L'essentiel en 30 secondes
- Le droit de rectification permet de faire corriger ou compléter des données inexactes.
- Le droit à la limitation gèle temporairement l'utilisation pendant une vérification ou un litige.
- L'organisme doit notifier la correction aux destinataires des données.
Le droit de rectification
L'article 16 du RGPD donne à toute personne le droit d'obtenir du responsable, dans les meilleurs délais, la rectification des données inexactes la concernant, ainsi que le droit de faire compléter des données incomplètes, y compris en fournissant une déclaration complémentaire. Ce droit prolonge le principe d'exactitude de l'article 5, qui impose à l'organisme de tenir ses données à jour sans attendre qu'on le lui demande. Il couvre aussi bien les erreurs matérielles (une date de naissance erronée, une adresse obsolète) que les informations devenues fausses (un impayé régularisé toujours signalé, un changement de nom ou de situation).
Faut-il prouver l'inexactitude ?
La personne doit indiquer en quoi la donnée est inexacte et peut être invitée à fournir un justificatif lorsque c'est raisonnable, par exemple un acte de mariage pour un changement de nom d'usage. L'organisme ne peut pas en revanche refuser une rectification évidente au motif d'une formalité excessive. La Cour de justice a jugé en 2025 qu'un organisme public ne pouvait pas exiger la preuve d'une opération chirurgicale pour rectifier la mention du genre dans un registre (affaire C-247/23, arrêt du 13 mars 2025), rappelant que l'exactitude s'apprécie au regard de la finalité du traitement.
Le droit à la limitation du traitement
Moins connu, le droit à la limitation (article 18) permet de « geler » l'utilisation des données : l'organisme peut les conserver mais ne doit plus les utiliser, sauf avec le consentement de la personne, pour la défense de droits en justice, pour protéger les droits d'un tiers ou pour un motif important d'intérêt public. Ce droit s'applique dans quatre situations : pendant la vérification de l'exactitude contestée des données, lorsque le traitement est illicite mais que la personne préfère la limitation à l'effacement, lorsque l'organisme n'a plus besoin des données mais que la personne en a besoin pour une action en justice, et pendant l'examen d'une opposition.
- Contestation de l'exactitudeLe temps que l'organisme vérifie
- Traitement illiciteLa personne préfère geler plutôt qu'effacer
- Besoin pour un litigeL'organisme ne s'en sert plus mais la personne en a besoin
- Opposition en cours d'examenEn attendant la mise en balance
Comment se traduit la limitation ?
Le considérant 67 donne des exemples de mesures : déplacer temporairement les données vers un autre système, les rendre inaccessibles aux utilisateurs, ou retirer temporairement des données publiées d'un site internet. Dans les fichiers informatisés, la limitation se marque techniquement, par exemple par un indicateur qui bloque l'usage. La personne doit être informée avant la levée de la limitation.
Les obligations de l'organisme
L'organisme doit répondre dans le délai d'un mois prévu par l'article 12, et procéder à la correction dans les meilleurs délais. Il doit notifier la rectification ou la limitation à chaque destinataire auquel les données ont été communiquées, sauf impossibilité ou effort disproportionné, et fournir à la personne, si elle le demande, la liste de ces destinataires (article 19). Une erreur transmise à un organisme de crédit, à un partenaire ou à un sous-traitant doit ainsi être corrigée en cascade.
Exemple de demande
Une cliente d'un fournisseur d'énergie constate que son espace client mentionne toujours une facture impayée qu'elle a réglée. Elle écrit au service client en joignant la preuve de paiement et demande la rectification de son dossier, ainsi que la limitation de l'usage de cette information le temps de la vérification. Le fournisseur doit corriger son système, informer le cas échéant la société de recouvrement mandatée, et confirmer la correction dans le mois. Sans réponse, la cliente peut saisir la CNIL ; les modalités communes à tous les droits sont décrites dans le guide des droits des personnes.
