Quels sont vos droits sur vos données personnelles ?

Un trousseau de droits pour chacun

Le chapitre III du RGPD, des articles 12 à 23, consacre les droits des personnes sur leurs données. Ils appartiennent à toute personne physique dont les données sont traitées, quelle que soit sa nationalité : client, salarié, candidat, patient, adhérent, simple visiteur d'un site. Ils s'exercent auprès du responsable du traitement, gratuitement, sans avoir à justifier d'un motif dans la plupart des cas. Certains droits sont absolus, comme l'opposition à la prospection ; d'autres dépendent de la base légale du traitement ou connaissent des exceptions, notamment lorsque la loi impose de conserver les données.

Les guides de la rubrique

Comment exercer son droit d'accès à ses données personnelles ?Savoir ce qu'une entreprise sait de vous est un droit. L'article 15 permet d'obtenir la confirmation, une copie de ses données et des inf…Comment obtenir l'effacement de ses données (droit à l'oubli) ?Le droit à l'effacement permet de faire disparaître ses données dans plusieurs situations. Il n'est pas absolu, mais il est plus large qu…Comment s'opposer à l'utilisation de ses données ?Le droit d'opposition permet de dire non à certains traitements. Pour la prospection commerciale, il est absolu : il suffit de le demander.Comment récupérer ses données grâce au droit à la portabilité ?Changer de banque, d'opérateur ou d'application sans perdre son historique : le droit à la portabilité permet de récupérer ses données da…Comment faire corriger des données inexactes ou en limiter l'usage ?Une adresse erronée, un impayé déjà réglé, un nom mal orthographié : le droit de rectification permet de faire corriger, et la limitation…Peut-on faire l'objet d'une décision prise uniquement par une machine ?Octroi d'un crédit, tri de candidatures, tarification : quand un algorithme décide seul, le RGPD impose des garanties, à commencer par le…Comment porter plainte auprès de la CNIL ?Une demande restée sans réponse, une prospection qui continue, une caméra qui filme votre poste : la CNIL peut être saisie gratuitement.…

Comment exercer ses droits ?

La demande peut être faite par tout moyen : courrier, courriel, formulaire en ligne, sur place ou par téléphone, mais un écrit facilite la preuve. Il suffit d'indiquer le droit exercé et, si nécessaire, de préciser la demande. Si l'organisme a désigné un délégué à la protection des données, c'est en principe à lui qu'il faut s'adresser ; ses coordonnées figurent dans la politique de confidentialité. L'organisme ne peut exiger une pièce d'identité qu'en cas de doute raisonnable sur l'identité du demandeur, et doit alors se limiter à ce qui est nécessaire, par exemple en demandant de confirmer une information connue plutôt qu'une copie de carte d'identité.

Modèle : « Madame, Monsieur, en application de l'article 15 du règlement général sur la protection des données, je vous demande de m'indiquer si vous traitez des données me concernant et, le cas échéant, de m'en communiquer une copie ainsi que les informations prévues par cet article. Je vous remercie de me répondre dans le délai d'un mois prévu par l'article 12. »Modèle à adapter selon le droit exercé

Le délai de réponse

L'article 12 impose de répondre dans les meilleurs délais et au plus tard dans un délai d'un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes, à condition d'informer la personne de la prolongation et de ses motifs dans le premier mois. Si l'organisme ne donne pas suite à la demande, il doit expliquer pourquoi dans le même délai et indiquer la possibilité de saisir la CNIL ou un juge. Le silence n'est jamais une réponse acceptable.

Gratuité et demandes abusives

L'exercice des droits est gratuit. Le responsable peut exiger des frais raisonnables, tenant compte des coûts administratifs, ou refuser de donner suite uniquement si les demandes sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif ; c'est à lui de démontrer ce caractère. Une personne qui exerce ses droits dans le cadre d'un conflit, par exemple un salarié en litige avec son employeur, ne commet pas pour autant d'abus.

