergie vous réclame une somme que vous contestez et s’apprête à transmettre votre dossier à une société de recouvrement. Vous gelez le temps que l’exactitude soit vérifiée.
L’article 20 vous permet de récupérer vos données dans un format structuré et lisible par machine, et de les faire transmettre à un autre organisme quand c’est techniquement possible. Deux conditions cumulatives : le traitement doit être automatisé et reposer sur le consentement ou un contrat. Une limite fait tomber beaucoup de demandes : seules les données que vous avez fournies sont concernées, activement ou par votre activité. Les profils publicitaires, les scores de risque et les recommandations calculés par l’organisme restent hors champ, même s’ils parlent de vous.
L’article 21 distingue deux cas. Contre la prospection commerciale, l’opposition est de droit, gratuite, immédiate et sans motif : l’organisme doit cesser, point. Contre un traitement fondé sur l’intérêt légitime ou une mission d’intérêt public, vous devez invoquer des raisons tenant à votre situation particulière, et l’organisme peut résister en démontrant des motifs légitimes impérieux. L’opposition ne mord pas sur un traitement imposé par la loi ou nécessaire au contrat que vous avez signé.
L’article 7 impose que retirer son accord soit aussi facile que de le donner. C’est la base des sanctions prononcées contre des sites où accepter les traceurs prenait un clic et les refuser en prenait cinq, comme l’explique notre article sur la lecture d’un bandeau cookies. Le retrait ne vaut que pour l’avenir : ce qui a été fait avant reste licite, et c’est pourquoi on l’accompagne souvent d’une demande d’effacement. Même logique pour refuser que vos contenus entraînent un modèle d’IA.
L’article 22 interdit en principe qu’une décision produisant des effets juridiques ou vous affectant de manière significative soit prise sur le seul fondement d’un traitement automatisé, profilage compris. Trois exceptions la rendent possible : nécessité contractuelle, autorisation par le droit, consentement explicite. Dans ces trois cas, vous conservez le droit d’obtenir une intervention humaine, d’exprimer votre point de vue et de contester la décision. Un refus de crédit à la consommation rendu en deux secondes sur un site marchand entre dans ce champ : vous pouvez exiger un réexamen par une personne et la logique sous-jacente du calcul. Pour une décision administrative, le code des relations entre le public et l’administration oblige en outre à mentionner l’usage d’un algorithme et à en communiquer les règles sur demande.
| Droit | Ce que vous obtenez | Délai | Limite principale |
|---|---|---|---|
| Accès | Copie, finalités, destinataires, durée, origine | 1 mois | Droits des tiers |
| Rectification | Correction ou complément | 1 mois | Ne réécrit pas un fait exact |
| Effacement | Suppression des données | 1 mois | Conservation légale, défense en justice |
| Limitation | Gel du traitement | 1 mois | Temporaire, le temps de la vérification |
| Portabilité | Fichier réutilisable | 1 mois | Données fournies uniquement, consentement ou contrat |
| Opposition | Arrêt du traitement | 1 mois, sans condition en prospection | Motifs impérieux opposables hors publicité |
| Retrait du consentement | Fin de la base légale | Immédiat | Pas rétroactif |
| Décision automatisée | Réexamen humain et explication | 1 mois | Exceptions contrat, loi, consentement explicite |
Cherchez d’abord le délégué à la protection des données. Sa désignation est obligatoire pour les organismes publics et pour ceux dont l’activité implique un suivi régulier et systématique à grande échelle ou le traitement de données sensibles. Ses coordonnées figurent dans la politique de confidentialité, et la CNIL tient à jour un annuaire public des organismes qui en ont désigné un. À défaut, écrivez au service client par écrit ou à l’adresse du siège social.
Le formulaire en ligne de l’organisme est valable, à condition de vous ménager une preuve : capture d’écran datée, accusé de réception par courriel, numéro de ticket. Pour un dossier qui risque de finir devant la CNIL ou le juge, la lettre recommandée avec avis de réception reste l’option la plus solide. Nommez le droit invoqué et son article, identifiez le traitement visé et donnez l’identifiant du compte ou l’adresse électronique concernée. Une demande vague se perd dans les services.
Le délai court à compter de la réception de votre demande, pas de son traitement interne. L’organisme peut le proroger de deux mois supplémentaires en raison de la complexité ou du nombre de demandes, mais à une double condition : vous en informer dans le mois initial et motiver ce report. Un report annoncé le quarante-cinquième jour est irrégulier.
S’il ne donne pas suite, il doit quand même vous répondre dans le mois pour indiquer les motifs de son refus, votre faculté de saisir la CNIL et l’existence d’un recours juridictionnel. Un silence complet est donc, en soi, un manquement. Notre recommandation : une relance écrite qui rappelle la date d’envoi initiale et fixe un délai de huit jours, puis la plainte. La relance suffit souvent, parce qu’elle atterrit cette fois sur le bureau du délégué.