Ce que prévoit l'article 16
L'article 16 donne à la personne le droit d'obtenir du responsable, dans les meilleurs délais, la rectification des données inexactes la concernant. Compte tenu des finalités du traitement, elle a aussi le droit d'obtenir que les données incomplètes soient complétées, y compris en fournissant une déclaration complémentaire. Ce droit est le pendant du principe d'exactitude de l'article 5, qui impose au responsable de prendre toutes les mesures raisonnables pour que les données inexactes soient effacées ou rectifiées sans tarder. Il s'applique quelle que soit la base légale du traitement et à tous les types de données : identité, coordonnées, situation familiale, informations professionnelles, historique d'une relation commerciale, évaluation.
Des exemples concrets
Les demandes de rectification sont très variées. Un client demande la correction de l'orthographe de son nom sur ses factures. Une personne mariée ou divorcée demande la mise à jour de son nom d'usage dans les fichiers d'une administration. Un salarié conteste une mention erronée dans son dossier, par exemple une absence injustifiée qui était en réalité un congé autorisé. Un abonné demande la correction de sa date de naissance, qui conditionne l'application d'un tarif. Un ancien emprunteur demande la mise à jour de sa situation après le remboursement d'un crédit. Une personne demande à un site d'annonces de corriger des informations qui la concernent. Dans chaque cas, l'organisme doit vérifier la demande et procéder à la correction sans délai lorsqu'elle est fondée.
La civilité et le genre
La Cour de justice a rendu le 9 janvier 2025 un arrêt important, Mousse (C-394/23), à propos de la civilité demandée lors de l'achat de billets de train en ligne. Elle a jugé que la collecte obligatoire de la civilité « Monsieur » ou « Madame » n'est pas nécessaire à l'exécution d'un contrat de transport, et qu'elle ne peut pas non plus être justifiée par l'intérêt légitime d'une communication commerciale personnalisée lorsque les clients ne sont pas informés de cet intérêt ou qu'il ne respecte pas le principe de minimisation. Cet arrêt invite les entreprises à revoir leurs formulaires et à rendre facultatifs les champs qui ne sont pas indispensables, ou à proposer des formules neutres. Il illustre aussi le lien entre exactitude, minimisation et respect de l'identité des personnes.
La rectification des données de santé et des appréciations
Les données qui reflètent une appréciation, comme un diagnostic médical, une évaluation professionnelle ou une note scolaire, posent une question particulière : la personne peut-elle en obtenir la rectification ? La Cour de justice a jugé, dans l'arrêt Nowak de 2017, que les réponses d'un candidat à un examen et les annotations de l'examinateur sont des données personnelles, mais que le droit de rectification ne permet pas de corriger a posteriori des réponses jugées incorrectes. De même, un patient ne peut pas faire modifier un diagnostic au seul motif qu'il le conteste, mais il peut demander que son désaccord soit consigné dans le dossier, par une déclaration complémentaire. Pour une évaluation professionnelle, le salarié peut faire corriger les erreurs factuelles et ajouter ses observations, mais pas imposer une autre appréciation.
| Donnée | Rectification possible ? |
|---|---|
| Erreur de nom ou d'adresse | Oui, sans délai |
| Fait matériel erroné dans un dossier | Oui, sur justificatif |
| Diagnostic médical contesté | Non, mais ajout d'une déclaration complémentaire |
| Appréciation dans une évaluation | Non, mais ajout des observations du salarié |
| Copie d'examen | Non pour les réponses, oui pour une erreur matérielle |
Les obligations de notification aux destinataires
L'article 19 impose au responsable de notifier toute rectification à chaque destinataire auquel les données ont été communiquées, à moins qu'une telle communication se révèle impossible ou exige des efforts disproportionnés. La personne peut demander la liste de ces destinataires. Un organisme qui a transmis une adresse erronée à un transporteur, à un partenaire commercial ou à un organisme de recouvrement doit donc les informer de la correction. Cette obligation garantit que l'erreur ne continue pas à produire des effets chez des tiers, ce qui est particulièrement important pour les informations financières ou les fichiers d'incidents de paiement.