Les droits un par un

Chaque droit obéit à des conditions précises, détaillées dans un guide dédié. Le droit d'accès est le plus utilisé : il permet de savoir ce qu'un organisme sait de soi. Le droit à l'effacement, souvent appelé droit à l'oubli, permet d'obtenir la suppression de ses données dans plusieurs situations. Le droit d'opposition permet notamment de faire cesser la prospection. La portabilité facilite le changement de prestataire, la rectification garantit l'exactitude des données et le droit lié aux décisions automatisées protège contre les décisions prises par une machine sans regard humain.

Les limites prévues par le texte

L'article 23 permet au droit de l'Union ou des États membres de limiter certains droits pour garantir des objectifs importants, comme la sécurité publique, la prévention des infractions ou la protection des droits d'autrui. Le droit d'accès ne doit pas porter atteinte aux droits des tiers : un organisme peut masquer les informations concernant d'autres personnes dans les documents communiqués. Certains traitements relèvent par ailleurs de régimes particuliers, comme les fichiers de police, pour lesquels l'accès s'exerce de manière indirecte par l'intermédiaire de la CNIL.

Que faire en cas de refus ou de silence ?

Si l'organisme ne répond pas dans le délai ou si sa réponse est insuffisante, la personne peut introduire une réclamation auprès de la CNIL, gratuitement et en ligne, en joignant la copie de sa demande et de la réponse éventuelle. Elle peut aussi saisir le juge judiciaire, ou le juge administratif lorsque le responsable est une administration, et demander réparation du préjudice subi. Le guide pour porter plainte auprès de la CNIL explique la démarche et les suites possibles.

Côté organisme : bien organiser les réponses

Pour respecter les délais, l'organisme a intérêt à prévoir une adresse unique, un circuit interne (qui reçoit, qui recherche les données, qui valide la réponse), des modèles de réponse et un tableau de suivi. La recherche doit couvrir tous les outils où la personne apparaît : logiciels, messageries, tableurs, papier, sous-traitants. Les demandes reçues sur les réseaux sociaux ou par un salarié non concerné doivent être transmises sans délai. Enfin, l'article 19 impose de notifier toute rectification, tout effacement ou toute limitation aux destinataires auxquels les données ont été communiquées, sauf si cela s'avère impossible ou exige des efforts disproportionnés.

Vérifier l'identité du demandeur

Avant de répondre, l'organisme doit s'assurer que la demande émane bien de la personne concernée, pour éviter de communiquer des données à un tiers. L'article 12, paragraphe 6, l'autorise à demander des informations supplémentaires lorsqu'il a des doutes raisonnables sur l'identité du demandeur. Cette vérification doit rester proportionnée : la CNIL considère qu'une copie de pièce d'identité ne doit pas être exigée systématiquement. Lorsque la demande arrive depuis l'adresse électronique connue de l'organisme, ou depuis un espace client authentifié, l'identité est généralement suffisamment établie. Une pièce d'identité peut être demandée en cas de doute sérieux, notamment pour des données sensibles, mais elle doit être supprimée une fois la vérification faite. Le délai de réponse est suspendu le temps que la personne fournisse les éléments demandés.

Les demandes faites par un tiers

Une personne peut mandater un tiers, avocat, association, proche ou service spécialisé, pour exercer ses droits. L'organisme peut alors demander la preuve du mandat. Pour les mineurs, les droits sont en principe exercés par les titulaires de l'autorité parentale, mais un mineur doué de discernement peut, dans certains cas, les exercer lui-même, notamment pour des données de santé dont il a demandé le secret. Pour les majeurs protégés, le tuteur exerce les droits dans les conditions fixées par la mesure de protection. Pour les personnes décédées, les héritiers ou la personne désignée dans les directives exercent les droits prévus par l'article 85 de la loi Informatique et Libertés.

