RGPD : droit à l'oubli, suppression et portabilité — vos droits expliqués
Droit d'accès, droit à l'effacement, portabilité : comprendre et exercer vos droits RGPD face aux entreprises qui détiennent vos données.
Le RGPD : un cadre juridique puissant pour vos données personnelles
Le Règlement Général sur la Protection des Données — connu sous l'acronyme RGPD, ou GDPR en anglais — est entré en application le 25 mai 2018. Ce texte européen constitue le cadre juridique le plus ambitieux jamais adopté en matière de protection des données personnelles. Il s'applique à toute organisation qui traite des données de résidents européens, qu'elle soit basée en Europe ou non — une entreprise américaine qui collecte des données d'utilisateurs français est donc soumise au RGPD. Concrètement, ce règlement vous confère des droits opposables que les organisations sont légalement tenues de respecter, sous peine de sanctions financières pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. En 2024, la CNIL a prononcé 18 sanctions pour un montant total de près de 55 millions d'euros, dont 42 millions rien que pour Free Mobile et Free, sanctionnés pour leur gestion défaillante de la sécurité ayant conduit à la fuite de données de 2024.
Le droit d'accès : savoir ce qu'on sait sur vous
Le droit d'accès est la pierre angulaire du RGPD. Il vous permet de demander à n'importe quelle organisation de vous révéler exactement quelles données personnelles elle détient sur vous, pourquoi elle les utilise (la finalité du traitement), combien de temps elle les conserve, à qui elle les transmet (sous-traitants, partenaires, pays tiers), et d'où elles proviennent si elles n'ont pas été collectées directement auprès de vous. Pour exercer ce droit, adressez une demande écrite — un e-mail suffit — à l'organisation. Elle dispose d'un délai d'un mois pour vous répondre, extensible à trois mois pour les demandes complexes (elle doit alors vous informer de ce délai supplémentaire dans le premier mois). Ce droit est gratuit, sauf en cas de demandes manifestement excessives ou répétitives. La CNIL met à disposition des modèles de courrier pour vous aider à formuler vos demandes sur son site cnil.fr.
Le droit à l'effacement : le fameux « droit à l'oubli »
Le droit à l'effacement, souvent appelé droit à l'oubli, vous permet de demander la suppression de vos données personnelles dans plusieurs situations précisément définies par le RGPD. Vous pouvez invoquer ce droit lorsque vos données ne sont plus nécessaires aux fins pour lesquelles elles ont été collectées, lorsque vous retirez le consentement sur lequel reposait leur traitement, lorsque vous vous opposez à leur traitement et qu'il n'existe pas de motif légitime prépondérant pour le maintenir, ou encore lorsqu'elles ont été collectées ou traitées illégalement. Ce droit s'étend également à Internet : si une organisation a rendu vos données publiques, elle doit prendre des mesures raisonnables pour informer les autres responsables de traitement qui les traitent que vous avez demandé l'effacement. Dans la pratique, cela inclut les moteurs de recherche, qui peuvent être tenus de déréférencer des contenus vous concernant. Ce droit connaît des limites légitimes : il ne s'applique pas si le traitement est nécessaire pour respecter une obligation légale, pour des missions d'intérêt public, ou pour des fins de recherche scientifique ou statistique.
Le droit à la portabilité : reprendre le contrôle de vos données
Le droit à la portabilité est l'un des droits les plus innovants introduits par le RGPD, car il transforme vos données en un actif que vous pouvez transférer librement. Il vous permet de récupérer les données que vous avez fournies à un service dans un format structuré, couramment utilisé et lisible par machine — typiquement CSV, JSON ou XML — et de les transférer directement à un autre prestataire lorsque cela est techniquement possible. Ce droit s'applique uniquement aux données que vous avez vous-même fournies (via un formulaire, vos interactions, etc.) et dont le traitement est fondé sur votre consentement ou sur un contrat. Il est particulièrement utile lorsque vous souhaitez changer de réseau social, de service de streaming, de banque en ligne ou de tout autre service sans perdre votre historique, vos préférences ou vos contenus. L'organisation dispose d'un délai d'un mois pour vous transmettre vos données dans ce format.
Le droit d'opposition et le droit de rectification
Deux autres droits méritent d'être connus. Le droit de rectification vous permet de corriger toute donnée inexacte ou incomplète vous concernant — l'organisation doit procéder à la correction sans délai. C'est particulièrement utile lorsque vous constatez une erreur dans un fichier client, un historique médical ou une base de données administrative. Le droit d'opposition vous permet de vous opposer à tout moment, pour des raisons tenant à votre situation particulière, au traitement de vos données lorsque ce traitement est fondé sur l'intérêt légitime du responsable ou sur l'exécution d'une mission d'intérêt public. Ce droit est absolu lorsqu'il concerne la prospection commerciale : vous pouvez toujours vous opposer à l'utilisation de vos données à des fins de marketing direct, sans avoir à justifier d'un motif particulier. En pratique, le lien « se désabonner » présent dans les newsletters constitue l'exercice de ce droit.
Comment exercer vos droits efficacement ?
Pour exercer vos droits RGPD avec efficacité, quelques bonnes pratiques s'imposent. Identifiez d'abord le Délégué à la Protection des Données (DPO) de l'organisation : les entreprises soumises au RGPD ont souvent l'obligation de nommer un DPO dont les coordonnées doivent être publiques. Formulez votre demande par écrit (e-mail suffit), soyez précis sur le droit que vous exercez et les données concernées, et joignez une copie d'une pièce d'identité si l'organisation la demande pour vérifier votre identité (ce qui est légitime). Conservez une copie de votre demande et notez la date d'envoi — ces preuves vous seront utiles en cas de litige. Si l'organisation ne répond pas dans le délai d'un mois, refuse sans justification valable, ou donne une réponse insatisfaisante, vous pouvez saisir la CNIL via son service de plainte en ligne (plainte.cnil.fr). La CNIL peut alors mener un contrôle et, si elle constate un manquement, prononcer une mise en demeure ou une sanction financière.
RGPD et fuites de données : vos droits en cas d'incident
En cas de violation de données vous concernant, le RGPD vous confère des droits spécifiques. L'organisation responsable est tenue de notifier la CNIL dans les 72 heures suivant la découverte de la violation. Si cette violation présente un risque élevé pour vos droits et libertés, elle doit également vous en informer directement dans les meilleurs délais, en vous expliquant la nature de la violation, les catégories de données concernées, les conséquences probables, et les mesures prises pour y remédier. Vous avez ensuite le droit de demander des dommages et intérêts si vous subissez un préjudice du fait de cette violation et que l'organisation n'a pas respecté ses obligations. En France, des actions de groupe sont possibles en matière de données personnelles depuis 2018, ce qui permet à des associations agréées d'agir collectivement au nom des victimes. La condamnation de Free à 42 millions d'euros d'amende par la CNIL en 2026 illustre concrètement l'effectivité de ce mécanisme de sanction.