La rectification dans les fichiers de crédit et d'incidents
Les fichiers d'incidents de paiement, comme le fichier national des incidents de remboursement des crédits aux particuliers ou le fichier central des chèques gérés par la Banque de France, ont des conséquences importantes sur l'accès au crédit et aux moyens de paiement. Une inscription erronée ou maintenue après la régularisation peut causer un préjudice réel. La personne peut demander la rectification ou la radiation à l'établissement qui a déclaré l'incident, qui doit procéder à la mise à jour dans les délais réglementaires, et s'adresser à la Banque de France pour connaître les informations inscrites. En cas de difficulté, elle peut saisir la CNIL ou le médiateur de l'établissement. Les établissements ont l'obligation de déclarer la régularisation sans délai, ce qui entraîne la radiation de l'inscription.
Prouver l'inexactitude
La personne qui demande une rectification doit en principe indiquer en quoi les données sont inexactes et, le cas échéant, fournir un justificatif, comme un acte d'état civil pour un changement de nom ou un justificatif de domicile pour une adresse. Le responsable ne peut cependant pas exiger des justificatifs disproportionnés pour une simple correction d'adresse électronique ou d'orthographe. La Cour de justice a jugé, dans l'arrêt Deldits du 13 mars 2025 (C-247/23), qu'une personne qui demande la rectification de la mention de son genre dans un registre public peut être tenue de fournir des éléments de preuve pertinents et suffisants, mais que l'administration ne peut pas subordonner cette rectification à la preuve d'une intervention chirurgicale. Cet arrêt rappelle que l'exigence de preuve doit rester proportionnée à l'objectif d'exactitude.
- RéceptionnerEnregistrer la date et la demande
- VérifierJustificatif proportionné si nécessaire
- CorrigerDans tous les outils concernés
- NotifierLes destinataires des données
- ConfirmerInformer la personne de la correction
Le droit à la limitation du traitement en détail
L'article 18 prévoit quatre situations dans lesquelles la personne peut obtenir la limitation du traitement. Lorsqu'elle conteste l'exactitude des données, pendant la durée permettant au responsable de vérifier. Lorsque le traitement est illicite et qu'elle s'oppose à l'effacement, préférant la limitation, par exemple pour conserver une preuve. Lorsque le responsable n'a plus besoin des données, mais qu'elles lui sont encore nécessaires pour la constatation, l'exercice ou la défense de droits en justice. Lorsqu'elle s'est opposée au traitement pour motif particulier, pendant la vérification des motifs légitimes du responsable. La limitation peut se traduire par le déplacement temporaire des données vers un autre système, leur verrouillage ou leur retrait d'un site internet, avec une indication claire dans le système que le traitement est limité.
| Situation | Durée de la limitation |
|---|---|
| Exactitude contestée | Le temps de la vérification |
| Traitement illicite, effacement refusé par la personne | Selon le besoin de la personne |
| Données utiles à une action en justice de la personne | Durée de l'action |
| Opposition pour motif particulier | Le temps de la mise en balance |
Les délais de réponse
La rectification doit intervenir dans les meilleurs délais, et l'organisme dispose au maximum d'un mois pour répondre, prolongeable de deux mois en cas de complexité. Pour une simple correction d'adresse ou d'orthographe, une mise à jour immédiate est attendue. L'organisme doit informer la personne de la suite donnée, et motiver tout refus en indiquant les voies de recours. Il est de bonne pratique de permettre aux personnes de corriger elles-mêmes leurs données depuis un espace personnel, ce qui réduit les demandes et améliore la qualité des fichiers.
Exactitude et intelligence artificielle
Les systèmes d'intelligence artificielle générative peuvent produire des informations inexactes sur des personnes réelles, parfois qualifiées d'hallucinations. L'association noyb a déposé en 2024 et 2025 des plaintes contre un éditeur d'assistant conversationnel qui attribuait à des personnes des faits erronés, en invoquant le principe d'exactitude et le droit de rectification. Les autorités de protection des données examinent la manière dont ces droits peuvent s'appliquer à des modèles qui ne stockent pas les informations comme une base de données classique. La CNIL recommande aux développeurs de prévoir des mécanismes de signalement et de correction, ainsi que des filtres pour éviter la génération de contenus erronés sur des personnes identifiées.