Les canaux de demande

Le RGPD n'impose aucune forme particulière pour exercer ses droits. Une demande peut être adressée par courrier, par courriel, par formulaire en ligne, par téléphone, en personne à un guichet, ou même par un message sur un réseau social si l'organisme utilise ce canal pour échanger avec ses clients. L'organisme ne peut pas exiger un formulaire spécifique ni refuser une demande au motif qu'elle n'a pas été adressée au bon service. Il a en revanche intérêt à proposer un canal dédié, comme une adresse électronique ou un formulaire, qui facilite le traitement et la traçabilité. Les salariés en contact avec le public doivent savoir reconnaître une demande d'exercice de droits, même formulée maladroitement, et la transmettre sans délai au référent.

Les droits et la base légale du traitement

Tous les droits ne s'appliquent pas à tous les traitements. Le droit d'accès, le droit de rectification et le droit à la limitation s'appliquent quelle que soit la base légale. Le droit à la portabilité ne joue que pour les traitements automatisés fondés sur le consentement ou le contrat. Le droit d'opposition pour motif particulier concerne les traitements fondés sur l'intérêt légitime ou la mission d'intérêt public, et le droit d'opposition à la prospection est absolu. Le droit à l'effacement dépend des motifs énumérés à l'article 17 et connaît des exceptions, notamment lorsque le traitement découle d'une obligation légale. Le retrait du consentement est toujours possible pour les traitements fondés sur cette base. Ce tableau de correspondance explique pourquoi la base légale doit être choisie avec soin et indiquée clairement aux personnes.

Organiser la réponse dans une entreprise

Pour répondre dans le délai d'un mois, une organisation interne est indispensable. Une procédure écrite définit le circuit : réception, enregistrement dans un journal, vérification de l'identité, recherche des données dans tous les outils concernés, préparation de la réponse, validation et envoi, archivage de la preuve. Un référent coordonne les échanges avec les services, qui doivent savoir extraire ou supprimer les données de leurs outils. Des modèles de réponse adaptés à chaque droit font gagner du temps et garantissent la complétude des informations. Le journal des demandes permet de suivre les délais et de produire des statistiques utiles pour le bilan annuel. Les organismes qui reçoivent de nombreuses demandes peuvent recourir à des outils spécialisés, mais une petite structure peut gérer efficacement quelques demandes par an avec un tableur et des modèles.

Rechercher les données partout

La principale difficulté pratique réside dans la recherche des données. Elles peuvent se trouver dans le logiciel de gestion commerciale, la comptabilité, la messagerie, les outils de support client, les sauvegardes, les fichiers partagés, les archives papier, les outils des prestataires ou les journaux techniques. Le registre des traitements sert de carte pour mener cette recherche de façon méthodique. Une réponse incomplète, qui oublie par exemple les courriels échangés ou les enregistrements d'appels, est l'un des griefs récurrents dans les plaintes reçues par la CNIL.

Les droits face aux nouvelles technologies

L'exercice des droits se heurte à de nouvelles difficultés avec les technologies récentes. Pour les modèles d'intelligence artificielle, la question se pose de savoir comment exercer un droit d'accès ou d'effacement sur des données ayant servi à l'entraînement, qui ne sont pas stockées en tant que telles mais peuvent être mémorisées par le modèle. La CNIL a publié des recommandations sur ce point, qui invitent les développeurs à prévoir des mécanismes de filtrage des sorties et, lorsque c'est possible, de réentraînement. Pour les objets connectés et les véhicules, la multiplicité des acteurs complique l'identification du responsable. Pour les plateformes, le règlement sur les services numériques ajoute des obligations de transparence qui complètent les droits du RGPD.

Les chiffres des plaintes liées aux droits

Les difficultés à exercer ses droits représentent une part importante des plaintes reçues par la CNIL, qui a enregistré un nombre record de 20 150 plaintes en 2025. Les demandes d'effacement, notamment le déréférencement et la suppression de contenus en ligne, l'accès aux données détenues par un employeur et l'opposition à la prospection figurent parmi les motifs les plus fréquents. La CNIL a fait du droit d'accès un thème prioritaire de contrôle en 2024, en lien avec l'action coordonnée menée par les autorités européennes sur ce droit. Cette mobilisation explique la multiplication des sanctions pour défaut de réponse, souvent prononcées selon la procédure simplifiée.