Ensuite, la CNIL interroge l’organisme. L’issue la plus fréquente est une régularisation suivie d’une clôture : votre demande est enfin traitée. Elle peut aussi mettre en demeure, lancer un contrôle sur place ou en ligne, prononcer une injonction sous astreinte, ou saisir sa formation restreinte, qui peut aller jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel. Une procédure simplifiée existe pour les dossiers peu complexes, avec une amende plafonnée à 20 000 euros. Si l’organisme a son établissement principal dans un autre pays de l’Union, le guichet unique confie le dossier à l’autorité de ce pays et les délais s’allongent nettement.
C’est le malentendu le plus coûteux. La CNIL agit au nom de l’intérêt général : l’amende qu’elle prononce est versée au Trésor public, pas à la personne qui s’est plainte. Pour obtenir réparation d’un préjudice, matériel ou moral, l’article 82 du RGPD ouvre une action devant le tribunal judiciaire. La Cour de justice de l’Union européenne a précisé en mai 2023 que la seule violation du règlement ne suffit pas : il faut démontrer un dommage, même limité, et le lien de causalité. Une association agréée peut aussi porter une action de groupe, mécanisme qui existe en droit français depuis 2016 et dont le cadre a été élargi depuis.
La CNIL ne fait pas non plus retirer un contenu diffamatoire en tant que tel, ne tranche pas un litige commercial, et ne contrôle pas les traitements journalistiques au même titre que les autres. Pour un litige avec un vendeur, le bon guichet est SignalConso ou la DGCCRF. Si vous avez été prévenu d’une fuite, voyez plutôt ce que l’entreprise doit faire en 72 heures.
Les fichiers de police, de gendarmerie et de renseignement, comme le traitement des antécédents judiciaires ou le fichier des personnes recherchées, échappent au droit d’accès direct. On passe par le droit d’accès indirect : vous saisissez la CNIL, qui mandate un magistrat pour vérifier les données et, si la loi le permet, vous les communiquer.
Les droits d’une personne décédée ne se transmettent pas aux héritiers. La loi Informatique et Libertés permet en revanche de laisser des directives post mortem, générales ou particulières, et autorise les héritiers à agir pour organiser la succession et faire fermer les comptes.
Enfin, une demande manifestement infondée ou excessive, notamment parce qu’elle est répétée à intervalles très courts, peut être facturée à coût raisonnable ou refusée. La charge de la preuve pèse sur l’organisme, et l’argument est rarement tenable face à une première demande précise. Si la rédaction d’un courrier vous bloque, les conseillers numériques et les France Services accompagnent gratuitement ce type de démarche.
Avant d’écrire, répondez à une seule question : sur quelle base cet organisme traite-t-il mes données ? La réponse désigne le droit qui aboutira. Le reste tient à trois réflexes : nommer l’article, dater la demande, conserver la preuve.
Non. L’exercice des droits est gratuit. L’organisme ne peut réclamer des frais raisonnables, ou refuser de répondre, que si la demande est manifestement infondée ou excessive, notamment par son caractère répétitif, et c’est à lui de démontrer ce caractère excessif.
Seulement en cas de doute raisonnable sur votre identité. La CNIL considère qu’exiger systématiquement une pièce d’identité est disproportionné, surtout quand vous écrivez depuis l’adresse électronique associée à votre compte. Si vous en envoyez une, barrez-la d’une mention manuscrite précisant sa destination et sa date.
Comptez plusieurs mois pour un dossier simple. Le délai s’allonge quand l’organisme est établi dans un autre pays de l’Union : le mécanisme du guichet unique confie alors le dossier à l’autorité du pays d’établissement principal, et la CNIL n’est plus que relais.
C’est un cas particulier, le déréférencement. Il s’exerce auprès du moteur de recherche et fait disparaître le lien des résultats associés à votre nom, mais la page d’origine reste en ligne. Pour la faire retirer, il faut écrire séparément à l’éditeur du site.
Il doit vous donner accès aux données qui vous concernent, y compris les évaluations, les relevés de badgeuse et les messages où vous êtes nommé. Il peut en revanche occulter ce qui porterait atteinte aux droits de tiers ou au secret des affaires, à condition de le justifier point par point et non de façon globale.
Les liens ci-dessus renvoient vers les textes et les organismes cités. Les dates de consultation sont celles de la dernière relecture, le 13 septembre 2026.
Dans ce thème
Dans la rubrique
Démarches administratives, paiements, réseaux sociaux, famille et droits : le numérique à la française.