Les fichiers clients et la qualité des données
Au-delà de l'exercice du droit, l'exactitude est une préoccupation de gestion. Des fichiers clients à jour réduisent les retours de courrier, les envois inutiles, les erreurs de facturation et les réclamations. Les organismes peuvent mettre en place des contrôles à la saisie, comme la vérification du format des adresses électroniques et des codes postaux, des campagnes périodiques de mise à jour, l'utilisation de services de normalisation des adresses postales et la suppression des doublons. Ces pratiques, qui relèvent de la qualité des données, contribuent directement au respect du principe d'exactitude et limitent les demandes de rectification.
Modèle de demande de rectification
Une demande de rectification peut être formulée simplement : « En application de l'article 16 du RGPD, je vous demande de rectifier les données me concernant suivantes : [donnée erronée], qui doit être remplacée par [donnée exacte]. Vous trouverez ci-joint un justificatif. Je vous remercie de procéder à cette correction dans les meilleurs délais, d'en informer les destinataires auxquels ces données ont été communiquées, et de me confirmer la rectification. » En cas de contestation de l'exactitude, la personne peut ajouter une demande de limitation du traitement pendant la vérification.
La rectification et les données publiées
Lorsque des données inexactes ont été publiées en ligne, par exemple dans un annuaire professionnel, sur un site d'entreprise ou dans un article, la personne peut demander leur correction à l'éditeur. Pour les publications de presse, le droit de rectification du RGPD s'articule avec le droit de réponse prévu par la loi du 29 juillet 1881 sur la liberté de la presse, qui permet à toute personne nommée ou désignée dans un journal de faire publier une réponse. Les dérogations prévues pour l'activité journalistique limitent la portée du droit de rectification à l'égard des médias, mais une erreur factuelle manifeste sur une personne peut toujours être signalée et corrigée. Les moteurs de recherche peuvent également être saisis pour déréférencer des informations manifestement inexactes, comme l'a jugé la Cour de justice en 2022.
Que faire en cas de refus ?
Si l'organisme refuse la rectification ou ne répond pas dans le délai d'un mois, la personne peut introduire une réclamation auprès de la CNIL en joignant sa demande, les justificatifs fournis et la réponse obtenue. Elle peut aussi saisir le juge judiciaire ou administratif, selon la nature de l'organisme, pour obtenir la rectification et, le cas échéant, réparation du préjudice causé par l'inexactitude, en application de l'article 82 du RGPD. Une inexactitude qui a entraîné un refus de crédit, une erreur de facturation répétée ou une atteinte à la réputation peut justifier une indemnisation, à condition de démontrer le dommage.
La rectification des données d'état civil
Les changements d'état civil, comme un mariage, un divorce, un changement de prénom ou de nom, doivent être répercutés dans les fichiers des organismes avec lesquels la personne est en relation. La loi du 2 mars 2022 relative au choix du nom issu de la filiation permet désormais à toute personne majeure de changer de nom par une simple déclaration en mairie, une fois dans sa vie, pour prendre le nom de son autre parent ou adjoindre celui-ci. Les organismes doivent alors mettre à jour leurs fichiers sur présentation du justificatif, sans exiger d'autres démarches. Pour les diplômes et les documents déjà délivrés, des règles spécifiques permettent parfois d'obtenir une nouvelle version au nouveau nom.
Un indicateur de sérieux
Corriger une donnée inexacte est souvent la demande la plus simple à satisfaire : un organisme qui met plus d'un mois à corriger une adresse ou un nom envoie un signal préoccupant sur l'ensemble de sa gestion des données. Permettre aux clients de modifier eux-mêmes leurs coordonnées en ligne reste d'ailleurs la meilleure façon de garder des fichiers exacts.