Les limitations prévues par le droit national

L'article 23 permet au droit de l'Union ou des États membres de limiter la portée des droits lorsque cette limitation respecte l'essence des libertés et droits fondamentaux et constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir certains objectifs : sécurité nationale, défense, sécurité publique, prévention et détection des infractions, objectifs importants d'intérêt public général, notamment économiques ou financiers, protection de l'indépendance de la justice, protection de la personne concernée ou des droits et libertés d'autrui, exécution des demandes de droit civil. En France, plusieurs textes utilisent cette faculté, par exemple pour les traitements de lutte contre la fraude fiscale ou sociale, ou pour certains traitements de l'administration pénitentiaire. Ces limitations doivent être prévues par un texte précis, qui en fixe les finalités, les catégories de données, les garanties et les durées.

Les droits et le secret des affaires

Les organismes invoquent parfois le secret des affaires ou la propriété intellectuelle pour refuser de communiquer certaines informations, notamment sur le fonctionnement d'un algorithme. Le considérant 63 admet que le droit d'accès ne doit pas porter atteinte aux droits d'autrui, y compris au secret des affaires ou à la propriété intellectuelle, mais précise que cela ne doit pas aboutir à refuser toute communication d'informations à la personne. La Cour de justice a confirmé, dans l'arrêt Dun & Bradstreet Austria de 2025, que lorsque des informations relèvent du secret des affaires, elles doivent être communiquées à l'autorité de contrôle ou au juge, qui met en balance les droits en présence. Un refus pur et simple, sans examen, n'est donc pas admissible.

Les droits des personnes dans les relations commerciales

Dans les relations avec les clients, l'exercice des droits est souvent l'occasion d'un dialogue. Un client qui demande l'accès à ses données cherche parfois à comprendre pourquoi il reçoit tant de sollicitations ; un client qui demande l'effacement peut simplement vouloir ne plus être démarché. Proposer des options intermédiaires, comme la désinscription de certaines communications ou la limitation de la fréquence, permet de répondre à l'attente réelle sans perdre totalement le contact. Ces options ne doivent cependant jamais se substituer au droit demandé : si la personne maintient sa demande d'effacement, elle doit être satisfaite dans les conditions prévues par le règlement.

Les droits des personnes en chiffres clés

Quelques repères suffisent à retenir l'essentiel. Le délai de réponse est d'un mois, prolongeable de deux mois. La réponse est gratuite, sauf demande manifestement infondée ou excessive. La personne n'a pas à motiver sa demande d'accès, de rectification ou d'opposition à la prospection. L'organisme doit motiver tout refus et indiquer les voies de recours. Huit droits principaux sont prévus par les articles 15 à 22, auxquels s'ajoutent le droit de retirer son consentement, le droit d'introduire une réclamation auprès de la CNIL, le droit à un recours juridictionnel et le droit à réparation. En France, le droit de définir des directives post-mortem complète cet ensemble. Ces droits sont indépendants les uns des autres et peuvent être exercés simultanément, par exemple un accès suivi d'une rectification ou d'un effacement.

Les droits dans le secteur public

Les usagers des services publics disposent des mêmes droits que les clients des entreprises, avec quelques adaptations. Le droit d'opposition peut être écarté lorsque le traitement découle d'une obligation légale, ce qui est fréquent pour les fichiers administratifs. Le droit à l'effacement cède devant les obligations de conservation des archives publiques. Le droit d'accès coexiste avec le droit d'accès aux documents administratifs, régi par le Code des relations entre le public et l'administration, qui permet d'obtenir communication de documents et dont le contentieux relève de la Commission d'accès aux documents administratifs. Une personne qui souhaite obtenir ses propres données exerce le droit d'accès du RGPD ; une personne qui souhaite obtenir un document administratif qui ne la concerne pas personnellement saisit l'administration sur le fondement du Code des relations entre le public et l'administration.